Overheden waarborgen de beveiliging van de EUDI-wallet via een gelaagd kader dat is vastgelegd in Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, die Verordening (EU) 910/2014 wijzigt. Dit kader combineert verplichte certificering, strikte technische vereisten, onafhankelijk toezicht en voortdurende monitoring. Elke wallet solution moet aan deze normen voldoen voordat deze aan burgers of bedrijven kan worden verstrekt, en naleving stopt niet bij de lancering. Dit artikel behandelt elke laag van dat beveiligingskader, van de juridische grondslagen tot de instanties die verantwoordelijk zijn voor de handhaving ervan.
Welk beveiligingskader stelt eIDAS 2.0 vast voor de EUDI-wallet?
eIDAS 2.0 stelt een juridisch bindend beveiligingskader vast waaraan elke EUDI-wallet solution moet voldoen voordat deze beschikbaar kan worden gesteld aan gebruikers. De verordening definieert vereisten op het gebied van cryptografische integriteit, dataminimalisatie, gebruikerscontrole en grensoverschrijdende interoperabiliteit. Deze vereisten worden uitgewerkt in uitvoeringshandelingen die door de Europese Commissie zijn aangenomen, waarvan de eerste vijf kernuitvoeringshandelingen eind 2024 zijn vastgesteld.
De technische uitwerking van dit kader is vastgelegd in de Architecture and Reference Framework (ARF). De ARF beschrijft hoe wallet solutions moeten worden gebouwd, hoe ze communiceren met andere systemen en welke beveiligingseigenschappen ze moeten aantonen. De juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen zelf. De ARF geeft de technische invulling daarvan en wordt periodiek bijgewerkt naarmate inzichten uit de praktijk beschikbaar komen.
Een centraal principe in het kader is dat gebruikers de controle over hun eigen gegevens behouden. De EUDI-wallet is zo ontworpen dat mensen precies kunnen kiezen welke informatie ze delen, met wie en wanneer. Dataminimalisatie is daarbij geen optionele privacyfunctie, maar een vereiste die in de architectuur zelf is verankerd. Alleen wat strikt noodzakelijk is voor een bepaalde interactie mag worden vrijgegeven.
De uitvoeringshandelingen onder eIDAS 2.0 hebben betrekking op specifieke gebieden zoals de certificering van wallet solutions, protocollen en interfaces, grensoverschrijdende identiteitsmatching en de afhandeling van beveiligingsinbreuken. Samen vormen deze een gedetailleerd en afdwingbaar regelboek. Het is van belang onderscheid te maken tussen wat de verordening zelf verplicht stelt, wat via uitvoeringshandelingen verder wordt uitgewerkt, en wat de ARF als technische invulling beschrijft.
Hoe wordt de EUDI-wallet gecertificeerd voordat deze in gebruik kan worden genomen?
Voordat een EUDI-wallet solution aan het publiek kan worden uitgerold, moet deze een formeel certificeringsproces doorlopen. Dit proces verifieert dat de wallet solution voldoet aan alle technische en beveiligingsvereisten die zijn vastgelegd in eIDAS 2.0 en de bijbehorende uitvoeringshandelingen. Certificering wordt uitgevoerd door geaccrediteerde conformiteitsbeoordelingsinstanties: onafhankelijke organisaties die bevoegd zijn om te beoordelen of een wallet solution daadwerkelijk aan de vereiste normen voldoet.
Het certificeringsproces onderzoekt verschillende dimensies van een wallet solution, waaronder:
- Cryptografische beveiliging en sleutelbeheer
- Integriteit en kernfunctionaliteit zoals gedefinieerd in de uitvoeringshandelingen
- Veilige opslag van identiteitsgegevens en attestaties
- Naleving van protocollen en interfaces voor interoperabiliteit
- Weerbaarheid tegen bekende aanvalsvectoren en kwetsbaarheden
Zodra een wallet solution de certificering doorstaat, wordt deze toegevoegd aan een officiële lijst van gecertificeerde EUDI-wallets die op EU-niveau wordt bijgehouden. Deze lijst geeft relying parties, zoals banken, zorgaanbieders en publieke diensten, de zekerheid dat ze communiceren met een geverifieerde wallet solution. Certificering is geen eenmalige gebeurtenis. Wallet solutions moeten de naleving handhaven naarmate de technische normen evolueren, en hercertificering kan vereist zijn wanneer significante updates worden doorgevoerd.
