De grootste nalevingsuitdagingen bij eIDAS 2.0 zijn het aanpassen van verouderde identiteitsinfrastructuur aan nieuwe technische standaarden, het navigeren door vereisten voor grensoverschrijdende interoperabiliteit, het omgaan met de spanning tussen gegevensminimalisatie onder de AVG en het gegevensuitwisselingsmodel van de wallet, en het halen van harde regelgevende deadlines die al van kracht zijn. Deze uitdagingen gelden voor een breed scala aan organisaties, van banken en zorgaanbieders tot overheidsinstanties en technologieplatformen. De onderstaande secties behandelen elke uitdaging in praktische termen en leggen uit wat organisaties eraan kunnen doen.
Welke organisaties zijn daadwerkelijk verplicht te voldoen aan eIDAS 2.0?
De nalevingsverplichtingen van eIDAS 2.0 zijn van toepassing op een breed scala aan organisaties, niet alleen op overheidsinstanties. Elke organisatie die digitale diensten aanbiedt aan EU-burgers of bedrijven en identiteitsverificatie vereist, wordt waarschijnlijk getroffen. Dit omvat banken, verzekeringsmaatschappijen, zorgaanbieders, telecombedrijven, e-commerceplatformen en elke entiteit die onder de verordening als relying party wordt geclassificeerd.
Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, introduceert een specifieke acceptatieplicht voor gereguleerde private partijen in sectoren zoals financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur. Voor zeer grote onlineplatformen (VLOP’s) met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: zij moeten de EUDI-wallet ondersteunen waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Voor de overige gereguleerde private partijen geldt de acceptatieplicht binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van deze acceptatieplicht uitgezonderd. De acceptatieplicht voor de relevante private partijen gaat in op 24 december 2027. Publieke instanties in alle EU-lidstaten zijn verplicht om op EUDI-wallet gebaseerde authenticatie te ondersteunen voor digitale overheidsdiensten vanaf 24 december 2026.
Naast deze directe verplichtingen zullen veel organisaties indirecte druk voelen om te voldoen. Als jouw concurrenten of partners de EUDI-wallet integreren en jij niet, loop je het risico klanten te verliezen die verwachten dat ze één herbruikbare digitale identiteit kunnen gebruiken voor verschillende diensten. Organisaties in de financiële dienstverlening en gezondheidszorg worden geconfronteerd met bijzonder sterke nalevingsprikkels, gezien de overlap met bestaande AML-, KYC- en patiëntgegevensregelgeving.
Wat maakt eIDAS 2.0 technisch moeilijker te implementeren dan eIDAS 1.0?
eIDAS 2.0 is aanzienlijk complexer te implementeren dan zijn voorganger, omdat het een volledig nieuwe technische architectuur introduceert die is opgebouwd rond attestaties, cryptografische bewijzen en op wallet gebaseerde identiteit. eIDAS 1.0 was primair gericht op het erkennen van nationale eID-stelsels over de grenzen heen. Verordening (EU) 2024/1183 gaat veel verder door te definiëren hoe identiteitsattributen worden uitgegeven, opgeslagen en via selective disclosure vrijgegeven.
De belangrijkste technische verschuiving is de overgang naar attestaties en het Architecture and Reference Framework (ARF), dat specificeert hoe wallet solutions, uitgevers en relying parties met elkaar moeten communiceren. De ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. Organisaties die hun identiteitsverificatieprocessen hebben opgebouwd op traditionele gebruikersnaam-wachtwoord- of single sign-on-systemen, zullen aanzienlijke delen van hun infrastructuur opnieuw moeten inrichten.
Specifieke technische uitdagingen zijn:
- Integreren met walletprotocollen die tijdens de overgangsperiode kunnen verschillen tussen lidstaten
- Ondersteuning van selective disclosure, waarmee gebruikers alleen specifieke attributen kunnen delen in plaats van volledige identiteitsdocumenten
- Implementeren van verificatie van attestaties via drie afzonderlijke controles: de handtekening van de uitgever tegen de relevante nationale trusted list, de intrekkingsstatus via de statusinformatie van de uitgever, en de wallet unit attestation om vast te stellen dat de presenterende wallet instance draait op een gecertificeerde wallet solution
- Ervoor zorgen dat jouw systemen zowel verouderde eID-methoden als nieuwe op wallet gebaseerde stromen tegelijkertijd kunnen verwerken
- Voldoen aan de beveiligings- en zekerheidsniveauvereisten voor verschillende gebruikssituaties, van laag-zekerheidslogins tot hoog-zekerheidstransacties
Organisaties die nog niet hebben geïnvesteerd in moderne identiteitsinfrastructuur, zullen merken dat de kloof tussen waar ze nu staan en waar ze naartoe moeten aanzienlijk is. Het vroegtijdig verkennen van de juiste digitale identiteitsoplossingen in het proces is essentieel om kostbaar herstelwerk later te voorkomen.
Hoe creëren vereisten voor grensoverschrijdende interoperabiliteit nalevingsrisico’s?
