eIDAS 2.0 raakt vrijwel elke sector die digitale diensten aanbiedt in Europa. Financiële dienstverlening, gezondheidszorg, overheid en telecommunicatie behoren tot de meest direct betrokken sectoren, maar de verordening heeft gevolgen voor elke organisatie die identiteiten verifieert, gevoelige gegevens verwerkt of toegang biedt tot digitale diensten. De onderstaande secties beschrijven wat de verordening betekent voor elke grote sector en wanneer naleving vereist is.
Welke sectoren zijn verplicht de EUDI-wallet te accepteren?
Onder eIDAS 2.0 is een vastgestelde groep sectoren wettelijk verplicht de EUDI-wallet te accepteren als identificatiemiddel. Dit omvat banken en financiële dienstverlening, telecom, transport, energie, zorg, overheidsdiensten, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor deze platforms geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Elke organisatie in de overige genoemde sectoren die momenteel identiteitsverificatie vereist en waarbij sterke gebruikersauthenticatie wettelijk of contractueel verplicht is, moet ondersteuning voor de EUDI-wallet integreren. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal tien miljoen euro, zijn uitgezonderd van de acceptatieplicht.
Dit is een van de meest ingrijpende veranderingen die eIDAS 2.0 introduceert. De oorspronkelijke eIDAS-verordening, Verordening (EU) 910/2014, richtte zich voornamelijk op grensoverschrijdende erkenning tussen overheden. Verordening (EU) 2024/1183 wijzigt die verordening en breidt de verplichte acceptatie uit naar gereguleerde private sectororganisaties. In de praktijk betekent dit dat een gereguleerde dienstverlener waarbij gebruikers hun identiteit moeten bewijzen en waarbij sterke authenticatie wettelijk of contractueel vereist is, wallet-gebaseerde attestaties moet accepteren.
De verplichting geldt specifiek voor relying parties in deze sectoren. Een relying party is elke organisatie die vertrouwt op identiteitsgegevens van een andere partij om toegang te verlenen of een dienst te leveren. Als jouw organisatie in een van de genoemde categorieën valt en momenteel identiteitscontroles uitvoert als onderdeel van onboarding of authenticatie, verandert eIDAS 2.0 direct wat je verplicht bent te ondersteunen. Daarnaast geldt op grond van CIR (EU) 2025/848 dat een relying party zich moet registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Hoe verandert eIDAS 2.0 identiteitsverificatie in de financiële sector?
Voor de financiële sector introduceert eIDAS 2.0 een nieuwe basis voor digitale identiteit die de manier waarop banken, verzekeraars en betalingsdienstaanbieders klanten verifiëren, ingrijpend verandert. Organisaties in deze sector zijn op grond van artikel 5f van Verordening (EU) 2024/1183 verplicht EUDI-wallet-attestaties te accepteren voor klantacceptatie, authenticatie en Know Your Customer-processen, ter aanvulling op of vervanging van bestaande verificatieprocessen.
De praktische impact is aanzienlijk. Financiële instellingen voeren vandaag vaak hun eigen identiteitscontroles opnieuw uit telkens wanneer een nieuwe klant een product aanvraagt. Wanneer een klant al is geverifieerd via een door de overheid uitgegeven digitale identiteit die is opgeslagen in een gecertificeerde wallet instance, kan die klant geverifieerde gegevens rechtstreeks delen met een bank of verzekeraar via selective disclosure. Dit vermindert overbodige controles en versnelt de onboarding. Hergebruik van KYC-gegevens wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.
Er zijn ook implicaties voor Sterke Klantauthenticatie onder PSD2. EUDI-wallet-attestaties op het hoogste betrouwbaarheidsniveau kunnen in aanmerking komen als authenticatiemethode, wat financiële instellingen de mogelijkheid biedt wallet-gebaseerde authenticatie te gebruiken om aan SCA-vereisten te voldoen. Of een specifieke wallet-implementatie daadwerkelijk aan de PSD2-vereisten voldoet, hangt af van de technische en juridische beoordeling per geval.
