Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, zijn bepaalde categorieën organisaties verplicht de EUDI-wallet te accepteren. Die verplichting volgt rechtstreeks uit de verordening en geldt voor overheidsinstanties en een afgebakende groep private dienstverleners in gereguleerde sectoren. Dit artikel legt uit wie de EUDI-wallet moet accepteren, wat die acceptatieplicht juridisch en technisch inhoudt, en wat organisaties nu al kunnen doen om op tijd gereed te zijn.
Welke sectoren zijn wettelijk verplicht de EUDI-wallet te accepteren?
Overheidsinstanties in alle EU-lidstaten zijn op grond van de verordening verplicht genotificeerde EUDI-wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. De toepasselijke deadline is 24 december 2026. Naast publieke instanties breidt de verordening de acceptatieplicht uit naar specifieke private sectoren. Voor die gereguleerde private partijen geldt artikel 5f van de verordening, met een deadline van 24 december 2027.
De reikwijdte van de acceptatieplicht volgt een duidelijke logica: de verordening richt zich op situaties waar identiteitsverificatie al een wettelijk of contractueel vereiste is. Als een bank de identiteit van een klant moet verifiëren om een rekening te openen, of een zorgaanbieder de identiteit van een patiënt moet bevestigen voordat medische dossiers worden gedeeld, moet diezelfde interactie ook de EUDI-wallet als geldig identificatiemiddel kunnen verwerken.
De sectoren die onder de verplichte acceptatieregels vallen, zijn:
- Overheid en openbaar bestuur — elke overheidsdienst die momenteel online identificatie vereist (deadline: 24 december 2026)
- Bankwezen en financiële dienstverlening — voor klantacceptatie, toegang tot rekeningen en gereguleerde transacties
- Telecommunicatie — voor SIM-registratie en identiteitsverificatiediensten
- Gezondheidszorg — voor patiëntidentificatie en toegang tot medische dossiers
- Transport — voor ticketing, vergunningen en identiteitsafhankelijke diensten
- Energiebedrijven — voor klantrekeningdiensten waarvoor geverifieerde identiteit vereist is
- Onderwijs en sociale zekerheid — voor diensten waarvoor sterke gebruikersauthenticatie wettelijk of contractueel vereist is
- Drinkwater, post en digitale infrastructuur — voor identiteitsafhankelijke dienstverlening binnen gereguleerde activiteiten
- Zeer grote onlineplatforms (VLOP’s) — met meer dan 45 miljoen gebruikers in de EU, op grond van een afzonderlijke bepaling van artikel 5f; de verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens
Organisaties actief in financiële dienstverlening en de overheid hebben de meest directe verplichtingen, omdat identiteitsverificatie al diep verankerd is in hun bedrijfsvoering en de wettelijke grondslag voor de acceptatieplicht daarmee direct aansluit op bestaande processen.
Wat betekent ‘verplicht te accepteren’ precies onder eIDAS 2.0?
Verplicht zijn de EUDI-wallet te accepteren betekent dat een organisatie de wallet technisch moet ondersteunen als geldig middel voor elektronische identificatie wanneer een gebruiker deze aanbiedt. In de praktijk vereist dit de technische infrastructuur om identiteitsattributen en attestaties die via een EUDI-wallet worden gepresenteerd, te ontvangen, te valideren en te verwerken.
De acceptatieplicht maakt de EUDI-wallet niet tot de enige toegestane methode. Organisaties zijn niet verplicht bestaande inlog- of verificatiemethoden af te schaffen. Wat de verordening vereist, is dat de EUDI-wallet een ondersteunde en erkende optie is naast wat de organisatie al gebruikt.
