Kunnen eIDAS 2.0-wallets buiten de Europese Unie worden gebruikt?

eIDAS 2.0-wallets zijn primair ontworpen voor gebruik binnen de Europese Unie, maar zijn niet strikt beperkt tot de EU-grenzen. De EUDI-wallet werkt overal waar een relying party ervoor kiest deze te accepteren. Niet-EU-diensten en organisaties kunnen technisch integreren met het walletframework, mits zij aan de daarvoor geldende vereisten voldoen. Dit artikel legt uit waar de wallet vandaag de dag werkt, wat Verordening (EU) 2024/1183 zegt over internationaal gebruik en wat organisaties buiten de EU moeten weten.

Waar kan een eIDAS 2.0-wallet vandaag de dag daadwerkelijk worden gebruikt?

Vanaf 24 december 2026 moeten alle EU-lidstaten een genotificeerde EUDI-wallet beschikbaar stellen. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Elke organisatie die kwalificeert als relying party onder het eIDAS 2.0-kader en zich registreert conform CIR (EU) 2025/848 van 6 mei 2025 bij de bevoegde nationale autoriteit van de lidstaat van vestiging, kan walletattestaties opvragen en verifiëren. In de praktijk betekent dit dat de wallet ingezet kan worden voor diensten zoals het openen van een bankrekening, toegang tot overheidsportalen, het plaatsen van een gekwalificeerde elektronische handtekening en het tonen van beroepskwalificaties.

De vier Large Scale Pilots die voorafgingen aan de officiële uitrol, testten de wallet in uiteenlopende scenario’s. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. POTENTIAL testte overheidsdiensten, het openen van een bankrekening, SIM-registratie, mobiele rijbewijzen, gekwalificeerde handtekeningen op afstand en e-recepten. NOBID richtte zich op betalingen en DC4EU op onderwijs en sociale zekerheid. Bij deze pilots waren entiteiten uit meerdere lidstaten betrokken, evenals Noorwegen en IJsland, wat aangeeft dat het gebruik in specifieke testcontexten al verder reikte dan de strikte EU-grenzen. De vier pilots zijn afgerond. In 2025 startte een tweede pilotgolf, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.

Binnen de EU zijn lidstaten op grond van artikel 5a van Verordening (EU) 2024/1183 verplicht de wallet beschikbaar te stellen aan alle burgers, inwoners en bedrijven. De wallet is ontworpen om grensoverschrijdend te werken binnen de EU, zodat een attestatie afgegeven in Duitsland zonder extra handelingen van de gebruiker kan worden geaccepteerd in Portugal of Finland.

Bevat eIDAS 2.0 bepalingen voor gebruik buiten de EU?

Verordening (EU) 2024/1183 bevat geen formeel mechanisme dat walletherkenning automatisch uitbreidt naar niet-EU-landen. De verordening staat de Europese Commissie wel toe gelijkwaardigheidsbesluiten vast te stellen, vergelijkbaar met de wijze waarop de AVG omgaat met gegevensoverdrachten naar derde landen. Op grond van een dergelijk besluit zou het digitale identiteitskader van een niet-EU-land als gelijkwaardig kunnen worden erkend, waardoor grensoverschrijdende erkenning buiten de EU-grenzen mogelijk wordt.

Ten tijde van het schrijven zijn er nog geen gelijkwaardigheidsbesluiten voor digitale identiteitswallets formeel vastgesteld. De architectuur van de EUDI-wallet is gebouwd op open standaarden, waaronder mdoc (ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie), SD-JWT VC, OID4VCI voor uitgifte en OID4VP voor presentatie. Die technische basis maakt internationale interoperabiliteit technisch haalbaar, ook waar juridische erkenning nog ontbreekt. Landen en organisaties die zich afstemmen op diezelfde standaarden zijn beter gepositioneerd om in de toekomst te integreren.

eIDAS 2.0 bepaalt hoe de EU identiteit erkent, niet hoe partijen buiten de EU ervoor kiezen dit te gebruiken. Een niet-EU-dienstverlener is vrij om EUDI-walletattestaties vrijwillig te accepteren, ook zonder een formeel gelijkwaarheidsbesluit, zolang zij technisch verbinding kunnen maken met het walletecosysteem en de gepresenteerde attestaties kunnen verifiëren.

