Hoe beïnvloedt eIDAS 2.0 de identiteitsverificatie in e-commerce?

eIDAS 2.0 heeft directe gevolgen voor identiteitsverificatie in e-commerce. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, introduceert de EUDI-wallet en versterkt de vereisten voor vertrouwde digitale identiteit in de hele EU. De verordening is van toepassing op zowel publieke als private diensten, inclusief online retail. Dit artikel behandelt de belangrijkste vragen die e-commercebedrijven op dit moment stellen, en geeft aan wat de verordening concreet regelt, wat technische implementatiekeuze is, en waar grenzen liggen.

Welke veranderingen brengt eIDAS 2.0 voor online identiteitscontroles?

Verordening (EU) 2024/1183 wijzigt het oorspronkelijke eIDAS-kader op een aantal wezenlijke punten. Digitale identiteitsverificatie wordt meer gestandaardiseerd en breder toepasbaar in de hele EU. Waar de oorspronkelijke verordening zich voornamelijk richtte op publieke diensten, breidt eIDAS 2.0 het toepassingsgebied uit naar private platforms, inclusief e-commerce. Dat betekent niet dat alle private partijen dezelfde verplichtingen krijgen, maar wel dat digitale identiteit voor online bedrijven een regelgevingsrelevant vraagstuk is geworden.

De meest ingrijpende verandering is de introductie van de EUDI-wallet. Elke EU-lidstaat moet minimaal één gecertificeerde wallet solution beschikbaar stellen aan burgers en ingezetenen. Daarnaast verscherpt eIDAS 2.0 de vereiste betrouwbaarheidsniveaus voor bepaalde soorten online interacties. Voor transacties die een betekenisvol risico met zich meebrengen, is een eenvoudige gebruikersnaam en wachtwoord niet langer voldoende als identificatiemiddel wanneer sterke authenticatie wettelijk of contractueel vereist is.

Voor e-commercebedrijven betekent dit dat zij identiteitsverificatiemethoden moeten kunnen ondersteunen die interoperabel zijn over EU-grenzen heen en zijn afgestemd op de betrouwbaarheidsniveaus die de verordening definieert. De verordening geeft gebruikers ook meer controle over hun persoonsgegevens via selective disclosure. Dat heeft gevolgen voor hoe bedrijven identiteitsinformatie verzamelen, opslaan en gebruiken tijdens onboarding en het afrekenproces. Daarbij geldt dat walletgebruik op grond van artikel 5a vrijwillig is: gebruikers mogen niet worden benadeeld wanneer zij geen wallet gebruiken.

Welke e-commercetransacties vereisen sterkere identiteitsverificatie onder eIDAS 2.0?

Niet elke online aankoop vereist verbeterde identiteitsverificatie onder eIDAS 2.0, maar meerdere transactietypes wel. De verordening richt zich op interacties waarbij sprake is van een betekenisvol risico, een wettelijke verplichting of de noodzaak om specifieke kenmerken van de gebruiker te bevestigen, zoals leeftijd, identiteit of beroepsstatus.

Transacties waarvoor doorgaans sterkere identiteitscontroles vereist zijn, omvatten:

• Leeftijdsgebonden aankopen zoals alcohol, tabak, gokdiensten of content voor volwassenen, waarbij verificatie van de leeftijd van de gebruiker een wettelijke vereiste is
• Financiële transacties van hoge waarde waarbij betalingsinitiatief of toegang tot een account moet voldoen aan de normen voor sterke cliëntauthenticatie
• Verkoop van gereguleerde producten zoals receptplichtige medicijnen of gecontroleerde stoffen, waarbij de identiteit van de koper moet worden bevestigd vóór uitvoering
• Accountaanmaken op platforms die zijn aangemerkt als zeer grote onlineplatforms of diensten die onderworpen zijn aan sectorspecifieke regels
• Grensoverschrijdende aankopen waarbij identiteitskenmerken herkend en vertrouwd moeten worden in alle EU-lidstaten

Voor veel van deze toepassingen biedt de EUDI-wallet een praktische oplossing. Een gebruiker kan via selective disclosure alleen het noodzakelijke kenmerk delen, zoals een bevestiging dat hij of zij ouder is dan 18, zonder verdere persoonsgegevens te onthullen. Dat is een van de functioneel relevante mogelijkheden die eIDAS 2.0 brengt voor leeftijdsverificatie en identiteitscontroles in e-commerce. Of een specifieke toepassing ook juridisch verplicht is om de wallet te accepteren, hangt af van de sector en de toepasselijke regelgeving.

Hoe werkt de EUDI-wallet bij het afrekenen in e-commerce?

