eIDAS 2.0 heeft directe gevolgen voor softwareleveranciers en app-ontwikkelaars die applicaties bouwen voor identiteitsverificatie, authenticatie of het ondertekenen van documenten voor gebruikers in de EU. Als uw app gebruikers laat inloggen, hun identiteit laat verifiëren of documenten laat ondertekenen, introduceert de verordening nieuwe technische standaarden, wallet-integratievereisten en nalevingsverplichtingen waar u rekening mee moet houden. Dit artikel behandelt de belangrijkste vragen die ontwikkelaars en leveranciers op dit moment stellen.

Welke soorten software en apps vallen onder eIDAS 2.0?

eIDAS 2.0 is van toepassing op alle software of applicaties die digitale identiteitsdiensten aanbieden of daarop vertrouwen binnen de EU. Dit omvat apps die gebruikers authenticeren, identiteiten verifiëren, credentials uitgeven of elektronische handtekeningen faciliteren. Als uw product een van deze functies vervult voor EU-burgers, ingezetenen of bedrijven, is eIDAS 2.0 voor u relevant.

Meer specifiek schept de verordening verplichtingen voor twee brede categorieën van softwareactoren. De eerste categorie zijn vertrouwende partijen: apps en diensten die identiteitsgegevens van gebruikers accepteren, zoals bank-apps, zorgportalen, overheidsdienstplatformen of elke applicatie met een login- of onboardingflow. De tweede categorie zijn vertrouwensdienstverleners: bedrijven die certificaten, elektronische handtekeningen of andere vertrouwensdiensten uitgeven.

Naast deze twee groepen introduceert eIDAS 2.0 ook het concept van wallet-vertrouwende partijen. Dit zijn apps die attributen van de Europese Digitale Identiteitsportemonnee accepteren of opvragen. Elke ontwikkelaar die een dienst bouwt waarmee de leeftijd, beroepskwalificaties of nationale identiteit van een gebruiker via de EUDI Wallet geverifieerd kan worden, valt in deze categorie en moet zich dienovereenkomstig registreren.

Kortom, de reikwijdte is breed. Consumentgerichte apps, bedrijfssoftware, identiteitsplatformen en ontwikkelaarstools hebben er allemaal belang bij te begrijpen waar zij passen binnen het eIDAS 2.0-kader.

Welke nieuwe technische vereisten introduceert eIDAS 2.0 voor ontwikkelaars?

eIDAS 2.0 introduceert een reeks technische vereisten op het gebied van interoperabiliteit, beveiliging en gestandaardiseerde gegevensformaten. Ontwikkelaars moeten hun systemen afstemmen op het Architecture and Reference Framework (ARF), dat de protocollen, interfaces en gegevensstructuren definieert die alle EUDI Wallet-compatibele systemen moeten ondersteunen.

De belangrijkste technische vereisten waar ontwikkelaars rekening mee moeten houden zijn:

• Gestandaardiseerde protocollen en interfaces: Het ARF specificeert welke communicatieprotocollen gebruikt moeten worden voor wallet-interacties. Apps die identiteitsgegevens opvragen of presenteren, moeten deze protocollen correct implementeren.
• Verifieerbare credentials en attestaties: Identiteitsgegevens worden uitgewisseld in de vorm van Person Identification Data (PID) en Electronic Attestations of Attributes (EAAs). Ontwikkelaars moeten deze gegevensformaten in hun applicaties verwerken.
• Selectieve openbaarmaking: Gebruikers moeten alleen de specifieke attributen kunnen delen die nodig zijn voor een transactie. Apps mogen niet meer gegevens opvragen dan strikt noodzakelijk, wat gevolgen heeft voor de manier waarop identiteitsverzoeken worden ontworpen.
• Cryptografische verificatie: Alle identiteitsgegevens die via het wallet-ecosysteem worden uitgewisseld, moeten cryptografisch ondertekend en verifieerbaar zijn. Ontwikkelaars moeten de relevante verificatielogica implementeren.
• Registratie als wallet-vertrouwende partij: Apps die attributen opvragen uit EUDI Wallets moeten zich formeel registreren als vertrouwende partij, wat inhoudt dat er aan specifieke beveiligings- en transparantievereisten moet worden voldaan.

Het goede nieuws is dat de referentie-implementatie die door de Europese Commissie is gepubliceerd open source is, wat ontwikkelaars een praktisch startpunt biedt om de technische specificaties te begrijpen voordat ze hun eigen integraties bouwen.

Moeten app-ontwikkelaars gekwalificeerde vertrouwensdienstverleners worden?

Nee, de meeste app-ontwikkelaars hoeven geen gekwalificeerde vertrouwensdienstverleners (QTSPs) te worden. Een QTSP worden is een specifieke regelgevingsstatus die is voorbehouden aan organisaties die gekwalificeerde elektronische handtekeningen, gekwalificeerde certificaten of andere hoogwaardige vertrouwensdiensten uitgeven. Het omvat formele audits, toezicht door een nationale autoriteit en opname in de EU Trusted List.

