Wat is de eIDAS 2.0 regelgevingstijdlijn voor lidstaten?

De eIDAS 2.0-regelgevingstijdlijn stelt een reeks gefaseerde deadlines vast die EU-lidstaten tussen 2024 en 2027 moeten halen, waarbij de belangrijkste mijlpaal de verplichting is om de EUDI-wallet uiterlijk op 24 december 2026 beschikbaar te stellen aan alle burgers, inwoners en bedrijven. Deze deadlines gelden voor alle 27 EU-lidstaten, hoewel het tempo van uitvoering in de praktijk verschilt. De onderstaande secties leggen uit wat elke deadline juridisch betekent, wie erdoor wordt geraakt en wat organisaties nu al moeten doen om op tijd klaar te zijn.

Wat zijn de belangrijkste eIDAS 2.0-implementatiedeadlines voor lidstaten?

Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, trad op 20 mei 2024 in werking. Vanaf dat moment werken lidstaten tegen een gestructureerde reeks deadlines. De meest besproken is 24 december 2026: uiterlijk op die datum moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel beschikbaar stellen aan iedere burger, inwoner of onderneming die dat wil. Naast de walletuitgifte hebben lidstaten ook verplichtingen rond de notificatie van elektronische identificatiestelsels, de vaststelling van uitvoeringshandelingen en het waarborgen van grensoverschrijdende interoperabiliteit.

Hieronder volgt een overzicht van de belangrijkste mijlpalen in de eIDAS 2.0-tijdlijn:

• 20 mei 2024: Verordening (EU) 2024/1183 trad officieel in werking na publicatie in het Publicatieblad van de EU.
• Eind 2024: De Europese Commissie nam de eerste vijf kernuitvoeringshandelingen aan, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen startten de relevante 24-maandentermijn voor walletuitgifte.
• 6 mei 2025: CIR (EU) 2025/848 over de registratie van wallet-relying parties trad in werking. Relying parties moeten zich op grond van deze verordening registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij walletdata kunnen opvragen.
• 2025: Een tweede golf uitvoeringshandelingen werd gepubliceerd, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners (QTSP’s). De vier grootschalige pilots, gestart in april 2023 en afgerond in 2025, omvatten meer dan 350 entiteiten uit 26 lidstaten. Hun bevindingen hebben rechtstreeks bijgedragen aan de technische specificaties en het Architecture and Reference Framework (ARF) dat ten grondslag ligt aan de EUDI-wallet.
• 24 december 2026: Lidstaten moeten de EUDI-wallet beschikbaar stellen aan alle in aanmerking komende gebruikers. Publieke instanties moeten genotificeerde EUDI-wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit is de centrale deadline voor walletuitgifte en publieke acceptatie. Voor gereguleerde private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen en acceptatie vóór de eigen deadline kan worden getest. Het is van belang te vermelden dat 24 december 2026 de deadline is voor notificatie en uitgifte, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.
• Juli 2027: De Anti-Money Laundering Regulation (AMLR) wordt van toepassing. Dit is een afzonderlijk traject naast de acceptatieplicht uit eIDAS 2.0 zelf, maar stuurt ook aan op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten.
• 24 december 2027: De acceptatieplicht voor gereguleerde private partijen gaat in op grond van artikel 5f van de verordening. Dit geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De relevante sectoren zijn onder meer banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn van de private acceptatieplicht uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

De uitvoeringshandelingen omvatten een breed scala aan technische en procedurele vereisten, van gekwalificeerde elektronische handtekeningen tot grensoverschrijdende identiteitsmatching. Lidstaten en organisaties die actief zijn in gereguleerde sectoren moeten niet alleen de walletdeadline bijhouden, maar ook de volledige reeks verplichtingen die voortvloeien uit de verordening en de bijbehorende uitvoeringshandelingen.

Welke eIDAS 2.0-verplichtingen gelden het eerst en welke komen later?

De vroegste verplichtingen onder Verordening (EU) 2024/1183 waren gericht op governance en technische voorbereiding. In de periode direct na het in werking treden van de verordening moesten lidstaten deelnemen aan de ontwikkeling van het ARF, samenwerken met de European Digital Identity Cooperation Group (EDICG) en beginnen met het afstemmen van hun nationale elektronische identificatiestelsels op de nieuwe vereisten. Deze stappen moesten plaatsvinden voordat een wallet kon worden uitgegeven.

