Hoe pakt eIDAS 2.0 interoperabiliteit tussen lidstaten aan?

eIDAS 2.0 pakt interoperabiliteit tussen lidstaten aan door een uniform kader te introduceren dat is opgebouwd rond de EUDI-wallet, verplichte grensoverschrijdende erkenning en gestandaardiseerde technische specificaties die alle lidstaten moeten volgen. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, schept bindende verplichtingen die de lacunes in grensoverschrijdende digitale identiteitsuitwisseling dichten. De onderstaande secties gaan dieper in op hoe dit in de praktijk werkt en wat het betekent voor jouw organisatie.

Welke mechanismen introduceert eIDAS 2.0 om grensoverschrijdende identiteitserkenning mogelijk te maken?

eIDAS 2.0 introduceert verplichte wederzijdse erkenning van nationale elektronische identiteitsregelingen in alle EU-lidstaten, gecombineerd met een gemeenschappelijk technisch kader dat standaardiseert hoe identiteitsgegevens worden gestructureerd, uitgewisseld en geverifieerd. Elke lidstaat is verplicht om burgers, inwoners en bedrijven een EUDI-wallet aan te bieden, waarmee een gedeelde infrastructuur voor grensoverschrijdende erkenning ontstaat die de oorspronkelijke verordening niet bereikte.

Verordening (EU) nr. 910/2014 was een stap in de goede richting, maar kende een fundamentele beperking: lidstaten waren niet verplicht om interoperabele systemen te creëren, alleen om aangemelde regelingen uit andere landen te erkennen. Dit leidde tot een lappendeken van nationale oplossingen met sterk uiteenlopende niveaus van volwassenheid en dekking.

eIDAS 2.0 verandert dit door de EUDI-wallet een wettelijke verplichting te maken voor alle lidstaten. De verordening introduceert ook een reeks uitvoeringshandelingen die alles omvatten, van identiteitsverificatie en attribuutformaten tot protocollen, interfaces en certificeringsvereisten. Deze regels zorgen ervoor dat een wallet solution die in het ene land is gecertificeerd, in een ander land kan worden gelezen, gevalideerd en vertrouwd, zonder de noodzaak van bilaterale overeenkomsten of maatwerkkoppelingen.

Daarnaast opent eIDAS 2.0 het kader voor de private sector. Gekwalificeerde en niet-gekwalificeerde elektronische attestaties van attributen kunnen nu worden uitgegeven door geaccrediteerde private aanbieders, naast overheden. Dit vergroot aanzienlijk het scala aan identiteitsgegevens dat op een gestandaardiseerde, vertrouwde manier grensoverschrijdend kan stromen.

Hoe zorgt de EUDI-wallet voor interoperabiliteit tussen verschillende landen?

De EUDI-wallet zorgt voor interoperabiliteit via een gedeeld Architecture and Reference Framework (ARF) dat de technische standaarden, protocollen en gegevensformaten definieert waaraan alle wallet solutions moeten voldoen. Omdat elke lidstaat zijn wallet solution moet bouwen of certificeren op basis van dezelfde specificatie, kunnen wallet instances uit verschillende landen communiceren en geverifieerde identiteitsgegevens uitwisselen zonder maatwerkkoppelingen. De uitvoeringshandelingen zijn juridisch bindend; het ARF bevat de bijbehorende technische uitwerking.

Het ARF omvat een breed scala aan technische vereisten, waaronder hoe identiteitsgegevens worden gestructureerd, hoe wallets gebruikers authenticeren, hoe attestaties worden gepresenteerd aan relying parties en hoe privacy wordt beschermd via selective disclosure. Selective disclosure is bijzonder belangrijk voor grensoverschrijdend gebruik: het stelt een gebruiker in staat om alleen de specifieke attributen te delen die een dienst nodig heeft, zoals leeftijd of nationaliteit, zonder het volledige identiteitsprofiel te onthullen. Voor de presentatie van attestaties schrijft het ARF het gebruik van OID4VP voor, en voor uitgifte OID4VCI. De ondersteunde credentialformaten zijn mdoc en SD-JWT VC.

Om te valideren dat wallet solutions daadwerkelijk aan deze vereisten voldoen, introduceert de verordening een certificeringsregeling. Een wallet solution die in één lidstaat is gecertificeerd, wordt in de gehele EU als conform erkend. Dit neemt de noodzaak weg voor elk land om de uitvoering van een ander land onafhankelijk te verifiëren.

De vier grootschalige pilotprojecten die in april 2023 werden gestart en in 2025 zijn afgerond, speelden een sleutelrol bij het testen van deze interoperabiliteit in de praktijk. Het POTENTIAL-consortium piloteerde overheidsdiensten, het openen van een bankrekening, SIM-registratie, mobiele rijbewijzen, gekwalificeerde handtekening op afstand en e-recepten. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. NOBID piloteerde betalingen. DC4EU richtte zich op onderwijs en sociale zekerheid. De inzichten uit deze pilots hebben direct bijgedragen aan de technische specificaties die nu in de gehele EU worden uitgewerkt.

