eIDAS 2.0 definieert geen enkel vast boetebedrag. In plaats daarvan stelt het een kader vast dat elke EU-lidstaat verplicht zijn eigen handhavingsregels en sancties op te stellen, die effectief, proportioneel en afschrikwekkend moeten zijn. In de praktijk betekent dit dat boetes per land verschillen, maar kunnen bestaan uit aanzienlijke financiële boetes, schorsing van de status als vertrouwensdienstverlener en operationele beperkingen. De verordening legt reële verplichtingen op aan een breed scala aan organisaties, en niet-naleving brengt een aanzienlijk bedrijfsrisico met zich mee. Hieronder bespreken we de belangrijkste vragen die organisaties stellen over de handhaving van eIDAS 2.0.

Welke organisaties vallen onder de handhaving van eIDAS 2.0?

eIDAS 2.0 is van toepassing op een breed scala aan publieke en private organisaties die actief zijn binnen de EU. Dit omvat gekwalificeerde vertrouwensdienstverleners (QTSP’s), uitgevers van identiteitswallets, vertrouwende partijen die de Europese Digitale Identiteitsportemonnee (EUDI Wallet) accepteren, en overheidsinstanties die digitale diensten aanbieden. Elke organisatie die binnen de EU elektronische identificatie, digitale handtekeningen of vertrouwde gegevensuitwisseling verwerkt, valt binnen het toepassingsgebied.

Het toepassingsgebied is breder dan veel organisaties verwachten. Onder eIDAS 2.0 worden private bedrijven in sectoren zoals bankwezen, verzekeringen, gezondheidszorg en telecommunicatie in toenemende mate verplicht de EUDI Wallet te accepteren voor identiteitsverificatie. Dit maakt hen tot vertrouwende partijen onder de verordening, wat gepaard gaat met een eigen set nalevingsverplichtingen. Lidstaten moeten ook wallets aan alle burgers en inwoners verstrekken, wat betekent dat nationale overheden eveneens direct verantwoordelijk zijn.

Organisaties die vertrouwensdiensten verlenen, zoals elektronische handtekeningen, elektronische zegels, tijdstempeling of authenticatiecertificaten voor websites, moeten voldoen aan specifieke technische en organisatorische vereisten om een gekwalificeerde status te verkrijgen of te behouden. Het verliezen van die status, of het niet voldoen aan de voorwaarden om deze te verkrijgen, is op zichzelf al een vorm van regelgevende consequentie met een reële operationele impact.

Welke soorten overtredingen leiden tot sancties onder eIDAS 2.0?

Sancties onder eIDAS 2.0 worden uitgelokt door het niet voldoen aan de kernvereisten van de verordening. De meest voorkomende categorieën van overtredingen zijn het niet naleven van beveiligingsverplichtingen, het verstrekken van onjuiste of misleidende informatie aan toezichthoudende instanties, het opereren als gekwalificeerde vertrouwensdienstverlener zonder de juiste certificering, en het niet tijdig melden van beveiligingsincidenten aan de autoriteiten.

Meer specifiek kunnen overtredingen in de volgende categorieën vallen:

• Beveiligings- en technische tekortkomingen: Niet voldoen aan de vereiste beveiligingsnormen voor vertrouwensdiensten of wallet-infrastructuur
• Niet-melding of te late melding: Het niet melden van beveiligingsincidenten of -inbreuken aan de relevante toezichthoudende instantie binnen de vereiste termijn
• Valse voorstelling van gekwalificeerde status: Aanspraak maken op gekwalificeerde status zonder aan de voorwaarden te voldoen of vertrouwensmerken onjuist gebruiken
• Niet-acceptatie van de EUDI Wallet: Vertrouwende partijen in aangewezen sectoren die weigeren de wallet te accepteren waar acceptatie verplicht is
• Schendingen van gegevensbescherming: Inbreuk maken op de privacy- en gegevensminimalisatieprincipes die in de verordening zijn verankerd, die vaak overlappen met AVG-verplichtingen

Het is vermeldenswaard dat eIDAS 2.0 en de AVG nauw met elkaar verbonden zijn. Veel overtredingen met betrekking tot onjuiste verwerking van identiteitsgegevens kunnen tegelijkertijd handhaving onder beide kaders uitlokken, wat het risico vergroot voor organisaties die niet volledig zijn voorbereid.