De verplichtingen die later komen zijn zichtbaarder voor eindgebruikers en organisaties. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt artikel 5f voor de relevante gereguleerde private sectoren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is, en voor VLOP’s op de in dat artikel omschreven voorwaarden. Micro- en kleine ondernemingen zijn van de private acceptatieplicht uitgezonderd.

Daarnaast geldt al vanaf 6 mei 2025 de registratieplicht voor relying parties op grond van CIR (EU) 2025/848. Een relying party moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij walletdata kan opvragen. Bij de registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Het is ook van belang te vermelden dat een leverancier die walletdata technisch namens een klant verwerkt, daardoor niet automatisch zelf relying party wordt: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

De periode tussen nu en de volledige uitrol van de verplichtingen voor gereguleerde private partijen is het juiste moment om technische gereedheid te beoordelen, nalevingskaders bij te werken en wallet-gebaseerde interacties in een gecontroleerde omgeving te testen.

Wat gebeurt er als een lidstaat een eIDAS 2.0-deadline mist?

Als een lidstaat een deadline onder Verordening (EU) 2024/1183 niet haalt, kan de Europese Commissie een inbreukprocedure starten op grond van het EU-recht. Dit is het standaard handhavingsmechanisme voor EU-verordeningen en kan uiteindelijk resulteren in financiële sancties opgelegd door het Hof van Justitie van de Europese Unie. Naast de juridische gevolgen zou een lidstaat die de walletdeadline van 24 december 2026 mist ook praktische problemen ondervinden: zijn burgers en bedrijven zouden geen toegang hebben tot een instrument dat andere EU-lidstaten al inzetten voor grensoverschrijdende diensten.

In de praktijk heeft de Commissie een voorkeur getoond voor gestructureerde samenwerking boven directe handhaving, met name wanneer technische complexiteit de oorzaak van vertraging is. De grootschalige pilots waren er juist op gericht het risico te verkleinen dat lidstaten onvoorbereid de deadline bereiken. De politieke en reputatiedruk om op tijd te leveren is echter aanzienlijk, en 24 december 2026 is consequent bevestigd als een vaste doelstelling.

Voor organisaties die actief zijn in meerdere EU-markten elimineert een vertraging van een lidstaat de eigen voorbereidingsverplichting niet. Als jouw organisatie EUDI-wallets moet accepteren of erop moet vertrouwen als onderdeel van jouw digitale diensten, kan jouw interne gereedheid niet wachten totdat de traagste lidstaat heeft bijgetrokken.

Hoe beïnvloedt de eIDAS 2.0-tijdlijn organisaties die afhankelijk zijn van digitale identiteitsdiensten?

De deadlines onder Verordening (EU) 2024/1183 zijn niet alleen een overheidszaak. Organisaties die digitale identiteitsverificatie gebruiken als onderdeel van hun diensten, of het nu gaat om onboarding, authenticatie, contractondertekening of naleving van regelgeving, moeten de relevante deadlines als hun eigen deadlines beschouwen. Zodra de EUDI-wallet actief is, zullen gebruikers verwachten deze te kunnen gebruiken. Gereguleerde private partijen die geen wallet-gebaseerde attestaties kunnen accepteren op het moment dat de acceptatieplicht ingaat, lopen het risico op wrijving, afhakers en mogelijke niet-naleving van sectorspecifieke vereisten.

De praktische gevolgen verschillen per sector. Financiële dienstverleners staan onder directe druk, gezien de samenhang van eIDAS 2.0 met AML-, KYC- en Strong Customer Authentication-vereisten. Het nieuwe AML-raamwerk stuurt richting juli 2027 ook aan op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. Dit is een afzonderlijk traject naast de acceptatieplicht uit artikel 5f van de verordening. Zorg- en farmaceutische organisaties moeten zich voorbereiden op wallet-gebaseerde toestemmings- en identiteitsverificatieprocessen, waarbij voor gezondheidsgegevens ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist is naast de eigen AVG-grondslag van de relying party voor gegevensverwerking. Publieke dienstverleners hebben zowel een mandaat om wallet-compatibele diensten aan te bieden als een kans om de kosten en wrijving van identiteitsintensieve processen te verminderen.

