eIDAS 2.0 is van toepassing op een breed scala aan organisaties die actief zijn in of diensten verlenen aan gebruikers binnen de Europese Unie. Dit omvat overheidsinstanties, financiële instellingen, zorgaanbieders, telecommunicatiebedrijven en elke private organisatie die diensten aanbiedt waarvoor identiteitsverificatie vereist is. De verordening maakt daarbij een duidelijk onderscheid tussen publieke en private verplichtingen, met verschillende deadlines en vereisten per rol. De onderstaande secties beschrijven precies wie er onder valt, welke verplichtingen er gelden en wat de gevolgen van niet-naleving zijn.
Welke soorten organisaties vallen onder eIDAS 2.0?
Verordening (EU) 2024/1183, in de praktijk aangeduid als eIDAS 2.0, wijzigt Verordening (EU) 910/2014 en heeft betrekking op een breed spectrum van organisaties, zowel publiek als privaat, die actief zijn binnen of diensten verlenen aan gebruikers in de Europese Unie. De verordening legt verplichtingen op aan EU-lidstaten, publieke instellingen, verleners van vertrouwensdiensten en een breed scala aan private bedrijven die onlinediensten aanbieden waarvoor identiteitsverificatie of authenticatie vereist is.
Op overheidsniveau zijn alle EU-lidstaten wettelijk verplicht om uiterlijk op 24 december 2026 gecertificeerde EUDI-wallets beschikbaar te stellen voor burgers, inwoners en ondernemingen. Dit betekent dat nationale overheden en hun instanties compatibele wallet-infrastructuur moeten bouwen en onderhouden. Belangrijk daarbij is dat 24 december 2026 de deadline is voor notificatie en uitgifte, maar niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.
Aan de kant van de private sector is de reikwijdte even significant. Organisaties die onder eIDAS 2.0 vallen, zijn onder meer:
- Financiële instellingen zoals banken, verzekeraars en betalingsdienstaanbieders die EUDI-wallets moeten accepteren voor klantregistratie en identiteitsverificatie, op grond van artikel 5f van de verordening
- Zorgorganisaties die patiëntidentiteit, recepten of grensoverschrijdende gezondheidsgegevens verwerken
- Telecommunicatieaanbieders die verplicht zijn om wallet-gebaseerde SIM-registratie en identiteitsverificatie te ondersteunen
- Verleners van vertrouwensdiensten die elektronische handtekeningen, zegels, tijdstempels en andere gekwalificeerde vertrouwensdiensten aanbieden
- Onlineplatforms en dienstverleners die als relying party optreden en geverifieerde attestaties uit wallets moeten accepteren
De verordening introduceert ook het concept van een relying party: elke organisatie die attestaties uit een EUDI-wallet accepteert om een dienst te verlenen. Relying parties moeten zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848 van 6 mei 2025, voordat zij wallet-gebaseerde gegevens kunnen opvragen of verwerken. Per intended use wordt daarbij geregistreerd welke attributen en attestaties worden opgevraagd. Verzoeken buiten deze geregistreerde scope kunnen door de wallet worden geweigerd en kunnen gevolgen hebben voor de registratie. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn uitgezonderd van de acceptatieplicht onder artikel 5f.
Welke specifieke verplichtingen schept eIDAS 2.0 voor bedrijven?
eIDAS 2.0 schept concrete verplichtingen voor bedrijven, afhankelijk van hun rol in het ecosysteem voor digitale identiteit. Als relying party moet een organisatie zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Daarbij registreert een relying party per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Voor gekwalificeerde verleners van vertrouwensdiensten gaan de verplichtingen verder. Zij moeten voldoen aan strenge beveiligingsnormen, conformiteitsbeoordelingen ondergaan en blijvend voldoen aan de bijgewerkte technische specificaties die zijn vastgelegd in de uitvoeringshandelingen van de verordening. Deze hebben betrekking op alles van elektronische handtekeningen en zegels tot elektronische tijdstempels en diensten voor aangetekende bezorging. Een relying party heeft voor walletacceptatie niet automatisch een gekwalificeerde verlener van vertrouwensdiensten nodig. Een dergelijke partij komt onder andere in beeld bij gekwalificeerd tekenen en gekwalificeerde attestaties.