Voor compliance- en risicoteams in financiële dienstverlening betekent eIDAS 2.0 ook een heroverweging van hoe KYC-gegevens worden opgeslagen en gedeeld. De verordening ondersteunt herbruikbare identiteit: een eenmaal geverifieerde klant kan attestaties delen met meerdere instellingen zonder opnieuw te beginnen. Dit heeft directe gevolgen voor de gegevensarchitectuur, AML-processen en kaders voor regelgevende rapportage. Het nieuwe AML-raamwerk, dat naar verwachting in juli 2027 van toepassing wordt, stuurt daarnaast aan op identiteitsverificatie via onder andere genotificeerde schema’s en gekwalificeerde vertrouwensdiensten. Dat is een afzonderlijk regelgevend traject naast de acceptatieplicht uit eIDAS 2.0.
Wat betekent eIDAS 2.0 voor organisaties in de gezondheidszorg en farmaceutische sector?
Organisaties in de gezondheidszorg en farmaceutische sector worden geconfronteerd met betekenisvolle veranderingen onder eIDAS 2.0, met name op het gebied van patiëntidentiteit, receptverwerking en grensoverschrijdende gegevensuitwisseling. De EUDI-wallet is tijdens de Large Scale Pilots getest voor e-recepten, waarmee patiënten geverifieerde receptgegevens digitaal konden presenteren bij apotheken, en voor de opslag van de Europese Ziekteverzekeringskaart. Deze use cases zijn gepiloteerd binnen het POTENTIAL-consortium en zijn nog geen algemeen operationele functionaliteit.
Voor ziekenhuizen, klinieken en zorgverleners biedt de verordening een kans om patiëntonboarding en toestemmingsprocessen te stroomlijnen. Aanbieders kunnen wallet-gebaseerde identiteitsattestaties accepteren die een hoog betrouwbaarheidsniveau dragen. Dit vermindert de administratieve last en verbetert de nauwkeurigheid van identiteitsgegevens. Goedkeuring van een dataverzoek in de wallet is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Farmaceutische bedrijven die grensoverschrijdend actief zijn, hebben een extra laag complexiteit te beheren. Grensoverschrijdende receptvervulling, verificatie van deelnemers aan klinische onderzoeken en regulatoire indieningen omvatten allemaal identiteit en vertrouwen. eIDAS 2.0 biedt een gemeenschappelijk kader dat deze processen kan ondersteunen in de EU-lidstaten, waardoor de wrijving die momenteel bestaat wanneer nationale systemen elkaar niet herkennen, wordt verminderd. De wallet kan gegevens over beroepskwalificaties dragen, maar vormt niet zelf de juridische erkenningsgrondslag: erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG.
Voor zorgorganisaties die zich voorbereiden op deze veranderingen, is de prioriteit het begrijpen waar identiteitsverificatie momenteel plaatsvindt in patiënt- en personeelsworkflows, en hoe wallet-gebaseerde attestaties bestaande methoden kunnen vervangen of aanvullen. Organisaties die gevoelige gezondheidsgegevens verwerken, moeten ook beoordelen hoe eIDAS 2.0 samenwerkt met AVG-verplichtingen rond gegevensminimalisatie en de goedkeuring die gebruikers per verzoek geven in de wallet.
Hoe beïnvloedt eIDAS 2.0 overheids- en publieke sectordiensten?
Overheids- en publieke sectororganisaties staan centraal in eIDAS 2.0. Lidstaten zijn op grond van Verordening (EU) 2024/1183 verplicht minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen aan alle burgers, inwoners en bedrijven vóór 24 december 2026. Overheidsdiensten zoals belastingaangifte, paspoortaanvragen, toegang tot sociale zekerheid en rijbewijsbeheer behoren tot de eerste gebruiksscenario’s die zijn getest en worden ingezet.
