eIDAS 2.0 verschilt van de oorspronkelijke eIDAS-verordening voornamelijk doordat het de Europese Digitale Identiteitsportemonnee introduceert, het kader uitbreidt naar private sectordiensten, en nieuwe verplichtingen schept voor lidstaten om interoperabele digitale identiteitsoplossingen aan te bieden aan alle burgers en bedrijven. Waar de oorspronkelijke eIDAS gericht was op wederzijdse erkenning van nationale eID-stelsels en elektronische handtekeningen, bouwt eIDAS 2.0 een veel uitgebreider en door gebruikers gecontroleerd digitaal identiteitsecosysteem in de hele EU.

De oorspronkelijke verordening, van kracht sinds 2016, legde een belangrijke basis maar liet aanzienlijke lacunes in dekking en adoptie. eIDAS 2.0, aangenomen in 2024, pakt die lacunes direct aan en verhoogt de lat voor wat digitale identiteitsinfrastructuur moet leveren. De onderstaande secties behandelen de meest gestelde vragen van organisaties die proberen te begrijpen wat er is veranderd en wat dit voor hen betekent.

Wat veranderde er tussen eIDAS en eIDAS 2.0?

De oorspronkelijke eIDAS-verordening stond EU-lidstaten toe elkaars nationale elektronische ID-stelsels te notificeren en wederzijds te erkennen, maar verplichtte niet elk land er een te maken. Dit leidde tot aanzienlijke verschillen binnen de EU, waarbij sommige lidstaten volwassen eID-oplossingen aanboden en andere nauwelijks iets. eIDAS 2.0 verandert dit fundamenteel door digitale identiteitsvoorziening verplicht te stellen en door een gemeenschappelijke standaard in te voeren die geldt voor zowel de publieke als de private sector.

De belangrijkste verschuivingen van eIDAS naar eIDAS 2.0 kunnen als volgt worden samengevat:

• Verplichte portemonnees: Elke lidstaat moet nu een Europese Digitale Identiteitsportemonnee aanbieden aan burgers, inwoners en bedrijven.
• Inclusie van de private sector: Grote onlineplatforms en dienstverleners zijn verplicht de EUDI Wallet te accepteren voor authenticatie.
• Uitgebreide attribuutuitwisseling: Gebruikers kunnen nu geverifieerde gegevens delen die verder gaan dan identiteit, zoals kwalificaties, vergunningen en gezondheidsgegevens.
• Sterkere gebruikerscontrole: Gebruikers bepalen precies welke gegevens ze delen, met wie en wanneer, waardoor onnodige gegevensverstrekking wordt beperkt.
• Nieuwe categorieën vertrouwensdiensten: eIDAS 2.0 introduceert aanvullende gekwalificeerde vertrouwensdiensten, waaronder elektronische attesteringen van attributen, elektronische archivering en elektronische registers.

Kortom, de oorspronkelijke eIDAS legde een fundament. eIDAS 2.0 bouwt het huis daarbovenop.

Wat is de Europese Digitale Identiteitsportemonnee en waarom werd deze geïntroduceerd?

De Europese Digitale Identiteitsportemonnee (EUDI Wallet) is een beveiligde mobiele applicatie waarmee EU-burgers, inwoners en bedrijven geverifieerde identiteitsgegevens en digitale documenten kunnen opslaan, beheren en delen. Ze kan van alles bevatten, van een nationaal identiteitsbewijs en rijbewijs tot professionele kwalificaties en zorggegevens. Gebruikers delen alleen de informatie die strikt noodzakelijk is voor een bepaalde interactie, waardoor ze volledige controle over hun persoonsgegevens behouden.

De portemonnee werd geïntroduceerd omdat het oorspronkelijke eIDAS-kader een ongelijk landschap opleverde. Niet alle lidstaten bouwden interoperabele eID-systemen, en degenen die dat wel deden, beperkten ze vaak tot gebruik in de publieke sector. Burgers werden herhaaldelijk gevraagd dezelfde gegevens aan verschillende organisaties te bewijzen, elke keer opnieuw van nul af aan beginnend. De EUDI Wallet lost dit op door een enkele, draagbare en universeel erkende identiteitslaag te creëren die werkt over grenzen en sectoren heen.

Vanaf 2026 zijn lidstaten wettelijk verplicht de portemonnee beschikbaar te stellen. Ze kan rechtstreeks door overheden worden uitgegeven of door private entiteiten die officiële erkenning ontvangen. De portemonnee is gebouwd op open-source principes, wat betekent dat de referentie-implementatie openbaar beschikbaar is en lidstaten er hun eigen oplossingen op kunnen ontwikkelen.

Voor organisaties in sectoren zoals financiële dienstverlening of overheid vertegenwoordigt de portemonnee een praktische verschuiving in hoe identiteitsverificatie en onboarding in de nabije toekomst zullen werken.

