Bestaande eIDAS 1.0-vertrouwensdiensten stoppen na 2026 niet zomaar met werken. Gekwalificeerde verleners van vertrouwensdiensten die al erkend waren onder eIDAS 1.0 behouden hun rechtspositie, maar zij moeten hun werkwijzen, technische standaarden en documentatie upgraden om te voldoen aan de strengere eisen van eIDAS 2.0. Voor organisaties die afhankelijk zijn van gekwalificeerde certificaten, elektronische handtekeningen of andere vertrouwensdiensten is dit een compliance- en transitievraagstuk, geen plotselinge afsluiting. Dit artikel bespreekt de belangrijkste vragen die jouw organisatie waarschijnlijk heeft over wat er verandert, wat hetzelfde blijft en wat je vervolgens moet doen.
Stoppen eIDAS 1.0-vertrouwensdiensten na 2026 met werken?
Nee, eIDAS 1.0-vertrouwensdiensten stoppen na 2026 niet zomaar met werken. De overgang naar eIDAS 2.0 is een regelgevende upgrade: Verordening (EU) 2024/1183 wijzigt Verordening (EU) nr. 910/2014. Vertrouwensdiensten die gekwalificeerd waren onder eIDAS 1.0 blijven juridisch erkend tijdens de overgangsperiode, maar verleners worden geacht zich binnen de door de Europese Commissie vastgestelde uitvoeringshandelingen aan de nieuwe eisen aan te passen.
De eIDAS 2.0-verordening introduceert nieuwe categorieën vertrouwensdiensten, bijgewerkte technische standaarden en uitgebreide toezichtsvereisten. Bestaande gekwalificeerde verleners van vertrouwensdiensten moeten aantonen dat zij voldoen aan deze bijgewerkte regels om hun gekwalificeerde status op de nationale en Europese trusted lists te behouden. Totdat zij dat doen, blijven hun huidige diensten operationeel, maar zonder proactieve actie lopen organisaties het risico buiten de compliance te vallen naarmate toezichthoudende instanties het nieuwe kader gaan handhaven.
De praktische impact is sterk afhankelijk van het type betrokken vertrouwensdienst. Gekwalificeerde elektronische handtekeningen, zegels, tijdstempels en diensten voor aangetekende bezorging hebben elk hun eigen bijgewerkte referentiestandaarden. Verleners die deze diensten aanbieden, moeten beoordelen welke uitvoeringshandelingen op hen van toepassing zijn en dienovereenkomstig plannen.
Wat verandert er voor gekwalificeerde verleners van vertrouwensdiensten onder eIDAS 2.0?
Onder eIDAS 2.0 worden gekwalificeerde verleners van vertrouwensdiensten geconfronteerd met een aanzienlijk uitgebreid compliancelandschap. Verordening (EU) 2024/1183 introduceert nieuwe categorieën gekwalificeerde vertrouwensdiensten, verhoogt de lat voor conformiteitsbeoordeling en vereist afstemming op een groot aantal nieuwe uitvoeringshandelingen die alles omvatten van technische protocollen tot jaarlijkse rapportageformaten.
Enkele van de meest ingrijpende wijzigingen zijn:
- Nieuwe categorieën gekwalificeerde vertrouwensdiensten: eIDAS 2.0 voegt gekwalificeerde elektronische grootboeken en gekwalificeerde elektronische archiveringsservices toe als erkende soorten vertrouwensdiensten, die niet bestonden onder het oorspronkelijke kader.
- Apparaten voor het op afstand aanmaken van gekwalificeerde handtekeningen (QSCD’s): Het beheren van QSCD’s op afstand wordt nu erkend als een op zichzelf staande gekwalificeerde vertrouwensdienst, met specifieke uitvoeringshandelingen. Remote signing bestond al onder eIDAS 1.0; eIDAS 2.0 formaliseert het beheer ervan als afzonderlijke dienstcategorie.
- Strengere conformiteitsbeoordeling: Het accreditatieproces voor conformiteitsbeoordelingsinstanties is aangescherpt en het conformiteitsbeoordelingsschema zelf is bijgewerkt.
- Uitgebreide kennisgevings- en rapportageverplichtingen: Verleners moeten bijgewerkte formats en procedures volgen voor het kennisgeving doen aan toezichthoudende instanties, het melden van beveiligingsinbreuken en het indienen van jaarverslagen.