In technische termen houdt dit in dat organisaties zich als relying party aansluiten op het EUDI-wallet-ecosysteem. Een relying party is elke dienstverlener die identiteitsgegevens opvraagt en ontvangt van een wallethouder. Op grond van CIR (EU) 2025/848 van 6 mei 2025 moeten organisaties zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij walletdata kunnen opvragen. Daarbij registreren zij per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Technisch moeten relying parties hun systemen afstemmen op het Architecture and Reference Framework (ARF), dat de technische standaarden definieert voor de communicatie tussen wallets en relying parties. De juridisch bindende vereisten volgen uit de verordening zelf en de bijbehorende uitvoeringshandelingen; de ARF geeft de technische uitwerking daarvan. Organisaties die nog niet met dit proces zijn begonnen, moeten de eigen toepasselijke deadline behandelen als een actieve streefdatum.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een relying party heeft ook geen gekwalificeerde verlener van vertrouwensdiensten (QTSP) nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant bij gekwalificeerd tekenen of het uitgeven van gekwalificeerde attestaties (QEAA).
Zijn private bedrijven ook verplicht de EUDI-wallet te accepteren?
Ja, bepaalde private bedrijven zijn op grond van artikel 5f van Verordening (EU) 2024/1183 verplicht de EUDI-wallet te accepteren, maar niet alle. De verplichting geldt voor private organisaties in de sectoren die onder de verordening vallen en die diensten aanbieden waarvoor sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De toepasselijke deadline voor deze gereguleerde private partijen is 24 december 2027. Vanaf 24 december 2026 zijn gecertificeerde wallets beschikbaar voor burgers, wat private partijen de gelegenheid geeft hun integratie te testen vóór hun eigen deadline.
De verordening richt zich specifiek op zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU via een afzonderlijke bepaling van artikel 5f, en op private dienstverleners in de gereguleerde sectoren die hierboven zijn opgesomd. Een grote bank die digitale rekeningopening aanbiedt, is verplicht de wallet te accepteren. Een kleine onafhankelijke webwinkel niet.
Micro- en kleine ondernemingen zijn uitgezonderd van de acceptatieplicht. De toepasselijke criteria zijn: minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro. Organisaties die aan deze drempels voldoen, vallen buiten de reikwijdte van artikel 5f.
Dit onderscheid is belangrijk omdat veel organisaties niet zeker weten of zij binnen de reikwijdte vallen. Een nuttige manier om dit te beoordelen is twee vragen te stellen:
- Vereist jouw dienst dat gebruikers hun identiteit verifiëren als onderdeel van de toegang tot of het gebruik ervan?
- Is jouw organisatie actief in een van de gereguleerde sectoren die vallen onder eIDAS 2.0, of geclassificeerd als een zeer groot onlineplatform onder de Digital Services Act?
Als het antwoord op beide vragen ja is, is de acceptatieplicht vrijwel zeker van toepassing. Als je twijfelt, is dit precies het soort vraag dat een gestructureerde compliance-beoordeling kan helpen beantwoorden.
Private zorgaanbieders, verzekeraars en farmaceutische bedrijven met digitale patiënt- of klantgerichte diensten moeten ook goed opletten. De zorgsector valt expliciet binnen de reikwijdte van de verordening. De grens tussen optionele en verplichte acceptatie hangt af van de aard van de dienst en de vraag of sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
Wat gebeurt er als een organisatie niet op tijd voldoet?
Organisaties die binnen de verplichte acceptatiereikwijdte vallen en niet voldoen aan de toepasselijke deadline, lopen het risico op handhavingsmaatregelen van nationale toezichthoudende autoriteiten. De verordening geeft lidstaten de bevoegdheid om sancties op te leggen aan niet-conforme relying parties. De ernst van die sancties hangt af van de nationale uitvoering.
Naast formele sancties brengt niet-naleving reële operationele risico’s met zich mee. Naarmate de adoptie van de EUDI-wallet onder burgers groeit, zullen organisaties die geen wallet-gebaseerde attestaties kunnen accepteren, wrijving ondervinden in hun klanttrajecten. Gebruikers die verwachten hun identiteit te verifiëren met hun nationale digitale wallet, stuiten op een doodlopende weg, wat het vertrouwen schaadt en hen naar dienstverleners kan drijven die de integratie wel hebben voltooid.
