Wat zijn de sancties voor niet-naleving van eIDAS 2.0?

eIDAS 2.0 definieert geen enkel vast boetebedrag. Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, verplicht elke EU-lidstaat zijn eigen handhavingsregels en sancties op te stellen, die effectief, proportioneel en afschrikwekkend moeten zijn. In de praktijk betekent dit dat sancties per land verschillen, maar kunnen bestaan uit aanzienlijke financiële boetes, schorsing van de status als gekwalificeerde vertrouwensdienstverlener en operationele beperkingen. De verordening legt reële verplichtingen op aan een breed scala aan organisaties, en niet-naleving brengt een aanzienlijk bedrijfsrisico met zich mee. Hieronder bespreken we de belangrijkste vragen die organisaties stellen over de handhaving van eIDAS 2.0.

Welke organisaties vallen onder de handhaving van eIDAS 2.0?

eIDAS 2.0 is van toepassing op een breed scala aan publieke en private organisaties die actief zijn binnen de EU. Dit omvat gekwalificeerde vertrouwensdienstverleners (QTSP’s), uitgevers van wallet solutions, relying parties die de EUDI-wallet accepteren, en overheidsinstanties die digitale diensten aanbieden. Elke organisatie die binnen de EU elektronische identificatie, digitale handtekeningen of vertrouwde gegevensuitwisseling verwerkt, valt binnen het toepassingsgebied.

Het toepassingsgebied is breder dan veel organisaties verwachten. Onder artikel 5f van Verordening (EU) 2024/1183 worden private bedrijven in aangewezen gereguleerde sectoren, waaronder bankwezen, financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, verplicht de EUDI-wallet te accepteren voor identiteitsverificatie, maar uitsluitend in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn van deze acceptatieplicht uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De acceptatieplicht voor de private sector treedt in werking op 24 december 2027. Dit maakt betrokken organisaties tot relying parties onder de verordening, wat gepaard gaat met een eigen set nalevingsverplichtingen, waaronder registratie bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025 voordat wallet-attestaties kunnen worden opgevraagd.

Lidstaten moeten uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit betekent dat nationale overheden en publieke dienstverleners direct verantwoordelijk zijn voor naleving van die deadline. Volledig functionele interoperabiliteit in de gehele EU volgt niet automatisch op die datum; dat is een implementatietraject dat daarna verdergaat.

Organisaties die vertrouwensdiensten verlenen, zoals elektronische handtekeningen, elektronische zegels, tijdstempeling of authenticatiecertificaten voor websites, moeten voldoen aan specifieke technische en organisatorische vereisten om een gekwalificeerde status te verkrijgen of te behouden. Het verliezen van die status, of het niet voldoen aan de voorwaarden om deze te verkrijgen, is op zichzelf al een regelgevende consequentie met directe operationele impact.

Welke soorten overtredingen leiden tot sancties onder eIDAS 2.0?

Sancties onder eIDAS 2.0 worden uitgelokt door het niet voldoen aan de kernvereisten van de verordening. De meest voorkomende categorieën van overtredingen zijn het niet naleven van beveiligingsverplichtingen, het verstrekken van onjuiste of misleidende informatie aan toezichthoudende instanties, het opereren als gekwalificeerde vertrouwensdienstverlener zonder de juiste certificering, en het niet tijdig melden van beveiligingsincidenten aan de autoriteiten.

Meer specifiek kunnen overtredingen in de volgende categorieën vallen:

• Beveiligings- en technische tekortkomingen: Niet voldoen aan de vereiste beveiligingsnormen voor vertrouwensdiensten of wallet-infrastructuur
• Niet-melding of te late melding: Het niet melden van beveiligingsincidenten of inbreuken aan de relevante toezichthoudende instantie binnen de vereiste termijn
• Valse voorstelling van gekwalificeerde status: Aanspraak maken op gekwalificeerde status zonder aan de voorwaarden te voldoen, of vertrouwensmerken onjuist gebruiken
• Niet-acceptatie van de EUDI-wallet: Relying parties in aangewezen sectoren die weigeren de wallet te accepteren waar acceptatie verplicht is
• Schendingen van gegevensbescherming: Inbreuk maken op de privacy- en gegevensminimalisatieprincipes die in de verordening zijn verankerd, die vaak overlappen met AVG-verplichtingen

eIDAS 2.0 en de AVG zijn nauw met elkaar verbonden. Veel overtredingen met betrekking tot onjuiste verwerking van identiteitsgegevens kunnen tegelijkertijd handhaving onder beide kaders uitlokken, wat het risico vergroot voor organisaties die niet volledig zijn voorbereid. Goedkeuring van een dataverzoek in de wallet is daarbij geen toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.

Hoe worden eIDAS 2.0-sancties vastgesteld en gehandhaafd?

De handhaving van eIDAS 2.0 vindt plaats op nationaal niveau. Elke lidstaat is verplicht een toezichthoudende instantie aan te wijzen die verantwoordelijk is voor het toezicht op gekwalificeerde vertrouwensdienstverleners en het waarborgen van naleving van de verordening. Deze instanties hebben de bevoegdheid om organisaties te auditen, waarschuwingen uit te geven, de gekwalificeerde status te schorsen en financiële sancties op te leggen. De verordening vereist dat sancties effectief, proportioneel en afschrikwekkend zijn, maar laat de specifieke bedragen over aan de nationale wetgevers.