Voor bedrijven in gereguleerde sectoren overlapt eIDAS 2.0 met bestaande kaders zoals de AVG, AML-regelgeving, KYC-vereisten en PSD2. Dit betekent dat naleving geen op zichzelf staande oefening is. Organisaties moeten hun identiteitsinfrastructuur tegelijkertijd afstemmen op meerdere wettelijke vereisten. Een kernbeginsel dat in eIDAS 2.0 is verankerd, is gegevensminimalisatie: bedrijven mogen alleen de identiteitsattributen opvragen die zij daadwerkelijk nodig hebben voor een bepaalde dienst. Meer opvragen dan is geregistreerd, is een overtreding van de verordening. Daarbij geldt dat de goedkeuring van een dataverzoek in de wallet niet hetzelfde is als toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
In de praktijk betekent dit dat veel organisaties hun onboardingprocessen, authenticatiesystemen en gegevensverwerkingsprocessen moeten bijwerken. De digitale identiteitsoplossingen die deze overgang ondersteunen, moeten wallet-gereed zijn en van de grond af zijn opgebouwd rond EU-normen.
Is eIDAS 2.0 van toepassing buiten de Europese Unie?
eIDAS 2.0 is primair van toepassing binnen de Europese Unie, maar heeft reële implicaties voor organisaties buiten de EU als zij diensten verlenen aan EU-gebruikers. Elk niet-EU-bedrijf dat optreedt als relying party en EUDI-walletgegevens accepteert om diensten te verlenen aan EU-burgers of -inwoners, moet voldoen aan de relevante vereisten, waaronder registratie op grond van CIR (EU) 2025/848 en de toepasselijke technische normen.
Dit is vergelijkbaar met de manier waarop de AVG van toepassing is op niet-EU-bedrijven die persoonsgegevens van EU-inwoners verwerken. De bepalende factor is niet waar de organisatie gevestigd is, maar of zij zich richt op of gebruikers in de EU bedient.
Voor organisaties in landen met bestaande bilaterale overeenkomsten of interoperabiliteitsregelingen met de EU kan de situatie evolueren naarmate de verordening volwassener wordt. Attestaties en trust services uit derde landen worden niet automatisch binnen de EU erkend. De kernnalevingsverplichtingen voor niet-EU-entiteiten blijven gekoppeld aan hun actieve rol in het EU-ecosysteem voor digitale identiteit, en niet aan hun geografische locatie.
Hoe verschilt naleving van eIDAS 2.0 per sector?
Naleving van eIDAS 2.0 is geen uniforme vereiste. De specifieke verplichtingen waarmee een organisatie te maken krijgt, zijn sterk afhankelijk van haar sector, haar rol in de digitale identiteitsketen en de aard van de diensten die zij verleent. Hoewel de verordening een gemeenschappelijk kader schept, ziet de praktische uitvoering er per sector heel anders uit.
Financiële dienstverlening en bankwezen
Banken en financiële instellingen hebben te maken met enkele van de meest directe verplichtingen onder eIDAS 2.0. Op grond van artikel 5f van de verordening geldt voor gereguleerde private partijen in deze sector een acceptatieplicht vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Dit raakt aan bestaande KYC- en AML-verplichtingen, wat nalevingscomplexiteit met zich meebrengt en tegelijkertijd een kans creëert om herhaalde identiteitscontroles te stroomlijnen. Hergebruik van KYC-gegevens wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Organisaties in financiële dienstverlening en digitale identiteit moeten zorgvuldig plannen voor deze convergentie.
Overheid en publieke dienstverlening
Overheidsinstanties hebben een dubbele rol: zij zijn zowel uitgevers van identiteitsattributen als relying parties die walletgegevens accepteren. Publieke instanties moeten er uiterlijk op 24 december 2026 voor zorgen dat burgers hun EUDI-wallet kunnen gebruiken om toegang te krijgen tot publieke onlinediensten waarvoor elektronische identificatie vereist is, zoals belastingaangifte, sociale zekerheid en officiële documentaanvragen. Interoperabiliteit tussen lidstaten is een centrale vereiste, wat betekent dat nationale systemen moeten kunnen communiceren met wallets die in andere EU-landen zijn uitgegeven. Organisaties die actief zijn in digitale identiteit voor de overheid moeten plannen voor zowel technische als regelgevende afstemming.