Er is ook een aanbestedings- en partnerschapsdimensie. Overheidsopdrachten en grensoverschrijdende zakelijke relaties vereisen steeds vaker aantoonbare naleving van EU-normen voor digitale identiteit. Organisaties die achterblijven, kunnen worden uitgesloten van aanbestedingsprocedures of niet kunnen voldoen aan de identiteitszekerheidseis van hun partners.
De technische integratietijdlijn voor het worden van een conforme relying party is niet kort. Registratie onder CIR (EU) 2025/848, afstemming op de ARF-standaarden en validatie van de integratie kosten tijd. Organisaties die nog niet zijn begonnen, moeten dit nu prioriteit geven.
Hoe moeten organisaties zich voorbereiden op EUDI-wallet-acceptatie?
Voorbereiding op EUDI-wallet-acceptatie begint met het vaststellen of jouw organisatie binnen de reikwijdte valt, gevolgd door een technische en juridische beoordeling van welke wijzigingen nodig zijn. Hoe eerder dit proces begint, hoe beheerbaarder de implementatie wordt.
Een praktisch starttraject ziet er als volgt uit:
- Bepaal jouw reikwijdte: Identificeer welke van jouw diensten identiteitsverificatie vereisen en of deze vallen onder de gereguleerde sectoren die worden gedekt door Verordening (EU) 2024/1183.
- Breng jouw huidige identiteitsinfrastructuur in kaart: Begrijp hoe je momenteel gebruikersidentiteit verifieert en waar EUDI-wallet-acceptatie geïntegreerd moet worden.
- Registreer je als relying party: Neem contact op met jouw bevoegde nationale autoriteit om de registratievereisten onder CIR (EU) 2025/848 te begrijpen en start dat proces. Registreer daarbij per intended use welke attributen en attestaties je opvraagt.
- Implementeer de vereiste technische standaarden: Stem jouw systemen af op de protocollen en interfaces die zijn gedefinieerd in het Architecture and Reference Framework, waaronder OID4VP voor presentatie en de toepasselijke credentialformaten zoals mdoc en SD-JWT VC.
- Test en valideer: Gebruik beschikbare referentie-implementaties en pilotomgevingen om jouw integratie te valideren vóór de livegang. Zorg daarbij dat jouw systemen de handtekening van de uitgever kunnen verifiëren tegen de relevante nationale trusted list, de intrekkingsstatus kunnen controleren via de statusinformatie van de uitgever, en de wallet unit attestation kunnen valideren om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution.
Organisaties moeten ook de uitvoeringshandelingen volgen die worden gepubliceerd onder eIDAS 2.0, omdat deze de gedetailleerde technische en procedurele vereisten voor relying parties definiëren. Op de hoogte blijven van nieuwe revisies van de ARF is essentieel om de integratie correct te implementeren.
Je kunt aanvullende informatie en praktische bronnen vinden op de TrustTech-resourcespagina ter ondersteuning van jouw voorbereidingsproces.
Hoe helpt TrustTech bij EUDI-wallet-acceptatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die zich voorbereiden op de acceptatieplicht ondersteunt de ID Connector concreet:
- Verificatie tegen trusted lists — de ID Connector verifieert de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van intrekkingsstatus — automatische controle van de statusinformatie van de uitgever bij elke presentatie
- Validatie van de wallet unit attestation — verificatie dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope — de ID Connector bewaakt dat alleen attributen worden opgevraagd die zijn geregistreerd onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata — ondersteuning voor stroomlijning van klanttrajecten op basis van eerder geverifieerde attestaties
- Gekwalificeerd tekenen via een aangesloten QTSP — de ID Connector maakt het mogelijk een gekwalificeerde elektronische handtekening te plaatsen via een gekwalificeerde verlener van vertrouwensdiensten, zonder dat TrustTech zelf de handtekening uitgeeft
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de overheid, sectoren waar de acceptatieplicht het vroegst en het meest direct van toepassing is.
De deadline van 24 december 2026 geldt voor overheidsinstanties en publieke dienstverleners. Voor gereguleerde private partijen waarop artikel 5f van toepassing is, geldt 24 december 2027. Neem contact op met TrustTech om te bespreken wat de ID Connector concreet voor jouw integratie kan betekenen.