Hoe beïnvloedt eIDAS 2.0 de bankensector?

Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en in de praktijk eIDAS 2.0 wordt genoemd, heeft aanzienlijke gevolgen voor de bancaire sector door de invoering van sterkere, gestandaardiseerde digitale identiteitsvereisten die banken zowel moeten accepteren als integreren in hun dienstverlening. De verordening verplicht financiële instellingen in de hele EU om de Europese Digitale Identiteitswallet (EUDI-wallet) te erkennen voor identiteitsverificatie. Dit verandert fundamenteel hoe banken omgaan met onboarding, authenticatie en compliance. Hieronder beantwoorden we de belangrijkste vragen die banken op dit moment stellen.

Welke veranderingen brengt eIDAS 2.0 voor identiteitsverificatie in het bankwezen?

eIDAS 2.0 stelt één EU-brede standaard vast voor digitale identiteitsverificatie die de gefragmenteerde nationale benaderingen aanvult en overstijgt. Banken moeten geverifieerde identiteitsgegevens uit EUDI-wallets accepteren, wat betekent dat de identiteit die een klant al heeft vastgesteld bij de overheid of een andere vertrouwde aanbieder, geldig wordt over grenzen en diensten heen.
Onder de oorspronkelijke eIDAS-verordening waren EU-lidstaten verplicht elkaars aangemelde elektronische ID-stelsels te erkennen, maar er bestond geen verplichting om een nationaal eID te creëren of dit interoperabel te maken met diensten in de private sector. eIDAS 2.0 sluit die kloof door het kader uit te breiden naar de private sector en een op wallet gebaseerd model te introduceren dat geverifieerde, cryptografisch beveiligde identiteitsgegevens rechtstreeks in handen van gebruikers legt.
Voor banken betekent dit dat identiteitsverificatie niet langer uitsluitend kan steunen op eigen processen of lokaal geaccepteerde documenten. De standaard voor wat als een geverifieerde identiteit telt, wordt EU-breed. Dat is zowel een technische verschuiving als een compliance-verplichting. Banken die actief zijn op meerdere Europese markten zullen profiteren van deze harmonisatie, omdat één integratie met het EUDI-wallet-ecosysteem meerdere landspecifieke identiteitsverificatiestromen kan vervangen.

Hoe beïnvloedt de EUDI-wallet KYC- en onboardingprocessen?

De EUDI-wallet heeft het potentieel om KYC en klantonboarding aanzienlijk sneller en minder repetitief te maken. In plaats van een nieuwe klant te vragen documenten te uploaden, selfies in te sturen en te wachten op handmatige beoordeling, kan een bank geverifieerde identiteitsattributen rechtstreeks opvragen uit de wallet van de klant via het OID4VP-protocol. De gegevens zijn al geverifieerd op een hoog betrouwbaarheidsniveau, wat betekent dat de bank erop kan vertrouwen zonder het volledige verificatieproces opnieuw te doorlopen.
Dit is een van de meest praktische verschuivingen die eIDAS 2.0 naar financiële dienstverlening brengt. Klanten doorlopen vandaag de dag vaak dezelfde identiteitscontroles meerdere keren: eenmaal bij hun bank, opnieuw bij hun verzekeraar, en opnieuw bij een andere financiële aanbieder. De EUDI-wallet introduceert het concept van herbruikbare identiteit: een klant keurt eenmalig een presentatie goed, en die geverifieerde identiteit kan met expliciete goedkeuring worden hergebruikt bij verschillende diensten.
Voor onboarding specifiek verwijdert dit een belangrijke bron van wrijving. Langdurige identiteitscontroles zijn een van de belangrijkste oorzaken van onboarding-uitval. Wanneer een klant in korte tijd geverifieerde attributen uit zijn wallet kan delen, verbeteren de conversieratio’s en verkort de tijd tot vertrouwen aanzienlijk. Tegelijkertijd behouden banken volledige controleerbaarheid, omdat elke gegevensdeling op goedkeuring is gebaseerd en wordt geregistreerd.
Belangrijk: KYC- en Anti-Money Laundering (AML)-verplichtingen blijven onverkort van kracht. De EUDI-wallet vervangt geen compliance-vereisten. Wat het doet, is een hogere kwaliteit en betrouwbaardere gegevensbron bieden om aan die vereisten efficiënter te voldoen. Banken moeten nog steeds risico’s beoordelen, due diligence toepassen en administratie bijhouden. Hergebruik van KYC-gegevens wordt bovendien mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. De wallet maakt de identiteitsverificatiestap van dat proces betrouwbaarder en minder belastend voor zowel de bank als de klant, maar vervangt het compliance-oordeel zelf niet.