Voor publieke sectororganisaties heeft de verordening twee dimensies. Ten eerste zijn zij uitgevers: overheden moeten wallets verstrekken en ervoor zorgen dat officiële attributen zoals nationale identiteit, adres en burgerlijke staat veilig kunnen worden opgeslagen en gedeeld via die wallets. Ten tweede zijn zij relying parties: publieke instanties en publieke dienstverleners moeten genotificeerde wallet-attestaties accepteren als geldige vorm van identificatie voor onlinediensten waarvoor elektronische identificatie vereist is, vanaf 24 december 2026. Deze deadline betreft notificatie en uitgifte. Volledige functionele interoperabiliteit in de hele EU is op dat moment niet automatisch gegarandeerd.
De Large Scale Pilots die van april 2023 tot 2025 in heel Europa liepen, toonden aan hoe dit in de praktijk werkte. Burgers konden hun EUDI-wallet gebruiken om toegang te krijgen tot overheidsportalen, uitkeringen aan te vragen of hun identiteit te bewijzen bij een overheidsinstantie zonder fysieke documenten te tonen. Voor overheden die al hebben geïnvesteerd in nationale eID-systemen, vereist eIDAS 2.0 dat die systemen verbinding maken met het bredere EU-wallet-ecosysteem en voldoen aan bijgewerkte interoperabiliteitsnormen.
Instanties die verantwoordelijk zijn voor digitale overheidsdiensten moeten hun huidige identiteitsinfrastructuur beoordelen aan de hand van de technische normen uit de Architecture and Reference Framework en de relevante uitvoeringshandelingen. De overheidssector heeft ook een coördinerende rol: ervoor zorgen dat de wallets die zij uitgeven worden opgenomen in de nationale trusted lists conform ETSI TS 119 612, dat burgers begrijpen hoe ze deze moeten gebruiken, en dat grensoverschrijdende erkenning betrouwbaar werkt voor EU-inwoners die tussen lidstaten bewegen.
Welke sectoren staan voor de grootste nalevingsuitdagingen met eIDAS 2.0?
Financiële dienstverlening, zorg en telecom staan voor de zwaarste nalevingsuitdagingen onder eIDAS 2.0. Deze sectoren combineren hoge regelgevingscomplexiteit, verouderde identiteitsinfrastructuur en grote volumes klantinteracties die tegelijkertijd aan strenge beveiligings- en gegevensbeschermingsvereisten moeten voldoen.
De uitdagingen variëren per sector, maar er komen verschillende gemeenschappelijke thema’s naar voren:
- Verouderde systemen: Veel organisaties hebben hun identiteitsverificatieprocessen jaren geleden gebouwd, vaak rond documentuploads, handmatige controles of eigen authenticatietools. Het integreren van EUDI-wallet-acceptatie vereist wijzigingen aan bestaande infrastructuur die technisch complex en tijdrovend kunnen zijn.
- Overlappende regelgeving: Financiële instellingen moeten eIDAS 2.0-naleving afstemmen op de AVG, AML-richtlijnen, PSD2 en het nieuwe AML-raamwerk dat naar verwachting in juli 2027 van toepassing wordt. Zorgorganisaties worden geconfronteerd met vergelijkbare overlap met de AVG en sectorspecifieke gegevensbeschermingsregels. Het gezamenlijk beheren van deze kaders vereist zorgvuldige coördinatie.
- Grensoverschrijdende interoperabiliteit: Organisaties die actief zijn in meerdere EU-landen moeten ervoor zorgen dat hun systemen wallet-attestaties herkennen die zijn uitgegeven door verschillende lidstaten. Verificatie vereist daarbij drie afzonderlijke controles: validatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
- Gebruikersadoptie: Zelfs wanneer de technische infrastructuur op zijn plaats is, moeten organisaties gebruikers ondersteunen bij de overgang naar wallet-gebaseerde identificatie. Dit omvat klantcommunicatie, ondersteuningsprocessen en terugvalopties voor gebruikers die nog geen wallet hebben aangenomen. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Kleinere organisaties in gereguleerde sectoren kunnen ook moeite hebben met de middelen die nodig zijn om conforme identiteitsinfrastructuur te implementeren en te onderhouden. Organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal tien miljoen euro zijn uitgezonderd van de acceptatieplicht. Voor organisaties die wel onder de verplichting vallen maar beperkte interne capaciteit hebben, is samenwerking met een technologiepartner die al binnen het eIDAS-kader opereert, vaak de meest praktische weg vooruit.
