eIDAS 2.0 wijzigt fundamenteel hoe grensoverschrijdende digitale diensten werken binnen de EU. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, verplicht elke lidstaat om burgers, inwoners en bedrijven een EUDI-wallet aan te bieden en breidt de acceptatieverplichtingen voor het eerst expliciet uit naar gereguleerde private sectoren. De onderstaande secties leggen precies uit wat dit betekent voor organisaties die actief zijn over Europese grenzen heen.
Welke veranderingen introduceert eIDAS 2.0 voor grensoverschrijdende diensten?
Verordening (EU) 2024/1183 introduceert een verplichte, EU-brede digitale identiteitsinfrastructuur die de vrijwillige en gefragmenteerde aanpak van het oorspronkelijke kader aanvult en versterkt. Elke lidstaat moet een EUDI-wallet aanbieden aan alle burgers, inwoners en bedrijven. Gereguleerde organisaties in de private sector die diensten aanbieden in de EU zijn verplicht deze wallets te accepteren zodra de acceptatieplicht voor hun sector van kracht wordt, waardoor grensoverschrijdende identiteitserkenning een wettelijke verplichting wordt.
De meest significante verschuiving is de overgang van een systeem waarbij landen konden kiezen of ze deelnamen aan grensoverschrijdende erkenning naar een systeem waarbij deelname verplicht is. Onder de oorspronkelijke verordening waren lidstaten die hun nationale eID-stelsels hadden aangemeld, verplicht elkaars systemen te erkennen, maar niet elke lidstaat was verplicht om überhaupt een stelsel te creëren. Dit leidde tot een ongelijk landschap waarbij sommige landen een volwassen digitale identiteitsinfrastructuur hadden en andere vrijwel geen.
Verordening (EU) 2024/1183 pakt dit aan door de onderliggende architectuur te standaardiseren via een gemeenschappelijke wallet solution en het Architecture and Reference Framework (ARF). Dit zorgt ervoor dat wallets die in verschillende landen zijn uitgegeven technisch interoperabel zijn, wat betekent dat een wallet uitgegeven in Finland even goed werkt bij het openen van een dienst in Spanje of Nederland. Voor organisaties die grensoverschrijdende digitale diensten aanbieden, is dit een structurele verandering: zij kunnen hun identiteitsverificatieprocessen niet langer ontwerpen rond één nationale standaard.
Welke sectoren worden het meest getroffen door de grensoverschrijdende vereisten van eIDAS 2.0?
Financiële dienstverlening, overheid, gezondheidszorg en onderwijs zijn de sectoren die het meest direct worden getroffen door de grensoverschrijdende vereisten van Verordening (EU) 2024/1183. Deze sectoren zijn sterk afhankelijk van geverifieerde identiteit voor toegang tot diensten, naleving van regelgeving en veilige gegevensuitwisseling, waardoor het nieuwe op wallets gebaseerde identiteitskader direct relevant is voor hun activiteiten.
Hier volgt een nadere blik op hoe de impact verdeeld is over de belangrijkste sectoren:
- Financiële dienstverlening: Banken en betalingsproviders moeten op wallets gebaseerde attestaties accepteren voor het openen van rekeningen, KYC-controles en betalingsautorisatie, voor zover zij vallen onder de acceptatieplicht van artikel 5f. Grensoverschrijdende onboarding, die traditioneel traag en papierintensief was, kan hierdoor aanzienlijk worden gestroomlijnd, mits ook de toepasselijke AML-regelgeving dit toelaat.
- Overheid: Publieke instanties moeten vanaf 24 december 2026 toegang tot onlinediensten waarvoor elektronische identificatie vereist is, aanbieden op een manier die compatibel is met genotificeerde EUDI-wallets. Grensoverschrijdende toegang tot overheidsdiensten wordt daarmee een basisvereiste.
- Gezondheidszorg: De EUDI-wallet ondersteunt de opslag en presentatie van medische attestaties, recepten en de Europese Ziekteverzekeringskaart, waardoor patiënten over de grens zorg kunnen ontvangen zonder fysieke documenten mee te hoeven nemen. Voor gezondheidsgegevens gelden aanvullende vereisten op grond van artikel 9, lid 2, AVG.
- Onderwijs: Diploma’s, graden en beroepskwalificaties kunnen worden opgeslagen en gepresenteerd via de wallet. De juridische erkenning van beroepskwalificaties blijft geregeld door Richtlijn 2005/36/EG; de wallet is het dragermedium, niet de erkenningsgrondslag.
- Telecommunicatie: SIM-registratie en identiteitsverificatie voor mobiele contracten zijn getest binnen het POTENTIAL-consortium tijdens de Large Scale Pilots, wat aangeeft dat telecom een vroege toepassingsprioriteit is.
Organisaties in financiële dienstverlening en gezondheidszorg worden geconfronteerd met zowel de grootste nalevingsdruk als de grootste kans om operationele wrijving te verminderen door hergebruik van op wallets gebaseerde attestaties.
