eIDAS 2.0 en self-sovereign identity (SSI) zijn gerelateerde maar onderscheiden concepten binnen de digitale identiteitsruimte. eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en een juridisch en technisch kader voor digitale identiteit in Europa vastlegt. SSI is een ontwerpfilosofie die individuen directe controle geeft over hun eigen identiteitsgegevens, zonder afhankelijkheid van een centrale autoriteit. De twee delen gemeenschappelijke waarden rondom gebruikerscontrole en privacy, maar verschillen aanzienlijk in governance, juridische status en implementatie. Dit artikel beantwoordt de belangrijkste vragen die organisaties stellen wanneer ze proberen te begrijpen hoe deze twee benaderingen zich tot elkaar verhouden en wat dat in de praktijk betekent.
Hoe verhouden eIDAS 2.0 en self-sovereign identity zich eigenlijk tot elkaar?
eIDAS 2.0 en self-sovereign identity dekken niet hetzelfde terrein. Verordening (EU) 2024/1183 legt een bindend juridisch en technisch kader voor digitale identiteit in Europa vast. SSI is een architecturale en filosofische benadering van identiteit die individuele controle en decentralisatie vooropstelt. De twee overlappen in hun gedeelde nadruk op gebruikersgestuurde gegevens en privacy, maar eIDAS 2.0 opereert binnen een door de overheid beheerd vertrouwensmodel, terwijl SSI traditioneel een wereld zonder centrale autoriteiten voor ogen heeft.
In de praktijk maakt eIDAS 2.0 sterk gebruik van door SSI beïnvloede concepten, met name het gebruik van attestaties en gedecentraliseerde identifiers. Dit betekent dat organisaties die bouwen aan eIDAS 2.0-compliance technologie zullen tegenkomen die geworteld is in de SSI-beweging. Inzicht in SSI biedt teams daarom een nuttige conceptuele basis voor het begrijpen van wat eIDAS 2.0 technisch probeert te bereiken, ook al zien de regelgevings- en governancelagen er heel anders uit.
Wat zijn de kernprincipes van self-sovereign identity?
Self-sovereign identity is een model van digitale identiteit waarbij individuen hun eigen identiteitsgegevens beheren en controleren zonder afhankelijk te zijn van een centrale uitgever of tussenpersoon om hen te authenticeren. In plaats van identiteitsinformatie op te slaan in een gecentraliseerde database van een overheid, bank of platform, stelt SSI gebruikers in staat cryptografisch ondertekende attestaties in een persoonlijke wallet te bewaren en deze rechtstreeks te presenteren aan elke partij die ze moet verifiëren.
Het SSI-model is doorgaans gebouwd rond drie kernprincipes:
- Gebruikerscontrole: Individuen beslissen welke informatie ze delen, met wie en wanneer. Geen derde partij kan die gegevens delen of intrekken zonder medeweten van de gebruiker.
- Attestaties: Identiteitsclaims worden uitgegeven als cryptografisch ondertekende digitale documenten die een vertrouwende partij kan verifiëren door de handtekening van de uitgever te controleren tegen een trusted list, de intrekkingsstatus op te vragen en de wallet unit attestation te valideren.
- Decentralisatie: Vertrouwen wordt gevestigd via open standaarden en gedistribueerde registers of ledgers, in plaats van via één enkele vertrouwde autoriteit.
Deze principes zijn deels ontstaan als reactie op de privacyrisico’s en machtsonevenwichten die inherent zijn aan traditionele gecentraliseerde identiteitssystemen, waarbij gebruikers weinig inzicht hebben in hoe hun gegevens worden gebruikt of gedeeld.
Waar sluit eIDAS 2.0 aan bij SSI-principes en waar wijkt het af?
eIDAS 2.0 sluit op drie belangrijke punten aan bij SSI-principes: het vereist door gebruikers beheerde wallets, het gebruikt attestaties als technisch formaat voor identiteitsgegevens, en het verplicht selective disclosure zodat gebruikers alleen het noodzakelijke delen. Dit zijn allemaal kenmerken van SSI-denken toegepast op regelgevingsschaal.
eIDAS 2.0 wijkt echter op één fundamenteel punt af van puur SSI: governance. In het SSI-model wordt vertrouwen gevestigd via open, gedecentraliseerde systemen waarbij geen enkele entiteit de autoriteit heeft. Onder eIDAS 2.0 is vertrouwen geworteld in door de overheid gesteunde certificering. Lidstaten zijn op grond van Verordening (EU) 2024/1183 verplicht wallet solutions beschikbaar te stellen, en alleen officieel erkende uitgevers kunnen attestaties verstrekken die juridisch gewicht hebben. Dit creëert een beheerde vertrouwenshiërarchie die SSI-puristen in strijd achten met het decentralisatieprincipe dat centraal staat in de beweging.
