Wat zijn de belangrijkste doelen van eIDAS 2.0?

De belangrijkste doelen van eIDAS 2.0 zijn het creëren van een universeel, veilig en interoperabel digitale-identiteitssysteem binnen de Europese Unie. Waar de oorspronkelijke eIDAS-verordening zich voornamelijk richtte op elektronische handtekeningen en digitale identiteit in de publieke sector, breidt Verordening (EU) 2024/1183 die reikwijdte uit naar alle EU-burgers, inwoners en bedrijven, met een sterke nadruk op privacy, grensoverschrijdend gebruik en één digitale wallet die werkt voor zowel publieke als private diensten. De onderstaande secties lichten elk van die doelen toe vanuit juridisch, technisch en praktisch perspectief.

Wat verandert eIDAS 2.0 ten opzichte van de oorspronkelijke eIDAS?

Verordening (EU) 2024/1183 wijzigt Verordening (EU) nr. 910/2014 en breidt de reikwijdte, het bereik en de verplichtingen van het oorspronkelijke kader fundamenteel uit. De oorspronkelijke eIDAS, van kracht sinds 2016, stond EU-lidstaten toe elkaars nationale elektronische ID-systemen te notificeren en te erkennen, maar verplichtte geen enkel land er een te bouwen, en liet de private sector grotendeels buiten beschouwing. eIDAS 2.0 sluit die lacunes door deelname verplicht te stellen en het kader uit te breiden naar private organisaties als relying parties.

De meest ingrijpende structurele verandering is de introductie van de Europese Digitale Identiteitswallet (EUDI-wallet), die elke lidstaat wettelijk verplicht is aan te bieden aan burgers, inwoners en bedrijven vóór 24 december 2026. De oorspronkelijke verordening kende geen equivalent. Naast de wallet verscherpt eIDAS 2.0 ook de regels rond trust services, introduceert het nieuwe categorieën attestaties zoals elektronische attesten van attributen, en brengt het voor het eerst private relying parties binnen het regelgevend kader.

eIDAS 2.0 is daarmee verschoven van een kader voor grensoverschrijdende erkenning naar de fundering voor een volledig interoperabel EU-breed digitale-identiteitsecosysteem. Dat is een verschil in juridische structuur, niet alleen in ambitie.

Wat is de EUDI-wallet en waarom is die centraal in eIDAS 2.0?

De EUDI-wallet is een veilige digitale applicatie waarmee EU-burgers, inwoners en bedrijven hun identiteitsgegevens en persoonlijke documenten kunnen opslaan, beheren en delen. Het is het primaire uitvoeringsmechanisme voor de doelen van eIDAS 2.0, en daarom staat het centraal in de verordening.

De wallet kan een breed scala aan documenten en attestaties bevatten, waaronder nationale identiteitsgegevens, mobiele rijbewijzen, onderwijskwalificaties, ziekteverzekeringskaarten en beroepscertificaten. Via selective disclosure kunnen gebruikers uitsluitend de specifieke informatie delen die een dienst nodig heeft, zoals het bevestigen van hun leeftijd zonder hun geboortedatum te onthullen, of het aantonen van nationaliteit zonder hun volledige adres prijs te geven.

Vanuit regelgevingsperspectief is de wallet van belang omdat het het instrument is waarmee eIDAS 2.0 zijn kernverplichtingen waarmaakt: universele toegang, grensoverschrijdende functionaliteit en gebruikerscontrole. Lidstaten kunnen niet simpelweg verwijzen naar een bestaand nationaal eID en het daarbij laten. Ze moeten een wallet solution aanbieden die voldoet aan de technische en juridische normen die in de verordening en de bijbehorende uitvoeringshandelingen zijn vastgelegd, zodat consistentie binnen de EU gewaarborgd is.

Het is daarbij van belang onderscheid te maken tussen de wallet solution, het gecertificeerde product van de wallet provider, de wallet instance, de app zoals geïnstalleerd op het toestel van een individuele gebruiker, en de wallet unit, de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de sleutels zich bevinden. Privésleutels van PID en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven, niet gekopieerd.

