Welke technische standaarden ondersteunen de eIDAS 2.0-wallet?

De EUDI-wallet is gebaseerd op een reeks open, internationaal erkende technische standaarden om veilige, interoperabele en privacybeschermende identiteitsuitwisselingen door heel Europa te garanderen. De kern wordt gevormd door SD-JWT VC, ISO/IEC 18013-5 (mdoc), de OID4VC-protocolsuite en het Architecture and Reference Framework (ARF) dat door de Europese Commissie wordt beheerd. Deze standaarden werken samen om te definiëren hoe identiteitsgegevens worden opgemaakt, opgevraagd en uitgewisseld tussen wallets, uitgevers en relying parties. Dit artikel licht elke standaard toe, legt uit hoe ze zich tot elkaar verhouden en beschrijft wat organisaties moeten doen om zich voor te bereiden.

Welke technische standaarden gebruikt de EUDI-wallet precies?

De EUDI-wallet is gebouwd op een combinatie van standaarden voor attestatieformaten, uitwisselingsprotocollen en een governancekader. De belangrijkste technische bouwstenen zijn SD-JWT VC (Selective Disclosure JWT Verifiable Credential), ISO/IEC 18013-5 (het mdoc-formaat) en de OID4VC-protocolsuite. Deze worden samengebracht onder het Architecture and Reference Framework (ARF), dat fungeert als technische blauwdruk voor alle EUDI-wallet-implementaties.

Elke standaard speelt een eigen rol. Attestatieformaten bepalen hoe identiteitsgegevens worden gestructureerd en gecodeerd. Protocolstandaarden bepalen hoe die gegevens worden opgevraagd en overgedragen. Het ARF verbindt alles door te specificeren welke standaarden verplicht zijn, hoe ze met elkaar samenhangen en wat conformiteit betekent in de context van Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt.

Het ARF wordt beheerd door de eIDAS Expert Group en bijgewerkt naarmate de verordening en de uitvoeringshandelingen zich ontwikkelen. Het ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. Het ARF verwijst naar een breed scala aan aangenomen uitvoeringshandelingen van de Commissie, die alles omvatten van attestatieformaten en wallet-certificering tot grensoverschrijdende identiteitsmatching en vereisten voor trust services. Voor organisaties die zich voorbereiden op technische eIDAS 2.0-compliance is het ARF het primaire referentiedocument, maar de juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen zelf. Controleer vóór gebruik altijd welke ARF-versie als referentie geldt.

Wat is het verschil tussen SD-JWT VC en mdoc als attestatieformaat?

SD-JWT VC en mdoc zijn twee verschillende formaten voor het coderen van attestaties, en de EUDI-wallet ondersteunt beide. Het belangrijkste verschil ligt in hun oorsprong en primaire toepassing: SD-JWT VC is een webnatief formaat gebaseerd op JSON- en JWT-standaarden, terwijl mdoc (mobile document) een ISO-standaard is die oorspronkelijk is ontworpen voor mobiele rijbewijzen en fysieke documenttoepassingen.

SD-JWT VC

SD-JWT VC staat voor Selective Disclosure JSON Web Token Verifiable Credential. Het bouwt voort op het veelgebruikte JWT-formaat en voegt selective disclosure toe, wat betekent dat de houder alleen specifieke attributen uit een attestatie kan onthullen zonder de rest prijs te geven. Dit is bijzonder relevant voor privacy: een gebruiker kan zijn leeftijd bewijzen zonder zijn volledige geboortedatum te delen, of zijn nationaliteit bevestigen zonder zijn thuisadres te onthullen. SD-JWT VC is goed geschikt voor online en app-gebaseerde interacties waar JSON en webprotocollen de norm zijn.

mdoc (ISO/IEC 18013-5 en ISO/IEC TS 18013-7)

Het mdoc-formaat is gedefinieerd door ISO/IEC 18013-5 en werd oorspronkelijk ontwikkeld voor mobiele rijbewijzen. Het gebruikt CBOR-codering (Concise Binary Object Representation) in plaats van JSON, waardoor het compacter en efficiënter is voor bepaalde omgevingen. mdoc ondersteunt ook selective disclosure en is ontworpen met sterke beveiligingseigenschappen voor zowel nabijheidsinteracties (proximity-presentatie via ISO/IEC 18013-5) als online presentatie (via ISO/IEC TS 18013-7). Vanwege zijn achtergrond in fysieke documenten is het goed geschikt voor toepassingen zoals leeftijdsverificatie op een verkooppunt of het tonen van een digitaal rijbewijs.

In de praktijk ondersteunt de EUDI-wallet beide formaten, omdat verschillende toepassingen om verschillende benaderingen vragen. Het ARF specificeert wanneer elk formaat van toepassing is en hoe relying parties met beide moeten omgaan. W3C Verifiable Credentials zijn geen door het ARF voorgeschreven EUDI-walletformaat: het ARF schrijft mdoc en SD-JWT VC voor.