Voor de meerderheid van softwareleveranciers en app-ontwikkelaars is de relevante verplichting niet het worden van een vertrouwensdienstverlener, maar integreren met hen. Als uw app de identiteit van een gebruiker op een hoog betrouwbaarheidsniveau moet verifiëren, of gekwalificeerde elektronische handtekeningen mogelijk moet maken, verbindt u zich via hun API’s met een QTSP in plaats van er zelf een te worden.

Het wordt genuanceerder wanneer een softwareleverancier zijn eigen digitale credentials of attestaties wil uitgeven, bijvoorbeeld een bedrijf dat werknemersgegevens of beroepskwalificaties in de EUDI Wallet van een gebruiker wil plaatsen. In dat geval moet de leverancier mogelijk een aanbieder van Electronic Attestations of Attributes (EAAs) worden, wat zijn eigen vereisten heeft onder eIDAS 2.0, hoewel deze over het algemeen minder veeleisend zijn dan de volledige QTSP-status.

De praktische conclusie is: de meeste ontwikkelaars moeten zich richten op wallet-integratie en registratie als vertrouwende partij, niet op het worden van vertrouwensdienstverleners. Inzicht in de identiteitsoplossingen van TrustTech kan helpen verduidelijken welke rol uw organisatie speelt in het bredere eIDAS 2.0-ecosysteem.

Hoe beïnvloedt de EUDI Wallet apps die momenteel login of identiteitsverificatie gebruiken?

De EUDI Wallet introduceert een nieuw, gestandaardiseerd kanaal waarmee gebruikers zich kunnen authenticeren en identiteitsattributen kunnen delen met apps. Voor applicaties die momenteel login of identiteitsverificatie verwerken, betekent dit het toevoegen van wallet-gebaseerde flows naast bestaande methoden, en in sommige gevallen kan dit uiteindelijk huidige benaderingen vervangen of aanvullen.

Onder eIDAS 2.0 zijn bepaalde categorieën diensten verplicht de EUDI Wallet te accepteren als geldig authenticatiemiddel. Dit omvat digitale diensten van de publieke sector en sommige gereguleerde diensten in de private sector. Voor apps in deze categorieën is wallet-acceptatie niet optioneel.

Voor andere apps biedt de wallet een aanzienlijke kans. In plaats van gebruikers te vragen documenten te uploaden, langdurige identiteitscontroles te doorlopen of zichzelf opnieuw te verifiëren, kan uw app geverifieerde attributen rechtstreeks opvragen uit de wallet van de gebruiker. De gebruiker is al geverifieerd door hun overheid of een vertrouwde uitgever, en die geverifieerde gegevens kunnen veilig worden hergebruikt. Dit vermindert onboardingfrictie, verbetert de gegevenskwaliteit en verlaagt de nalevingskosten.

De verschuiving verandert ook de UX-ontwerpuitdaging. In plaats van uw eigen identiteitsverificatieflow te bouwen, ontwerpt u een wallet-interactie: welke attributen heeft u nodig, hoe vraagt u ze op en hoe verwerkt u de reactie? Dit is een betekenisvolle architectuurwijziging voor veel bestaande applicaties, en het is de moeite waard om er nu op te plannen in plaats van het later te moeten aanpassen.

Wat zijn de nalevingsrisico’s voor softwareleveranciers die eIDAS 2.0 negeren?

Softwareleveranciers die eIDAS 2.0 negeren, lopen een combinatie van juridische, operationele en concurrentiële risico’s. Het meest directe juridische risico is niet-naleving van verplichte vereisten, met name voor leveranciers die gereguleerde sectoren of publieke sector-klanten bedienen waar wallet-acceptatie en specifieke betrouwbaarheidsniveaus wettelijk verplicht zijn.

De nalevingsrisico’s zijn onder te verdelen in verschillende praktische gebieden:

1. Regelgevende sancties: eIDAS 2.0 is een EU-verordening, wat betekent dat het directe rechtskracht heeft in alle lidstaten. Niet-conforme diensten die actief zijn in gereguleerde sectoren kunnen handhavingsmaatregelen ondervinden van nationale toezichthoudende autoriteiten.
2. Verlies van overheidsopdrachten: Overheids- en publieke sector-klanten zullen eIDAS 2.0-naleving steeds vaker als aanbestedingsvoorwaarde stellen. Leveranciers zonder wallet-integratie of de juiste betrouwbaarheidsniveaus lopen het risico uitgesloten te worden van deze kansen.
3. Onvermogen om gereguleerde sectoren te bedienen: Sectoren zoals financiën, gezondheidszorg en farmacie bewegen zich naar een eIDAS 2.0-conforme identiteitsinfrastructuur. Softwareleveranciers die hier niet klaar voor zijn, zullen moeite hebben te voldoen aan de vereisten van klanten in deze sectoren.
4. Gegevensbeschermingsrisico’s: eIDAS 2.0 versterkt de principes van gegevensminimalisatie en gebruikerstoestemming die nauw aansluiten bij de AVG. Apps die meer identiteitsgegevens blijven verzamelen dan noodzakelijk, of die geen goede toestemmingsmechanismen hebben, lopen een verhoogd gegevensbeschermingsrisico.
5. Concurrentieel nadeel: Naarmate wallet-klare concurrenten snellere en meer vertrouwde onboardingervaringen bieden, zullen leveranciers die zich niet hebben aangepast het moeilijker vinden om klanten te winnen en te behouden.

