Wat is het verschil tussen eIDAS 1.0 en eIDAS 2.0?

Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) nr. 910/2014 ingrijpend. Beide verordeningen regelen digitale identiteit binnen de EU, maar ze verschillen aanzienlijk in reikwijdte, verplichtingen en voor wie ze gelden. De oorspronkelijke verordening, van kracht sinds 2016, richtte zich voornamelijk op grensoverschrijdende erkenning van nationale eID-stelsels voor publieke diensten. eIDAS 2.0, dat het kader in 2024 heeft bijgewerkt, gaat veel verder: het introduceert de Europese Digitale Identiteitswallet, breidt verplichtingen uit naar de private sector en stelt uniforme technische normen vast waaraan elke lidstaat moet voldoen. Dit artikel bespreekt de belangrijkste verschillen en wat deze betekenen voor jouw organisatie.

Wat veranderde er met eIDAS 2.0 ten opzichte van eIDAS 1.0?

eIDAS 1.0 creëerde een juridisch kader voor de erkenning van nationale elektronische identiteitsstelsels over EU-grenzen heen, maar liet lidstaten grotendeels vrij om te beslissen of en hoe ze wilden deelnemen. eIDAS 2.0 wijzigt die aanpak door bindende verplichtingen, een nieuwe wallet-infrastructuur en een veel bredere reikwijdte die voor het eerst ook private sector diensten omvat.

Onder eIDAS 1.0 waren de regels eenvoudig maar beperkt. Lidstaten konden hun nationale eID-stelsels aanmelden bij de Europese Commissie, en eenmaal aangemeld waren andere lidstaten verplicht deze te accepteren voor toegang tot publieke diensten. In de praktijk meldden veel landen hun stelsels echter niet aan, en degenen die dat wel deden hadden vaak systemen die onderling aanzienlijk verschilden. Het resultaat was een lappendeken van digitale identiteitsoplossingen met beperkt grensoverschrijdend gebruik in de praktijk.

eIDAS 2.0 pakt dit direct aan. Elke lidstaat is nu verplicht een EUDI-wallet uit te geven aan burgers, ingezetenen en bedrijven. De verordening stelt ook gemeenschappelijke technische normen, governanceregels en vertrouwenskaders vast die gelden voor de gehele EU. eIDAS 2.0 bouwt een gedeelde infrastructuur op die door de verordening zelf wordt voorgeschreven, in aanvulling op de erkenning van bestaande nationale systemen.

Wat bevat eIDAS 2.0 dat eIDAS 1.0 niet had?

eIDAS 2.0 introduceert verschillende volledig nieuwe concepten die ontbraken in de oorspronkelijke verordening. De meest significante toevoegingen zijn de EUDI-wallet, het kader voor attestaties bekend als Electronic Attestations of Attributes (EAA’s), en verplichte acceptatieverplichtingen voor grote onlineplatforms en gereguleerde diensten.

Dit zijn de belangrijkste toevoegingen die eIDAS 2.0 met zich meebrengt:

• EUDI-wallet: Een door de overheid ondersteunde digitale wallet waarmee gebruikers persoonsidentificatiegegevens, attestaties en documenten kunnen opslaan in één beveiligde wallet instance en deze kunnen delen met publieke en private diensten via selective disclosure.
• Electronic Attestations of Attributes (EAA’s): Attestaties die specifieke kenmerken van een persoon kunnen bevestigen, zoals een beroepskwalificatie, een diploma of een rijbewijs, zonder onnodige persoonsgegevens te delen. Binnen EAA’s wordt onderscheid gemaakt tussen gekwalificeerde EAA’s (QEAA’s), door publieke instanties uitgegeven EAA’s (PuB-EAA’s) en niet-gekwalificeerde EAA’s.
• Qualified Electronic Attestations of Attributes (QEAA’s): Een categorie EAA’s met hogere betrouwbaarheid, uitgegeven door gekwalificeerde verleners van vertrouwensdiensten, met dezelfde juridische waarde in alle lidstaten.
• Verplichte acceptatie voor relying parties: Grote onlineplatforms en dienstverleners in gereguleerde sectoren zijn op grond van artikel 5f verplicht de EUDI-wallet te accepteren als identificatiemiddel, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
• Selective disclosure: Gebruikers kunnen alleen de specifieke attributen delen die nodig zijn voor een transactie, zonder een volledig identiteitsdocument te tonen. Dit is ingebouwd in de technische architectuur via credentialformaten als mdoc en SD-JWT VC.
• Uitgebreide trust services: Nieuwe categorieën van gekwalificeerde trust services, waaronder elektronische grootboeken en elektronische archivering, worden geïntroduceerd onder eIDAS 2.0.