Hoe worden eIDAS 2.0-sancties vastgesteld en gehandhaafd?

De handhaving van eIDAS 2.0 vindt plaats op nationaal niveau. Elke lidstaat is verplicht een toezichthoudende instantie aan te wijzen die verantwoordelijk is voor het toezicht op gekwalificeerde vertrouwensdienstverleners en het waarborgen van naleving van de verordening. Deze instanties hebben de bevoegdheid om organisaties te auditen, waarschuwingen uit te geven, de gekwalificeerde status te schorsen en financiële sancties op te leggen. De verordening vereist dat sancties effectief, proportioneel en afschrikwekkend zijn, maar laat de specifieke bedragen over aan de nationale wetgevers.

Dit betekent dat de sanctie waarmee u te maken krijgt, sterk afhankelijk is van het land waarin u actief bent of geregistreerd staat. Sommige lidstaten hebben al gedetailleerde handhavingskaders vastgesteld, terwijl andere nog bezig zijn deze te ontwikkelen. Organisaties die in meerdere EU-landen actief zijn, moeten begrijpen dat zij mogelijk onder het toezicht van meer dan één toezichthoudende autoriteit vallen.

Het handhavingsproces volgt doorgaans een gestructureerd pad. Toezichthoudende instanties kunnen routineaudits uitvoeren, reageren op klachten of handelen op basis van inbreuknotificaties. Als een overtreding wordt vastgesteld, krijgt de organisatie gewoonlijk de gelegenheid om te reageren voordat formele sancties worden opgelegd. In gevallen van ernstige of herhaalde niet-naleving kunnen autoriteiten echter sneller optreden, inclusief het schorsen van de gekwalificeerde status van een aanbieder in afwachting van onderzoek.

Wat zijn de financiële en operationele gevolgen van niet-naleving?

De financiële gevolgen van niet-naleving van eIDAS 2.0 variëren per lidstaat, maar kunnen aanzienlijk zijn. Naast directe boetes riskeren organisaties het verlies van hun status als gekwalificeerde vertrouwensdienstverlener, wat de kernactiviteiten die afhankelijk zijn van die certificering effectief kan stilleggen. Voor organisaties in financiële dienstverlening of andere gereguleerde sectoren kan dit cascadeeffecten hebben op vergunningen, contracten en klantrelaties.

De operationele gevolgen zijn vaak directer verstorend dan de boetes zelf. Overweeg wat er kan gebeuren wanneer naleving tekortschiet:

1. Verlies van gekwalificeerde status: Een QTSP die zijn gekwalificeerde aanduiding verliest, kan geen gekwalificeerde elektronische handtekeningen of zegels meer afgeven, wat contracten kan ongeldig maken, digitale werkstromen kan verstoren en klantverloop kan veroorzaken.
2. Reputatieschade: Toezichthoudende instanties zijn verplicht informatie over niet-conforme aanbieders te publiceren op vertrouwenslijsten. Verwijderd of gemarkeerd worden op een vertrouwenslijst is openbaar zichtbaar en beschadigt het vertrouwen bij klanten en partners.
3. Dienstonderbreking: In ernstige gevallen kunnen toezichthoudende instanties een organisatie verplichten bepaalde diensten te staken totdat de naleving is hersteld.
4. Verhoogd toezicht: Organisaties die onderwerp zijn geweest van handhavingsmaatregelen worden vaak geconfronteerd met frequentere audits en strenger toezicht in de toekomst.
5. AVG-overlap: Wanneer eIDAS-overtredingen persoonsgegevens betreffen, kan AVG-handhaving volgen, wat mogelijk boetes toevoegt van maximaal 4% van de wereldwijde jaarlijkse omzet onder dat afzonderlijke kader.