Welke bankdiensten moeten de EUDI-wallet accepteren onder eIDAS 2.0?

Artikel 5f van Verordening (EU) 2024/1183 verplicht relevante gereguleerde private partijen om de EUDI-wallet te accepteren voor diensten waarvoor sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor banken en financiële instellingen geldt deze acceptatieplicht vanaf 24 december 2027. Diensten zoals het openen van een bankrekening, toegang tot online bankieren en het initiëren van bepaalde betalingsstromen vallen binnen de reikwijdte van deze verplichting, voor zover sterke gebruikersauthenticatie daarvoor vereist is.
De uitzondering voor micro- en kleine ondernemingen is hierbij relevant: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de acceptatieplicht uitgezonderd op grond van de toepasselijke criteria.
De vier Large Scale Pilots die van april 2023 tot 2025 liepen, testten verschillende bankspecifieke wallet-gebruiksscenario’s. Het online openen van een bankrekening werd door het POTENTIAL-consortium getest als een van de prioritaire gebruiksscenario’s, waarbij de wallet identiteitsverificatie mogelijk maakte zonder dat de klant herhaaldelijk persoonlijke informatie hoefde te verstrekken. Het NOBID-consortium testte specifiek de inzet van EUDI-wallets voor het autoriseren van betalingen, met deelnemers uit de Scandinavische landen, de Baltische staten, Italië en Duitsland.
In de praktijk moeten banken evalueren welke van hun digitale diensten binnen de reikwijdte van artikel 5f vallen. Diensten die momenteel afhankelijk zijn van eID-gebaseerde aanmelding of sterke klantauthenticatie onder PSD2 zijn logische startpunten. De overlap tussen eIDAS 2.0 en PSD2 is bijzonder relevant voor financiële dienstverlening, omdat vereisten voor sterke klantauthenticatie en op wallet gebaseerde identiteitsverificatie steeds meer zullen overlappen. Voor een diepgaandere blik op hoe dit uitpakt, is het onderwerp digitale identiteit in financiële dienstverlening de moeite waard om in detail te verkennen.

Welke compliance-verplichtingen schept eIDAS 2.0 voor financiële instellingen?

eIDAS 2.0 schept verschillende concrete compliance-verplichtingen voor financiële instellingen. De meest ingrijpende is de verplichting op grond van artikel 5f om de EUDI-wallet te accepteren voor identiteitsverificatie bij diensten die binnen de reikwijdte van de verordening vallen. Naast acceptatie moeten banken ervoor zorgen dat hun systemen technisch kunnen omgaan met op wallet gebaseerde identiteitsgegevens, wat het implementeren van de vereiste protocollen en het voldoen aan interoperabiliteitsnormen inhoudt.
Voordat een bank als relying party walletdata kan opvragen, moet zij zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848. Bij die registratie legt de bank per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Belangrijke compliance-gebieden zijn:

• Wallet-acceptatie: Banken die onlinediensten aanbieden waarvoor sterke gebruikersauthenticatie vereist is, moeten in staat zijn identiteitsattributen te accepteren die via de EUDI-wallet worden aangeboden. Voor gereguleerde private partijen in de financiële sector geldt deze acceptatieplicht op grond van artikel 5f vanaf 24 december 2027.
• Registratie als relying party: Op grond van CIR (EU) 2025/848 van 6 mei 2025 moet een bank zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use wordt vastgelegd welke attributen en attestaties worden gevraagd.
• Dataminimalisatie: De wallet ondersteunt selective disclosure, waarmee alleen de specifieke attributen worden gedeeld die een dienst nodig heeft. Banken moeten hun gegevensverzoeken afstemmen op dit principe en alleen opvragen wat noodzakelijk is voor een bepaalde transactie of onboardingstap.
• Interoperabiliteitsnormen: Banken moeten de technische normen implementeren die zijn vastgelegd in het Architecture and Reference Framework (ARF) dat het EUDI-wallet-ecosysteem ondersteunt, waaronder de relevante uitvoeringshandelingen.
• Audit en registratie: Gegevensdeling op basis van walletgoedkeuring moet op passende wijze worden geregistreerd om te voldoen aan zowel eIDAS 2.0 als AVG-vereisten. Walletgoedkeuring is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting als grondslag doorgaans relevanter.
• AML- en KYC-afstemming: Door de wallet geverifieerde identiteitsgegevens moeten worden geïntegreerd in bestaande AML- en KYC-workflows op een manier die ook voldoet aan de regelgevende verplichtingen onder die kaders. eIDAS 2.0 regelt de identiteitsverificatiestap, niet de volledige AML-compliance.

