Het ARF (Architecture and Reference Framework) is de centrale technische blauwdruk voor het ecosysteem van de Europese Digitale Identiteitswallet onder eIDAS 2.0. Het legt vast hoe EUDI-wallets worden gebouwd, hoe ze communiceren met andere systemen en welke standaarden alle partijen in het ecosysteem moeten volgen. Het is het gemeenschappelijke technische kader dat interoperabiliteit tussen alle EU-lidstaten mogelijk maakt.
Voor organisaties die zich voorbereiden op het uitgeven van attestaties, het accepteren van op wallet gebaseerde verificatie of het bouwen van wallet-compatibele diensten, is begrip van het ARF geen bijzaak. Het ARF bepaalt de technische en compliance-beslissingen die bij EUDI-wallet-implementatie komen kijken. De onderstaande secties behandelen de belangrijkste vragen rondom het ARF en wat het in de praktijk betekent.
Wat definieert het ARF precies voor EUDI-wallet-implementaties?
Het ARF definieert de technische architectuur, gegevensformaten, protocollen en vertrouwensmechanismen die alle EUDI-wallet-implementaties moeten volgen. Het legt vast hoe wallets attestaties opslaan en presenteren, hoe relying parties deze verifiëren en hoe het gehele ecosysteem veiligheid en interoperabiliteit over grenzen en sectoren heen waarborgt.
Zonder het ARF zou elke lidstaat een wallet kunnen bouwen die perfect werkt binnen de eigen grenzen, maar niet kan communiceren met systemen in andere landen. Het ARF voorkomt die fragmentatie door een gemeenschappelijke technische basis te leggen.
In praktische zin omvat het ARF:
- De gegevensmodellen die worden gebruikt om identiteitsattributen en attestaties te representeren
- De communicatieprotocollen tussen wallets, uitgevers en relying parties
- Het vertrouwensmodel, inclusief hoe trusted lists en vertrouwensankers zijn gestructureerd
- Beveiligingsvereisten voor wallet-applicaties en backendsystemen
- Privacy-by-design-principes, inclusief selective disclosure en minimale gegevensdeling
- De rollen en verantwoordelijkheden van elke actor in het ecosysteem
Een van de kernconcepten die het ARF uitwerkt, is selective disclosure. Gebruikers kunnen alleen de specifieke attributen delen die een dienst nodig heeft, bijvoorbeeld bevestigen dat ze ouder zijn dan 18 zonder hun volledige geboortedatum te onthullen. Dit vereist specifieke technische mechanismen, zoals SD-JWT VC en mdoc, die het ARF in detail specificeert. Dit is een wezenlijk andere benadering dan hoe traditionele identiteitsdocumenten werken.
Wie publiceert en beheert het ARF?
Het ARF wordt gepubliceerd en beheerd door de Europese Commissie, in nauwe samenwerking met de eIDAS Expert Group. Het document wordt gezamenlijk ontwikkeld en beschikbaar gesteld als een open repository op GitHub, waar lidstaten, technische experts en andere belanghebbenden de ontwikkeling kunnen volgen en feedback kunnen bijdragen.
Dit open ontwikkelmodel is bewust gekozen. De Europese Commissie wilde dat het ARF de praktische technische expertise uit de hele EU weerspiegelt. De Large Scale Pilots, waarbij meer dan 350 entiteiten uit 26 lidstaten plus Noorwegen, IJsland en Oekraïne betrokken waren, voedden actief inzichten terug in het ARF terwijl ze de wallet in echte scenario’s testten.
De eIDAS Expert Group speelt een centrale coördinerende rol. Deze groep brengt vertegenwoordigers van lidstaten, technische instanties en de industrie samen om voorstellen te beoordelen, onduidelijkheden op te lossen en ervoor te zorgen dat het ARF technisch solide en praktisch implementeerbaar blijft. Updates doorlopen een gestructureerd beoordelingsproces voordat ze deel uitmaken van de gezaghebbende versie.
Wat zijn de kerncomponenten van het ARF?
Het ARF is opgebouwd rond verschillende kerncomponenten die samen het volledige EUDI-wallet-ecosysteem beschrijven. Deze componenten omvatten de wallet zelf, de partijen die ermee communiceren, de attestaties die het verwerkt en de vertrouwensinfrastructuur die alles ondersteunt.
De belangrijkste componenten zijn:
- De wallet instance — de applicatie zoals geïnstalleerd op het apparaat van een gebruiker, waarmee attestaties worden opgeslagen en identiteitsinteracties worden beheerd
- Wallet-aanbieders — de organisaties, doorgaans lidstaten of gecertificeerde aanbieders, die verantwoordelijk zijn voor het uitgeven en onderhouden van een wallet solution
- Attestatie-uitgevers — organisaties die verifieerbare attestaties in de wallet uitgeven, zoals overheidsinstanties die digitale rijbewijzen uitgeven of werkgevers die beroepskwalificaties attesteren
- Relying parties — organisaties die attestaties uit wallets opvragen en verifiëren om toegang tot diensten te verlenen
- Trusted lists — gezaghebbende lijsten volgens ETSI TS 119 612 die bevestigen welke uitgevers en relying parties gecertificeerd zijn om deel te nemen aan het ecosysteem
- De gemeenschappelijke toolbox — de gedeelde set technische specificaties, protocollen en referentie-implementaties waarop alle partijen voortbouwen
Elk component heeft gedefinieerde interfaces en verantwoordelijkheden. Het ARF specificeert hoe deze componenten met elkaar communiceren, welke standaarden van toepassing zijn op elke interface en aan welke beveiligingsvereisten elke partij moet voldoen. Dit detailniveau maakt het mogelijk dat een wallet uitgegeven in Finland naadloos werkt met een dienstverlener in Spanje.