De eerste vier grootschalige pilotprojecten liepen van april 2023 tot 2025 en zijn afgerond. Ze zijn uitgevoerd in 26 lidstaten, Noorwegen, IJsland en Oekraïne, met betrokkenheid van meer dan 350 publieke en private entiteiten. De pilots waren verdeeld over vier consortia met elk een eigen focus: EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity; POTENTIAL op overheidsdiensten, het openen van een bankrekening, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten; NOBID op betalingen; en DC4EU op onderwijs en sociale zekerheid. De opgedane inzichten hebben het definitieve ontwerp, de beveiligingsarchitectuur en de interoperabiliteitsnormen van de wallet beïnvloed. In 2025 is een tweede pilotgolf gestart, met WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.

Hoe wil eIDAS 2.0 burgers meer controle geven over hun persoonlijke gegevens?

eIDAS 2.0 plaatst datasoevereiniteit in het hart van het digitale-identiteitskader. Burgers beslissen welke informatie ze delen, met wie en voor hoe lang. De verordening verbiedt uitdrukkelijk onnodig delen van gegevens: als een dienst alleen hoeft te verifiëren dat een gebruiker ouder is dan 18, deelt de wallet uitsluitend die bevestiging. Leeftijdsbewijs zonder geboortedatum kan worden gerealiseerd via selective disclosure van bijvoorbeeld het attribuut “ouder dan 18”.

Dit pakt een structureel probleem aan met de manier waarop digitale identiteit tot nu toe heeft gefunctioneerd. De meeste online diensten vereisen dat gebruikers accounts aanmaken met volledige persoonsgegevens, of zich authenticeren via grote platformaanbieders die gegevens verzamelen en bewaren voor eigen doeleinden. Gebruikers kunnen via de EUDI-wallet toegang krijgen tot publieke en private diensten zonder te vertrouwen op commerciële identiteitsplatforms en zonder meer persoonsgegevens af te staan dan een transactie werkelijk vereist.

Walletgebruik is vrijwillig. Artikel 5a van de verordening beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken. Wie geen wallet wil, moet alternatieve toegangsmogelijkheden behouden.

Belangrijk is ook het onderscheid tussen goedkeuring van gegevensdeling in de wallet en AVG-toestemming als rechtsgrond. Bij iedere presentatie keurt de gebruiker een afzonderlijk verzoek goed. Die goedkeuring is niet automatisch toestemming in de zin van artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als rechtsgrond relevant zijn. Voor gezondheidsgegevens geldt bovendien een toepasselijke grond uit artikel 9, lid 2, AVG.

De verordening vereist dat gebruikers via de wallet kunnen bijhouden welke gegevens ze hebben gedeeld en met welke organisaties. Dit transactieoverzicht is een functionaliteit voor de gebruiker, geen loggingvoorziening voor de relying party of de wallet provider. Privacy is geen optionele functie, maar een ontwerpvereiste die vanaf de basis in de walletarchitectuur is ingebouwd.

Welke sectoren en gebruiksscenario’s moeten de EUDI-wallet accepteren onder eIDAS 2.0?

Onder eIDAS 2.0 zijn bepaalde categorieën van private en publieke organisaties verplicht de EUDI-wallet te accepteren als geldig identificatiemiddel. Voor publieke instanties geldt deze verplichting vanaf 24 december 2026, voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen geldt artikel 5f vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Relevante sectoren omvatten banken en financiële dienstverleners, zorgaanbieders, telecombedrijven, energiebedrijven, transportbedrijven, onderwijsinstellingen, sociale zekerheidsdiensten, drinkwaterbedrijven, postdiensten, aanbieders van digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen, gedefinieerd als organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn uitgezonderd van de private acceptatieplicht.