Gezondheidszorg en farmaceutische industrie
Zorgorganisaties moeten identiteitsgegevens met bijzondere zorg behandelen, gezien de gevoeligheid van gezondheidsinformatie. eIDAS 2.0 stelt patiënten in staat om geverifieerde attestaties in hun wallet te bewaren, zoals recepten of vaccinatiebewijzen, en deze grensoverschrijdend te delen. Naleving in deze sector vereist zorgvuldige aandacht voor zowel de eIDAS 2.0-vereisten als regelgeving omtrent gezondheidsgegevens. Voor de verwerking van gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Voor organisaties die actief zijn in gezondheidszorg en identiteitsverificatie opent het wallet-kader nieuwe mogelijkheden voor veilig, patiëntgestuurd gegevens delen.
Wat gebeurt er als een organisatie niet voldoet aan eIDAS 2.0?
Organisaties die niet voldoen aan eIDAS 2.0 lopen een combinatie van juridische, operationele en reputatierisico’s. De verordening werkt rechtstreeks in de EU-rechtsorde en vereist geen nationale uitvoering via afzonderlijke wetgeving. De handhaving wordt op nationaal niveau uitgevoerd door toezichthoudende instanties in elke lidstaat. Niet-conforme verleners van vertrouwensdiensten kunnen hun gekwalificeerde status verliezen, waardoor zij effectief worden verwijderd van de nationale trusted list en hun diensten geen juridische erkenning meer genieten in de EU.
Voor relying parties kan niet-naleving betekenen dat zij niet langer wallet-gebaseerde attestaties kunnen accepteren of verwerken. Naarmate de EUDI-wallet de standaardmethode voor identiteitsverificatie wordt binnen EU-diensten, riskeren organisaties die hun systemen niet hebben aangepast uitgesloten te worden van belangrijke werkprocessen en klanten te verliezen aan concurrenten die dat wel hebben gedaan.
Naast regelgevende sancties is er ook een praktisch bedrijfsrisico. Klanten en partners zullen in toenemende mate wallet-compatibele interacties verwachten. Organisaties die de naleving uitstellen, kunnen later ook hogere implementatiekosten tegenkomen, omdat het aanpassen van verouderde systemen doorgaans duurder en ingrijpender is dan naleving van meet af aan inbouwen.
De boodschap van toezichthouders is duidelijk: naleving van eIDAS 2.0 is niet optioneel, en het venster om je voor te bereiden wordt smaller.
Hoe ondersteunt de ID Connector van TrustTech bij naleving van eIDAS 2.0?
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector voert de volgende technische taken uit die rechtstreeks aansluiten op de nalevingsvereisten uit dit artikel:
- Verificatie tegen nationale trusted lists: de ID Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list, conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van intrekkingsstatus: de ID Connector raadpleegt de statusinformatie van de uitgever om vast te stellen of een attestatie nog geldig is
- Validatie van de wallet unit attestation: de ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope: de ID Connector bewaakt welke attributen en attestaties per intended use zijn geregistreerd, zodat verzoeken binnen de geregistreerde scope blijven
- Hergebruik van geverifieerde identiteitsdata: eenmaal geverifieerde gegevens kunnen worden hergebruikt voor vervolginteracties, wat onboardingprocessen stroomlijnt
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector maakt gekwalificeerde elektronische handtekeningen mogelijk via een gekwalificeerde verlener van vertrouwensdiensten, waarbij de QES tot stand komt bij die QTSP
De ID Connector is relevant voor financiële dienstverleners die per 24 december 2027 moeten voldoen aan de acceptatieplicht onder artikel 5f, voor zorginstellingen die wallet-gebaseerde attestaties willen verwerken en voor overheidsorganisaties die per 24 december 2026 wallet-acceptatie voor publieke onlinediensten moeten realiseren. Neem contact op met TrustTech om te bespreken wat de ID Connector concreet voor jouw organisatie kan betekenen.