Overheden waarborgen de beveiliging van de EUDI Wallet via een gelaagd kader dat is vastgelegd in eIDAS 2.0, en dat verplichte certificering, strikte technische vereisten, onafhankelijk toezicht en voortdurende monitoring combineert. Elke wallet-oplossing moet aan deze normen voldoen voordat deze aan burgers of bedrijven kan worden verstrekt, en naleving stopt niet bij de lancering. Dit artikel behandelt elke laag van dat beveiligingskader, van de fundamentele regels tot de mensen die verantwoordelijk zijn voor de handhaving ervan.

Welk beveiligingskader stelt eIDAS 2.0 vast voor de EUDI Wallet?

eIDAS 2.0 stelt een uitgebreid, juridisch bindend beveiligingskader vast waaraan elke Europese Digitale Identiteitsportemonnee moet voldoen voordat deze beschikbaar kan worden gesteld aan gebruikers. De verordening definieert vereisten op het gebied van cryptografische integriteit, dataminimalisatie, gebruikerscontrole en grensoverschrijdende interoperabiliteit, allemaal ondersteund door een reeks uitvoeringsverordeningen die door de Europese Commissie zijn aangenomen.

De kern van dit kader wordt gevormd door de Architecture and Reference Framework (ARF), een technische specificatie die beschrijft hoe wallets moeten worden gebouwd, hoe ze communiceren met andere systemen en welke beveiligingseigenschappen ze moeten aantonen. De ARF is geen suggestie. Het is de gezaghebbende blauwdruk die wallet-aanbieders, of het nu overheden of particuliere bedrijven zijn, moeten volgen.

Het kader weerspiegelt ook een duidelijk principe: gebruikers moeten de controle over hun eigen gegevens behouden. De EUDI Wallet is zo ontworpen dat mensen precies kunnen kiezen welke informatie ze delen, met wie en wanneer. Niets meer dan strikt noodzakelijk is voor een bepaalde interactie mag worden vrijgegeven. Dit dataminimalisatieprincipe is niet alleen een privacyfunctie. Het is een kernbeveiligingsvereiste die in de architectuur zelf is ingebouwd.

Verschillende uitvoeringsverordeningen vallen onder eIDAS 2.0 en hebben betrekking op specifieke gebieden zoals de certificering van wallet-oplossingen, protocollen en interfaces, grensoverschrijdende identiteitsmatching en de afhandeling van beveiligingsinbreuken. Samen vormen deze een gedetailleerd en afdwingbaar regelboek dat weinig ruimte laat voor onduidelijkheid.

Hoe wordt de EUDI Wallet gecertificeerd voordat deze in gebruik kan worden genomen?

Voordat een EUDI Wallet-oplossing aan het publiek kan worden uitgerold, moet deze een formeel certificeringsproces doorlopen. Dit proces verifieert dat de wallet voldoet aan alle technische en beveiligingsvereisten die zijn vastgelegd in eIDAS 2.0 en de ARF. Certificering wordt uitgevoerd door geaccrediteerde conformiteitsbeoordelingsinstanties, onafhankelijke organisaties die bevoegd zijn om te beoordelen of een wallet-oplossing daadwerkelijk aan de vereiste normen voldoet.

Het certificeringsproces onderzoekt verschillende dimensies van een wallet-oplossing, waaronder:

• Cryptografische beveiliging en sleutelbeheer
• Integriteit en kernfunctionaliteit zoals gedefinieerd in de uitvoeringsverordeningen
• Veilige opslag van identiteitsgegevens en credentials
• Naleving van protocollen en interfaces voor interoperabiliteit
• Weerbaarheid tegen bekende aanvalsvectoren en kwetsbaarheden

Zodra een wallet-oplossing de certificering doorstaat, wordt deze toegevoegd aan een officiële lijst van gecertificeerde Europese Digitale Identiteitsportemonnees die op EU-niveau wordt bijgehouden. Deze lijst geeft vertrouwende partijen, zoals banken, zorgaanbieders en publieke diensten, de zekerheid dat ze communiceren met een geverifieerde en betrouwbare wallet. Certificering is geen eenmalige gebeurtenis. Wallets moeten de naleving handhaven naarmate de technische normen evolueren, en hercertificering kan vereist zijn wanneer significante updates worden doorgevoerd.