- Interoperabiliteitsvereisten: Nieuwe standaarden zijn van toepassing op gekwalificeerde elektronische diensten voor aangetekende bezorging en validatiediensten om grensoverschrijdende interoperabiliteit binnen de EU-lidstaten te waarborgen.
Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg zijn deze wijzigingen bijzonder relevant, omdat vertrouwensdiensten ten grondslag liggen aan kritieke processen zoals digitale onboarding, toestemmingsbeheer en juridisch bindende documentondertekening.
Hoeveel tijd hebben verleners van vertrouwensdiensten om te voldoen aan eIDAS 2.0?
De overgangstijdlijnen onder eIDAS 2.0 zijn getrapt. Verschillende uitvoeringshandelingen kennen verschillende deadlines, en de Europese Commissie heeft deze regelingen geleidelijk uitgerold. Verordening (EU) 2024/1183 trad op 20 mei 2024 in werking. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze aanname startte de relevante 24-maandentermijn voor wallet-uitgifte en publieke acceptatie. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, met de registratievereisten voor wallet-relying parties. Dit maakt 24 december 2026 een cruciaal moment: uiterlijk die datum moeten EU-lidstaten minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg en telecom geldt artikel 5f vanaf 24 december 2027 als de relevante plandatum voor de acceptatieplicht, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Verleners die gekwalificeerd waren onder eIDAS 1.0 profiteren over het algemeen van een overgangsperiode die hen in staat stelt door te werken terwijl zij hun systemen en documentatie bijwerken. Deze overgangsperiode is echter niet onbeperkt. Nationale toezichthoudende instanties zijn verantwoordelijk voor het toezicht op de naleving, en verleners die er niet in slagen binnen de toepasselijke termijnen conformiteit aan te tonen, lopen het risico hun gekwalificeerde status te verliezen.
Het Architecture and Reference Framework (ARF), ontwikkeld door de eIDAS Expert Group, biedt aanvullende technische richtlijnen, met name voor verleners die ook moeten interageren met het ecosysteem van de EUDI-wallet. De uitvoeringshandelingen zijn juridisch bindend; de ARF bevat de technische uitwerking daarvan. De vier grote pilotprojecten die van april 2023 tot 2025 liepen, genereerden aanzienlijke feedback over interoperabiliteits- en beveiligingsvereisten. Die feedback heeft mede vorm gegeven aan de definitieve technische specificaties waaraan verleners van vertrouwensdiensten moeten voldoen. De tweede pilotgolf, met onder andere WE BUILD en APTITUDE, startte in 2025.
Voor organisaties die hun compliancestrategie nu plannen, is de overgang volledig beheersbaar. Het risico ligt in de aanname dat bestaande gekwalificeerde status automatisch wordt overgedragen zonder enige actie.
Blijven bestaande gekwalificeerde certificaten en handtekeningen rechtsgeldig?
Ja, gekwalificeerde certificaten en elektronische handtekeningen die zijn afgegeven onder eIDAS 1.0 blijven na 2026 rechtsgeldig. Het rechtsgevolg van een gekwalificeerde elektronische handtekening (QES) vervalt niet omdat het regelgevend kader is bijgewerkt. Een QES heeft op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening, waarbij nationale vormvereisten van toepassing blijven. Documenten ondertekend met een gekwalificeerd certificaat afgegeven onder eIDAS 1.0 behouden hun rechtspositie onder het EU-recht.
Dit is een belangrijk onderscheid voor organisaties die workflows hebben gebouwd rondom bestaande certificaten of die archieven van ondertekende documenten bewaren. De geldigheid van die handtekeningen wordt niet met terugwerkende kracht aangetast door de wijzigingen die Verordening (EU) 2024/1183 doorvoert.