Welke rol spelen vertrouwenskaders en trusted lists bij eIDAS 2.0-interoperabiliteit?

Trusted lists vormen de ruggengraat van eIDAS 2.0-interoperabiliteit. Ze creëren een gedeeld, openbaar toegankelijk register van welke identiteitsaanbieders, wallet solutions en vertrouwensdienstverleners officieel zijn erkend en gecertificeerd. Zonder deze gedeelde infrastructuur zou een relying party in Duitsland geen betrouwbare manier hebben om te verifiëren of een attestatie die door een gebruiker uit Portugal wordt gepresenteerd, daadwerkelijk afkomstig is van een vertrouwde bron.

Onder eIDAS 2.0 houdt elke lidstaat een nationale trusted list bij conform ETSI TS 119 612, met gecertificeerde wallet solutions, gekwalificeerde vertrouwensdienstverleners en erkende elektronische identiteitsregelingen. Deze lijsten zijn gestandaardiseerd in opmaak en openbaar toegankelijk via de EU List of Trusted Lists (LOTL), wat betekent dat elke organisatie in de EU kan controleren of een bepaalde aanbieder of attestatie voldoet aan het vereiste betrouwbaarheidsniveau.

De verordening introduceert ook nieuwe vermeldingen op trusted lists die specifiek bedoeld zijn voor wallet-ecosystemen, waaronder gecertificeerde wallet solutions en goedgekeurde attribuutaanbieders. Dit verlengt de vertrouwensketen voorbij alleen identiteitsaanbieders om het volledige spectrum van entiteiten te omvatten dat betrokken is bij een digitale identiteitstransactie. Het nationale register van wallet-relying parties onder CIR (EU) 2025/848 van 6 mei 2025 is een afzonderlijk instrument en maakt geen deel uit van de trusted list.

Voor organisaties die actief zijn in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg, bieden trusted lists een praktisch nalevingsinstrument. In plaats van zelf due diligence uit te voeren op elke identiteitsaanbieder waarmee je samenwerkt, kun je de trusted list raadplegen als geverifieerde bron van waarheid, waardoor zowel risico als operationele overhead worden verminderd.

Wat zijn de belangrijkste interoperabiliteitsuitdagingen waarmee organisaties nog steeds te maken hebben onder eIDAS 2.0?

Ondanks de vooruitgang die eIDAS 2.0 vertegenwoordigt, staan organisaties voor reële interoperabiliteitsuitdagingen. De verordening stelt het kader vast, maar de nationale uitvoering, technische gereedheid en beperkingen van legacy-systemen variëren aanzienlijk tussen lidstaten en sectoren. Organisaties kunnen er niet van uitgaan dat grensoverschrijdende digitale identiteitsuitwisseling vanaf dag één naadloos zal werken.

Enkele van de meest voorkomende uitdagingen zijn:

• Ongelijke uitrolsnelheid: Hoewel lidstaten op grond van de verordening verplicht zijn EUDI-wallets uit te geven uiterlijk op 24 december 2026, verschilt het tempo van uitrol. Sommige landen lopen verder voor dan andere, wat betekent dat grensoverschrijdende gebruiksscenario’s mogelijk niet overal tegelijk volledig functioneel zijn.
• Integratie van legacy-systemen: Veel organisaties hebben bestaande identiteits- en onboardingsystemen die niet zijn ontworpen met wallet-gebaseerde attestaties in gedachten. Het verbinden van deze systemen met het nieuwe wallet-ecosysteem vereist technische investeringen en architectuurwijzigingen.
• Inconsistenties in attribuutschema’s: Zelfs binnen een gedeeld kader kunnen verschillen in hoe attributen op nationaal niveau worden gedefinieerd en ingevuld, wrijving veroorzaken wanneer attestaties grensoverschrijdend worden gebruikt.
• Registratie als relying party: Organisaties die EUDI-wallet-attestaties willen opvragen, moeten zich onder CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden gevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd. Het begrijpen en voltooien van dit proces kost tijd en vraagt om juridische en technische voorbereiding.
• Gebruikersadoptie en vertrouwen: Technische interoperabiliteit alleen garandeert niet dat gebruikers de wallet zullen adopteren of dat organisaties deze zullen accepteren. Het opbouwen van vertrouwen in grensoverschrijdende digitale identiteit kost tijd en duidelijke communicatie.