eIDAS 2.0 staat niet op zichzelf. Financiële instellingen navigeren tegelijkertijd door PSD2, de AVG, AML-richtlijnen en de vereisten uit het nieuwe AML-raamwerk dat naar verwachting in juli 2027 van toepassing wordt en eveneens aanstuurt op identiteitsverificatie via genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. eIDAS 2.0 voegt een extra laag toe, maar creëert ook een kans om identiteitsinfrastructuur te consolideren op een manier die meerdere regelgevende kaders tegelijk bedient.

Hoe moeten banken hun systemen voorbereiden op eIDAS 2.0?

Banken moeten zich voorbereiden op eIDAS 2.0 door te beginnen met een analyse van hun huidige identiteitsverificatie-infrastructuur en in kaart te brengen waar op wallet gebaseerde identiteitsgegevens moeten worden geaccepteerd en verwerkt. Het doel is te identificeren welke systemen, API’s en onboardingstromen moeten worden bijgewerkt om EUDI-wallet-interacties te ondersteunen.
Een praktische voorbereidingsaanpak volgt deze stappen:

1. Beoordeel de huidige identiteitsinfrastructuur: Identificeer welke diensten identiteitsverificatie vereisen en hoe die processen momenteel werken. Breng in kaart waar EUDI-wallet-acceptatie op grond van artikel 5f vereist zal zijn.
2. Bestudeer het Architecture and Reference Framework: Begrijp de technische specificaties die bepalen hoe EUDI-wallets identiteitsgegevens presenteren en delen, waaronder de credentialformaten mdoc en SD-JWT VC, en de uitwisselingsprotocollen OID4VCI en OID4VP. Houd rekening met nieuwe ARF-revisies, en verifieer het actuele versienummer vóór publicatie.
3. Registreer je als relying party: Op grond van CIR (EU) 2025/848 van 6 mei 2025 moet je je registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Leg per intended use vast welke attributen en attestaties worden gevraagd. Een leverancier die walletdata technisch namens jouw organisatie verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
4. Werk onboarding- en authenticatiestromen bij: Herontwerp relevante klantreissen om op wallet gebaseerde identiteitsdeling mogelijk te maken, inclusief goedkeuringsmechanismen en dataminimalisatiepraktijken die aansluiten op selective disclosure.
5. Stem af met AML- en KYC-teams: Zorg ervoor dat door de wallet geverifieerde identiteitsgegevens integreren in je compliance-workflows. Definieer hoe hoogbetrouwbare walletdata voldoet aan due diligence-vereisten, rekening houdend met de grenzen die AML-regelgeving stelt aan hergebruik van KYC-gegevens.
6. Testen en piloten: De tweede pilotgolf is in 2025 gestart met onder andere WE BUILD en APTITUDE. Verken of deelname aan bestaande sandbox-omgevingen mogelijk is om wallet-integraties te testen vóór volledige uitrol.

EU-lidstaten zijn wettelijk verplicht om uiterlijk op 24 december 2026 gecertificeerde EUDI-wallets beschikbaar te stellen aan burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening geldt de acceptatieplicht vervolgens vanaf 24 december 2027. Die tijdlijn betekent dat de periode tussen 2026 en 2027 bij uitstek het moment is om wallet-integraties te testen en te verfijnen voordat de eigen acceptatieplicht ingaat. Organisaties die nu beginnen met hun voorbereiding zullen in een sterkere positie verkeren dan degenen die wachten tot vlak voor de handhavingsdeadline. Het vroegtijdig verkennen van de juiste implementatieaanpak maakt een meetbaar verschil in hoe soepel de overgang verloopt.