Hoe verhoudt het ARF zich tot andere technische standaarden van eIDAS 2.0?
Het ARF staat bovenaan de hiërarchie van technische specificaties binnen het EUDI-wallet-ecosysteem. Het is het overkoepelende kader dat meer specifieke standaarden verwijst en coördineert. De juridisch bindende vereisten volgen uit Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen. Het ARF bevat de technische uitwerking daarvan.
Het ARF verwijst bijvoorbeeld naar ISO/IEC 18013-5 voor proximity-presentatie van mdoc en ISO/IEC TS 18013-7 voor online presentatie. Voor uitwisselingsprotocollen schrijft het ARF OID4VCI voor bij uitgifte en OID4VP bij presentatie. Voor interoperabiliteit is daarnaast het High Assurance Interoperability Profile (HAIP) relevant. Het ARF heeft deze standaarden niet uitgevonden, maar definieert hoe en waar ze van toepassing zijn binnen het EUDI-wallet-ecosysteem.
Deze relatie is belangrijk voor organisaties die wallet-compatibele systemen bouwen. Naleving van het ARF betekent naleving van een specifieke, samengestelde set onderliggende standaarden die op een bepaalde manier worden toegepast. Een standaard correct implementeren volstaat niet als de implementatie niet past binnen de bredere architectuur die het ARF definieert.
Welke organisaties moeten voldoen aan het ARF?
Elke organisatie die deelneemt aan het EUDI-wallet-ecosysteem moet voldoen aan het ARF. Dit omvat wallet-aanbieders, attestatie-uitgevers en relying parties. De reikwijdte is breed: financiële instellingen, zorgaanbieders, overheidsinstanties, onderwijsinstellingen en organisaties in andere gereguleerde sectoren die op wallet gebaseerde attestaties willen accepteren of uitgeven.
Onder eIDAS 2.0 zijn er twee onderscheiden verplichtingen. Uiterlijk op 24 december 2026 moet elke lidstaat minimaal één gecertificeerde EUDI-wallet beschikbaar hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt daarnaast een acceptatieplicht op grond van artikel 5f van Verordening (EU) 2024/1183 voor de relevante gereguleerde private sectoren, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De relevante private sectoren zijn onder meer banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Voor zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: de verplichting geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen, gedefinieerd als organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van de acceptatieplicht uitgezonderd.
Relying parties moeten zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging onder CIR (EU) 2025/848 van 6 mei 2025, voordat zij walletdata kunnen opvragen. Bij die registratie leggen zij per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie zelf.
Organisaties in gereguleerde sectoren staan onder de meest directe druk. Een bank die een EUDI-wallet wil gebruiken voor klantacceptatie moet zich registreren als relying party, voldoen aan de beveiligingsvereisten van het ARF en integreren met de relevante trusted lists. Een ziekenhuis dat digitale gezondheidsgegevens wil uitgeven, moet een gecertificeerde attestatie-uitgever worden onder hetzelfde kader. Voor organisaties in de financiële dienstverlening of de zorgsector bepalen deze verplichtingen al op korte termijn de technologische routekaarten.
Hoe verandert het ARF naarmate eIDAS 2.0 richting volledige implementatie beweegt?
Het ARF is een levend document dat evolueert naarmate eIDAS 2.0 van regelgeving naar volledige implementatie beweegt. Nieuwe versies worden uitgebracht naarmate technische beslissingen worden afgerond, pilotfeedback wordt verwerkt en uitvoeringshandelingen van de Europese Commissie meer detail toevoegen. Organisaties moeten het ARF behandelen als een doorlopende referentie.
De Large Scale Pilots zijn bijzonder belangrijk geweest in het aandrijven van ARF-updates. Wanneer pilots hiaten, onduidelijkheden of praktische uitdagingen in eerdere versies aan het licht brachten, werden die bevindingen verwerkt in revisies. De eerste vier pilotconsortia liepen van april 2023 tot 2025 en zijn afgerond: EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity; POTENTIAL op overheidsdiensten, bankrekening openen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten; NOBID op betalingen; en DC4EU op onderwijs en sociale zekerheid. Een tweede pilotgolf startte in 2025, met WE BUILD gericht op business wallets en betalingen, en APTITUDE op reizen, ticketing, voertuigregistratie en betalingen. Deze iteratieve aanpak heeft het ARF in de loop van de tijd concreter en implementatiegereder gemaakt.
Vooruitkijkend zal het ARF blijven evolueren naarmate de Commissie aanvullende uitvoeringshandelingen uitvaardigt en naarmate de eerste golf gecertificeerde wallets de markt betreedt. De kernarchitectuur blijft stabiel, maar het detailniveau rond specifieke gebruiksscenario’s, attestatietypen en beveiligingsvereisten blijft groeien. Op de hoogte blijven van ARF-releases is daarom een doorlopende verantwoordelijkheid voor elke organisatie die bouwt op het EUDI-wallet-ecosysteem.
Hoe de ID Connector van TrustTech aansluit op de ARF-vereisten
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die rechtstreeks voortvloeien uit de ARF-vereisten:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus via de statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata binnen onboardingflows, zonder dat gebruikers gegevens opnieuw hoeven aan te leveren
- Gekwalificeerd tekenen via een aangesloten qualified trust service provider
De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government, sectoren waar de verplichtingen onder artikel 5f en de registratieplicht onder CIR (EU) 2025/848 direct van toepassing zijn of worden.
Wil je weten hoe de ID Connector aansluit op jouw specifieke situatie, neem dan contact op met TrustTech.