eIDAS 2.0 heeft directe gevolgen voor de energiesector. Verordening (EU) 2024/1183 introduceert gestandaardiseerde digitale identiteitsvereisten die van toepassing zijn op elke organisatie die digitale diensten aanbiedt of afneemt binnen de EU, inclusief energieleveranciers, netbeheerders en slimme infrastructuurplatforms. Voor de energiesector betekent dit dat machine-tot-machine-communicatie, externe toegang tot netsystemen en klantgerichte digitale diensten moeten voldoen aan de vertrouwens- en identiteitsnormen van de verordening. Dit artikel beantwoordt de belangrijkste vragen die energieorganisaties stellen over eIDAS 2.0, slimme netidentiteit en de te nemen vervolgstappen.
Welke wijzigingen introduceert eIDAS 2.0 voor energieleveranciers?
Verordening (EU) 2024/1183 wijzigt de oorspronkelijke eIDAS-verordening (EU) nr. 910/2014 ingrijpend. De herziene verordening breidt de digitale identiteitsinfrastructuur uit naar alle EU-lidstaten en vergroot de reikwijdte naar de private sector. Voor energieleveranciers is de kernwijziging dat gereguleerde organisaties die digitale diensten aanbieden de EUDI-wallet moeten accepteren en ondersteunen, en dat alle digitale interacties waarbij identiteitsverificatie plaatsvindt moeten voldoen aan de bijgewerkte vertrouwensvereisten van de verordening.
De oorspronkelijke eIDAS-verordening richtte zich voornamelijk op grensoverschrijdende erkenning van nationale eID-stelsels tussen overheden. De herziene verordening gaat verder. Verordening (EU) 2024/1183 trad in werking op 20 mei 2024. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, met technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze aanname startte de relevante 24-maandentermijn voor walletuitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, waaronder op 6 mei 2025 CIR (EU) 2025/848 over de registratie van wallet-relying parties. Iedere lidstaat moet uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals energie geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027, namelijk binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De uitzondering voor micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, is daarbij van toepassing.
Voor energieleveranciers specifiek introduceert dit nieuwe verplichtingen rond de manier waarop zij klanten, aannemers en geautomatiseerde systemen authenticeren. Onlineportalen voor facturering, verbruiksgegevens, nettoegang en serviceovereenkomsten vallen allemaal binnen de reikwijdte. Organisaties die hun digitale identiteitsinfrastructuur nog niet hebben getoetst aan de vereisten van de verordening, lopen het risico op nalevingstekorten naarmate de deadlines naderen.
Hoe werkt slimme netidentiteitsbeheer onder eIDAS 2.0?
Slimme netidentiteitsbeheer onder eIDAS 2.0 verwijst naar het gebruik van gestandaardiseerde, vertrouwde digitale identiteiten om de entiteiten, apparaten en systemen te authenticeren die interageren binnen een slim energienetwerk. Dit omvat niet alleen menselijke gebruikers, maar ook geautomatiseerde systemen, verbonden apparaten en externe dienstverleners die geverifieerde toegang nodig hebben tot de netwerkinfrastructuur.
Moderne slimme netten zijn sterk onderling verbonden. Sensoren, meters, controlesystemen en externe platforms wisselen voortdurend gegevens en opdrachten uit. Elk van deze interacties brengt risico’s met zich mee als de identiteit van de betrokken partij niet betrouwbaar kan worden geverifieerd. Verordening (EU) 2024/1183 introduceert een raamwerk waarmee energiebeheerders kunnen vertrouwen op cryptografisch geverifieerde attestaties in plaats van gefragmenteerde, systeemspecifieke authenticatiemethoden.
Dit is met name van belang voor netbeheerders die gedistribueerde energiebronnen beheren, zoals zonne-installaties, batterijopslag en laadnetwerken voor elektrische voertuigen. Elk van deze activa kan worden geëxploiteerd door verschillende organisaties of individuen die geverifieerde toegang nodig hebben tot netbeheersystemen. Onder eIDAS 2.0 kan die authenticatie worden gestandaardiseerd, controleerbaar en interoperabel over grenzen heen, wat steeds belangrijker wordt naarmate Europese energienetwerken verder integreren.
