Wat is ISO 18013-5 en hoe verhoudt het zich tot eIDAS 2.0?

ISO 18013-5 is de internationale standaard die bepaalt hoe een mobiel rijbewijs (mDL) wordt opgebouwd, opgeslagen en veilig gedeeld vanuit een smartphone. De standaard specificeert het gegevensformaat, de cryptografische protocollen en de communicatiemethoden waarmee een digitaal rijbewijs op een privacyvriendelijke en tamper-evident manier kan worden gepresenteerd en geverifieerd. Voor organisaties die navigeren binnen eIDAS 2.0 en de Europese Digitale Identiteitswallet is ISO 18013-5 een van de kernbouwstenen die ten grondslag ligt aan de uitwisseling van attestaties in het nieuwe digitale identiteitsecosysteem.

Hoe werkt ISO 18013-5 als standaard in de praktijk?

ISO 18013-5 definieert de technische regels voor het uitgeven, presenteren en verifiëren van een mobiel rijbewijs op een smartphone of ander mobiel apparaat. De standaard omvat het datamodel, het coderingsformaat en de communicatieprotocollen die worden gebruikt wanneer een houder zijn of haar mDL toont aan een verifier, zowel persoonlijk als online.

De kern van de standaard maakt gebruik van een documentformaat genaamd mdoc, dat identiteitsattributen structureert als cryptografisch ondertekende gegevenselementen. Wanneer een gebruiker zijn of haar mDL presenteert, worden alleen de specifieke attributen onthuld die de verifier heeft opgevraagd, zoals leeftijd of rijbewijscategorie, zonder het volledige document bloot te stellen. Deze selective disclosure is van meet af aan ingebouwd in de standaard.

Communicatie tussen het apparaat van de houder en de verifier verloopt via twee hoofdkanalen: nabijheidsgebaseerd via Bluetooth Low Energy of NFC voor persoonlijke controles, en online via een browser- of appsessie voor verificatie op afstand. ISO/IEC 18013-5 regelt de nabijheidspresentatie; voor online presentatie is ISO/IEC TS 18013-7 de relevante aanvullende specificatie. In beide gevallen zijn de uitgewisselde gegevens versleuteld en geverifieerd, zodat de attestatie en de communicatie tamper-evident zijn.

Wat is een mDL en hoe verschilt het van een fysiek rijbewijs?

Een mDL, of mobiel rijbewijs, is een digitale weergave van een rijbewijs dat is opgeslagen op een smartphone en uitgegeven door een bevoegde autoriteit. Anders dan een fysieke kaart is een mDL cryptografisch ondertekend, kan het selectief worden gedeeld en hoeft het niet fysiek te worden overhandigd bij een controle.

De verschillen gaan verder dan het formaat. Een fysiek rijbewijs is een statisch document: eenmaal uitgegeven kunnen de gegevens daarop niet worden bijgewerkt zonder de kaart opnieuw uit te geven, en bij presentatie worden altijd alle gedrukte gegevens zichtbaar. Een mDL kan realtime updates van de uitgevende autoriteit weerspiegelen, en de houder kan kiezen welke attributen hij of zij in een bepaalde interactie deelt.

Neem een eenvoudig leeftijdsverificatiescenario. Met een fysiek rijbewijs ziet een verifier de volledige naam, het adres, de geboortedatum en het rijbewijsnummer van de houder. Met een mDL dat voldoet aan ISO 18013-5 kan de houder uitsluitend een bevestigd “18+” attribuut presenteren, zonder verdere gegevens te delen. Dit is een betekenisvolle privacyverbetering met praktische gevolgen voor zowel consumenten als organisaties die persoonsgegevens verwerken.

Wat is het verschil tussen ISO 18013-5 en SD-JWT VC?

ISO 18013-5 en SD-JWT VC zijn beide credentialformaten die worden ondersteund binnen de EUDI-wallet-architectuur, maar ze maken gebruik van verschillende datamodellen, coderingsformaten en vertrouwensmechanismen. ISO 18013-5 gebruikt het mdoc-formaat gecodeerd in CBOR, terwijl SD-JWT VC een op JWT gebaseerd formaat hanteert. Ze zijn ontworpen voor verschillende primaire contexten, en het Architecture and Reference Framework van de EUDI-wallet erkent beide als geldige credentialformaten.

