De EUDI Wallet is gebaseerd op een reeks open, internationaal erkende technische standaarden om veilige, interoperabele en privacybeschermende identiteitsuitwisselingen door heel Europa te garanderen. De kernstandaarden zijn SD-JWT VC, ISO/IEC 18013-5 (mdoc), OpenID for Verifiable Credentials (OpenID4VC) en het Architecture and Reference Framework (ARF) dat door de Europese Commissie is gepubliceerd. Deze standaarden werken samen om te definiëren hoe identiteitsgegevens worden opgemaakt, opgevraagd en uitgewisseld tussen wallets, uitgevers en vertrouwende partijen. Dit artikel licht elke standaard toe, legt uit hoe ze zich tot elkaar verhouden en beschrijft wat organisaties moeten doen om zich voor te bereiden.

Welke technische standaarden gebruikt de EUDI Wallet precies?

De EUDI Wallet is gebouwd op een combinatie van standaarden voor credential-formaten, protocolstandaarden en een governancekader. De belangrijkste technische bouwstenen zijn SD-JWT VC (Selective Disclosure JWT Verifiable Credentials), ISO/IEC 18013-5 (het mdoc-formaat) en de OpenID4VC-protocolsuite. Deze worden samengebracht onder het Architecture and Reference Framework (ARF), dat fungeert als technische blauwdruk voor alle EUDI Wallet-implementaties.

Elke standaard speelt een eigen rol. Standaarden voor credential-formaten bepalen hoe identiteitsgegevens worden gestructureerd en gecodeerd. Protocolstandaarden bepalen hoe die gegevens worden opgevraagd en overgedragen. Het ARF verbindt alles door te specificeren welke standaarden verplicht zijn, hoe ze met elkaar samenhangen en wat conformiteit betekent in de context van eIDAS 2.0.

Het ARF wordt beheerd door de eIDAS Expert Group en bijgewerkt naarmate de verordening en de uitvoeringshandelingen zich ontwikkelen. Het verwijst naar een breed scala aan aangenomen uitvoeringsverordeningen van de Commissie, die alles omvatten van credential-formaten en wallet-certificering tot grensoverschrijdende identiteitsmatching en vereisten voor vertrouwensdiensten. Voor organisaties die zich voorbereiden op technische eIDAS 2.0-compliance is het ARF het primaire referentiedocument.

Wat is het verschil tussen SD-JWT en mdoc credential-formaten?

SD-JWT VC en mdoc zijn twee verschillende formaten voor het coderen van verifieerbare credentials, en de EUDI Wallet ondersteunt beide. Het belangrijkste verschil ligt in hun oorsprong en primaire toepassing: SD-JWT VC is een webnatief formaat gebaseerd op JSON- en JWT-standaarden, terwijl mdoc (mobile document) een ISO-standaard is die oorspronkelijk is ontworpen voor mobiele rijbewijzen en fysieke documenttoepassingen.

SD-JWT VC

SD-JWT VC staat voor Selective Disclosure JSON Web Token Verifiable Credential. Het bouwt voort op het veelgebruikte JWT-formaat en voegt selectieve openbaarmaking toe, wat betekent dat de houder alleen specifieke attributen uit een credential kan onthullen zonder de rest prijs te geven. Dit is bijzonder belangrijk voor privacy, omdat een gebruiker zijn leeftijd kan bewijzen zonder zijn volledige geboortedatum te delen, of zijn nationaliteit kan bevestigen zonder zijn thuisadres te onthullen. SD-JWT VC is goed geschikt voor online en app-gebaseerde interacties waar JSON en webprotocollen de norm zijn.

mdoc (ISO/IEC 18013-5)

Het mdoc-formaat is gedefinieerd door ISO/IEC 18013-5 en werd oorspronkelijk ontwikkeld voor mobiele rijbewijzen. Het gebruikt CBOR-codering (Concise Binary Object Representation) in plaats van JSON, waardoor het compacter en efficiënter is voor bepaalde omgevingen. mdoc ondersteunt ook selectieve openbaarmaking en is ontworpen met sterke beveiligingseigenschappen voor zowel nabijheids- (persoonlijke) als externe interacties. Vanwege zijn achtergrond in fysieke documenten is het goed geschikt voor toepassingen zoals grensoverschrijding, leeftijdsverificatie op een verkooppunt of het tonen van een digitaal rijbewijs aan een politieagent.

In de praktijk ondersteunt de EUDI Wallet beide formaten, omdat verschillende toepassingen om verschillende benaderingen vragen. Het ARF specificeert wanneer elk formaat van toepassing is en hoe vertrouwende partijen met beide moeten omgaan.