Hoe maakt OID4VC attestatie-uitwisseling in de wallet mogelijk?

OID4VC is een suite van protocollen die definieert hoe attestaties worden uitgegeven aan en gepresenteerd vanuit een digitale identiteitswallet. Het bestaat uit twee hoofdcomponenten: OID4VCI (OpenID for Verifiable Credential Issuance), dat regelt hoe een wallet attestaties ontvangt van een uitgever, en OID4VP (OpenID for Verifiable Presentations), dat regelt hoe een wallet attestaties presenteert aan een relying party.

OID4VCI stelt een uitgever, zoals een overheidsinstantie of een bank, in staat om een attestatie veilig in de wallet van de gebruiker te leveren. Het protocol verwerkt authenticatie, autorisatie en de daadwerkelijke overdracht van de attestatie op een gestandaardiseerde manier. Dit betekent dat elke wallet die OID4VCI ondersteunt, attestaties kan ontvangen van elke uitgever die het ook ondersteunt, ongeacht wie elk systeem heeft gebouwd.

OID4VP verwerkt de presentatiekant. Wanneer een relying party, zoals een onlinedienst of een fysieke kiosk, een attribuut moet verifiëren, stuurt deze een presentatieverzoek naar de wallet. De wallet reageert, met goedkeuring van de gebruiker, met de relevante attestatiegegevens. OID4VP werkt met zowel SD-JWT VC- als mdoc-formaten, waardoor het een flexibele laag vormt die de attestatieformaten verbindt met de praktische uitwisselingsscenario’s waarvoor de wallet is ontworpen.

Samen vormen OID4VCI en OID4VP de ruggengraat van hoe attestaties door het EUDI-ecosysteem stromen. Ze zijn gebouwd op de OAuth 2.0- en OpenID Connect-fundamenten, wat betekent dat veel organisaties al enige bekendheid hebben met de onderliggende patronen. Voor implementaties waarbij hoge zekerheid vereist is, is het High Assurance Interoperability Profile (HAIP) relevant: dit profiel legt aanvullende eisen vast bovenop de basisprotocollen om interoperabiliteit op hoog betrouwbaarheidsniveau te borgen.

Welke rol speelt ISO/IEC 18013-5 in het eIDAS 2.0-ecosysteem?

ISO/IEC 18013-5 definieert het mdoc-formaat en het bijbehorende gegevensmodel en de protocollen voor proximity-presentatie van mobiele documenten. In het eIDAS 2.0-ecosysteem speelt het een centrale rol bij toepassingen die hoogwaardige, persoonlijke of nabijheidsgebaseerde identiteitsverificatie vereisen, evenals gereguleerde documenttypen zoals het mobiele rijbewijs (mDL).

De standaard is met name relevant voor door de overheid uitgegeven attestaties. Omdat ISO/IEC 18013-5 is ontwikkeld via het ISO-standaardisatieproces met sterke inbreng van overheden en autoriteiten voor documentuitgifte, heeft het aanzienlijk gewicht in gereguleerde contexten. De ondersteuning van mdoc door de EUDI-wallet zorgt ervoor dat hoogwaardige attestaties, zoals een Person Identification Data (PID) of een mobiel rijbewijs, kunnen worden weergegeven in een formaat dat voldoet aan zowel EU-regelgevingsvereisten als internationale standaarden.

Bij attestaties is het van belang onderscheid te maken tussen de verschillende categorieën: QEAA (Qualified Electronic Attestation of Attributes), PuB-EAA (Public Body Electronic Attestation of Attributes) en non-qualified EAA. PuB-EAA valt niet onder de categorie non-qualified EAA, maar vormt een eigen categorie voor attestaties uitgegeven door of namens overheidsinstanties. Dit onderscheid is relevant voor relying parties in sectoren zoals financiële dienstverlening of overheidsdiensten, omdat het betrouwbaarheidsniveau en de juridische status van een ontvangen attestatie mede afhangen van deze categorie.

Voor relying parties die mdoc-attestaties willen verifiëren, gaat verificatie verder dan het controleren van de cryptografische handtekening. Een volledige verificatie omvat drie afzonderlijke stappen: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list (conform ETSI TS 119 612 en de EU List of Trusted Lists), controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste stap kan volledig offline plaatsvinden.

Zijn deze standaarden definitief, of worden ze nog verder ontwikkeld?

De standaarden die de EUDI-wallet ondersteunen, bevinden zich in verschillende stadia van volwassenheid. ISO/IEC 18013-5 is een gepubliceerde, stabiele ISO-standaard. De OID4VC-specificaties (OID4VCI en OID4VP) zijn volwassen concepten die een hoog niveau van stabiliteit hebben bereikt, maar worden nog bijgewerkt via de werkgroepen van de OpenID Foundation. SD-JWT VC doorloopt nog het IETF-standaardisatieproces, maar is in de praktijk voldoende stabiel om op te bouwen.

