Wanneer treedt eIDAS 2.0 in werking?

eIDAS 2.0 trad in werking op 20 mei 2024, toen Verordening (EU) 2024/1183 werd gepubliceerd in het Publicatieblad van de Europese Unie. Lidstaten hebben tot 24 december 2026 de tijd om Europese Digitale Identiteitswallets (EUDI-wallets) beschikbaar te stellen aan hun burgers, inwoners en bedrijven. Voor de meeste organisaties betekent dit dat het voorbereidingsvenster al open is en de klok tikt.

Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en hervormt fundamenteel hoe digitale identiteit in heel Europa werkt, wie daarvoor verantwoordelijk is en welke sectoren deze moeten accepteren. Dit artikel bespreekt de belangrijkste vragen die organisaties op dit moment stellen.

Wat is er veranderd ten opzichte van de oorspronkelijke eIDAS-verordening?

De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, creëerde een kader waarmee EU-lidstaten elkaars nationale elektronische ID-systemen konden notificeren en erkennen. Vanaf 2018 moest elk genotificeerd stelsel door de hele EU worden geaccepteerd. Deelname was echter vrijwillig. Er was geen verplichting voor elk land om een eID te creëren en geen vereiste voor private organisaties om deze te accepteren. Het resultaat was een gefragmenteerd landschap met aanzienlijke verschillen tussen lidstaten.

Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en pakt deze tekortkomingen direct aan. De belangrijkste wijzigingen zijn:

• Universele beschikbaarheid: Elke lidstaat moet nu een EUDI-wallet aanbieden aan alle burgers, inwoners en bedrijven die dat willen.
• Inclusie van de private sector: Voor het eerst strekt de verordening zich uit tot private organisaties. Gereguleerde private partijen in aangewezen sectoren zijn op grond van artikel 5f verplicht de EUDI-wallet te accepteren wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
• Gebruikerscontrole en privacy: Gebruikers van de wallet bepalen via selective disclosure precies welke gegevens ze delen en met wie. Alleen de minimaal noodzakelijke informatie wordt vrijgegeven, waardoor het risico op persoonlijke profilering afneemt. Walletgebruik is vrijwillig: artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
• Uitgebreide trust services: Nieuwe gekwalificeerde trust services zijn toegevoegd, waaronder elektronische archivering, elektronische grootboeken en ondertekening op afstand, waardoor de reikwijdte van wat onder de verordening valt wordt vergroot.
• Interoperabiliteit by design: Het Architecture and Reference Framework (ARF) stelt gemeenschappelijke technische standaarden vast zodat wallets grensoverschrijdend en sectoroverschrijdend werken zonder extra integratiewerkzaamheden.

Kortom, de verordening maakt de overgang van een vrijwillig, op de overheid gericht kader naar een verplichte, sectoroverschrijdende digitale identiteitsinfrastructuur. De EUDI-wallet is de meest zichtbare uitdrukking van deze verschuiving.

Wat zijn de belangrijkste implementatiedeadlines van eIDAS 2.0?

De implementatietijdlijn van eIDAS 2.0 verloopt in fasen. De verordening trad in werking op 20 mei 2024. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen startten de relevante 24-maandentermijn voor wallet-uitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners (QTSP’s). Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, met de regels voor registratie van wallet-relying parties bij de bevoegde nationale autoriteit.

De belangrijkste data om in gedachten te houden zijn:

1. 20 mei 2024: Inwerkingtreding van Verordening (EU) 2024/1183 na publicatie in het Publicatieblad van de EU.
2. Eind 2024: De eerste vijf kernuitvoeringshandelingen werden aangenomen, met technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels. Deze startten de 24-maandentermijn voor wallet-uitgifte.
3. 2025: Een tweede golf uitvoeringshandelingen werd gepubliceerd, onder andere over gekwalificeerde vertrouwensdienstverleners en validatie. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking over registratie van relying parties.
4. 24 december 2026: Lidstaten moeten EUDI-wallets beschikbaar stellen aan alle burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit is een deadline voor notificatie en uitgifte, geen voorspelde lanceringsdatum en evenmin het moment waarop volledige functionele interoperabiliteit in de hele EU automatisch bestaat.
5. Juli 2027: De Anti-Money Laundering Regulation (AMLR) wordt van toepassing. Dit is een afzonderlijk traject dat raakvlakken heeft met identiteitsverificatie, maar losstaat van de acceptatieplicht uit eIDAS 2.0 zelf.
6. 24 december 2027: De acceptatieplicht voor gereguleerde private partijen in aangewezen sectoren gaat in op grond van artikel 5f van de verordening. Deze verplichting geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd.
7. Doorlopend: Uitvoeringshandelingen met specifieke technische en procedurele vereisten worden voortdurend vastgesteld. Organisaties moeten deze volgen zodra ze worden gepubliceerd.