Samen transformeren deze toevoegingen eIDAS van een smal grensoverschrijdend erkenningskader naar een uitgebreid digitaal identiteitsecosysteem voor de gehele EU.

Hoe verschilt de EUDI-wallet van eIDAS 1.0-identiteitsstelsels?

De EUDI-wallet verschilt fundamenteel van de nationale eID-stelsels onder eIDAS 1.0. Waar eIDAS 1.0-stelsels landspecifieke systemen waren die andere lidstaten moesten erkennen, is de EUDI-wallet een gestandaardiseerde oplossing die door ontwerp werkt in de gehele EU, door de gebruiker wordt beheerd en zowel bij publieke als private diensten kan worden gebruikt.

Onder eIDAS 1.0 was een nationaal eID, zoals een door de overheid uitgegeven digitale identiteitskaart of mobiele ID-app, gebouwd rondom de eigen infrastructuur van dat land. Als het was aangemeld onder eIDAS 1.0, kon het worden gebruikt voor toegang tot publieke diensten in andere lidstaten, maar de gebruikerservaring, de technische normen en de gegevens die het kon bevatten verschilden aanzienlijk. Gebruik in de private sector viel grotendeels buiten de reikwijdte van de verordening.

De EUDI-wallet hanteert een andere aanpak. eIDAS 2.0 stelt één gemeenschappelijk wallet-formaat vast dat elke lidstaat moet aanbieden. De wallet kan een breed scala aan attestaties bevatten, van een door de overheid uitgegeven set persoonsidentificatiegegevens (PID) tot beroepskwalificaties, gezondheidsdocumenten en betalingscredentials. Gebruikers bepalen via selective disclosure precies wat ze delen en met wie, en die functionaliteit is ingebouwd in de technische architectuur zelf.

Een ander belangrijk onderscheid is herbruikbaarheid. Met eIDAS 1.0 verifieerde een gebruiker zijn identiteit via een nationaal stelsel, maar die verificatie werd zelden overgedragen naar interacties in de private sector. Met de EUDI-wallet kan een geverifieerde identiteit worden hergebruikt voor vele diensten en organisaties zonder dat de gebruiker elke keer opnieuw moet beginnen. Dit heeft reële gevolgen voor onboarding, compliance en gebruikerservaring in alle sectoren. Organisaties die actief zijn in de financiële dienstverlening of gezondheidszorg zullen deze verschuiving het meest direct voelen.

Belangrijk om te vermelden: walletgebruik is vrijwillig. Artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij ervoor kiezen geen wallet te gebruiken. Organisaties mogen de wallet dus niet als enige toegangsweg aanbieden voor diensten waarvoor alternatieven wettelijk vereist zijn.

Welke organisaties worden door eIDAS 2.0 getroffen die dat onder eIDAS 1.0 niet waren?

eIDAS 2.0 breidt het aantal organisaties met verplichtingen onder de verordening aanzienlijk uit. Terwijl eIDAS 1.0 voornamelijk van invloed was op publieke sector organen en een klein aantal verleners van vertrouwensdiensten, brengt eIDAS 2.0 private sector organisaties, grote onlineplatforms en gereguleerde dienstverleners nadrukkelijk binnen de reikwijdte.

De meest opvallende nieuwe categorie zijn relying parties: organisaties die de EUDI-wallet accepteren als identificatiemiddel. Onder artikel 5f van eIDAS 2.0 zijn bepaalde typen dienstverleners wettelijk verplicht de wallet te accepteren. De precieze voorwaarden verschillen per categorie:

1. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU, aangewezen onder de Digital Services Act, die EUDI-wallet-gebaseerde aanmelding moeten aanbieden als alternatief voor bestaande authenticatiemethoden, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
2. Banken en financiële dienstverlening, met name waar identiteitsverificatie vereist is voor het openen van rekeningen of sterke klantauthenticatie wettelijk of contractueel vereist is.
3. Zorgverleners die gezondheidsgegevens grensoverschrijdend raadplegen of delen via de Europese Gezondheidsgegevensruimte.
4. Telecommunicatieaanbieders die SIM-kaarten registreren, waarbij identiteitsverificatie wettelijk verplicht is.
5. Overheidsinstanties die digitale publieke diensten aanbieden, die de wallet moeten accepteren voor authenticatie op het passende betrouwbaarheidsniveau.