Organisaties moeten zichzelf nu drie vragen stellen. Ten eerste: welke van jouw huidige identiteitsprocessen worden beïnvloed wanneer gebruikers EUDI-wallets gaan presenteren? Ten tweede: zijn jouw systemen technisch in staat om walletattestaties te verifiëren, waarbij naast de handtekening van de uitgever ook de intrekkingsstatus en de wallet unit attestation worden gecontroleerd? Ten derde: weerspiegelen jouw nalevingskaders de nieuwe verplichtingen die de verordening oplegt aan relying parties, inclusief de registratieplicht onder CIR (EU) 2025/848? De antwoorden op deze vragen zullen jouw uitvoeringsroadmap voor de komende twaalf tot achttien maanden vormgeven.

Volgen alle EU-lidstaten hetzelfde eIDAS 2.0-schema?

In juridische zin wel. Verordening (EU) 2024/1183 is rechtstreeks van toepassing op alle 27 EU-lidstaten en de walletdeadline van 24 december 2026 is een gedeelde verplichting. In praktische zin bevinden lidstaten zich echter in zeer verschillende stadia van gereedheid. Sommige landen werken al aan wallet-compatibele infrastructuur. Andere landen werken nog steeds aan de technische en governance-stappen die nodig zijn om de deadline te halen. Actuele informatie over de stand van nationale uitvoering veroudert snel en moet vlak voor publicatie worden gecontroleerd.

Deze variatie is van belang voor organisaties die grensoverschrijdend actief zijn. Als je klanten bedient in meerdere EU-landen, kun je niet uitgaan van een uniforme uitrol. Sommige gebruikers zullen eerder toegang hebben tot een functionerende EUDI-wallet dan anderen, en de kenmerken van nationale wallet-implementaties kunnen aanvankelijk verschillen. De interoperabiliteitsvereisten die in de verordening zijn ingebouwd, zijn bedoeld om dit in de loop van de tijd aan te pakken, maar de overgangsperiode vereist flexibiliteit in de systemen van relying parties.

Noorwegen, IJsland en Oekraïne namen ook deel aan de grootschalige pilots, wat de bredere relevantie van het EUDI-wallet-kader buiten de strikte EU-lidmaatschapsgrens weerspiegelt. Organisaties met activiteiten in deze landen moeten in de gaten houden hoe het kader daar wordt overgenomen, aangezien afstemming op EU-normen waarschijnlijk is, ook buiten het formele regelgevende toepassingsgebied.

De aanpak van digitale identiteitsgereedheid moet daarom rekening houden met deze geografische variatie. Systemen bouwen die in principe wallet-klaar zijn, in plaats van geoptimaliseerd voor één nationale implementatie, is de meest veerkrachtige strategie voor organisaties met grensoverschrijdende activiteiten.

Hoe ondersteunt de ID Connector van TrustTech organisaties bij de eIDAS 2.0-tijdlijn

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

1. Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
2. Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om te controleren of een attestatie nog geldig is op het moment van presentatie.
3. Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution, een controle die niet kan worden gereduceerd tot alleen handtekeningcontrole.
4. Bewaking van de geregistreerde attributenscope: De ID Connector houdt bij welke attributen en attestaties zijn geregistreerd onder CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd.
5. Hergebruik van geverifieerde identiteitsdata: Geverifieerde identiteitsgegevens kunnen veilig worden hergebruikt binnen de grenzen van de geregistreerde intended use, wat wrijving voor gebruikers vermindert en herhaalde verificatie voorkomt.
6. Gekwalificeerd tekenen via een aangesloten QTSP: Voor use cases waarbij een gekwalificeerde elektronische handtekening vereist is, verbindt de ID Connector met een aangesloten QTSP. TrustTech geeft zelf geen QES uit: een QES komt via een gekwalificeerde vertrouwensdienstverlener tot stand.

De ID Connector is relevant voor financiële dienstverleners die wallet-gebaseerde identificatie moeten integreren in hun KYC- en authenticatieprocessen, voor zorg- en farmaceutische organisaties die toestemmings- en identiteitsverificatieprocessen wallet-klaar moeten maken, en voor overheidsdienstverleners die vanaf 24 december 2026 genotificeerde EUDI-wallets moeten accepteren.

De deadline van 24 december 2026 nadert snel, en organisaties die nu handelen zullen beter gepositioneerd zijn dan degenen die wachten. Als je wilt begrijpen wat de eIDAS 2.0-tijdlijn betekent voor jouw organisatie specifiek, neem contact op met TrustTech en start vandaag nog het gesprek.