Hoe maakt de EUDI-wallet grensoverschrijdende identiteitsverificatie mogelijk?
De EUDI-wallet maakt grensoverschrijdende identiteitsverificatie mogelijk door gebruikers één gestandaardiseerde digitale identiteitsapp te geven die wordt erkend in alle EU-lidstaten. Gebruikers slaan geverifieerde attestaties op in hun wallet instance, waaronder nationale identiteitsgegevens, beroepskwalificaties en officiële documenten, en kunnen via selective disclosure alleen de specifieke attributen delen die een dienst vereist, zonder onnodige persoonsgegevens bloot te stellen.
De technische basis van deze grensoverschrijdende mogelijkheid is het Architecture and Reference Framework, dat definieert hoe wallet solutions moeten worden gebouwd en hoe ze samenwerken met relying parties. Attestaties worden uitgegeven in de formaten mdoc of SD-JWT VC. Voor online presentatie wordt OID4VP gebruikt; voor uitgifte OID4VCI. Omdat alle gecertificeerde wallet solutions voldoen aan dezelfde technische standaard, kan een relying party in het ene land een attestatie die is uitgegeven door een overheidsinstantie in een ander land verifiëren zonder bilaterale overeenkomst of aangepaste integratie.
Verificatie omvat drie afzonderlijke controles: de handtekening van de uitgever wordt gecontroleerd tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists; de intrekkingsstatus wordt gecontroleerd via statusinformatie van de uitgever; en de wallet unit attestation wordt gevalideerd om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden. Een relying party die offline werkt, beschikt dus niet over de volledige verificatieketen.
Vanuit praktisch oogpunt maakt de wallet het mogelijk dat een gebruiker attestaties die al zijn geverifieerd door zijn bank, werkgever of overheidsinstantie, hergebruikt bij het openen van een grensoverschrijdende dienst. Dit model van eenmalige verificatie en hergebruik is een van de meest ingrijpende kenmerken van de verordening voor zowel gebruikers als relying parties. Daarbij geldt dat walletgebruik vrijwillig is: artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
De vier Large Scale Pilots, EWC, POTENTIAL, NOBID en DC4EU, testten van april 2023 tot 2025 precies deze grensoverschrijdende scenario’s. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity; POTENTIAL op overheidsdiensten, het openen van bankrekeningen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten; NOBID op betalingen; en DC4EU op onderwijs en sociale zekerheid. Deze pilots zijn afgerond en de technische specificaties en feedback die zij hebben opgeleverd, informeren de definitieve implementatievereisten.
Wat betekent naleving van eIDAS 2.0 voor organisaties die digitale diensten aanbieden in de EU?
Naleving van Verordening (EU) 2024/1183 betekent dat gereguleerde organisaties die onder de acceptatieplicht van artikel 5f vallen, technisch in staat moeten zijn om EUDI-wallet-attestaties te accepteren voor identiteitsverificatie en authenticatie. Voor veel organisaties vereist dit het bijwerken van onboardingprocessen, het integreren van wallet-compatibele verificatiesystemen en het afstemmen van gegevensverwerkingspraktijken op de dataminimalisatieprincipes van de verordening. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn uitgezonderd van de private acceptatieplicht.
Voordat een relying party wallet-attestaties kan opvragen, moet zij zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die wallet-data technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Naleving omvat ook het herzien van bestaande identiteits- en onboardingprocessen om te begrijpen waar op wallets gebaseerde attestaties bestaande controles zullen vervangen of aanvullen. Dit omvat onder meer:
- Beoordeling van huidige identiteitsprocessen: Identificeer elk punt in de klant- of gebruikersreis waar identiteit wordt geverifieerd, geauthenticeerd of opnieuw bevestigd.
- Kaart van regelgevingsverplichtingen: Bepaal welke diensten vallen onder de verplichte acceptatievereiste van artikel 5f en welke onderworpen zijn aan sectorspecifieke regels zoals AML, KYC of PSD2. Hergebruik van KYC wordt mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.
- Bijwerken van technische infrastructuur: Integreer wallet-compatibele API’s die verifieerbare attestaties kunnen verwerken conform het Architecture and Reference Framework, inclusief ondersteuning voor mdoc en SD-JWT VC.
- Afstemmen van gegevenspraktijken: De wallet dwingt selective disclosure af, wat betekent dat gebruikers alleen delen wat noodzakelijk is. Systemen moeten gedeeltelijke attribuutsets kunnen accepteren. Daarnaast heeft een relying party een zelfstandige AVG-grondslag nodig voor de verwerking: goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG.
- Training van interne teams: Compliance-, juridische, IT- en klantgerichte teams moeten begrijpen wat de wallet betekent voor hun specifieke verantwoordelijkheden, inclusief de registratieplicht en de attributenscope.
Organisaties in de publieke sector hebben aanvullende verplichtingen: publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, uiterlijk op 24 december 2026. Voor gereguleerde private relying parties in sectoren zoals banken, zorg, telecom, energie en onderwijs geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027.
Hoe verhoudt eIDAS 2.0 zich tot de oorspronkelijke eIDAS-verordening?