Hoe maakt OpenID4VC credential-uitwisseling in de wallet mogelijk?

OpenID4VC is een suite van protocollen die definieert hoe verifieerbare credentials worden uitgegeven aan en gepresenteerd vanuit een digitale identiteitswallet. Het bestaat uit twee hoofdcomponenten: OpenID for Verifiable Credential Issuance (OpenID4VCI), dat regelt hoe een wallet credentials ontvangt van een uitgever, en OpenID for Verifiable Presentations (OpenID4VP), dat regelt hoe een wallet credentials presenteert aan een vertrouwende partij.

OpenID4VCI stelt een uitgever, zoals een overheidsinstantie of een bank, in staat om een credential veilig in de wallet van de gebruiker te leveren. Het protocol verwerkt authenticatie, autorisatie en de daadwerkelijke overdracht van de credential op een gestandaardiseerde manier. Dit betekent dat elke wallet die OpenID4VCI ondersteunt, credentials kan ontvangen van elke uitgever die het ook ondersteunt, ongeacht wie elk systeem heeft gebouwd.

OpenID4VP verwerkt de presentatiekant. Wanneer een vertrouwende partij, zoals een onlinedienst of een fysieke kiosk, een attribuut moet verifiëren, stuurt deze een presentatieverzoek naar de wallet. De wallet reageert, met toestemming van de gebruiker, met de relevante credential-gegevens. OpenID4VP werkt met zowel SD-JWT VC- als mdoc-formaten, waardoor het een flexibele laag vormt die de credential-formaten verbindt met de praktische uitwisselingsscenario’s waarvoor de wallet is ontworpen.

Samen vormen OpenID4VCI en OpenID4VP de ruggengraat van hoe digitale identiteitsstandaarden door het EUDI-ecosysteem stromen. Ze zijn gebouwd op de beproefde OAuth 2.0- en OpenID Connect-fundamenten, wat betekent dat veel organisaties al enige bekendheid hebben met de onderliggende patronen.

Welke rol speelt ISO/IEC 18013-5 in het eIDAS 2.0-ecosysteem?

ISO/IEC 18013-5 definieert het mdoc credential-formaat en het bijbehorende gegevensmodel en de protocollen voor mobiele documenten. In het eIDAS 2.0-ecosysteem speelt het een centrale rol bij toepassingen die hoogwaardige, persoonlijke of nabijheidsgebaseerde identiteitsverificatie vereisen, evenals gereguleerde documenttypen zoals het mobiele rijbewijs (mDL).

De standaard is met name relevant voor door de overheid uitgegeven credentials. Omdat ISO/IEC 18013-5 is ontwikkeld via het ISO-standaardisatieproces met sterke inbreng van overheden en autoriteiten voor documentuitgifte, heeft het aanzienlijk gewicht in gereguleerde contexten. De ondersteuning van mdoc door de EUDI Wallet zorgt ervoor dat hoogwaardige credentials zoals nationale identiteitsdocumenten en rijbewijzen kunnen worden weergegeven in een formaat dat voldoet aan zowel EU-regelgevingsvereisten als internationale standaarden.

Voor organisaties in sectoren zoals financiële dienstverlening of overheidsdiensten is ISO/IEC 18013-5 van belang omdat het het vertrouwensmodel en de beveiligingsvereisten definieert voor de credentials die zij zullen ontvangen en verifiëren. Begrip van deze standaard is essentieel voor het bouwen van integraties voor vertrouwende partijen die door de overheid uitgegeven mdoc-credentials correct kunnen verwerken.

Zijn deze standaarden definitief, of worden ze nog verder ontwikkeld?

De standaarden die de EUDI Wallet ondersteunen, bevinden zich in verschillende stadia van volwassenheid en sommige worden nog steeds verfijnd. ISO/IEC 18013-5 is een gepubliceerde, stabiele ISO-standaard. De OpenID4VC-specificaties (OpenID4VCI en OpenID4VP) zijn volwassen concepten die een hoog niveau van stabiliteit hebben bereikt, maar worden nog steeds bijgewerkt via de werkgroepen van de OpenID Foundation. SD-JWT VC is eveneens stabiel, maar doorloopt nog het IETF-standaardisatieproces.

Het ARF zelf wordt regelmatig bijgewerkt door de Europese Commissie naarmate nieuwe uitvoeringsverordeningen worden aangenomen en feedback van de grootschalige pilotprojecten wordt verwerkt. Vanaf 2026 zijn de pilots afgerond en worden hun inzichten verwerkt in de definitieve technische specificaties. Dit betekent dat de algemene richting duidelijk en stabiel genoeg is voor organisaties om te beginnen met implementatie, maar dat specifieke details nog kunnen veranderen.