Een wallet instance is de app zoals geïnstalleerd op het toestel van een individuele gebruiker. De wallet unit omvat de wallet instance samen met de beveiligde cryptografische componenten waarin de sleutels zich bevinden. Attestaties, zoals een Person Identification Data-attestatie of een leeftijdsbewijs, worden uitgegeven door erkende uitgevers en opgeslagen in de wallet unit. Privésleutels kunnen het beveiligde middel niet verlaten.

Bij het afrekenen in e-commerce kan een gebruiker via de wallet instance specifieke geverifieerde attributen delen met de retailer. De uitwisseling verloopt via OID4VP als presentatieprotocol. Voor online presentatie van mdoc-attestaties geldt ISO/IEC TS 18013-7 als relevante standaard.

Zo werkt het proces in de praktijk:

1. Het e-commerceplatform, in de rol van relying party, vraagt een specifiek attribuut op bij de klant, bijvoorbeeld een leeftijdsbewijs of een geverifieerde naam en adres.
2. De klant ontvangt een verzoek in zijn of haar wallet instance en bekijkt welke attributen worden opgevraagd.
3. De klant keurt het delen goed en geeft alleen de gevraagde informatie vrij via selective disclosure.
4. De relying party ontvangt een cryptografisch ondertekende presentatie die het attribuut bevestigt. Verificatie omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en controle van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
5. De transactie verloopt op basis van de geverifieerde presentatie.

Dit proces is privacyvriendelijker dan traditionele documentuploads of handmatige KYC-flows, omdat alleen de benodigde attributen worden gedeeld. Omdat de wallet is gebaseerd op door erkende uitgevers afgegeven attestaties, is het betrouwbaarheidsniveau hoog. De vier Large Scale Pilots, die van april 2023 tot 2025 liepen, hebben deze flow in praktijkscenario’s getest, waaronder betalingen en leeftijdsverificatie. Die pilots zijn afgerond en hebben input geleverd voor de definitieve technische uitwerking.

Een relying party moet zich voordat walletdata kan worden opgevraagd registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.

Wat is het verschil tussen eIDAS 2.0 en bestaande KYC- of leeftijdsverificatiemethoden?

Het centrale verschil zit in betrouwbaarheidsniveau, interoperabiliteit en privacy-by-design. Bestaande KYC- en leeftijdsverificatiemethoden variëren sterk in kwaliteit, juridische erkenning en grensoverschrijdende geldigheid. eIDAS 2.0 stelt een gemeenschappelijke EU-brede standaard vast waarop elke conforme relying party kan vertrouwen, ongeacht uit welke lidstaat de gebruiker afkomstig is.

Traditionele KYC-processen in e-commerce omvatten vaak het verzamelen van documenten, het uitvoeren van geautomatiseerde controles en het opslaan van persoonsgegevens. De leeftijdsverificatiemethoden die tegenwoordig worden gebruikt, variëren van zelfverklaring tot creditcardcontroles. Geen van deze methoden biedt een hoog betrouwbaarheidsniveau in de zin van de verordening.

eIDAS 2.0 en de EUDI-wallet veranderen dit op drie punten:

• Hoger betrouwbaarheidsniveau: Attestaties worden afgegeven door erkende uitgevers, waardoor ze aanzienlijk betrouwbaarder zijn dan zelf gerapporteerde gegevens of documentscans
• Selective disclosure: Gebruikers delen alleen wat noodzakelijk is, bijvoorbeeld een bevestiging dat iemand ouder is dan 18, zonder de volledige geboortedatum te onthullen
• Grensoverschrijdende erkenning: Een wallet afgegeven in één EU-lidstaat wordt erkend in alle lidstaten, wat wrijving bij internationale e-commerce vermindert

Voor bedrijven die al KYC-processen uitvoeren, vervangt eIDAS 2.0 bestaande workflows niet automatisch volledig. Hergebruik van KYC-data wordt mede bepaald door AML-regelgeving en sectorale regels, waaronder de AMLR die in juli 2027 van toepassing wordt. Attestaties uit de EUDI-wallet kunnen als hoogwaardige input dienen, maar ontslaan een relying party niet van zelfstandige AVG-verplichtingen. Een relying party heeft een eigen verwerkingsgrondslag nodig voor de persoonsgegevens die worden ontvangen. Begrijpen hoe deze kaders met elkaar verbonden zijn, maakt deel uit van het voorbereiden van jouw identiteitsoplossingen op het nieuwe regelgevingslandschap.

Wanneer moeten e-commercebedrijven voldoen aan eIDAS 2.0?

Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking over de registratie van wallet-relying parties.

De eerstvolgende belangrijke mijlpaal is 24 december 2026: uiterlijk op die datum moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, ingezetenen en bedrijven. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor private partijen is dit het moment waarop wallets daadwerkelijk breed beschikbaar komen. Volledige functionele interoperabiliteit in de hele EU is op die datum niet automatisch gegarandeerd.