De grootschalige pilots die in 2023 werden gelanceerd, waarbij meer dan 350 entiteiten uit 26 lidstaten plus Noorwegen, IJsland en Oekraïne betrokken waren, speelden een belangrijke rol bij het vormgeven van hoe certificering er in de praktijk uitziet. De inzichten die uit die pilots zijn verzameld, hebben direct bijgedragen aan de beveiligings- en interoperabiliteitsvereisten waaraan wallet-aanbieders nu moeten voldoen.

Aan welke technische beveiligingsvereisten moeten EUDI Wallet-aanbieders voldoen?

EUDI Wallet-aanbieders moeten voldoen aan een gedetailleerde reeks technische beveiligingsvereisten die alles omvatten, van hoe identiteitsgegevens worden opgeslagen tot hoe credentials worden gepresenteerd en geverifieerd. Deze vereisten gelden gelijkelijk voor door de overheid uitgegeven wallets en particulier beheerde wallets die officieel zijn erkend onder eIDAS 2.0.

Belangrijke technische vereisten zijn:

1. Cryptografisch bewijs: Alle identiteitsgegevens en credentials die in de wallet zijn opgeslagen, moeten cryptografisch zijn ondertekend, zodat elke verificateur hun authenticiteit kan bevestigen zonder contact op te nemen met de oorspronkelijke uitgever.
2. Veilige sleutelopslag: Privésleutels die worden gebruikt voor ondertekening en authenticatie moeten worden opgeslagen in een beveiligde omgeving, doorgaans een hardware-backed secure element, om extractie of misbruik te voorkomen.
3. Selectieve openbaarmaking: Wallets moeten selectieve openbaarmaking ondersteunen, wat betekent dat gebruikers alleen specifieke attributen uit een credential kunnen delen in plaats van het volledige document. Bijvoorbeeld het bewijzen van leeftijd zonder een geboortedatum te onthullen.
4. Binding aan de houder: Credentials moeten cryptografisch zijn gebonden aan de wallet-houder, waardoor wordt voorkomen dat credentials worden gekopieerd en door iemand anders worden gebruikt.
5. Interoperabiliteitsnormen: Wallets moeten de protocollen en interfaces implementeren die zijn gedefinieerd in de uitvoeringsverordeningen, zodat ze naadloos werken met vertrouwende partijen en andere wallets in de EU-lidstaten.
6. Reactie op inbreuken: Aanbieders moeten gedocumenteerde procedures hebben voor het detecteren, rapporteren en reageren op beveiligingsinbreuken, in overeenstemming met de uitvoeringsverordening over beveiligingsincidenten.

Deze vereisten weerspiegelen een bredere verschuiving in het denken over digitale identiteit, waarbij wordt afgestapt van gecentraliseerde databases en overgestapt wordt op cryptografisch bewijs dat met de gebruiker meereist. Voor organisaties in gereguleerde sectoren zoals financiën, gezondheidszorg en overheid is het begrijpen van deze technische grondslagen essentieel voor het bouwen van systemen die wallet-credentials betrouwbaar kunnen accepteren en verifiëren. TrustTech’s digitale identiteitsoplossingen zijn gebouwd rond precies deze normen en helpen organisaties wallet-klare verificatie te integreren in hun bestaande processen.

Wie houdt toezicht op de beveiliging van de EUDI Wallet in de EU-lidstaten en handhaaft deze?

Het toezicht op de beveiliging van de EUDI Wallet wordt gedeeld tussen nationale toezichthoudende instanties in elke lidstaat en de Europese Commissie op EU-niveau. Elk land is verantwoordelijk voor het toezicht op de wallet-oplossingen die binnen zijn grenzen worden uitgegeven of erkend, terwijl de Commissie de consistentie in de interne markt coördineert en belangrijke registers bijhoudt, zoals de lijst van gecertificeerde wallets.

Nationale toezichthoudende instanties hebben de bevoegdheid om wallet-aanbieders te onderzoeken, corrigerende maatregelen te eisen en certificering te schorsen of in te trekken als een wallet-oplossing niet-conform blijkt te zijn. De uitvoeringsverordeningen definiëren de formats en procedures voor jaarlijkse rapporten die deze toezichthoudende instanties moeten indienen, waardoor een gestructureerd verantwoordingsmechanisme ontstaat dat op terugkerende basis functioneert.

Collegiale toetsingen tussen lidstaten voegen een extra laag van controle toe. Op grond van de uitvoeringsverordening inzake collegiale toetsingen van eID-stelsels beoordelen landen elkaars aanpakken, delen bevindingen en identificeren hiaten. Dit grensoverschrijdende toetsingsproces helpt de normen consistent te verhogen in plaats van toe te staan dat divergentie weer binnensluipt, wat een van de belangrijkste zwakke punten was van de oorspronkelijke eIDAS-verordening.