De vier Large Scale Pilots die in april 2023 startten en in 2025 zijn afgerond, waarbij entiteiten uit meerdere lidstaten plus Noorwegen, IJsland en Oekraïne betrokken waren, speelden een belangrijke rol bij het vormgeven van hoe certificering er in de praktijk uitziet. De inzichten die uit die pilots zijn verzameld, hebben direct bijgedragen aan de beveiligings- en interoperabiliteitsvereisten waaraan wallet solutions nu moeten voldoen.
Aan welke technische beveiligingsvereisten moeten EUDI-wallet-aanbieders voldoen?
EUDI-wallet-aanbieders moeten voldoen aan een gedetailleerde reeks technische beveiligingsvereisten die alles omvatten, van hoe identiteitsgegevens worden opgeslagen tot hoe attestaties worden gepresenteerd en geverifieerd. Deze vereisten gelden gelijkelijk voor door de overheid uitgegeven wallet solutions en particulier beheerde wallet solutions die officieel zijn erkend onder eIDAS 2.0.
Belangrijke technische vereisten zijn:
- Cryptografisch bewijs: Alle identiteitsgegevens en attestaties die in de wallet zijn opgeslagen, moeten cryptografisch zijn ondertekend, zodat een relying party de authenticiteit kan bevestigen door de handtekening van de uitgever te verifiëren tegen de relevante nationale trusted list.
- Veilige sleutelopslag: Privésleutels die worden gebruikt voor ondertekening en authenticatie moeten worden opgeslagen in een beveiligde omgeving, doorgaans een hardware-backed secure element. Deze sleutels kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
- Selective disclosure: Wallet solutions moeten selective disclosure ondersteunen, wat betekent dat gebruikers alleen specifieke attributen uit een attestatie kunnen delen in plaats van het volledige document. Een voorbeeld is het aantonen dat iemand meerderjarig is door het attribuut “ouder dan 18” vrij te geven, zonder de exacte geboortedatum te onthullen.
- Binding aan de houder: Attestaties moeten cryptografisch zijn gebonden aan de wallet unit van de houder, waardoor wordt voorkomen dat attestaties worden gekopieerd en door iemand anders worden gebruikt.
- Interoperabiliteitsnormen: Wallet solutions moeten de protocollen en interfaces implementeren die zijn gedefinieerd in de uitvoeringshandelingen, waaronder OID4VCI voor uitgifte en OID4VP voor presentatie, zodat ze naadloos werken met relying parties en andere wallets in de EU-lidstaten. Credentialformaten zijn mdoc en SD-JWT VC.
- Reactie op inbreuken: Aanbieders moeten gedocumenteerde procedures hebben voor het detecteren, rapporteren en reageren op beveiligingsinbreuken, in overeenstemming met de uitvoeringshandeling over beveiligingsincidenten.
Verificatie van een gepresenteerde attestatie gaat verder dan het controleren van de cryptografische handtekening. Een volledige verificatie omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list volgens ETSI TS 119 612, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Voor organisaties in gereguleerde sectoren zoals financiën, gezondheidszorg en overheid is het begrijpen van deze technische grondslagen essentieel voor het bouwen van systemen die wallet-attestaties betrouwbaar kunnen accepteren en verifiëren.
Wie houdt toezicht op de beveiliging van de EUDI-wallet in de EU-lidstaten en handhaaft deze?
Het toezicht op de beveiliging van de EUDI-wallet wordt gedeeld tussen nationale toezichthoudende instanties in elke lidstaat en de Europese Commissie op EU-niveau. Elk land is verantwoordelijk voor het toezicht op de wallet solutions die binnen zijn grenzen worden uitgegeven of erkend, terwijl de Commissie de consistentie in de interne markt coördineert en belangrijke registers bijhoudt, zoals de lijst van gecertificeerde wallet solutions.
Nationale toezichthoudende instanties hebben de bevoegdheid om wallet-aanbieders te onderzoeken, corrigerende maatregelen te eisen en certificering te schorsen of in te trekken als een wallet solution niet-conform blijkt te zijn. De uitvoeringshandelingen definiëren de formats en procedures voor jaarlijkse rapporten die deze toezichthoudende instanties moeten indienen, waardoor een gestructureerd verantwoordingsmechanisme ontstaat dat op terugkerende basis functioneert.