Dit betekent dat de sanctie waarmee je te maken krijgt, sterk afhankelijk is van het land waarin je actief bent of geregistreerd staat. Sommige lidstaten hebben al gedetailleerde handhavingskaders vastgesteld, terwijl andere nog bezig zijn deze te ontwikkelen. Organisaties die in meerdere EU-landen actief zijn, moeten begrijpen dat zij mogelijk onder het toezicht van meer dan één toezichthoudende autoriteit vallen.

Het handhavingsproces volgt doorgaans een gestructureerd pad. Toezichthoudende instanties kunnen routineaudits uitvoeren, reageren op klachten of handelen op basis van inbreuknotificaties. Als een overtreding wordt vastgesteld, krijgt de organisatie gewoonlijk de gelegenheid om te reageren voordat formele sancties worden opgelegd. In gevallen van ernstige of herhaalde niet-naleving kunnen autoriteiten echter sneller optreden, inclusief het schorsen van de gekwalificeerde status van een aanbieder in afwachting van onderzoek.

Wat zijn de financiële en operationele gevolgen van niet-naleving?

De financiële gevolgen van niet-naleving van eIDAS 2.0 variëren per lidstaat, maar kunnen aanzienlijk zijn. Naast directe boetes riskeren organisaties het verlies van hun status als gekwalificeerde vertrouwensdienstverlener, wat de kernactiviteiten die afhankelijk zijn van die certificering effectief kan stilleggen. Voor organisaties in financiële dienstverlening of andere gereguleerde sectoren kan dit cascadeeffecten hebben op vergunningen, contracten en klantrelaties.

De operationele gevolgen zijn vaak directer verstorend dan de boetes zelf. Overweeg wat er kan gebeuren wanneer naleving tekortschiet:

1. Verlies van gekwalificeerde status: Een QTSP die zijn gekwalificeerde aanduiding verliest, kan geen gekwalificeerde elektronische handtekeningen of zegels meer afgeven, wat contracten ongeldig kan maken, digitale werkstromen kan verstoren en klantverloop kan veroorzaken.
2. Reputatieschade: Toezichthoudende instanties zijn verplicht informatie over niet-conforme aanbieders te publiceren op trusted lists. Verwijderd of gemarkeerd worden op een trusted list is openbaar zichtbaar en beschadigt het vertrouwen bij klanten en partners.
3. Dienstonderbreking: In ernstige gevallen kunnen toezichthoudende instanties een organisatie verplichten bepaalde diensten te staken totdat de naleving is hersteld.
4. Verhoogd toezicht: Organisaties die onderwerp zijn geweest van handhavingsmaatregelen worden vaak geconfronteerd met frequentere audits en strenger toezicht in de toekomst.
5. AVG-overlap: Wanneer eIDAS-overtredingen persoonsgegevens betreffen, kan AVG-handhaving volgen, wat mogelijk boetes toevoegt van maximaal 4% van de wereldwijde jaarlijkse omzet onder dat afzonderlijke kader.

Voor organisaties in de publieke sector en de gezondheidszorg zijn de gevolgen bijzonder groot, omdat identiteits- en vertrouwensdiensten vaak direct gekoppeld zijn aan kritieke dienstverlening. Voor gezondheidsgegevens geldt bovendien dat naast een AVG-grondslag onder artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG aanwezig moet zijn.

Hoe kunnen organisaties hun nalevingsrisico onder eIDAS 2.0 verminderen?

Het verminderen van het nalevingsrisico onder eIDAS 2.0 begint met een goed begrip van waar jouw organisatie precies staat binnen het toepassingsgebied van de verordening. Of je nu een vertrouwensdienstverlener, een relying party of een wallet-uitgever bent, de verplichtingen verschillen, en dat geldt ook voor de juiste nalevingsaanpak. Naleving werkt het beste als een voortdurende operationele discipline, geen eenmalige certificeringsoefening.

Praktische stappen die organisaties kunnen nemen zijn:

• Het in kaart brengen van jouw huidige digitale identiteits- en vertrouwensdienstactiviteiten ten opzichte van de eIDAS 2.0-vereisten om hiaten te identificeren
• Het herzien van jouw beveiligingsarchitectuur en procedures voor incidentrespons om te voldoen aan meldings- en rapportageverplichtingen bij inbreuken
• Vroegtijdig contact opnemen met jouw nationale toezichthoudende instantie om lokale handhavingsprioriteiten en tijdlijnen te begrijpen
• Jouw systemen voorbereiden om EUDI-wallet-attestaties te accepteren en te verifiëren als jouw sector is aangewezen als verplichte relying party, inclusief registratie op grond van CIR (EU) 2025/848
• Jouw eIDAS 2.0-nalevingsprogramma afstemmen op jouw AVG-verplichtingen om dubbele blootstelling te vermijden

Organisaties die eIDAS 2.0 proactief benaderen, staan doorgaans veel sterker. De verordening biedt ook een kans om meer vertrouwde, efficiënte en interoperabele digitale diensten op te bouwen, maar die voordelen realiseer je alleen als de nalevingsbasis op orde is. Je kunt praktische richtlijnen en hulpmiddelen verkennen om jouw organisatie op weg te helpen.

Hoe helpt TrustTech bij eIDAS 2.0-naleving

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

• Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, volgens ETSI TS 119 612
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet instance op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde intended use worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata voor onboarding en doorlopende authenticatie
• Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening tot stand komt bij de betreffende gekwalificeerde vertrouwensdienstverlener

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die vóór 24 december 2026 of 24 december 2027 aantoonbaar moeten kunnen omgaan met EUDI-wallet-presentaties in hun digitale processen.

Neem contact op met ons team om te bespreken welke wallet-attestaties jouw organisatie nodig heeft en hoe de ID Connector aansluit op jouw bestaande infrastructuur.