Daarnaast vallen ook sectoren als energie, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur binnen de reikwijdte van de acceptatieplicht voor gereguleerde private partijen, waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn uitgezonderd van de acceptatieplicht: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

Elke relying party die walletdata wil opvragen, moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848, voordat zij walletdata kan opvragen. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Naast verplichte relying parties zal elke organisatie die identiteitsverificatie uitvoert, attestaties uitgeeft of trust services verleent, moeten beoordelen hoe eIDAS 2.0 haar processen beïnvloedt. Dit geldt voor bedrijven in overheidsdiensten, onderwijs, verzekeringen en elke sector waar het verifiëren van iemands identiteit deel uitmaakt van het klant- of compliancetraject.

Wanneer moeten organisaties voldoen aan eIDAS 2.0?

eIDAS 2.0 is op 20 mei 2024 in werking getreden. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners (QTSP’s). Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, die de registratie van wallet-relying parties regelt. De compliancetijdlijn is verder gefaseerd.

Uiterlijk op 24 december 2026 moet elke lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties zijn verplicht genotificeerde wallets vanaf die datum te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen, zodat acceptatie vóór de eigen deadline kan worden getest en voorbereid. Het is daarbij van belang te onderstrepen dat 24 december 2026 een deadline is voor notificatie en uitgifte, niet automatisch het moment waarop volledige functionele interoperabiliteit in de gehele EU bestaat.

De acceptatieplicht voor gereguleerde private partijen, op grond van artikel 5f van de verordening, gaat in op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. Deze verplichting geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. In juli 2027 wordt daarnaast de Anti-Money Laundering Regulation (AMLR) van toepassing, wat gevolgen heeft voor organisaties die de wallet willen inzetten voor KYC-doeleinden: hergebruik van KYC-data wordt mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.

Voor de meeste organisaties is de praktische vraag niet alleen wanneer de deadline valt, maar hoeveel voorbereiding nodig is om eraan te voldoen. Het integreren van de EUDI-wallet in bestaande onboarding-processen, het bijwerken van compliancekaders om nieuwe categorieën trust services te weerspiegelen en ervoor zorgen dat systemen attestaties kunnen verwerken, kost allemaal tijd. Organisaties die nog niet zijn begonnen, doen er goed aan 24 december 2026 en 24 december 2027 als concrete doeldata te beschouwen.

eIDAS 2.0-compliance is geen eenmalig moment, maar een doorlopend proces. De uitvoeringshandelingen die de technische details bepalen worden nog steeds aangevuld en gepubliceerd. Op de hoogte blijven van die ontwikkelingen maakt deel uit van hoe compliance er in de praktijk uitziet. Het verkennen van de beschikbare resources over eIDAS 2.0 kan jouw team helpen geïnformeerd te blijven terwijl het regelgevende beeld zich blijft ontwikkelen.

Hoe de ID Connector van TrustTech aansluit op eIDAS 1.0 en eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

De ID Connector ondersteunt de volgende technische taken die relevant zijn voor de overgang van eIDAS 1.0 naar eIDAS 2.0:

• Verificatie tegen trusted lists: De Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
• Controle van intrekkingsstatus: Per gepresenteerde attestatie wordt de intrekkingsstatus gecontroleerd via de statusinformatie van de uitgever.
• Validatie van de wallet unit attestation: De Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution, als onderdeel van het volledige verificatieproces.
• Bewaking van de geregistreerde attributenscope: Verzoeken worden afgestemd op de scope die de relying party heeft geregistreerd onder CIR (EU) 2025/848, zodat geen attributen buiten de geregistreerde intended use worden opgevraagd.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde walletdata kan worden hergebruikt voor vervolgdiensten, wat onboarding-processen vereenvoudigt zonder dat de gebruiker opnieuw moet beginnen.
• Gekwalificeerd tekenen via een aangesloten QTSP: De Connector maakt het mogelijk een gekwalificeerde elektronische handtekening (QES) tot stand te brengen via een gekwalificeerde vertrouwensdienstverlener, waarbij de identiteit uit de wallet is gekoppeld aan de ondertekening.

De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government, waar de acceptatieplicht onder artikel 5f het meest urgent is en waar de combinatie van identiteitsverificatie, attestaties en gekwalificeerde handtekeningen dagelijks een rol speelt.

Wil je weten wat de ID Connector concreet doet voor jouw situatie? Neem contact op met ons team om de mogelijkheden te bespreken.