Kortom, eIDAS 2.0 leent de technologie en gebruikerservaring van SSI, maar plaatst deze binnen een gereguleerd, door de overheid verankerd vertrouwenskader. Voor organisaties die actief zijn in gereguleerde sectoren is dit een voordeel, omdat het de juridische zekerheid biedt die puur SSI-systemen momenteel missen.
Maakt de EUDI-wallet gebruik van self-sovereign identity-technologie?
De EUDI-wallet maakt gebruik van technologie die nauw verbonden is met de SSI-beweging, met name attestaties en mechanismen voor selective disclosure. Gebruikers kunnen identiteitsattributen en documenten in hun wallet opslaan, alleen de specifieke gegevens presenteren die een dienst vereist, en dit doen zonder dat de ontvangende partij bij elke verificatie contact hoeft op te nemen met de oorspronkelijke uitgever voor de handtekeningcontrole. Deze technische architectuur is direct geïnspireerd op SSI-standaarden.
De EUDI-wallet is geen pure SSI-implementatie. Het wallet-ecosysteem wordt beheerd door een regelgevend kader waarbij lidstaten op grond van Verordening (EU) 2024/1183 verplicht zijn wallet solutions beschikbaar te stellen aan alle EU-burgers, inwoners en bedrijven. Attestaties worden uitgegeven door officieel erkende autoriteiten. Het vertrouwensmodel is daarmee hybride: SSI-stijl technologie die opereert binnen een door de overheid beheerde infrastructuur, verankerd in nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists.
Verificatie van een gepresenteerde attestatie omvat meer dan het controleren van een cryptografische handtekening. Een relying party controleert de handtekening van de uitgever tegen de relevante nationale trusted list, vraagt de intrekkingsstatus op via statusinformatie van de uitgever, en valideert de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
De vier grootschalige pilotprogramma’s die van april 2023 tot 2025 in heel Europa hebben gelopen, hebben dit hybride model getest in praktijkscenario’s. Het POTENTIAL-consortium piloteerde onder meer overheidsdiensten, het openen van bankrekeningen, SIM-registratie, het mobiele rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. DC4EU testte toepassingen in onderwijs en sociale zekerheid. NOBID richtte zich op betalingen. De verzamelde inzichten helpen de architectuur te verfijnen zodat de wallet veilig en interoperabel werkt in alle lidstaten. In 2025 is een tweede pilotgolf gestart, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
Welke aanpak moeten organisaties implementeren: eIDAS 2.0 of SSI?
Voor de meeste organisaties die in Europa actief zijn, is eIDAS 2.0 geen keuze maar een nalevingsvereiste. Als jouw organisatie EU-burgers bedient of binnen de EU opereert, ben je afhankelijk van jouw sector en situatie verplicht om EUDI-wallets te accepteren en eIDAS-conforme attestaties te erkennen. De vraag is niet óf je met eIDAS 2.0 aan de slag moet, maar hóe je dit effectief doet.
SSI als zelfstandige aanpak blijft relevanter voor organisaties die identiteitsoplossingen verkennen buiten de EU-regelgevingscontext, of voor organisaties die systemen bouwen waarbij geen door de overheid gesteund vertrouwensanker bestaat. Het is ook relevant als ontwerpfilosofie die kan informeren hoe je interne identiteitsinfrastructuur bouwt, zelfs wanneer de naar buiten gerichte laag moet voldoen aan eIDAS 2.0.
De praktische aanbeveling voor de meeste organisaties is om eIDAS 2.0-gereedheid als fundament te bouwen, terwijl systemen worden ontworpen op een manier die compatibel is met SSI-principes. Dit betekent het adopteren van open standaarden voor attestaties, het vanaf het begin ontwerpen voor selective disclosure, en het vermijden van propriëtaire identiteitsarchitecturen die later migratiekosten zullen veroorzaken. Organisaties in de financiële dienstverlening en overheidsdiensten in het bijzonder moeten 24 december 2026 beschouwen als de deadline waarop wallet solutions beschikbaar moeten zijn en publieke instanties genotificeerde EUDI-wallets moeten accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten geldt 24 december 2027 als de datum waarop artikel 5f van Verordening (EU) 2024/1183 van toepassing wordt, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Hoe helpt inzicht in SSI organisaties zich voor te bereiden op eIDAS 2.0?
Inzicht in SSI helpt organisaties zich voor te bereiden op eIDAS 2.0, omdat de twee hetzelfde onderliggende technische vocabulaire delen. Teams die vertrouwd zijn met attestaties, gedecentraliseerde identifiers en selective disclosure, zullen het aanzienlijk gemakkelijker vinden om eIDAS 2.0-tooling te evalueren, de juiste vragen te stellen aan leveranciers en goede architecturale beslissingen te nemen.