Hoe breidt eIDAS 2.0 het toepassingsgebied uit voorbij overheidsdiensten?

eIDAS 2.0 breidt het digitale identiteitskader expliciet uit naar private sectordiensten, wat geen kernonderdeel was van de oorspronkelijke verordening. Onder de nieuwe regels moeten grote onlineplatforms, banken, telecombedrijven en andere aangewezen dienstverleners de EUDI Wallet accepteren als middel voor gebruikersauthenticatie. Dit betekent dat digitale identiteit een sectoroverschrijdende infrastructuur wordt, niet alleen een hulpmiddel voor toegang tot overheidsportalen.

De praktische implicaties zijn aanzienlijk. Een persoon zou hun portemonnee kunnen gebruiken om een bankrekening te openen, een simkaart te registreren, toegang te krijgen tot gezondheidszorgdiensten, contracten te ondertekenen of hun leeftijd te verifiëren voor een onlineplatform, allemaal zonder nieuwe accounts aan te maken of documenten herhaaldelijk in te dienen. De grootschalige pilotprogramma’s die in 2023 werden gelanceerd, testten precies deze scenario’s bij meer dan 350 deelnemende entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne.

De pilots onderzochten elf praktijkgerichte gebruiksscenario’s, waaronder het openen van bankrekeningen, toegang tot overheidsdiensten, simkaartregistratie en het delen van onderwijsgegevens. De feedback die tijdens deze pilots werd verzameld, heeft rechtstreeks de technische specificaties en architectuur beïnvloed die ten grondslag liggen aan het definitieve portemonnee-ontwerp.

Voor organisaties in de gezondheidszorg of gereguleerde sectoren betekent deze uitbreiding dat de portemonnee geen ver verwijderd overheidsproject is. Het is een inkomend kanaal waarlangs klanten en patiënten verwachten met u te communiceren.

Wat zijn gekwalificeerde elektronische attesteringen van attributen (QEAA’s)?

Gekwalificeerde elektronische attesteringen van attributen (QEAA’s) zijn een nieuw type vertrouwensdienst dat door eIDAS 2.0 wordt geïntroduceerd. Het zijn digitaal ondertekende verklaringen, afgegeven door een gekwalificeerde vertrouwensdienstverlener, die specifieke kenmerken van een persoon of organisatie bevestigen. Voorbeelden zijn een geverifieerde beroepskwalificatie, een bevestigd adres of een door een werkgever afgegeven referentie. In tegenstelling tot een eenvoudige identiteitsverklaring biedt een QEAA een hoog niveau van juridische en technische zekerheid.

Dit concept bestond niet in het oorspronkelijke eIDAS-kader, dat zich voornamelijk richtte op identiteitsauthenticatie en elektronische handtekeningen. QEAA’s vullen een belangrijke lacune op door organisaties in staat te stellen geverifieerde gegevens te delen en te accepteren die verder gaan dan “wie u bent” naar “waartoe u gekwalificeerd bent” of “wat over u is bevestigd.”

Binnen de EUDI Wallet kunnen gebruikers QEAA’s opslaan naast hun identiteitsdocumenten en ze op verzoek aan vertrouwende partijen presenteren. Een ziekenhuis kan een QEAA afgeven ter bevestiging van de gegevens van een arts. Een universiteit kan er een afgeven ter bevestiging van een diploma. Een overheidsinstantie kan een bedrijfsvergunning bevestigen. Elk van deze attesteringen is cryptografisch verifieerbaar en overdraagbaar over grenzen heen.

Voor compliance-teams en managers digitale transformatie vertegenwoordigen QEAA’s een betekenisvolle verschuiving in hoe geverifieerde gegevens tussen organisaties kunnen stromen, waardoor duplicatie wordt verminderd en het vertrouwen in de uitgewisselde gegevens wordt verbeterd.

Hoe verschillen vertrouwensniveaus en zekerheidsniveaus tussen de twee kaders?

Zowel eIDAS als eIDAS 2.0 gebruiken een drietraps zekerheidsmodel: Laag, Substantieel en Hoog. Deze niveaus beschrijven hoe betrouwbaar een identiteit is geverifieerd voordat deze wordt gebruikt in een transactie. Hoe hoger het zekerheidsniveau, hoe grondiger het identiteitsverificatieproces dat werd gebruikt. Deze structuur blijft consistent tussen de twee kaders, maar eIDAS 2.0 past deze breder toe en koppelt ze aan een breder scala aan gegevens en vertrouwensdiensten.

Onder de oorspronkelijke eIDAS waren zekerheidsniveaus voornamelijk van toepassing op genotificeerde eID-stelsels die werden gebruikt voor toegang tot publieke diensten. Onder eIDAS 2.0 is hetzelfde zekerheidskader nu van toepassing op de EUDI Wallet en op de nieuwe categorieën vertrouwensdiensten, inclusief QEAA’s. Dit betekent dat een vertrouwende partij met juridische zekerheid kan weten welk verificatieniveau ten grondslag ligt aan elke via de portemonnee gepresenteerde referentie.

eIDAS 2.0 introduceert ook meer gedetailleerde technische vereisten voor het bereiken van elk zekerheidsniveau, ondersteund door uitvoeringsverordeningen en het Architecture and Reference Framework (ARF). Dit biedt organisaties duidelijkere richtlijnen over wat ze moeten doen om referenties op een bepaald niveau uit te geven of te accepteren, wat compliance-beslissingen vereenvoudigt.