ISO 18013-5 (mdoc)

Het mdoc-formaat dat in ISO 18013-5 is gedefinieerd, werd oorspronkelijk ontwikkeld voor door de overheid uitgegeven identiteitsdocumenten, met name rijbewijzen. Het is geoptimaliseerd voor nabijheidsgebaseerde toepassingen, sterke cryptografische binding en integratie met fysieke identiteitsinfrastructuur. Het vertrouwensmodel steunt op door de uitgever ondertekende certificaten binnen een gedefinieerde Public Key Infrastructure (PKI), waardoor het goed geschikt is voor hoogwaardige overheidscredentials.

SD-JWT VC

SD-JWT VC is voortgekomen uit de OpenID-gemeenschap en biedt selective disclosure binnen een JWT-gebaseerde structuur. Het formaat functioneert goed in webnatieve omgevingen en wordt gebruikt voor een breder scala aan attestatietypes, waaronder opleidingskwalificaties, beroepscertificeringen en lidmaatschapsregisters. Het uitwisselingsprotocol OID4VP wordt zowel voor mdoc als voor SD-JWT VC ingezet bij presentatie aan een relying party.

In de praktijk ondersteunt de architectuur van de Europese Digitale Identiteitswallet beide formaten. Het Architecture and Reference Framework van de EUDI-wallet omvat zowel mdoc als SD-JWT VC als geldige credentialformaten, wat betekent dat organisaties mogelijk met een van beide of met beide formaten moeten werken, afhankelijk van het attestatietype en de toepassing. Inzicht in het onderscheid helpt organisaties het juiste formaat voor de juiste context te kiezen.

Hoe verhoudt ISO 18013-5 zich tot eIDAS 2.0 en de EUDI-wallet?

ISO 18013-5 is een van de fundamentele technische standaarden waarnaar wordt verwezen in de architectuur van de EUDI-wallet. De Europese Digitale Identiteitswallet is ontworpen om door de overheid uitgegeven attestaties te bevatten, waaronder het mobiele rijbewijs, met behulp van het mdoc-formaat dat is gedefinieerd in ISO 18013-5. Dit maakt de standaard direct relevant voor elke organisatie die zich voorbereidt op naleving van eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt.

Verordening (EU) 2024/1183 verplicht elke EU-lidstaat om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel te hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Het mdoc-formaat en de communicatieprotocollen uit ISO 18013-5 zijn opgenomen in de technische specificaties van de wallet, omdat ze een bewezen, interoperabele basis bieden voor hoogwaardige credentialuitwisseling.

Voor gereguleerde private partijen, waaronder banken, financiële dienstverleners en zorginstellingen, geldt de acceptatieplicht onder artikel 5f van de verordening vanaf 24 december 2027. Deze verplichting is van toepassing binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De uitzondering voor micro- en kleine ondernemingen, te weten organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen, is van toepassing op grond van de criteria in de verordening. Voor de overige gereguleerde private partijen betekent dit dat hun verificatie-infrastructuur in staat moet zijn mdoc-attestaties te lezen en te valideren. De standaard is geen optionele achtergrondkennis; het is een praktische technische vereiste voor walletklare systemen. Organisaties in de financiële dienstverlening en de overheid behoren tot de meest direct betrokken partijen, omdat zij expliciet worden genoemd als sectoren waar op wallet gebaseerde identiteitsverificatie een standaardinteractie zal worden.

Voor welke sectoren en toepassingen is ISO 18013-5 relevant?

Hoewel ISO 18013-5 oorspronkelijk is ontwikkeld voor rijbewijzen, worden het onderliggende mdoc-formaat en de bijbehorende protocollen inmiddels toegepast in een groeiend aantal sectoren en toepassingen waar veilige, privacybeschermende attestatiepresentatie vereist is.

De volgende toepassingen illustreren waar op ISO 18013-5 gebaseerde attestaties al in gebruik zijn of actief zijn getest:

• Transport en mobiliteit: Digitale rijbewijzen geaccepteerd door verkeerspolitie, autoverhuurbedrijven en grenscontroleautoriteiten
• Financiële dienstverlening: Identiteitsverificatie voor het openen van rekeningen, KYC-controles en sterke klantauthenticatie onder PSD2 en eIDAS 2.0
• Gezondheidszorg: Veilige patiëntidentificatie en het delen van gezondheidsgerelateerde attributen zonder onnodige persoonsgegevens bloot te stellen
• Leeftijdsverificatie: Selective disclosure van een “18+” of “21+” attribuut zonder volledige identiteitsgegevens te onthullen
• Overheidsdiensten: Toegang tot portalen van de publieke sector en grensoverschrijdende identiteitsherkenning binnen de EU
• Reizen: Digital Travel Credentials zijn gepiloteerd als onderdeel van de Large Scale Pilot EWC, maar gebruik bij grens- of luchthavencontrole is nog geen algemeen operationele EUDI-walletfunctionaliteit