Voor organisaties in gereguleerde sectoren zijn beide deadlines relevant. De datum van 24 december 2026 markeert het moment waarop wallets operationeel worden en publieke acceptatie verplicht is. De datum van 24 december 2027 is de uiterste datum waarop gereguleerde private partijen de EUDI-wallet moeten accepteren op grond van artikel 5f. Veel van de technische en operationele voorbereidingen moeten klaar zijn voordat wallets op grote schaal in gebruik worden genomen.

Welke sectoren worden als eerste door eIDAS 2.0 getroffen?

eIDAS 2.0 heeft gevolgen voor alle sectoren die afhankelijk zijn van digitale identiteitsverificatie, maar sommige hebben eerder en directere verplichtingen dan andere. De acceptatieplicht voor gereguleerde private partijen op grond van artikel 5f geldt voor sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De verplichting voor gereguleerde private partijen geldt wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn van deze acceptatieplicht uitgezonderd.

De vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Ze testten de wallet in meerdere praktijkscenario’s en maakten duidelijk welke sectoren op de voorste linie staan:

• Financiële dienstverlening en bankieren: Het openen van bankrekeningen, sterke klantauthenticatie en KYC-processen zijn allemaal gedekt. Banken en betalingsdienstaanbieders moeten klaar zijn voor de wallet voor onboarding- en authenticatiestromen. Het hergebruik van KYC-gegevens wordt bepaald door AML-regelgeving en sectorale regels, niet door eIDAS 2.0 zelf.
• Overheidsdiensten: Het aanvragen van paspoorten, rijbewijzen, toegang tot sociale zekerheid en het indienen van belastingaangiften behoren tot de geteste gebruiksscenario’s. Publieke organisaties hebben zowel een verplichting om wallets uit te geven als te accepteren.
• Gezondheidszorg: Patiëntidentificatie, receptverificatie en grensoverschrijdende uitwisseling van gezondheidsgegevens zijn belangrijke gebruiksscenario’s. Zorgorganisaties hebben specifieke vereisten rond de verwerking van gevoelige gegevens. Voor gezondheidsgegevens moet naast een AVG-grondslag ook een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
• Telecommunicatie: SIM-registratie en identiteitsverificatie voor mobiele contracten vallen expliciet binnen de reikwijdte, waardoor fraude en administratieve lasten voor operators worden verminderd.
• Onderwijs en sociale zekerheid: Academische diploma’s, beroepskwalificaties en sociale uitkeringen werden getest als in de wallet opgeslagen attestaties die veilig grensoverschrijdend kunnen worden gedeeld. De erkenning van beroepskwalificaties loopt via Richtlijn 2005/36/EG: de wallet kan de gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.

Als jouw organisatie actief is in financiële dienstverlening of een andere sector die momenteel afhankelijk is van identiteitsverificatie als onderdeel van het klanttraject, is eIDAS 2.0 direct relevant voor jouw activiteiten.

Wat moeten organisaties doen vóór de deadlines van 2026 en 2027?

Organisaties moeten hun huidige identiteitsinfrastructuur beoordelen, begrijpen waar acceptatie van de EUDI-wallet verplicht is en beginnen met het integreren van de technische en nalevingswijzigingen voordat wallets op grote schaal worden uitgegeven. Wachten tot wallets live zijn, is te laat. Het voorbereidingswerk omvat technologie, compliance en governance.

In de praktijk betekent dit dat meerdere gebieden parallel worden doorgewerkt. Op technisch vlak moeten organisaties beoordelen of hun huidige onboarding- en authenticatiesystemen wallet-gebaseerde attestaties kunnen accepteren. De EUDI-wallet maakt gebruik van gestandaardiseerde credentialformaten, mdoc en SD-JWT VC, en uitwisselingsprotocollen zoals OID4VP voor presentatie, zoals gedefinieerd in het ARF. Systemen die niet zijn ontworpen met deze standaarden in gedachten, zullen moeten worden bijgewerkt. Verificatie omvat daarbij meer dan het controleren van een cryptografische handtekening: een relying party controleert de handtekening van de uitgever tegen de relevante nationale trusted list, de intrekkingsstatus via statusinformatie van de uitgever, en de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.