Kunnen niet-EU-landen of diensten EUDI-walletattestaties accepteren?

Ja, niet-EU-landen en diensten kunnen EUDI-walletattestaties accepteren, maar zij zijn hier onder eIDAS 2.0 niet toe verplicht. Acceptatie is volledig vrijwillig voor organisaties buiten de EU. Elke dienstverlener, ongeacht waar deze gevestigd is, kan ervoor kiezen te integreren met het EUDI-walletframework als relying party, mits zij de technische capaciteit heeft om de attestaties te verifiëren.

Voor een niet-EU-organisatie om in de praktijk EUDI-walletattestaties te accepteren, zijn de volgende stappen relevant:

1. De technische standaarden die ten grondslag liggen aan de wallet begrijpen, met name het Architecture and Reference Framework (ARF) ontwikkeld door de eIDAS Expert Group
2. Verificatie-infrastructuur bouwen of integreren die attestaties kan verwerken in de formaten die de wallet ondersteunt, zoals mdoc en SD-JWT VC
3. Verificatie correct inrichten: dit omvat controle van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
4. Ervoor zorgen dat gegevensverwerkingspraktijken in lijn zijn met de AVG wanneer persoonsgegevens van EU-burgers betrokken zijn
5. Gebruikers duidelijk communiceren welke attributen worden opgevraagd en op welke grondslag

In sectoren zoals internationale financiën, grensoverschrijdende gezondheidszorg en wereldwijd onderwijs groeit de interesse in het accepteren van EUDI-walletattestaties omdat deze een hoog betrouwbaarheidsniveau bieden. Een attestatie afgegeven via de EUDI-wallet is cryptografisch verifieerbaar en gekoppeld aan een door de overheid erkende identiteit, wat een stevige basis voor vertrouwen biedt, ook buiten de EU. Volledig offline verificatie is daarbij beperkt mogelijk: alleen de handtekening van de uitgever kan volledig offline worden gecontroleerd. De intrekkingsstatus en de wallet unit attestation vereisen contact met externe bronnen.

Hoe verhoudt eIDAS 2.0 zich tot andere internationale digitale identiteitskaders?

Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en creëert één geharmoniseerd kader voor 27 lidstaten, met verplichte deelname voor publieke diensten en hoge betrouwbaarheidsnormen. Andere regio’s hebben nationale of regionale digitale identiteitsinitiatieven ontwikkeld, maar weinige evenaren de schaal, juridische afdwingbaarheid en interoperabiliteitsambitie van de EUDI-wallet.

Kaders in landen zoals de Verenigde Staten, Canada of Australië zijn doorgaans meer gefragmenteerd, met identiteitssystemen die per staat, provincie of sector variëren. Sommige landen ontwikkelen nationale digitale identiteitswallets die deels geïnspireerd zijn op het EU-model, maar deze blijven afzonderlijke ecosystemen zonder formele interoperabiliteitsovereenkomsten met eIDAS 2.0.

Het Verenigd Koninkrijk heeft na de Brexit een eigen digitaal identiteitskader ontwikkeld onder het UK Digital Identity and Attributes Trust Framework. Dit kader werkt onafhankelijk en erkent EUDI-walletattestaties niet automatisch. Organisaties die zowel in de EU als in het VK actief zijn, moeten beide kaders afzonderlijk in overweging nemen, ook al overlappen de onderliggende technische standaarden gedeeltelijk.