Voor risico- en beveiligingsprofessionals is de praktische conclusie dat het zekerheidsmodel zelf vertrouwd is, maar dat de toepassing ervan nu veel breder en beter gespecificeerd is dan voorheen.

Wat betekent eIDAS 2.0 voor organisaties die moeten voldoen?

Voor organisaties in gereguleerde sectoren is eIDAS 2.0 geen optionele achtergrondruis. Het introduceert concrete verplichtingen en verandert de verwachtingen die aan digitale identiteitsinfrastructuur worden gesteld. Lidstaten moeten tegen 2026 portemonnees aanbieden. Aangewezen vertrouwende partijen moeten ze accepteren. Vertrouwensdienstverleners moeten voldoen aan bijgewerkte vereisten. Organisaties die digitaal met klanten communiceren, moeten begrijpen hoe de portemonnee past in hun onboarding-, authenticatie- en gegevensdeling-processen.

Het compliance-landschap is ook breder dan eIDAS 2.0 alleen. Organisaties navigeren tegelijkertijd door AVG, AML, KYC, PSD2 en nu de inkomende AMLR-vereisten. eIDAS 2.0 vervangt deze kaders niet, maar heeft raakvlakken met al deze kaders. Een goed ontworpen digitale identiteitsinfrastructuur kan helpen aan vereisten van meerdere regelgevingen tegelijk te voldoen, in plaats van afzonderlijke oplossingen voor elk te bouwen.

Belangrijke acties die organisaties zouden moeten overwegen:

1. Beoordeel uw huidige identiteitsinfrastructuur aan de hand van eIDAS 2.0-vereisten en identificeer lacunes in zekerheidsniveaus, interoperabiliteit en attribuutverwerking.
2. Breng uw klantreizen in kaart om te begrijpen waar de EUDI Wallet relevant zal zijn, van onboarding en authenticatie tot toestemming en ondertekening.
3. Neem deel aan portemonnee-pilots en technische specificaties om te begrijpen hoe uw sectorspecifieke gebruiksscenario’s worden aangepakt in het Architecture and Reference Framework.
4. Plan voor herbruikbare identiteitsstromen zodat zodra een klant eenmaal is geverifieerd, die verificatie vertrouwd en hergebruikt kan worden bij alle interacties.
5. Stem compliance- en technologieteams op elkaar af zodat regelgevingsvereisten en technische implementatiebeslissingen samen worden genomen, niet afzonderlijk.

Organisaties die nu beginnen met voorbereiden, zijn beter gepositioneerd om de deadline van 2026 te halen en te profiteren van snellere, meer vertrouwde digitale interacties met hun klanten. U kunt praktische hulpbronnen verkennen ter ondersteuning van uw voorbereiding.

Hoe helpt TrustTech organisaties bij het navigeren door eIDAS 2.0

De verschillen begrijpen tussen eIDAS en eIDAS 2.0 is één ding. Dat vertalen naar een werkende implementatie is een ander. TrustTech ondersteunt organisaties in gereguleerde sectoren om deze overgang praktisch en beheersbaar te maken.

Door samen te werken met TrustTech kunnen organisaties:

• EUDI Wallet-klare identiteitsstromen bouwen die verificatie, kwalificatie en ondertekening in één vertrouwd proces verbinden
• Herbruikbare KYC- en compliance-controles mogelijk maken zodat klanten eenmalig verifiëren en die verificatie overal waar nodig wordt geaccepteerd
• Gekwalificeerde elektronische attesteringen van attributen uitgeven en accepteren, ter ondersteuning van zowel interne als organisatie-overschrijdende gegevensuitwisseling
• Digitale identiteitsinfrastructuur afstemmen op eIDAS 2.0, AVG, AML en sectorspecifieke vereisten in één coherente aanpak
• Onboarding-wrijving en uitvalpercentages verminderen terwijl wordt voldaan aan de hoogste zekerheidsniveaus die door regelgeving worden vereist

Het platform van TrustTech bevindt zich tussen de partijen die met elkaar moeten communiceren, zonder een van hen te bezitten, waardoor het een neutrale en vertrouwde laag vormt voor identiteit, kwalificatie en ondertekening. Of u nu actief bent in financiën, overheid, gezondheidszorg of een andere gereguleerde sector, de TrustTech-aanpak is gebouwd om bij uw context te passen.

Klaar om te begrijpen wat eIDAS 2.0 specifiek betekent voor uw organisatie? Neem contact op met TrustTech en start het gesprek.