De praktische implicatie voor organisaties is de volgende: bouwen op de huidige ARF-versie is de juiste aanpak, maar het is even belangrijk om verbonden te blijven met updates van de Europese Commissie en de relevante standaardisatieorganisaties. De kernpatronen, zoals het gebruik van OpenID4VC voor credential-uitwisseling en ondersteuning van zowel SD-JWT- als mdoc-formaten, zullen waarschijnlijk niet fundamenteel veranderen. De gedetailleerde aspecten van profielen, conformiteitsvereisten en interoperabiliteitsspecificaties zijn waar updates het meest waarschijnlijk zullen plaatsvinden.

Hoe moeten organisaties zich voorbereiden op technische eIDAS 2.0-compliance?

Voorbereiden op technische eIDAS 2.0-compliance betekent begrijpen welke standaarden van toepassing zijn op uw rol in het ecosysteem — of u nu een wallet-uitgever, een credential-uitgever of een vertrouwende partij bent — en vervolgens uw systemen dienovereenkomstig bouwen of aanpassen. Hoe eerder u begint, hoe meer tijd u heeft om integraties te testen, hiaten aan te pakken en af te stemmen op evoluerende specificaties.

Hier is een praktische volgorde om te volgen:

1. Bepaal uw rol in het EUDI-ecosysteem. Geeft u credentials uit, accepteert u ze, of beide? Uw rol bepaalt welke standaarden en nalevingsvereisten direct op u van toepassing zijn.
2. Bekijk de huidige ARF-versie. Het Architecture and Reference Framework is de gezaghebbende bron voor technische vereisten. Zorg ervoor dat uw team werkt met de meest recente versie.
3. Beoordeel uw gereedheid voor credential-formaten. Bepaal of uw systemen SD-JWT VC, mdoc of beide moeten ondersteunen, en welke wijzigingen nodig zijn in uw gegevensmodellen en uitgiftepijplijnen.
4. Evalueer uw protocolondersteuning. Controleer of uw bestaande infrastructuur OpenID4VCI en OpenID4VP kan ondersteunen, of dat nieuwe componenten nodig zijn.
5. Volg de uitkomsten van de grootschalige pilots. De pilotprojecten hebben waardevolle praktijkfeedback gegenereerd over wat werkt en wat niet. Deze informatie is openbaar beschikbaar en kan aanzienlijk tijd besparen tijdens uw eigen implementatie.
6. Plan voor doorlopende updates. Bouw een proces om wijzigingen in het ARF en de uitvoeringsverordeningen te monitoren, zodat uw nalevingspositie actueel blijft.

Organisaties in de gezondheidszorg, financiële sector en andere gereguleerde sectoren moeten ook overwegen hoe verifieerbare credentials aansluiten op hun bestaande identiteitsverificatie- en nalevingsworkflows. Het doel is niet om alles opnieuw op te bouwen, maar om wat u al heeft uit te breiden op een manier die wallet-klaar en eIDAS 2.0-compliant is. Door vroegtijdig te verkennen hoe u deze overgang aanpakt, voorkomt u last-minute problemen.

Hoe helpt TrustTech met technische eIDAS 2.0-standaarden

Navigeren door het technische landschap van eIDAS 2.0 is complex, zeker wanneer standaarden nog evolueren en uw organisatie compliant moet blijven terwijl u klanten blijft bedienen. TrustTech is specifiek gebouwd om deze overgang te ondersteunen.

Dit is wat TrustTech te bieden heeft:

• eIDAS 2.0-klare infrastructuur die SD-JWT VC, mdoc, OpenID4VCI en OpenID4VP standaard ondersteunt
• Herbruikbare identiteits- en nalevingsworkflows die wallet-gebaseerde credentials verbinden met uw onboarding-, ondertekenings- en verificatieprocessen
• Sectorspecifieke expertise in financiën, overheid, gezondheidszorg en wetenschap, zodat de implementatie past bij uw regelgevende context
• Doorlopende afstemming met het ARF en de uitvoeringsverordeningen van de Commissie, zodat u actueel blijft zonder elke update zelf te hoeven volgen
• Snelle time-to-production, met een bewezen staat van dienst om organisaties binnen vijf maanden live te krijgen

Of u nu net begint met het in kaart brengen van uw technische vereisten of al diep in de implementatie zit, TrustTech kan u helpen met vertrouwen vooruit te gaan. Neem contact op met TrustTech om uw technische eIDAS 2.0-gereedheid te bespreken en te ontdekken hoe we uw volgende stappen kunnen ondersteunen.