eIDAS 2.0 en verifieerbare credentials zijn niet hetzelfde, maar ze zijn nauw met elkaar verbonden. eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die het juridisch kader bepaalt voor digitale identiteit en vertrouwensdiensten binnen de EU. Verifieerbare credentials zijn een technisch dataformaat, gedefinieerd door het W3C, dat gebruikt kan worden om identiteits- en attribuutgegevens uit te wisselen op een gestandaardiseerde, cryptografisch beveiligde manier. Het begrijpen van het verschil is belangrijk, omdat naleving van eIDAS 2.0 en de adoptie van verifieerbare credentials verschillende acties van jouw organisatie vereisen. De onderstaande secties beantwoorden de meest gestelde vragen over hoe deze twee concepten zich tot elkaar verhouden.
Wat is eIDAS 2.0 en wat reguleert het precies?
eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en de juridische regels vaststelt voor elektronische identificatie en vertrouwensdiensten in alle EU-lidstaten. De verordening breidt de reikwijdte van het oorspronkelijke eIDAS-kader aanzienlijk uit. Waar dat kader zich voornamelijk richtte op grensoverschrijdende erkenning van nationale eID-systemen, introduceert eIDAS 2.0 een universeel recht voor EU-burgers, ingezetenen en bedrijven om toegang te krijgen tot een Europese Digitale Identiteitswallet (EUDI-wallet).
In de praktijk reguleert eIDAS 2.0 verschillende belangrijke gebieden:
- De verplichting voor elke EU-lidstaat om een EUDI-wallet beschikbaar te stellen aan zijn burgers en ingezetenen
- De juridische geldigheid van elektronische handtekeningen, zegels en vertrouwensdiensten over grenzen heen
- De voorwaarden waaronder publieke diensten en bepaalde gereguleerde private partijen de EUDI-wallet moeten accepteren voor identificatie
- De privacy- en dataminimalisatieprincipes die bepalen hoe identiteitsgegevens mogen worden gedeeld
- De erkenning van gekwalificeerde vertrouwensdienstverleners (QTSPs) die opereren onder EU-recht
Wat eIDAS 2.0 bijzonder relevant maakt voor organisaties, is dat het verder gaat dan de publieke sector. Gereguleerde private partijen in sectoren zoals bankwezen, gezondheidszorg en telecom worden op grond van artikel 5f verplicht de EUDI-wallet te accepteren voor gebruikersauthenticatie, maar uitsluitend in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Deze acceptatieplicht voor de private sector gaat in op 24 december 2027. Dit betekent dat eIDAS 2.0 niet alleen een overheidszaak is. Het heeft direct invloed op hoe organisaties in financiële dienstverlening en andere gereguleerde sectoren hun klanten verifiëren.
Wat zijn verifieerbare credentials en wie bepaalt de standaard?
Verifieerbare credentials zijn een gestandaardiseerd digitaal dataformaat voor het uitdrukken en uitwisselen van vertrouwde claims over een persoon, organisatie of object. De standaard is gedefinieerd door het World Wide Web Consortium (W3C), hetzelfde internationale orgaan dat webstandaarden zoals HTML beheert. Een verifieerbare credential werkt als een digitaal certificaat: het bevat een claim, is cryptografisch ondertekend door een uitgever en kan door elke partij worden geverifieerd. Of die verificatie volledig offline kan plaatsvinden, hangt af van de controle die wordt uitgevoerd. De handtekening van de uitgever kan worden gecontroleerd aan de hand van gepubliceerde sleutels op een nationale trusted list, maar de intrekkingsstatus vereist doorgaans een actuele raadpleging bij de uitgever.
Een typische verifieerbare credential bevat drie componenten:
- De claim: Een verklaring over het onderwerp, zoals “deze persoon beschikt over een geldig rijbewijs” of “deze medewerker heeft een veiligheidstraining afgerond”
- De handtekening van de uitgever: Een cryptografisch bewijs van de organisatie die de credential heeft uitgegeven, ter bevestiging van de authenticiteit
- De houdersbinding: Een koppeling tussen de credential en de persoon of entiteit die deze presenteert, om misbruik door anderen te voorkomen
Omdat verifieerbare credentials gebaseerd zijn op open standaarden, zijn ze interoperabel over verschillende systemen en platforms. Elke organisatie die de W3C-standaard begrijpt, kan ze uitgeven, bewaren of verifiëren. Dit maakt verifieerbare credentials een bruikbaar bouwblok voor digitale identiteitsecosystemen, onafhankelijk van een enkele leverancier of overheidssysteem.
Wat is het verschil tussen een vertrouwenskader en een dataformaat?
Het belangrijkste onderscheid is dit: eIDAS 2.0 is een vertrouwenskader, terwijl verifieerbare credentials een dataformaat zijn. Een vertrouwenskader definieert de juridische, governance- en beleidsregels die bepalen wie identiteitsgegevens mag uitgeven, onder welke voorwaarden en met welk juridisch effect. Een dataformaat definieert de technische structuur die wordt gebruikt om die gegevens te representeren en uit te wisselen.