Er is echter een praktische overweging met betrekking tot langetermijnvalidatie. eIDAS 2.0 introduceert bijgewerkte referentiestandaarden voor gekwalificeerde bewaringsdiensten en gekwalificeerde validatiediensten. Organisaties die handtekeningen over langere perioden moeten valideren, met name in sectoren zoals overheid of farmacie, moeten nagaan of hun huidige validatie- en archiveringsinfrastructuur aansluit bij de nieuwe standaarden. Vertrouwen op verouderde validatiemethoden kan juridische onzekerheid creëren, ook als de oorspronkelijke handtekening zelf geldig blijft. Volledige verificatie van een handtekening omvat meer dan het controleren van de cryptografische handtekening: ook de intrekkingsstatus via statusinformatie van de uitgever moet worden gecontroleerd, en bij walletgebonden attestaties geldt aanvullend de verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
Voor nieuwe certificaten die na de overgang worden afgegeven, moeten verleners deze uitgeven in overeenstemming met de eIDAS 2.0-referentiestandaarden voor gekwalificeerde certificaten voor elektronische handtekeningen en elektronische zegels. Organisaties die nieuwe certificaten aanschaffen, moeten daarom verifiëren dat hun verlener van vertrouwensdiensten hun aanbod al heeft bijgewerkt.
Wat moeten organisaties die afhankelijk zijn van eIDAS 1.0-diensten nu doen?
Organisaties die momenteel afhankelijk zijn van eIDAS 1.0-vertrouwensdiensten moeten een gestructureerde aanpak hanteren voor het beoordelen van hun blootstelling en het plannen van hun overgang. Wachten tot verleners je informeren over wijzigingen is geen betrouwbare strategie, met name in gereguleerde sectoren waar compliance-lacunes reële juridische en operationele risico’s met zich meebrengen.
Een praktisch startpunt omvat vier stappen:
- Inventariseer jouw huidige afhankelijkheden van vertrouwensdiensten: Identificeer elk proces in jouw organisatie dat afhankelijk is van gekwalificeerde certificaten, elektronische handtekeningen, zegels, tijdstempels of diensten voor aangetekende bezorging. Dit omvat onboardingprocessen, contractondertekening, regelgevende rapportage en elke grensoverschrijdende identiteitsverificatie.
- Controleer de eIDAS 2.0-status van jouw verleners: Verifieer of jouw huidige verleners van vertrouwensdiensten op de nationale trusted lists staan, samengebracht in de EU List of Trusted Lists, en of zij een routekaart voor eIDAS 2.0-compliance hebben gecommuniceerd. Verleners die nog geen duidelijk transitieplan hebben gepubliceerd, vormen een risicofactor.
- Beoordeel jouw interne compliancekader: eIDAS 2.0 is niet alleen een technische update voor verleners. Organisaties die afhankelijk zijn van deze diensten moeten er ook voor zorgen dat hun eigen beleid, audittrails en contractuele regelingen de bijgewerkte vereisten weerspiegelen.
- Beoordeel de gereedheid voor het EUDI-wallet-ecosysteem: Als jouw organisatie actief is in een sector waar de EUDI-wallet een standaardmethode voor identiteitsverificatie zal worden, is dit het moment om te begrijpen hoe op wallet gebaseerde interacties aansluiten op jouw bestaande vertrouwensdiensteninfrastructuur. Organisaties die walletdata willen opvragen, moeten zich bovendien onder CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij als relying party walletpresentaties kunnen ontvangen. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd.
Organisaties in wetenschap en onderzoek staan voor specifieke overwegingen rondom gekwalificeerde attestaties en grensoverschrijdend delen van gegevens die baat hebben bij vroege voorbereiding. Het raadplegen van de beschikbare resources over eIDAS 2.0-implementatie is een goede eerste stap naar het opstellen van een duidelijk actieplan.
Hoe ondersteunt de ID Connector van TrustTech bij eIDAS 2.0-transities
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die hun eIDAS 2.0-overgang voorbereiden, ondersteunt de ID Connector concreet de volgende taken:
- Verificatie tegen trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat uitgevers van attestaties betrouwbaar worden vastgesteld
- Controle van intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata binnen de eigen dienstverlening, in lijn met de toepasselijke AVG-grondslagen
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde vertrouwensdienstverlener en de ID Connector de integratie verzorgt
De ID Connector is relevant voor financiële dienstverleners, zorginstellingen, farmaceutische organisaties en overheidsinstanties die vertrouwensdiensten inzetten voor digitale onboarding, contractondertekening of toegangsbeheer en zich moeten voorbereiden op de deadlines van 24 december 2026 en 24 december 2027.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw bestaande vertrouwensdiensteninfrastructuur en wat er nodig is om compliant te blijven onder eIDAS 2.0.