Het is daarbij van belang onderscheid te maken tussen wat de verordening juridisch verplicht en wat technische implementatiekeuzes zijn. De verordening stelt kaders voor vertrouwensniveaus en acceptatieplichten. De concrete technische inrichting van netidentiteitsbeheer, zoals de keuze voor specifieke protocollen of systemen, volgt uit de uitvoeringshandelingen en de Architecture and Reference Framework (ARF), en is deels afhankelijk van sectorspecifieke implementatieraamwerken die nog in ontwikkeling zijn.
Wat zijn attestaties en hoe zijn ze van toepassing op energiesystemen?
Attestaties zijn digitale documenten die specifieke kenmerken van een persoon of organisatie bewijzen in een tamper-evident, cryptografisch beveiligd formaat. Ze vormen een kernbouwsteen van eIDAS 2.0 en de EUDI-wallet, en hebben directe toepassingen in energiesystemen waar vertrouwd bewijs van identiteit, autorisatie of kwalificatie vereist is.
De verordening onderscheidt verschillende typen attestaties: gekwalificeerde elektronische attesteringen van attributen (QEAA), attestaties van publieke instanties (PuB-EAA) en niet-gekwalificeerde elektronische attesteringen van attributen. Deze categorieën verschillen in de vereisten die gelden voor de uitgevende partij en het bijbehorende vertrouwensniveau.
In de praktijk werkt een attestatie als een digitaal document dat kan worden geverifieerd door drie afzonderlijke controles uit te voeren: de handtekening van de uitgever tegen de relevante nationale trusted list volgens ETSI TS 119 612, de intrekkingsstatus via statusinformatie van de uitgever, en de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Een relying party die attestaties accepteert, heeft daarvoor geen gekwalificeerde vertrouwensdienstverlener (QTSP) nodig. Een QTSP wordt relevant wanneer een organisatie zelf QEAA uitgeeft of gekwalificeerde handtekeningen aanbiedt.
Voordat een relying party walletdata kan opvragen, moet zij zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
In energiecontexten kunnen attestaties op verschillende manieren worden toegepast:
- Aantonen dat een technicus gecertificeerd is om netwerkinfrastructuur te benaderen of te onderhouden
- Verifiëren dat een prosument of energiehandelaar gemachtigd is om deel te nemen aan een specifieke markt of een specifiek netprogramma
- Bevestigen dat een verbonden apparaat of installatie voldoet aan regelgevende vereisten
- Authenticeren van organisaties die betrokken zijn bij grensoverschrijdende energiehandel of balancering
- Herbruikbare nalevingscontroles mogelijk maken voor aannemers en externe dienstverleners
Het herbruikbaarheidsaspect is praktisch relevant. Zodra een attestatie is uitgegeven en geverifieerd, kan deze worden geaccepteerd door meerdere systemen en organisaties zonder het onderliggende verificatieproces te herhalen. Dit vermindert wrijving en kosten, terwijl een hoog vertrouwensniveau wordt gehandhaafd. Walletgebruik is daarbij vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Goedkeuring van gegevensdeling in de wallet is bovendien niet automatisch een toestemmingsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Welke use cases in de energiesector worden het meest beïnvloed door eIDAS 2.0?
De use cases in de energiesector die het meest worden beïnvloed zijn die waarbij digitale toegang, identiteitsverificatie of vertrouwde gegevensuitwisseling tussen meerdere partijen plaatsvindt. Dit omvat klantgerichte digitale diensten, externe nettoegang, grensoverschrijdende energietransacties en het beheer van gedistribueerde energiemiddelen.
Als we de sector overzien, springen een aantal gebieden eruit als hoge prioriteit:
- Toegang tot klantenportalen en digitaal contracteren: Energieleveranciers die online accountbeheer, verbruiksinzichten of digitale contractondertekening aanbieden, moeten voldoen aan de identiteitsnormen van de verordening en EUDI-wallet-gebaseerde authenticatie ondersteunen wanneer artikel 5f van toepassing is.
- Nettoegang voor derden: Flexibiliteitsdienstverleners, aggregatoren en vraagresponsoperatoren die geverifieerde toegang nodig hebben tot netbeheersystemen, moeten voldoen aan de vertrouwensvereisten van de verordening.