Internationaal werken organisaties zoals de International Organization for Standardization (ISO) en het World Wide Web Consortium (W3C) aan standaarden voor verifieerbare attestaties en mobiele rijbewijzen die zowel eIDAS 2.0 als andere kaders ondersteunen. Deze gedeelde technische basis maakt toekomstige interoperabiliteit haalbaarder, ook waar juridische erkenning nog niet aanwezig is.

Wat moeten organisaties buiten de EU weten over eIDAS 2.0?

Organisaties buiten de EU zijn niet rechtstreeks onderworpen aan de verplichtingen uit Verordening (EU) 2024/1183, maar worden er wel door beïnvloed als zij diensten aanbieden aan EU-inwoners of met door de EU uitgegeven identiteitsgegevens omgaan. Als jouw organisatie EU-burgers toestaat zich te authenticeren, documenten te ondertekenen of identiteitsattributen te delen, moet je mogelijk EUDI-walletattestaties accepteren als onderdeel van je verificatieproces, afhankelijk van hoe de verordening op jouw sector wordt toegepast.

Er zijn verschillende praktische overwegingen voor niet-EU-organisaties:

• De AVG is nog steeds van toepassing: Telkens wanneer je persoonsgegevens van EU-inwoners verwerkt, inclusief identiteitsgegevens uit een EUDI-wallet, gelden de AVG-vereisten ongeacht waar jouw organisatie gevestigd is. Goedkeuring van gegevensdeling in de wallet is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking.
• Sectorspecifieke regels kunnen eIDAS-afstemming vereisen: Gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten zijn op grond van artikel 5f verplicht genotificeerde wallets te accepteren vanaf 24 december 2027, namelijk wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze verplichting uitgezonderd. Voor zeer grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: de verplichting geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
• Registratie als relying party is een voorwaarde: Een relying party moet zich onder CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
• Technische gereedheid is een strategisch voordeel: Organisaties die nu verificatie-infrastructuur bouwen die compatibel is met de walletstandaarden, zijn beter gepositioneerd om EU-klanten en partners te bedienen naarmate de adoptie groeit.
• Gelijkwaardigheidsbesluiten kunnen het beeld veranderen: Als de Europese Commissie het kader van een derde land als gelijkwaardig erkent, wordt grensoverschrijdende erkenning aanzienlijk eenvoudiger. Het is daarom zinvol deze ontwikkelingen te volgen.

Voor organisaties in financiële dienstverlening of gezondheidszorg met enige EU-blootstelling is het begrijpen van het eIDAS 2.0-landschap geen optie. Zelfs waar formele verplichtingen nog niet gelden, verschuiven klantverwachtingen en partnervereisten al. Organisaties die eIDAS 2.0 behandelen als een puur Europese aangelegenheid, lopen het risico onvoorbereid te zijn wanneer hun EU-tegenhangers of klanten walletgebaseerde interacties als standaard verwachten.

Hoe helpt TrustTech met eIDAS 2.0 en internationale digitale identiteit

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die EUDI-walletattestaties willen accepteren, ondersteunt de ID Connector de volgende technische taken:

• Verificatie tegen trusted lists: de ID Connector controleert de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
• Controle van intrekkingsstatus: de ID Connector raadpleegt de statusinformatie van de uitgever om te controleren of een attestatie nog geldig is
• Validatie van de wallet unit attestation: de ID Connector stelt vast dat de presenterende wallet draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope: de ID Connector bewaakt dat alleen attributen worden opgevraagd die zijn vastgelegd in de registratie conform CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata: eenmaal geverifieerde gegevens kunnen worden hergebruikt voor vervolgprocessen, wat herhaalde verificatiestappen vermindert
• Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector maakt het mogelijk een gekwalificeerde elektronische handtekening te plaatsen via een gekwalificeerde verlener van vertrouwensdiensten

De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government die nu of op korte termijn te maken krijgen met walletgebaseerde identificatie en attestatieverificatie. Wil je weten wat de ID Connector concreet betekent voor jouw situatie? Neem contact op met TrustTech en start vandaag nog het gesprek.