Welke zakelijke kansen schept eIDAS 2.0 voor banken?

eIDAS 2.0 creëert zakelijke kansen voor banken die de verordening niet puur als compliance-last benaderen. De meest directe kans is snellere, minder wrijvingsvolle onboarding die klantuitval vermindert en conversieratio’s verbetert. Wanneer identiteitsverificatie een kwestie van korte tijd wordt in plaats van dagen, kunnen banken effectiever concurreren op de kwaliteit van hun digitale ervaring.
Herbruikbare identiteit is een andere significante kans. Banken zijn vaak een van de eerste instellingen die de identiteit van een klant op een hoog betrouwbaarheidsniveau verifiëren. Onder het EUDI-wallet-model kunnen banken potentieel vertrouwde identiteitsaanbieders worden binnen het ecosysteem, door geverifieerde attestaties uit te geven die hun klanten kunnen hergebruiken bij andere diensten. Of een bank daadwerkelijk als uitgever van attestaties kan optreden, hangt af van de vraag of zij als gekwalificeerde of niet-gekwalificeerde aanbieder voldoet aan de toepasselijke vereisten uit de verordening en de uitvoeringshandelingen. Dit positioneert banken als centrale spelers in de bredere digitale identiteitsinfrastructuur.
Grensoverschrijdende expansie wordt ook haalbaarder. Het betreden van een nieuwe Europese markt betekent vandaag de dag vaak het bouwen of aanschaffen van een landspecifieke identiteitsverificatieoplossing. Met een gestandaardiseerde EU-brede wallet kan een bank die heeft geïntegreerd met het EUDI-wallet-ecosysteem klanten bedienen in alle lidstaten zonder zijn identiteitslaag opnieuw op te bouwen, mits de interoperabiliteit in de praktijk ook volledig functioneert.
De overlap tussen eIDAS 2.0 en bestaande compliance-kaders creëert bovendien efficiëntiewinsten. Een bank die zijn identiteitsinfrastructuur opbouwt rond op wallet gebaseerde verificatie, kan potentieel voldoen aan KYC-, AML-, PSD2-sterke klantauthenticatie- en eIDAS 2.0-vereisten via één goed ontworpen integratie. Die consolidatie vermindert operationele complexiteit en langetermijn compliance-kosten. Voor organisaties die willen zien hoe dit er in de praktijk uitziet, kan het bekijken van hoe andere organisaties dit hebben aangepakt nuttige referentiepunten bieden.

Hoe de ID Connector van TrustTech financiële instellingen ondersteunt

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor banken en financiële instellingen ondersteunt de ID Connector concreet de volgende technische taken:

• EUDI-wallet-klare onboarding: De ID Connector verwerkt walletpresentaties via OID4VP en valideert de aangeboden attestaties. Dat omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists; controle van de intrekkingsstatus via de statusinformatie van de uitgever; en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
• Controle van intrekkingsstatus: De ID Connector controleert de intrekkingsstatus van aangeboden attestaties via de statusinformatie van de uitgever, zodat een bank niet vertrouwt op ingetrokken gegevens.
• Validatie van de wallet unit attestation: De ID Connector verifieert of de presenterende wallet op een gecertificeerde wallet solution draait, wat een vereiste is voor betrouwbare walletinteracties.
• Bewaking van de geregistreerde attributenscope: De ID Connector ondersteunt het opvragen van uitsluitend de attributen die zijn vastgelegd in de registratie als relying party op grond van CIR (EU) 2025/848, wat helpt voorkomen dat verzoeken buiten de geregistreerde scope worden gedaan.
• Hergebruik van geverifieerde identiteitsdata: Geverifieerde identiteitsgegevens kunnen worden hergebruikt binnen de dienstverlening, wat herhaalde verificatiestappen vermindert en aansluit op het principe van herbruikbare identiteit.
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector koppelt identiteit aan gekwalificeerde elektronische handtekeningen via een aangesloten qualified trust service provider, met een volledig auditspoor voor regelgevende doeleinden.

De ID Connector is relevant voor financiële dienstverlening, gezondheidszorg, farmacie en overheidsdiensten. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op de identiteitsinfrastructuur van jouw organisatie.