- Grensoverschrijdende energiehandel: Organisaties die actief zijn op Europese energiemarkten waarbij identiteits- en autorisatiegegevens nationale grenzen overschrijden, profiteren van het gestandaardiseerde vertrouwensraamwerk dat de verordening introduceert.
- Integratie van prosumenten en elektrische voertuigen: Huishoudens en bedrijven die energie terugleveren aan het net of laadinfrastructuur voor elektrische voertuigen beheren, hebben geverifieerde identiteiten nodig om deel te nemen aan netprogramma’s en betalingen te ontvangen.
- Beheer van aannemers en personeel: Exploitanten van energieinfrastructuur die grote aantallen externe aannemers beheren, kunnen attestaties gebruiken om identiteitscontroles en toegangsautorisatie op schaal te stroomlijnen.
Elk van deze use cases omvat meerdere partijen die vertrouwde informatie uitwisselen. De verordening biedt het gemeenschappelijke raamwerk dat dit mogelijk maakt over organisatorische en nationale grenzen heen. De juridische acceptatieplicht geldt voor de genoemde gereguleerde private sectoren binnen de context van sterke gebruikersauthenticatie. De bredere technische voordelen van gestandaardiseerde identiteitsinfrastructuur zijn ook buiten de strikte acceptatieplicht relevant voor organisaties die grensoverschrijdend opereren.
Welke nalevingsstappen moeten energieorganisaties nu nemen?
Energieorganisaties moeten beginnen met het in kaart brengen van hun huidige digitale identiteitscontactpunten aan de hand van de vereisten van Verordening (EU) 2024/1183. De verordening is van kracht sinds 20 mei 2024. De deadline voor walletuitgifte en publieke acceptatie ligt op 24 december 2026. De acceptatieplicht voor gereguleerde private partijen in de energiesector op grond van artikel 5f gaat in op 24 december 2027. Het voorbereidingsvenster wordt kleiner, en wachten op volledige handhaving vergroot zowel het technische als het nalevingsrisico.
Een praktisch startpunt omvat drie gebieden. Ten eerste: beoordeel welke digitale diensten en systemen identiteitsverificatie of vertrouwde gegevensuitwisseling omvatten. Ten tweede: evalueer of bestaande authenticatiemethoden voldoen aan de betrouwbaarheidsniveaus die de verordening vereist. Ten derde: identificeer waar je organisatie attestaties moet accepteren of uitgeven, welke registratieverplichtingen onder CIR (EU) 2025/848 van toepassing zijn, en welke infrastructuurwijzigingen dat vereist.
Energieorganisaties die actief zijn in meerdere EU-landen moeten bijzondere aandacht besteden aan interoperabiliteit. De verordening is ontworpen om grensoverschrijdende identiteitsherkenning naadloos te maken, maar alleen als de onderliggende systemen zijn gebouwd volgens de juiste normen. Organisaties die hun digitale infrastructuur vroegtijdig voorbereiden, zijn beter gepositioneerd om zonder wrijving grensoverschrijdend te opereren.
Het is ook de moeite waard om op de hoogte te blijven van sectorspecifieke richtlijnen zodra deze beschikbaar komen. Toezichthouders en brancheorganisaties ontwikkelen implementatieraamwerken die zijn afgestemd op sectoren met kritieke infrastructuur, waaronder energie. Door via deze kanalen geïnformeerd te blijven, kunnen organisaties algemene regelgevende vereisten vertalen naar concrete technische acties.
Hoe ondersteunt de ID Connector energieorganisaties bij eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor energieorganisaties ondersteunt de ID Connector concreet de volgende technische taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata voor klanten, aannemers en systemen van derden
- Gekwalificeerd tekenen via een aangesloten QTSP, voor contracten, autorisaties en audittrails
De ID Connector is gebouwd op de technische standaarden van het EUDI-wallet-ecosysteem, waaronder OID4VP voor presentatie en OID4VCI voor uitgifte, en ondersteunt de credentialformaten mdoc en SD-JWT VC. Dit maakt de integratie toepasbaar voor energieleveranciers, netbeheerders en infrastructuurproviders die grensoverschrijdend opereren binnen de EU.
Verken het TrustTech-platform of neem contact op met ons team om te bespreken wat eIDAS 2.0 specifiek betekent voor jouw organisatie.