Een vergelijking maakt dit concreet. Een vertrouwenskader is als de verkeersregels: het bepaalt wie er mag rijden, hoe een geldig rijbewijs er juridisch uitziet en wie de bevoegdheid heeft er een uit te geven. Een dataformaat is als de fysieke indeling van de rijbewijskaart zelf: de velden, de codering, de machineleesbare zone. Je hebt beide nodig, maar het zijn afzonderlijke lagen.
eIDAS 2.0 stelt de governance-laag vast. Het bepaalt welke identiteitsaanbieders vertrouwd zijn, welk juridisch gewicht een digitale handtekening heeft en welke rechten gebruikers hebben over hun gegevens. Verifieerbare credentials opereren op de technische laag. Ze bieden een formaat dat identiteitsclaims kan bevatten op een manier die overdraagbaar, privacybeschermend en tamper-evident is.
Organisaties verwarren de twee vaak omdat ze regelmatig samen worden besproken. Een verifieerbare credential die buiten eIDAS 2.0 is uitgegeven, heeft geen automatische juridische status onder EU-recht. Een eIDAS 2.0-conforme identiteitsinteractie maakt ook niet noodzakelijkerwijs gebruik van het W3C-verifieerbare-credentialformaat. De twee kunnen samenwerken, maar ze zijn niet hetzelfde.
Vereist de EUDI-wallet verifieerbare credentials?
De EUDI-wallet is ontworpen om identiteitsattributen en documenten op te slaan en te presenteren op een manier die interoperabel is binnen de EU. De technische specificaties voor de wallet zijn gebaseerd op standaarden die aanzienlijk overlappen met het W3C-model voor verifieerbare credentials, maar de EUDI-wallet-architectuur schrijft W3C Verifiable Credentials niet voor als verplicht credentialformaat. De Architecture and Reference Framework (ARF) omvat specifiek twee formaten: mdoc (conform ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie) en SD-JWT VC (Selective Disclosure JWT Verifiable Credentials).
De EUDI-wallet vereist dus niet uitsluitend W3C-verifieerbare credentials in hun zuivere vorm, maar is wel gebouwd op nauw verwante principes. De Architecture and Reference Framework (ARF) die door de Europese Commissie is ontwikkeld, maakt sterk gebruik van dezelfde kernconcepten: cryptografisch bewijs, selective disclosure, houdersbinding en uitgeversvertrouwensregisters. De ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. In de praktijk zullen veel van de attestaties die in de EUDI-wallet worden opgeslagen technisch en conceptueel sterk lijken op W3C-verifieerbare credentials, maar de juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen, niet uit de ARF of de W3C-specificatie.
Voor organisaties die zich voorbereiden op de EUDI-wallet betekent dit dat investeren in verifieerbare credential-infrastructuur een strategisch verstandige keuze is. De onderliggende technische vaardigheden, tooling en integratiepatronen zijn direct overdraagbaar. Lees meer over hoe organisaties deze transitie aanpakken in de praktijk.
Wanneer moeten organisaties zich richten op eIDAS 2.0-compliance versus de adoptie van verifieerbare credentials?
Dit zijn geen concurrerende prioriteiten. De meeste organisaties zullen beide moeten aanpakken, maar de urgentie en volgorde hangen af van hun sector en gebruiksscenario. eIDAS 2.0-compliance heeft een wettelijke tijdlijn die niet genegeerd kan worden. Lidstaten zijn op grond van de verordening verplicht EUDI-wallets uiterlijk op 24 december 2026 beschikbaar te stellen aan burgers, en publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals bankwezen, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027, in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd. Voor organisaties in gereguleerde sectoren die buiten deze uitzondering vallen, is compliance niet optioneel.
Daarnaast geldt dat elke relying party die walletdata wil opvragen, zich vooraf moet registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848, vastgesteld op 6 mei 2025. Bij die registratie legt de relying party per beoogd gebruik vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Dit is een concrete voorbereidingsstap die los staat van de technische implementatie.
De adoptie van verifieerbare credentials wordt daarentegen vaak gedreven door bedrijfswaarde. Organisaties die herbruikbare onboarding willen mogelijk maken, herhaalde identiteitscontroles willen verminderen of interoperabele gegevensuitwisseling met partners willen opbouwen, kunnen profiteren van verifieerbare credential-infrastructuur onafhankelijk van de eIDAS 2.0-tijdlijn.
Een praktische manier om erover na te denken: gebruik eIDAS 2.0 als jouw compliancedeadline en strategisch ankerpunt, en gebruik verifieerbare credential-infrastructuur als de technische basis die je helpt dat doel te bereiken en verder te gaan. Organisaties in de gezondheidszorg en de overheid ontdekken bijvoorbeeld vaak dat dezelfde infrastructuur die EUDI-wallet-integratie ondersteunt ook interne identiteitsuitdagingen oplost rondom medewerkerscredentials, toestemmingsbeheer en gegevensdeling tussen organisaties.
Hoe de ID Connector van TrustTech helpt met eIDAS 2.0 en verifieerbare credentials
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. De ID Connector ondersteunt de technische taken die komen kijken bij het correct verwerken van walletpresentaties:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list conform ETSI TS 119 612
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken binnen de grenzen van de CIR (EU) 2025/848-registratie blijven
- Hergebruik van geverifieerde identiteitsdata in onboarding-, authenticatie- en ondertekeningsprocessen
- Gekwalificeerd tekenen via een aangesloten QTSP, zodat gebruikers binnen de wallet een gekwalificeerde elektronische handtekening kunnen plaatsen
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de overheid die op tijd moeten aansluiten op de EUDI-wallet-infrastructuur en daarbij de technische complexiteit van walletverificatie niet zelf willen bouwen en onderhouden.
Als jouw organisatie klaar is voor de volgende stap, neem dan contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw specifieke situatie.