Wanneer moeten organisaties voldoen aan eIDAS 2.0?
Verordening (EU) 2024/1183 trad op 20 mei 2024 in werking. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor wallet-uitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 werd daarnaast CIR (EU) 2025/848 aangenomen over de registratie van wallet-relying parties.
De tijdlijn voor naleving kent twee cruciale deadlines. Uiterlijk op 24 december 2026 moeten alle EU-lidstaten minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties en publieke dienstverleners genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in de betrokken sectoren geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
De tijdlijn voor voorbereiding bestaat uit verschillende fasen:
- Beoordeling (nu): Identificeer welke onderdelen van jouw organisatie worden beïnvloed, breng jouw huidige identiteitsverificatieprocessen in kaart en bepaal waar wallet-acceptatie moet worden geïntegreerd. Controleer ook of jouw organisatie registratieplichtig is onder CIR (EU) 2025/848 en welke attributen per intended use worden opgevraagd.
- Technische voorbereiding (2025 tot 2026): Werk identiteitsinfrastructuur bij of vervang deze om EUDI-wallet-attestaties te ondersteunen. Dit omvat API-integraties, afstemming op het vertrouwenskader en testen aan de hand van de technische specificaties uit de Architecture and Reference Framework en de relevante uitvoeringshandelingen.
- Go-live publieke sector (24 december 2026): Publieke instanties en publieke dienstverleners beginnen met het accepteren van EUDI-wallet-attestaties voor relevante diensten, met passende terugvalmechanismen voor gebruikers die nog geen wallet gebruiken.
- Go-live private sector (24 december 2027): Gereguleerde private partijen in de betrokken sectoren zijn verplicht EUDI-wallet-attestaties te accepteren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is op grond van artikel 5f.
- Voortdurende naleving: Monitor updates van nationale wallet-implementaties, technische normen en regelgevende richtlijnen. eIDAS 2.0-naleving is geen eenmalig project, maar een doorlopende operationele vereiste.
Organisaties die eIDAS 2.0 behandelen als een toekomstige zorg in plaats van een huidige prioriteit, lopen het risico verrast te worden. De vereiste technische wijzigingen zijn niet triviaal, en het opbouwen van conforme identiteitsinfrastructuur kost tijd. Nu beginnen met het beoordelings- en planningsproces geeft organisaties de beste kans om de deadlines van 24 december 2026 en 24 december 2027 te halen zonder verstoringen.
Hoe helpt TrustTech organisaties zich voor te bereiden op eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties in de financiële dienstverlening, gezondheidszorg, overheid en andere gereguleerde sectoren ondersteunt de ID Connector:
- Verificatie tegen nationale trusted lists conform ETSI TS 119 612, inclusief controle van de intrekkingsstatus en validatie van de wallet unit attestation
- Bewaking van de geregistreerde attributenscope zodat alleen attributen worden opgevraagd die zijn vastgelegd in de registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata voor onboarding en KYC-processen, waardoor herhaalde verificatie wordt verminderd
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde vertrouwensdienstverlener
- Interoperabiliteit tussen lidstaten zodat wallet-attestaties uitgegeven in verschillende EU-landen worden herkend en verwerkt
TrustTech bevindt zich tussen de partijen die met elkaar moeten communiceren en biedt een vertrouwde laag zonder een van hen te bezitten. Of je nu jouw eerste EUDI-wallet-integratie voorbereidt of een verouderd identiteitssysteem vervangt, de ID Connector is ontworpen om je snel in productie te brengen en compliant te blijven naarmate de regelgeving evolueert. Neem contact op met TrustTech om te bespreken hoe jouw organisatie de integratie van de EUDI-wallet kan aanpakken.