De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, creëerde een kader voor wederzijdse erkenning van nationale eID-stelsels binnen de EU, maar deelname was grotendeels vrijwillig. Verordening (EU) 2024/1183 wijzigt dit kader ingrijpend: elke lidstaat moet een wallet aanbieden, en zowel publieke instanties als relevante gereguleerde private organisaties moeten deze accepteren. De reikwijdte, verplichtingen en technische standaardisering zijn allemaal aanzienlijk uitgebreid.
De oorspronkelijke verordening richtte zich bijna uitsluitend op de publieke sector. Grensoverschrijdende erkenning was van toepassing op aangemelde nationale eID-stelsels, en private bedrijven waren niet verplicht deel te nemen. Dit liet de private sector vrij om zijn eigen identiteitsverificatieprocessen te bouwen, wat resulteerde in een sterk gefragmenteerd landschap waarbij gebruikers met verschillende vereisten werden geconfronteerd afhankelijk van met welke organisatie ze te maken hadden.
Verordening (EU) 2024/1183 wijzigt dit op drie fundamentele punten. Ten eerste introduceert het de EUDI-wallet als een universeel instrument dat werkt voor zowel publieke als private diensten. Ten tweede breidt het de verplichte acceptatieplicht uit naar gereguleerde private organisaties in specifieke sectoren, zoals banken, zorg, telecom en energie, voor situaties waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is, op grond van artikel 5f. Ten derde introduceert het een gemeenschappelijke technische architectuur via het ARF die echte interoperabiliteit mogelijk maakt, in plaats van het lappendeken van bilaterale overeenkomsten dat het oorspronkelijke kader kenmerkte.
Een ander belangrijk verschil is de nadruk op gebruikerscontrole. De oorspronkelijke verordening ging primair over het in staat stellen van organisaties om elkaars identiteitssystemen te erkennen. Verordening (EU) 2024/1183 plaatst de gebruiker centraal: individuen beheren via de wallet zelf de toegang tot hun identiteitsgegevens, met selective disclosure en dataminimalisatie ingebouwd in het technische ontwerp. Walletgebruik blijft daarbij vrijwillig op grond van artikel 5a.
Wanneer moeten organisaties klaar zijn voor eIDAS 2.0?
Lidstaten zijn wettelijk verplicht om EUDI-wallets beschikbaar te stellen aan alle burgers, inwoners en bedrijven uiterlijk op 24 december 2026. Vanaf die datum moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private relying parties in sectoren zoals banken, zorg, telecom, energie en onderwijs geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027. Organisaties in deze sectoren doen er verstandig aan 2026 te gebruiken om wallet-compatibele systemen te testen en te implementeren, zodat zij ruim voor de deadline van 24 december 2027 gereed zijn.
De tijdlijn kent ook eerdere mijlpalen. Verordening (EU) 2024/1183 trad in werking op 20 mei 2024. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, waarmee de relevante 24-maandentermijn voor de wallets is gestart. In 2025 volgt een tweede golf uitvoeringshandelingen. Op 6 mei 2025 is CIR (EU) 2025/848 gepubliceerd, dat de registratie van wallet-relying parties regelt. De vier oorspronkelijke Large Scale Pilots liepen tot 2025 en zijn afgerond; de technische specificaties die zij hebben opgeleverd, informeren de definitieve implementatievereisten. In 2025 startte een tweede pilotgolf met WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
In de praktijk betekent gereedheid verschillende dingen afhankelijk van waar een organisatie momenteel staat. Organisaties met moderne, op API’s gebaseerde identiteitsinfrastructuur zullen de integratie eenvoudiger vinden. Organisaties met verouderde systemen of sterk handmatige onboardingprocessen staan voor een ingrijpendere aanpassing. De nalevingstijdlijn is niet flexibel, en het risico van niet-naleving in gereguleerde sectoren heeft juridische en operationele gevolgen.
De meest pragmatische aanpak is te beginnen met een gap-analyse: breng de huidige identiteitsprocessen in kaart ten opzichte van de vereisten van Verordening (EU) 2024/1183, identificeer waar de grootste veranderingen nodig zijn, en geef die gebieden prioriteit voor investering. Organisaties die tijdens de pilotfase al gebruik hebben gemaakt van digitale identiteitsbronnen en kaders, zijn beter gepositioneerd om snel te handelen.
Hoe de ID Connector van TrustTech grensoverschrijdende naleving van eIDAS 2.0 ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die direct relevant zijn voor grensoverschrijdende naleving:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope per intended use, conform CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata voor onboarding en KYC-processen, binnen de grenzen van de toepasselijke AML- en sectorale regelgeving
- Gekwalificeerd tekenen via een aangesloten qualified trust service provider, waarbij de QES tot stand komt bij de QTSP
De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die grensoverschrijdende wallet-acceptatie willen implementeren conform de vereisten van Verordening (EU) 2024/1183. Verken onze identiteitsoplossingen of neem contact op om je specifieke situatie te bespreken.