Een relying party moet zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging conform CIR (EU) 2025/848 van 6 mei 2025, voordat walletdata kan worden opgevraagd. Per intended use registreert de relying party welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

De grootschalige pilots hebben de wallet getest aan de hand van elf concrete gebruiksscenario’s die de diensten weerspiegelen die Europeanen het meest regelmatig gebruiken:

1. Toegang tot overheidsdiensten, zoals het aanvragen van een paspoort, het indienen van belastingaangifte of het opvragen van sociale zekerheidsgegevens
2. Op afstand een bankrekening openen zonder herhaalde documentindieningen
3. SIM-kaartregistratie om fraude bij mobiele netwerkoperators te verminderen
4. Presenteren van een mobiel rijbewijs in zowel online als fysieke omgevingen
5. Digitaal ondertekenen van contracten met gekwalificeerde elektronische handtekeningen
6. Recepten ophalen bij apotheken over de grens
7. Presenteren van Digital Travel Credentials bij de luchthavensbeveiliging, een functionaliteit die in de pilots is getest en nog niet operationeel is
8. Aantonen dat je een gemachtigde vertegenwoordiger van een organisatie bent
9. Identiteit verifiëren bij het initiëren van een online betaling
10. Presenteren van onderwijsattestaties zoals diploma’s of graden
11. Toegang tot sociale zekerheidsuitkeringen en opslaan van documenten zoals de Europese Ziekteverzekeringskaart

Voor organisaties in de financiële dienstverlening, overheid en gezondheidszorg is de walletacceptatieverplichting bijzonder relevant. Deze sectoren opereren al onder strenge identiteitsverificatievereisten, en de EUDI-wallet is ontworpen om die bestaande processen te integreren en te vereenvoudigen. Hergebruik van KYC-gegevens wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, en valt niet automatisch binnen de reikwijdte van eIDAS 2.0.

Hoe ondersteunt eIDAS 2.0 grensoverschrijdende digitale identiteit tussen EU-lidstaten?

eIDAS 2.0 maakt grensoverschrijdende interoperabiliteit van digitale identiteit een wettelijke vereiste. Elke wallet die in één lidstaat wordt uitgegeven, moet worden erkend en geaccepteerd door diensten in alle andere lidstaten. Dit creëert een consistente identiteitslaag binnen de EU die de oorspronkelijke verordening niet kon bieden.

De oorspronkelijke eIDAS-verordening stond lidstaten toe hun nationale eID-stelsels te notificeren voor wederzijdse erkenning, maar verplichtte hen daar niet toe. Dit leidde tot aanzienlijke fragmentatie, waarbij sommige landen een volwassen digitale identiteitsinfrastructuur hadden en andere nauwelijks. eIDAS 2.0 lost dit op door elke lidstaat te verplichten een wallet aan te bieden die voldoet aan het Architecture and Reference Framework (ARF), dat gezamenlijk is ontwikkeld door de Europese Commissie en lidstaten via de European Digital Identity Cooperation Group.

Het praktische resultaat is dat een burger in Nederland zijn EUDI-wallet kan gebruiken om een publieke dienst in Spanje te benaderen, een bankrekening in Duitsland te openen of zijn kwalificaties te presenteren aan een werkgever in Frankrijk, zonder identiteitsverificatiestappen te hoeven herhalen of incompatibele nationale systemen te moeten doorlopen. Daarbij is het van belang te begrijpen dat 24 december 2026 de uiterste datum is voor notificatie en uitgifte van wallets, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat. De technische en organisatorische uitwerking verloopt gefaseerd via uitvoeringshandelingen en nationale uitvoering.

Verificatie van een gepresenteerde attestatie vereist drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists (LOTL), controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Een relying party die grensoverschrijdend opereert, moet dus rekening houden met de beschikbaarheid van intrekkings- en attestatieinformatie.

Wat moeten organisaties doen om zich voor te bereiden op eIDAS 2.0-naleving?