Voor bepaalde gereguleerde private sectoren geldt vervolgens een acceptatieplicht per 24 december 2027. Deze verplichting vloeit voort uit artikel 5f van de verordening en geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De betrokken sectoren zijn onder meer banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt artikel 5f onder afzonderlijke voorwaarden: de verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten deze acceptatieplicht. Algemene e-commercebedrijven buiten de genoemde categorieën vallen niet automatisch onder artikel 5f, maar kunnen er wel vrijwillig voor kiezen de wallet te ondersteunen.

De nalevingstijdlijn ontvouwt zich in fasen, afhankelijk van het type dienst, de sector en de specifieke verplichtingen die van toepassing zijn. Elk e-commerceplatform dat leeftijdsgebonden producten, risicovolle transacties of gebruikersaccounts met persoonsgegevens verwerkt, doet er verstandig aan de tijdlijn richting 2026 en 2027 als planningshorizon te hanteren.

Vroege voorbereiding is zinvol omdat het integreren van EUDI-wallet-ondersteuning in bestaande afrekenen- en onboardingflows tijd kost. Daarbij geldt ook de registratieplicht onder CIR (EU) 2025/848: een relying party moet geregistreerd zijn bij de nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Organisaties in de financiële dienstverleningssector zouden nu al moeten beoordelen hoe eIDAS 2.0 zich verhoudt tot hun bestaande authenticatie- en KYC-verplichtingen, mede in het licht van de AMLR die in juli 2027 van toepassing wordt.

Hoe moeten online retailers zich voorbereiden op de identiteitsvereisten van eIDAS 2.0?

Online retailers moeten beginnen met het in kaart brengen van welke transacties en gebruikersinteracties waarschijnlijk onder de verplichtingen van eIDAS 2.0 vallen, en vervolgens beoordelen welke wijzigingen hun huidige identiteitsverificatieflows nodig hebben. Dit vereist dat compliance-, product-, juridische en IT-teams samenwerken om de regelgevingsvereisten en hun praktische implicaties te begrijpen.

Praktische stappen die je nu kunt nemen, zijn onder meer:

1. Voer een transactieaudit uit: Identificeer welke producten of diensten leeftijdsverificatie, identiteitsbevestiging of sterke authenticatie vereisen op grond van bestaande of aankomende regels.
2. Beoordeel jouw huidige identiteitsstack: Begrijp welke betrouwbaarheidsniveaus jouw huidige verificatiemethoden bieden en waar ze tekortschieten ten opzichte van de eIDAS 2.0-vereisten.
3. Beoordeel de gereedheid voor de EUDI-wallet: Onderzoek wat er nodig is om op attestaties gebaseerde walletpresentaties te accepteren bij het afrekenen, en of jouw technologiepartners OID4VP ondersteunen. Houd daarbij rekening met de registratieplicht onder CIR (EU) 2025/848 en de vereiste om per intended use de attributenscope vast te leggen. Een relying party kiest geen specifieke walletprovider: de organisatie moet iedere relevante genotificeerde wallet kunnen accepteren, ongeacht de provider.
4. Werk jouw dataminimalisatiepraktijken bij: eIDAS 2.0 legt sterke nadruk op selective disclosure. Beoordeel welke persoonsgegevens je verzamelt en of je deze kunt beperken. Houd daarbij rekening met het onderscheid tussen goedkeuring van gegevensdeling in de wallet en een verwerkingsgrondslag onder de AVG: goedkeuring in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG.
5. Volg de regelgevingstijdlijn: Houd de nationale uitvoeringsplannen bij in de markten waar je actief bent, aangezien tijdlijnen en specifieke verplichtingen per lidstaat kunnen verschillen.

Retailers moeten ook kijken hoe eIDAS 2.0 samenhangt met andere regelgeving waaraan zij al voldoen, zoals de AVG, PSD2 en sectorspecifieke KYC-regels. Een goed geïmplementeerde digitale identiteitsstrategie kan de naleving van meerdere kaders vereenvoudigen, maar vervangt geen zelfstandige beoordeling per kader. Het verkennen van de bredere resources over digitale identiteit kan helpen een duidelijker beeld te krijgen van wat er vereist is.

Hoe de ID Connector van TrustTech werkt bij eIDAS 2.0 identiteitsverificatie in e-commerce

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor e-commerce en gereguleerde sectoren ondersteunt de ID Connector de volgende technische taken:

• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
• Controle van de intrekkingsstatus via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata in afrekenen- en onboardingflows
• Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES door die QTSP tot stand komt

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die vóór de deadlines van 24 december 2026 en 24 december 2027 walletacceptatie willen inrichten. Neem contact op met TrustTech om te bespreken wat de ID Connector voor jouw organisatie kan doen.