Collegiale toetsingen tussen lidstaten voegen een extra laag van controle toe. Op grond van de uitvoeringshandeling inzake collegiale toetsingen van eID-stelsels beoordelen landen elkaars aanpakken, delen bevindingen en identificeren hiaten. Dit grensoverschrijdende toetsingsproces helpt de normen consistent te verhogen in de hele EU.
Voor organisaties die actief zijn in meerdere EU-landen heeft dit gedeelde toezichtsmodel een praktische implicatie: een wallet solution die in één lidstaat is gecertificeerd en onder toezicht staat, moet in alle andere worden erkend. Dit principe van wederzijdse erkenning is centraal voor de werking van de EUDI-wallet, en het toezichtskader is wat die erkenning betrouwbaar maakt. Organisaties in de overheidssector moeten begrijpen hoe deze toezichtsrelaties werken bij het plannen van hun wallet-integratiestrategieën.
Relying parties hebben daarnaast een zelfstandige registratieplicht. Onder CIR (EU) 2025/848 van 6 mei 2025 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Het register van relying parties is daarmee iets wezenlijk anders dan een trusted list.
Hoe houdt voortdurende monitoring de EUDI-wallet veilig na de lancering?
Voortdurende monitoring van de beveiliging van de EUDI-wallet vindt plaats via een combinatie van verplichte rapportage, verplichtingen voor incidentrespons en continue technische updates van de ARF. Wallet-aanbieders zijn verplicht hun systemen actief te monitoren en eventuele significante beveiligingsinbreuken tijdig te melden aan de relevante toezichthoudende instantie.
De uitvoeringshandeling inzake beveiligingsinbreuken van EUDI-wallets stelt specifieke verplichtingen vast voor hoe incidenten moeten worden gedetecteerd, geclassificeerd en gerapporteerd. Dit creëert een duidelijke verantwoordingsketen: als er iets misgaat, is er een vastomlijnd proces voor escalatie en respons dat gebruikers en het bredere ecosysteem beschermt.
Op technisch niveau is de ARF een levend document. Naarmate nieuwe bedreigingen opduiken en praktijkinzichten beschikbaar komen, wordt het referentiekader bijgewerkt om de huidige beste praktijken te weerspiegelen. Wallet-aanbieders moeten deze updates bijhouden en hun implementaties dienovereenkomstig aanpassen. Het certificeringsproces bevat daarom bepalingen voor voortdurende naleving, waarbij initiële goedkeuring niet als permanent wordt beschouwd.
De vier Large Scale Pilots die van april 2023 tot 2025 liepen, waren cruciaal bij het stresstesten van deze monitoringmechanismen. Feedback verzameld over gebruiksscenario’s binnen de consortia POTENTIAL, EWC, NOBID en DC4EU, variërend van het openen van een bankrekening en SIM-registratie tot e-recepten en sociale zekerheid, onthulde praktische kwetsbaarheden en gebruiksuitdagingen die sindsdien zijn aangepakt in bijgewerkte specificaties. De tweede pilotgolf, met onder andere WE BUILD en APTITUDE, startte in 2025 en bouwt voort op deze inzichten.
Walletgebruik is vrijwillig. Artikel 5a van eIDAS 2.0 beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken. Dit is een juridische grens die bij de inrichting van diensten in acht moet worden genomen.
Hoe ondersteunt de ID Connector relying parties bij wallet-integratie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die rechtstreeks aansluiten op de beveiligingsvereisten uit dit artikel:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope conform CIR (EU) 2025/848, zodat alleen attributen worden opgevraagd die binnen de geregistreerde intended use vallen
- Hergebruik van geverifieerde identiteitsdata voor vervolgprocessen binnen de organisatie
- Gekwalificeerd tekenen via een aangesloten qualified trust service provider
De ID Connector is relevant voor organisaties in financiële dienstverlening die wallet-gebaseerde identificatie willen integreren in onboarding- en KYC-processen, voor zorgaanbieders en apotheken die digitale attestaties zoals e-recepten willen accepteren, en voor overheidsinstanties die publieke diensten via de EUDI-wallet aanbieden. De deadline voor publieke instanties om genotificeerde EUDI-wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, is 24 december 2026. Voor relevante private sectoren geldt artikel 5f vanaf 24 december 2027, met een uitzondering voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Verken de oplossingen van TrustTech of neem contact op met ons team om te bespreken hoe de ID Connector aansluit op jouw integratiescenario.