Organisaties die binnen de reikwijdte van eIDAS 2.0 vallen, moeten hun huidige identiteitsinfrastructuur beoordelen, hun verplichtingen als relying parties begrijpen en beginnen met het integreren van walletcompatibele verificatiestromen in hun systemen. De verordening is van kracht sinds 20 mei 2024. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, waarmee de relevante 24-maandentermijn voor wallet-uitgifte is gestart. Lidstaten moeten uiterlijk op 24 december 2026 wallets aanbieden en publieke instanties moeten de EUDI-wallet vanaf die datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Gereguleerde private partijen moeten de EUDI-wallet accepteren vanaf 24 december 2027 op grond van artikel 5f, wat betekent dat het voorbereidingsvenster voor organisaties nu open is.

Belangrijke voorbereidingsstappen zijn:

• Breng jouw nalevingsverplichtingen in kaart: Bepaal of jouw organisatie valt in een categorie die verplicht is de EUDI-wallet te accepteren en welke gebruiksscenario’s van toepassing zijn op jouw sector. Controleer ook of de uitzondering voor micro- en kleine ondernemingen op jouw organisatie van toepassing is.
• Beoordeel jouw identiteitsverificatieprocessen: Identificeer waar huidige onboarding-, authenticatie- of documentverificatiestromen moeten worden bijgewerkt om walletgebaseerde attestaties te accepteren, en houd daarbij rekening met de registratieplicht onder CIR (EU) 2025/848.
• Evalueer jouw trust service-integraties: Controleer of jouw gebruik van elektronische handtekeningen, zegels of tijdstempels in lijn is met de bijgewerkte trust service-vereisten onder eIDAS 2.0. Maak daarbij onderscheid tussen een Advanced Electronic Signature en een Qualified Electronic Signature, waarbij een QES een QSCD en een gekwalificeerd certificaat vereist.
• Volg het Architecture and Reference Framework: Blijf op de hoogte van de technische specificaties die worden ontwikkeld en gepubliceerd via het ARF, omdat deze bepalen wat walletcompatibele systemen moeten ondersteunen voor credentialformaten zoals mdoc en SD-JWT VC, en voor uitwisselingsprotocollen zoals OID4VCI en OID4VP.
• Gebruik de pilotresultaten: De vier afgeronde grootschalige pilotprojecten hebben concrete inzichten opgeleverd over interoperabiliteit, beveiliging en gebruikerservaring die organisaties kunnen gebruiken bij hun eigen implementatieplanning. De tweede pilotgolf levert aanvullende inzichten op.

Organisaties in gereguleerde sectoren zoals financiën, gezondheidszorg en overheid worden geconfronteerd met extra complexiteit omdat eIDAS 2.0 raakvlakken heeft met bestaande kaders zoals de AVG, AML-regelgeving, KYC-vereisten en sectorspecifieke regelgeving. Voorbereiding op eIDAS 2.0 is daarom zowel een technisch als een nalevings- en governance-vraagstuk. De grenzen van de verordening zijn daarbij relevant: nationale vormvereisten blijven nationaal recht, erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG en credentials uit derde landen worden niet automatisch binnen de EU erkend.

Hoe de ID Connector van TrustTech relying parties ondersteunt

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector de drie verificatiestappen die een relying party moet uitvoeren bij elke walletpresentatie: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en validatie van de wallet unit attestation. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope, zodat alleen de attributen worden opgevraagd die de relying party conform CIR (EU) 2025/848 heeft geregistreerd. Geverifieerde identiteitsdata kan worden hergebruikt voor vervolginteracties, zonder dat de gebruiker zich opnieuw hoeft te identificeren. Voor gekwalificeerd tekenen werkt de ID Connector samen met een aangesloten qualified trust service provider. TrustTech geeft zelf geen QES uit.

De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government, sectoren die al onder strenge identificatie- en authenticatievereisten opereren en die de EUDI-wallet moeten kunnen verwerken als onderdeel van bestaande onboarding- en verificatieprocessen.

Verken onze identiteitsoplossingen of neem contact op met ons team om te bespreken hoe de ID Connector aansluit op jouw specifieke situatie.