Het ARF zelf wordt regelmatig bijgewerkt door de Europese Commissie naarmate nieuwe uitvoeringshandelingen worden aangenomen en feedback van de grootschalige pilots wordt verwerkt. De vier oorspronkelijke Large Scale Pilots, EWC, POTENTIAL, NOBID en DC4EU, liepen van april 2023 tot 2025 en hebben waardevolle praktijkinzichten opgeleverd die zijn verwerkt in de definitieve technische specificaties. Een tweede pilotgolf startte in 2025 met onder andere WE BUILD en APTITUDE. De algemene richting is daarmee duidelijk en stabiel genoeg voor organisaties om te beginnen met implementatie, maar specifieke details in profielen, conformiteitsvereisten en interoperabiliteitsspecificaties kunnen nog veranderen. Controleer daarom altijd welke ARF-versie je als referentie gebruikt.

De kernpatronen, het gebruik van OID4VC voor attestatie-uitwisseling en ondersteuning van zowel SD-JWT VC als mdoc, zullen naar verwachting niet fundamenteel veranderen. De gedetailleerde aspecten van profielen en conformiteitsvereisten zijn waar updates het meest waarschijnlijk plaatsvinden.

Hoe moeten organisaties zich voorbereiden op technische eIDAS 2.0-compliance?

Voorbereiden op technische eIDAS 2.0-compliance betekent begrijpen welke standaarden van toepassing zijn op jouw rol in het ecosysteem, of je nu een wallet-uitgever, een attestatie-uitgever of een relying party bent, en vervolgens jouw systemen dienovereenkomstig bouwen of aanpassen. Hoe eerder je begint, hoe meer tijd je hebt om integraties te testen, hiaten aan te pakken en af te stemmen op evoluerende specificaties.

Relevant voor de planning zijn de volgende data. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt de acceptatieplicht onder artikel 5f van Verordening (EU) 2024/1183 voor relevante gereguleerde private sectoren, waaronder banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten de verplichting.

Elke relying party die walletdata wil opvragen, moet zich daarnaast registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.

Hier is een praktische volgorde om te volgen:

1. Bepaal jouw rol in het EUDI-ecosysteem. Geef je attestaties uit, accepteer je ze, of beide? Jouw rol bepaalt welke standaarden en nalevingsvereisten direct op jou van toepassing zijn.
2. Bekijk de huidige ARF-versie. Het Architecture and Reference Framework is de gezaghebbende technische bron. Zorg ervoor dat jouw team werkt met de meest recente versie en houd nieuwe revisies bij.
3. Beoordeel jouw gereedheid voor attestatieformaten. Bepaal of jouw systemen SD-JWT VC, mdoc of beide moeten ondersteunen, en welke wijzigingen nodig zijn in jouw gegevensmodellen en uitgiftepijplijnen.
4. Evalueer jouw protocolondersteuning. Controleer of jouw bestaande infrastructuur OID4VCI en OID4VP kan ondersteunen, of dat nieuwe componenten nodig zijn. Beoordeel ook of het HAIP van toepassing is op jouw use case.
5. Volg de uitkomsten van de grootschalige pilots. De afgeronde pilotprojecten hebben praktijkfeedback gegenereerd over wat werkt en wat niet. Deze informatie is openbaar beschikbaar en kan tijd besparen tijdens jouw eigen implementatie.
6. Plan voor doorlopende updates. Bouw een proces om wijzigingen in het ARF en de uitvoeringshandelingen te monitoren, zodat jouw nalevingspositie actueel blijft.

Organisaties in de gezondheidszorg, financiële sector en andere gereguleerde sectoren moeten ook beoordelen hoe attestaties aansluiten op hun bestaande identiteitsverificatie- en nalevingsworkflows. Het doel is om bestaande systemen uit te breiden op een manier die wallet-klaar en eIDAS 2.0-compliant is. Door vroegtijdig te verkennen hoe je deze overgang aanpakt, voorkom je last-minute problemen.

Hoe ondersteunt de ID Connector technische eIDAS 2.0-integratie

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

De ID Connector ondersteunt concreet de volgende technische taken die direct aansluiten op de standaarden in dit artikel:

• Verificatie tegen nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists, zodat de handtekening van de uitgever correct wordt gevalideerd
• Controle van de intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
• Ondersteuning van SD-JWT VC, mdoc, OID4VCI en OID4VP als standaard onderdeel van de integratie
• Hergebruik van geverifieerde identiteitsdata in onboarding-, ondertekenings- en verificatieprocessen
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt via de gekwalificeerde trust service provider

De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar zowel de publieke acceptatieplicht per 24 december 2026 als de private verplichting per 24 december 2027 directe gevolgen heeft voor de inrichting van identiteitsverificatieprocessen.

Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw technische vereisten en tijdlijn.