Op nalevingsgebied moeten organisaties in kaart brengen welke van hun bestaande processen worden beïnvloed. KYC, AML, sterke klantauthenticatie en leeftijdsverificatie zijn allemaal gebieden waar wallet-gebaseerde identiteit huidige methoden kan vervangen of aanvullen. Begrijpen welke uitvoeringshandelingen van toepassing zijn op jouw sector is een essentiële eerste stap. Elke relying party moet zich bovendien registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 voordat walletdata kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd: een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd. Het is daarbij ook relevant dat de AMLR richting juli 2027 aanstuurt op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde trust services, al betreft dit een afzonderlijk traject naast de acceptatieplicht uit eIDAS 2.0 zelf.

Vanuit een governance-perspectief moeten organisaties duidelijk eigenaarschap toewijzen voor eIDAS 2.0-gereedheid. Complianceteams, juridisch adviseurs, leiders van digitale transformatie en bedrijfseigenaren moeten allemaal betrokken zijn. De juiste implementatieaanpak combineert technische nauwkeurigheid met praktische bedrijfsafstemming.

Belangrijke acties vóór de deadlines van 2026 en 2027 zijn onder meer het herzien van huidige identiteitsverificatieworkflows, het identificeren van hiaten ten opzichte van de eIDAS 2.0-vereisten, het volgen van de tweede pilotgolf die in 2025 is gestart met onder andere WE BUILD en APTITUDE, en het waarborgen dat principes van gegevensminimalisatie zijn ingebouwd in nieuwe of bijgewerkte processen.

Wat gebeurt er als een organisatie de nalevingsdeadlines van eIDAS 2.0 mist?

Het missen van de nalevingsdeadlines van eIDAS 2.0 brengt reëel regelgevend en zakelijk risico met zich mee. Gereguleerde private partijen die op grond van artikel 5f verplicht zijn EUDI-wallets te accepteren maar dit nalaten, kunnen handhavingsmaatregelen ondervinden van nationale toezichthoudende autoriteiten, die verantwoordelijk zijn voor het toezicht op naleving binnen hun lidstaten. Naast formele sancties riskeren niet-conforme organisaties dat ze klanten niet kunnen bedienen die ervoor kiezen hun wallet als primair identificatiemiddel te gebruiken.

De zakelijke gevolgen reiken verder dan regelgevende sancties. Naarmate EUDI-wallets de standaardmanier worden voor burgers om hun identiteit online te bewijzen, zullen organisaties die ze niet kunnen accepteren wrijving in hun klanttrajecten creëren. Relying parties die klaar zijn voor de wallet, bieden snellere en eenvoudigere onboarding. In sectoren zoals bankieren en financiële dienstverlening, waar klantervaring en conversiepercentages nauw verbonden zijn met de snelheid van identiteitsverificatie, heeft het achterlopen op eIDAS 2.0-gereedheid directe commerciële kosten.

Er is ook een privacydimensie. eIDAS 2.0 plaatst gebruikersprivacy en gegevenscontrole centraal. Organisaties die als traag worden beschouwd in het adopteren van privacyvriendelijke identiteitsmethoden, kunnen te maken krijgen met kritiek van zowel klanten als toezichthouders, met name naarmate het bewustzijn van digitale identiteitsrechten onder consumenten groeit.

Het eerlijke beeld is dat de organisaties die het grootste risico lopen, degenen zijn die eIDAS 2.0 nog steeds behandelen als een toekomstige zorg in plaats van een huidige prioriteit. De deadline van 24 december 2026 geldt voor wallet-uitgifte en publieke acceptatie. De deadline van 24 december 2027 geldt voor de acceptatieplicht van gereguleerde private partijen op grond van artikel 5f. Beide data zijn nu al planbaar.

Hoe ondersteunt de ID Connector van TrustTech bij eIDAS 2.0-gereedheid

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Specifiek ondersteunt de ID Connector:

• Verificatie tegen nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat de handtekening van de uitgever van een attestatie correct wordt gevalideerd.
• Controle van intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow naast handtekeningverificatie en wallet unit attestation-validatie.
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution.
• Bewaking van de geregistreerde attributenscope, zodat verzoeken aan de wallet binnen de scope blijven die is vastgelegd bij registratie onder CIR (EU) 2025/848.
• Hergebruik van geverifieerde identiteitsdata binnen de eigen organisatie, waardoor herhaalde identiteitscontroles worden vervangen door één schaalbaar proces.
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de identiteit uit de wallet is gekoppeld aan elke handtekening en een volledig auditspoor beschikbaar is.

De ID Connector is relevant voor financiële dienstverlening, gezondheidszorg, farmacie en overheid: sectoren waar identiteitsverificatie, sterke authenticatie en gekwalificeerde handtekeningen samenkomen in gereguleerde processen. Verken het TrustTech-platform om te zien hoe het past bij jouw context, of neem contact op om jouw eIDAS 2.0-gereedheid vandaag te bespreken.