De breedte van deze toepassingen weerspiegelt de ontwerpfilosofie van de standaard: een veilig, flexibel attestatieformaat dat sectoroverstijgend werkt omdat de onderliggende cryptografische en communicatiemechanismen robuust en interoperabel zijn. Organisaties in de gezondheidszorg en gereguleerde sectoren evalueren in toenemende mate hoe mDL-compatibele infrastructuur past in hun digitale identiteitsstrategieën.

Wat moeten organisaties doen om zich voor te bereiden op de adoptie van ISO 18013-5?

Organisaties dienen te beginnen met een beoordeling van of zij als attestatie-uitgever, als verifiërende relying party, of als beide zullen optreden binnen het opkomende EUDI-wallet-kader. Dit bepaalt welke onderdelen van ISO 18013-5 het meest direct relevant zijn en welke technische en compliancewerkzaamheden vereist zijn.

Voor de meeste private sector organisaties is de meest urgente taak het voorbereiden op het accepteren en verifiëren van mdoc-attestaties. Dit omvat het evalueren van de bestaande identiteitsverificatie-infrastructuur aan de hand van de vereisten van de standaard en het identificeren van lacunes. De onderstaande stappen bieden een praktisch startpunt:

1. Breng je toepassingen in kaart: Identificeer welke klantinteracties momenteel identiteitsverificatie omvatten en welke daarvan wallet-gepresenteerde attestaties kunnen bevatten onder eIDAS 2.0
2. Beoordeel je technische stack: Bepaal of jouw huidige systemen mdoc-geformatteerde attestaties, CBOR-codering en de nabijheids- of online communicatieprotocollen van ISO 18013-5 en ISO/IEC TS 18013-7 aankunnen
3. Begrijp het vertrouwensmodel: Verificatie van een mDL omvat drie afzonderlijke controles: de handtekening van de uitgever valideren tegen de relevante nationale trusted list, de intrekkingsstatus controleren via statusinformatie van de uitgever, en de wallet unit attestation verifiëren om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
4. Registreer als relying party: Onder CIR (EU) 2025/848 van 6 mei 2025 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use worden de te bevragen attributen en attestaties vastgelegd; een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
5. Bestudeer het EUDI-wallet ARF: Het Architecture and Reference Framework beschrijft hoe ISO 18013-5 past binnen het bredere wallet-ecosysteem en wat relying parties geacht worden te ondersteunen. Het ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. Houd rekening met nieuwe revisies van het ARF, omdat technische details kunnen wijzigen.
6. Volg de tweede pilotgolf: De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en leverden praktische inzichten op over implementatie in de praktijk. De tweede pilotgolf startte in 2025 met onder andere WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen. Het volgen van hun resultaten helpt organisaties voorop te blijven lopen bij opkomende vereisten.

Organisaties dienen ook rekening te houden met de tijdlijn. De deadline voor walletuitgifte en publieke acceptatie ligt op 24 december 2026, terwijl de acceptatieplicht onder artikel 5f voor gereguleerde private partijen ingaat op 24 december 2027. Vroegtijdige betrokkenheid bij de standaard vermindert het risico op last-minute compliancedruk en stelt organisaties in staat vanaf het begin te profiteren van snellere, meer vertrouwde digitale interacties. Voor een breder overzicht van hoe deze transitie aan te pakken, kan het verkennen van TrustTech’s implementatieaanpak nuttige kaders bieden voor organisaties in verschillende fasen van gereedheid.

Hoe helpt TrustTech bij ISO 18013-5 en digitale identiteitsgereedheid

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die mdoc-attestaties op basis van ISO 18013-5 willen verifiëren, ondersteunt de ID Connector de volgende technische taken:

• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
• Controle van de intrekkingsstatus via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata over meerdere touchpoints, waardoor herhaalde verificatie wordt vermeden
• Ondersteuning van gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES tot stand komt bij de QTSP

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk onder de acceptatieverplichtingen van eIDAS 2.0 vallen of zich daarop voorbereiden. Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe jouw organisatie zich kan voorbereiden op ISO 18013-5 en de EUDI-wallet.