Voor organisaties die actief zijn in meerdere EU-landen heeft dit gedeelde toezichtsmodel een praktische implicatie: een wallet die in één lidstaat is gecertificeerd en onder toezicht staat, moet in alle andere worden erkend. Dit principe van wederzijdse erkenning is centraal voor de waardepropositie van de EUDI Wallet, en het toezichtskader is wat die erkenning betrouwbaar maakt. Organisaties in de overheidssector in het bijzonder moeten begrijpen hoe deze toezichtsrelaties werken bij het plannen van hun wallet-integratiestrategieën.

Hoe houdt voortdurende monitoring de EUDI Wallet veilig na de lancering?

Voortdurende monitoring van de beveiliging van de EUDI Wallet vindt plaats via een combinatie van verplichte rapportage, verplichtingen voor incidentrespons en continue technische updates van de ARF. Beveiliging eindigt niet bij certificering. Wallet-aanbieders zijn verplicht hun systemen actief te monitoren en eventuele significante beveiligingsinbreuken tijdig te melden aan de relevante toezichthoudende instantie.

De uitvoeringsverordening inzake beveiligingsinbreuken van Europese Digitale Identiteitsportemonnees stelt specifieke verplichtingen vast voor hoe incidenten moeten worden gedetecteerd, geclassificeerd en gerapporteerd. Dit creëert een duidelijke verantwoordingsketen: als er iets misgaat, is er een vastomlijnd proces voor escalatie en respons dat gebruikers en het bredere ecosysteem beschermt.

Op technisch niveau is de ARF een levend document. Naarmate nieuwe bedreigingen opduiken en de grootschalige pilots praktijkinzichten genereren, wordt het referentiekader bijgewerkt om de huidige beste praktijken te weerspiegelen. Wallet-aanbieders moeten deze updates bijhouden en hun implementaties dienovereenkomstig aanpassen, wat de reden is waarom het certificeringsproces bepalingen bevat voor voortdurende naleving in plaats van initiële goedkeuring als permanent te beschouwen.

De pilots die tot 2025 liepen, waren cruciaal bij het stresstesten van deze monitoringmechanismen. Feedback verzameld over de 11 gebruiksscenario’s, variërend van het openen van een bankrekening tot het ophalen van recepten en het verkrijgen van toegang tot sociale zekerheidsuitkeringen, onthulde praktische kwetsbaarheden en gebruiksuitdagingen die sindsdien zijn aangepakt in bijgewerkte specificaties. Deze iteratieve benadering van beveiliging is een van de redenen waarom het EUDI Wallet-kader als robuuster wordt beschouwd dan eerdere EU-initiatieven voor digitale identiteit.

Hoe helpt TrustTech organisaties zich voor te bereiden op de beveiligingsvereisten van de EUDI Wallet

Voldoen aan de beveiligingsnormen van de EUDI Wallet is niet alleen een technische uitdaging. Het vereist het afstemmen van uw processen, systemen en nalevingskaders op een regelgevend landschap dat nog steeds evolueert. Veel organisaties, met name in de financiële sector, gezondheidszorg en overheid, zijn nog steeds aan het uitzoeken wat deze vereisten betekenen voor hun dagelijkse activiteiten.

TrustTech ondersteunt organisaties in elke fase van dat traject. Concreet betekent dit:

• Beoordeling van uw huidige digitale identiteitsinfrastructuur aan de hand van eIDAS 2.0- en ARF-vereisten
• Implementatie van wallet-klare onboarding- en verificatiestromen die voldoen aan certificeringsnormen
• Mogelijk maken van herbruikbare, cryptografisch geverifieerde credentials die de drempel voor gebruikers verlagen en de nalevingslast voor uw organisatie verminderen
• Bouwen van interoperabele vertrouwensinfrastructuur die werkt over grenzen en sectoren heen
• Ondersteuning van uw team met praktische begeleiding over regelgevingsvereisten, van dataminimalisatie tot verplichtingen voor inbreukrespons

Of u nu een financiële instelling bent die zich voorbereidt op wallet-gebaseerde KYC, een zorgaanbieder die digitale recepten wil accepteren, of een overheidsinstantie die publieke diensten via de EUDI Wallet aanbiedt, TrustTech brengt de technische diepgang en regelgevingsexpertise om u met vertrouwen vooruit te helpen. Verken onze implementatiebenadering of neem contact op met ons team om te bespreken hoe EUDI Wallet-gereedheid er voor uw organisatie uitziet.