Het risico is niet alleen regelgevend. Het is ook strategisch. Organisaties in de financiële dienstverlening en andere gereguleerde sectoren plannen al hun eIDAS 2.0-routekaarten, en zij zullen verwachten dat hun softwareleveranciers daar klaar voor zijn.

Wanneer moeten softwareleveranciers klaar zijn voor eIDAS 2.0?

De kerndeadlines voor eIDAS 2.0 zijn al in beweging. Lidstaten zijn wettelijk verplicht de EUDI Wallet tegen 2026 beschikbaar te stellen aan alle burgers, ingezetenen en bedrijven, wat betekent dat de infrastructuur nu wordt gebouwd en getest. Voor softwareleveranciers is 2026 de praktische gereedheidsdrempel, hoewel de voorbereiding al in volle gang zou moeten zijn.

De grootschalige pilotprojecten die de EUDI Wallet in 26 lidstaten hebben getest, liepen tot en met 2025 en genereerden de technische specificaties en feedback die nu de basis vormen voor de definitieve implementatiestandaarden. Deze specificaties zijn openbaar beschikbaar, wat betekent dat ontwikkelaars de informatie hebben die ze nodig hebben om te beginnen met bouwen.

Een realistische tijdlijn voor softwareleveranciers ziet er als volgt uit: organisaties die hun eIDAS 2.0-blootstelling nog niet hebben beoordeeld, moeten dit onmiddellijk doen. Degenen die de noodzaak van wallet-integratie of registratie als vertrouwende partij hebben vastgesteld, moeten actief in ontwikkeling of planning zijn. Wachten tot 2026 om te beginnen laat zeer weinig marge voor het test-, certificerings- en integratiewerk dat naleving vereist.

Voor leveranciers die de publieke sector bedienen of actief zijn in gereguleerde sectoren zoals gezondheidszorg of overheidsdiensten, is de urgentie nog groter. Deze sectoren hebben de vroegste en strengste verplichtingen onder de verordening, en hun technologiepartners moeten in gelijke tred met hen klaar zijn. Het verkennen van de resources van TrustTech over EUDI Wallet-gereedheid kan u helpen een realistische voorbereidingstijdlijn voor uw organisatie op te stellen.

Hoe helpt TrustTech softwareleveranciers en app-ontwikkelaars zich voor te bereiden op eIDAS 2.0

Voorbereiden op eIDAS 2.0 is niet alleen een nalevingsoefening. Het is een technische en strategische transitie die van invloed is op hoe uw product omgaat met identiteit, vertrouwen en gegevens. TrustTech ondersteunt softwareleveranciers en app-ontwikkelaars in elke fase van die transitie, van initiële beoordeling tot productie-klare implementatie.

Concreet biedt TrustTech:

• EUDI Wallet-integratieondersteuning: Uw applicatie verbinden met het wallet-ecosysteem via de juiste protocollen, gegevensformaten en registratievereisten als vertrouwende partij.
• Verifieerbare credential-infrastructuur: Uw platform in staat stellen elektronische attestaties van attributen uit te geven, te verifiëren en te beheren in overeenstemming met de eIDAS 2.0-standaarden.
• Gekwalificeerde elektronische handtekeningen: Integratie van identiteitsgekoppelde ondertekeningsfuncties die voldoen aan de hoogste eIDAS-betrouwbaarheidsniveaus, met een volledig auditspoor.
• Herbruikbare nalevingsflows: Herhaalde identiteitscontroles vervangen door een enkele geverifieerde identiteit die veilig door de contactpunten van uw organisatie reist.
• Sectorspecifieke expertise: Diepgaande kennis van de regelgevingsvereisten voor organisaties in de gezondheidszorg, financiën, overheid en andere gereguleerde sectoren.

Het platform van TrustTech is gebouwd op Europese digitale identiteitsstandaarden en is by design eIDAS 2.0-klaar, wat betekent dat u niet bouwt op een fundament dat vervangen moet worden naarmate de verordening verder volwassen wordt. Of u nu vanaf nul begint of een bestaande applicatie aanpast, TrustTech biedt de expertise en infrastructuur om u daar efficiënt te brengen.

Wilt u begrijpen wat eIDAS 2.0 betekent voor uw specifieke product of platform? Neem contact op met TrustTech en laten we samen uw pad naar naleving uitstippelen.