Naast de technische laag stimuleert SSI-denken een gebruikersgerichte mindset die direct van toepassing is op eIDAS 2.0-naleving. Verordening (EU) 2024/1183 en de AVG vereisen beide dat organisaties gebruikers zinvolle controle over hun gegevens geven. Daarbij is het belangrijk onderscheid te maken tussen goedkeuring van gegevensdeling in de wallet en toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG: goedkeuring in de wallet is niet automatisch een geldige AVG-grondslag. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Organisaties die dit principe al hebben geïnternaliseerd, zullen betere producten bouwen en minder integratieuitdagingen ondervinden wanneer wallet-gebaseerde identiteit de norm wordt.
Er is ook een strategisch voordeel. De technische standaarden die de SSI-beweging heeft voortgebracht, zijn nu ingebed in de technische architectuur van eIDAS 2.0. De Architecture and Reference Framework (ARF) schrijft credentialformaten voor als mdoc en SD-JWT VC, uitwisselingsprotocollen als OID4VCI voor uitgifte en OID4VP voor presentatie, en het High Assurance Interoperability Profile (HAIP). Organisaties die nu met deze standaarden aan de slag gaan, in plaats van te wachten op regelgevingsdeadlines, zullen beter gepositioneerd zijn om herbruikbare identiteitsinfrastructuur te bouwen die werkt in meerdere regelgevingscontexten.
Daarnaast geldt voor relying parties dat zij zich onder CIR (EU) 2025/848 moeten registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij walletdata kunnen opvragen. Bij die registratie leggen zij per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Vroeg inzicht in deze vereisten voorkomt dat systemen later moeten worden herontworpen.
Voor organisaties in de gezondheidszorg en life sciences is dit bijzonder relevant. Identiteitsverificatie in die sectoren moet voldoen aan meerdere overlappende regelgevingsvereisten, waaronder artikel 9 AVG voor gezondheidsgegevens. Een door SSI geïnformeerde aanpak van eIDAS 2.0-implementatie biedt een flexibel fundament dat zich kan aanpassen naarmate regelgeving evolueert.
- Begin met de standaarden: Maak je team vertrouwd met de ARF, de credentialformaten mdoc en SD-JWT VC, en het eIDAS 2.0 Architecture and Reference Framework.
- Auditeer je huidige identiteitsstromen: Identificeer waar gebruikers zich momenteel verifiëren en waar die stromen wallet-gebaseerde attestaties moeten accepteren.
- Ontwerp voor selective disclosure: Bouw systemen die alleen de minimaal noodzakelijke gegevens opvragen, zowel als privacybeste praktijk als als nalevingsvereiste.
- Volg de pilotuitkomsten: De uitkomsten van de grootschalige pilotprogramma’s bevatten praktijklessen over interoperabiliteit en gebruikerservaring die waardevol zijn voordat je begint te bouwen.
- Plan voor interoperabiliteit: Zorg ervoor dat jouw identiteitsinfrastructuur kan samenwerken met wallet solutions en attestaties uit meerdere lidstaten, niet alleen jouw eigen land.
Hoe TrustTech helpt met eIDAS 2.0 en self-sovereign identity
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt concreet:
- Verificatie tegen trusted lists: de handtekening van de uitgever wordt gecontroleerd tegen de relevante nationale trusted list en de EU List of Trusted Lists
- Controle van intrekkingsstatus: statusinformatie van de uitgever wordt geraadpleegd als onderdeel van het verificatieproces
- Validatie van de wallet unit attestation: de ID Connector stelt vast dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope: verzoeken worden afgestemd op de scope die is vastgelegd bij registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata: eenmalig geverifieerde gegevens worden hergebruikt bij vervolginteracties, zonder dat de gebruiker opnieuw hoeft te presenteren
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector maakt het mogelijk een gekwalificeerde elektronische handtekening tot stand te brengen via een gekwalificeerde vertrouwensdienstverlener, identiteitsgebonden en volledig auditeerbaar
De ID Connector is relevant voor financiële dienstverleners die moeten voldoen aan de acceptatieplicht onder artikel 5f, voor zorginstellingen en farmaciebedrijven die werken met gezondheidsattestaties onder meerdere overlappende regelgevingsvereisten, en voor overheidsorganisaties die vóór 24 december 2026 klaar moeten zijn om genotificeerde EUDI-wallets te accepteren.
Verken onze identiteitsoplossingen of neem contact op om te bespreken wat de ID Connector concreet voor jouw situatie doet.