Voor organisaties in de publieke sector en de gezondheidszorg zijn de gevolgen bijzonder groot, omdat identiteits- en vertrouwensdiensten vaak direct gekoppeld zijn aan kritieke dienstverlening.

Hoe kunnen organisaties hun nalevingsrisico onder eIDAS 2.0 verminderen?

Het verminderen van het nalevingsrisico onder eIDAS 2.0 begint met een goed begrip van waar uw organisatie precies staat binnen het toepassingsgebied van de verordening. Of u nu een vertrouwensdienstverlener, een vertrouwende partij of een wallet-uitgever bent, de verplichtingen verschillen, en dat geldt ook voor de juiste nalevingsaanpak. De sleutel is naleving te behandelen als een voortdurende operationele discipline in plaats van een eenmalige certificeringsoefening.

Praktische stappen die organisaties kunnen nemen zijn:

• Het in kaart brengen van uw huidige digitale identiteits- en vertrouwensdienstactiviteiten ten opzichte van de eIDAS 2.0-vereisten om hiaten te identificeren
• Het herzien van uw beveiligingsarchitectuur en procedures voor incidentrespons om te voldoen aan meldings- en rapportageverplichtingen bij inbreuken
• Vroegtijdig contact opnemen met uw nationale toezichthoudende instantie om lokale handhavingsprioriteiten en tijdlijnen te begrijpen
• Uw systemen voorbereiden om EUDI Wallet-referenties te accepteren en te verifiëren als uw sector is aangewezen als verplichte vertrouwende partij
• Uw eIDAS 2.0-nalevingsprogramma afstemmen op uw AVG-verplichtingen om dubbele blootstelling te vermijden

Organisaties die eIDAS 2.0 proactief benaderen, in plaats van reactief, staan doorgaans veel sterker. De verordening is niet alleen een nalevingslast; het is ook een kans om meer vertrouwde, efficiënte en interoperabele digitale diensten op te bouwen. U kunt praktische richtlijnen en hulpmiddelen verkennen om uw organisatie op weg te helpen.

Hoe helpt TrustTech bij eIDAS 2.0-naleving

TrustTech helpt organisaties in gereguleerde sectoren hun verplichtingen onder eIDAS 2.0 te begrijpen en de juiste infrastructuur in te richten om daaraan te voldoen. In plaats van organisaties de complexiteit alleen te laten doornavigeren, biedt TrustTech zowel het technische platform als de implementatie-expertise om naleving praktisch en schaalbaar te maken.

Specifiek ondersteunt TrustTech organisaties door:

• Het bieden van eIDAS 2.0-klare infrastructuur voor identiteitsverificatie, verifieerbare referenties en gekwalificeerde digitale handtekeningen
• Het mogelijk maken van herbruikbare, wallet-klare onboardingprocessen die vanaf dag één voldoen aan zowel identiteits- als nalevingsvereisten
• Het ondersteunen van interoperabiliteit met het EUDI Wallet-ecosysteem zodat vertrouwende partijen wallet-referenties veilig kunnen accepteren
• Het leveren van volledige audittrails en cryptografisch geverifieerde records die voldoen aan de vereisten van toezichthoudende instanties
• Het helpen van organisaties in financiën, overheid, gezondheidszorg en andere sectoren om hun digitale identiteitsprocessen af te stemmen op huidige en toekomstige regelgevingsverplichtingen

Of u nu net begint met het beoordelen van uw eIDAS 2.0-blootstelling of klaar bent om een conforme identiteitsinfrastructuur te implementeren, TrustTech kan u helpen met vertrouwen vooruit te gaan. Neem contact op met ons team om uw situatie te bespreken en te ontdekken wat de juiste volgende stap is voor uw organisatie.