Organisaties in de overheid en gereguleerde private sectoren, zoals banken en financiële dienstverlening, gezondheidszorg, telecom, energie en transport, worden geconfronteerd met een extra laag complexiteit. Ze moeten hun identiteitsprocessen tegelijkertijd afstemmen op zowel eIDAS 2.0-vereisten als sectorspecifieke regelgeving zoals AML, KYC en de AVG. Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is vanaf 24 december 2026. Voor gereguleerde private relying parties in de relevante sectoren geldt de acceptatieplicht onder artikel 5f van de verordening vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn van de acceptatieplicht uitgezonderd: dat zijn organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

Hoe moeten organisaties hun systemen voorbereiden op eIDAS 2.0-interoperabiliteit?

Organisaties moeten zich voorbereiden op eIDAS 2.0-interoperabiliteit door te beginnen met een duidelijke beoordeling van hun huidige identiteitsinfrastructuur, de lacunes te identificeren tussen hun bestaande systemen en de vereisten van het EUDI-wallet-ecosysteem, en vervolgens een gefaseerde routekaart te bouwen richting naleving en integratie. Wachten op volledige marktvolwassenheid voordat je actie onderneemt is een risicovolle strategie, omdat de regelgevende verplichtingen al van kracht zijn en het ecosysteem snel beweegt.

Een praktische voorbereidingsaanpak volgt deze stappen:

1. Breng jouw huidige identiteitsprocessen in kaart: Begrijp hoe je momenteel gebruikers of tegenpartijen verifieert, onboardt en authenticeert. Identificeer waar grensoverschrijdende identiteit al relevant is en waar het relevant zal worden onder eIDAS 2.0.
2. Beoordeel jouw technische architectuur: Evalueer of jouw bestaande systemen wallet-gebaseerde presentatie van attestaties, selective disclosure en de protocollen die door het ARF worden vereist, kunnen ondersteunen. Identificeer integratiepunten die moeten worden bijgewerkt. Denk daarbij aan OID4VP voor presentatie en OID4VCI voor uitgifte, en aan de credentialformaten mdoc en SD-JWT VC die binnen het EUDI-wallet-ecosysteem worden gehanteerd.
3. Begrijp jouw verplichtingen als relying party: Als je EUDI-wallet-attestaties wilt opvragen, moet je je onder CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging. Daarbij leg je per intended use vast welke attributen en attestaties je opvraagt. Begin dit proces vroeg, zeker als jouw organisatie actief is in een gereguleerde sector waarvoor de acceptatieplicht onder artikel 5f per 24 december 2027 geldt.
4. Stem af op trusted lists: Zorg ervoor dat alle identiteitsaanbieders of vertrouwensdiensten die je gebruikt, zijn opgenomen in de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists (LOTL). Bouw processen op voor het monitoren van wijzigingen in deze lijsten in de loop van de tijd. Het nationale relying-partyregister onder CIR (EU) 2025/848 is een afzonderlijk instrument en staat los van de trusted list.
5. Pilot met echte gebruiksscenario’s: Identificeer één of twee concrete grensoverschrijdende identiteitsscenario’s die relevant zijn voor jouw bedrijf en test jouw gereedheid aan de hand van die specifieke gevallen.
6. Betrek het ecosysteem: Blijf verbonden met ontwikkelingen in jouw sector, inclusief de uitkomsten van de grootschalige pilotprojecten en eventuele sectorspecifieke richtlijnen van toezichthouders. De tweede pilotgolf, met onder andere WE BUILD (business wallets en betalingen) en APTITUDE (reizen, ticketing, voertuigregistratie en betalingen), is in 2025 gestart en levert aanvullende inzichten op.

Grensoverschrijdende digitale identiteit, wanneer goed geïmplementeerd, vermindert onboardingwrijving, verlaagt de nalevingskosten en maakt snellere, meer vertrouwde digitale interacties in de gehele EU mogelijk. Organisaties die nu investeren in het goed aanpakken hiervan, zijn beter gepositioneerd om klanten en partners over grenzen heen te bedienen naarmate het ecosysteem volwassener wordt. Voor meer informatie over beschikbare resources, verken de beschikbare resources van TrustTech.

Hoe de ID Connector van TrustTech helpt bij eIDAS 2.0-interoperabiliteit

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor grensoverschrijdende interoperabiliteit ondersteunt de ID Connector concreet de volgende technische taken:

• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists en de EU List of Trusted Lists (LOTL), zodat attestaties uit andere lidstaten betrouwbaar worden gevalideerd
• Controle van de intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet instance draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde intended use onder CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata voor herbruikbare KYC- en nalevingscontroles die grensoverschrijdend werken
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening tot stand komt via de gekwalificeerde vertrouwensdienstverlener

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar grensoverschrijdende identiteitsverificatie en naleving van eIDAS 2.0-vereisten samenkomen. Klaar om de volgende stap te zetten? Neem contact op met TrustTech en ontdek wat de ID Connector voor jouw organisatie kan doen.