Grensoverschrijdende interoperabiliteit is een van de meest complexe nalevingsrisico’s in eIDAS 2.0, omdat het vereist dat jouw systemen identiteitsattestaties accepteren en valideren die zijn uitgegeven door wallet solutions uit elke EU-lidstaat. Als jouw platform een attestatie uit een andere lidstaat niet betrouwbaar kan verifiëren, ben je technisch gezien niet-compliant en loop je het risico gebruikers uit te sluiten of te zakken voor regelgevingsaudits.
De uitdaging is dat hoewel eIDAS 2.0 een gemeenschappelijk kader definieert, de uitvoeringsdetails tijdens de uitrolfase per lidstaat kunnen variëren. Nationale wallet solutions kunnen verschillen in hoe ze attributen coderen, welke vertrouwensankers ze gebruiken of hoe ze randgevallen afhandelen. Dit creëert een bewegend doel voor organisaties die interoperabele systemen moeten bouwen voordat alle nationale uitvoeringen zijn afgerond.
De vier grootschalige pilots die in april 2023 zijn gestart en in 2025 zijn afgerond, waren specifiek ontworpen om interoperabiliteit over grenzen heen te testen, waarbij meer dan 350 entiteiten uit 26 lidstaten plus Noorwegen, IJsland en Oekraïne betrokken waren. De inzichten uit deze pilots zijn teruggekoppeld naar de technische specificaties. Organisaties kunnen echter niet simpelweg wachten tot alle uitvoeringshandelingen zijn vastgesteld voordat ze hun eigen voorbereidingen starten.
Praktische interoperabiliteitsrisico’s zijn onder meer het afwijzen van geldige attestaties van gebruikers in andere lidstaten, het niet herkennen van vertrouwensankers van buitenlandse wallet solutions via de nationale trusted lists die zijn samengebracht in de EU List of Trusted Lists, en het bouwen van integraties die vandaag werken maar problemen geven wanneer nationale uitvoeringen worden bijgewerkt. Organisaties in overheidsdiensten en grensoverschrijdende financiële transacties lopen dit risico het meest acuut.
Welke gegevensbeschermingsconflicten ontstaan er tussen eIDAS 2.0 en de AVG?
Een wezenlijke spanning tussen eIDAS 2.0 en de AVG betreft de rechtsgrondslag voor het verwerken van identiteitsgegevens en het beginsel van gegevensminimalisatie. eIDAS 2.0 maakt het mogelijk dat geverifieerde identiteitsattributen tussen partijen worden uitgewisseld, terwijl de AVG vereist dat alleen de minimaal noodzakelijke gegevens worden verzameld en verwerkt voor een bepaald doel. Het in de praktijk balanceren van deze twee verplichtingen vereist zorgvuldige juridische en technische keuzes.
Een concreet spanningspunt doet zich voor bij audittrails. eIDAS 2.0 vereist dat organisaties gegevens bijhouden van identiteitstransacties voor verantwoording en rechtszekerheid. De AVG beperkt daarentegen hoe lang persoonsgegevens mogen worden bewaard en vereist een duidelijke rechtsgrondslag daarvoor. Organisaties moeten bewaartermijnbeleid definiëren dat aan beide kaders voldoet, wat vaak juridische analyse vereist in plaats van een eenvoudige technische oplossing.
Een tweede spanningspunt betreft selective disclosure. Hoewel de EUDI-wallet is ontworpen om gebruikers alleen de attributen te laten delen die zij kiezen, mogen relying parties niet meer gegevens opvragen dan ze nodig hebben voor het opgegeven doel. Goedkeuring van een dataverzoek in de wallet is bovendien niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens. Als jouw onboarding- of verificatieproces om meer attributen vraagt dan strikt noodzakelijk, loop je het risico op een AVG-overtreding, ook als de gebruiker het delen technisch heeft goedgekeurd.
Organisaties moeten de implementatie van eIDAS 2.0 evenzeer als een gegevensbeschermingsproject beschouwen als een technisch project. Gegevensbeschermingseffectbeoordelingen, bijgewerkte verwerkersovereenkomsten en duidelijke documentatie van de rechtsgrondslag voor elke identiteitstransactie zijn allemaal noodzakelijke stappen. Dit is vooral relevant voor organisaties die bijzondere categorieën persoonsgegevens verwerken, zoals gezondheids- of financiële informatie. Voor gezondheidsgegevens is naast een grondslag onder artikel 6 AVG ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist.
Wanneer moeten organisaties volledig voldoen aan eIDAS 2.0?
Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen startten tevens de relevante 24-maandentermijn voor wallet-uitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, die de registratie van wallet-relying parties bij de bevoegde nationale autoriteit regelt. Voor organisaties die voorbereidingen treffen, is het praktische nalevingsvenster nu. Wachten tot het laatste moment verhoogt het implementatierisico aanzienlijk.
De tijdlijn ziet er globaal als volgt uit:
- 20 mei 2024: Verordening (EU) 2024/1183 trad in werking; de eerste uitvoeringshandelingen en technische specificaties werden stapsgewijs gepubliceerd
- Eind 2024: de eerste vijf kernuitvoeringshandelingen werden aangenomen; de 24-maandentermijn voor wallet-uitgifte startte
- 2025: de grootschalige pilots werden afgerond; een tweede golf uitvoeringshandelingen werd gepubliceerd; CIR (EU) 2025/848 trad in werking; nationale wallet-uitvoeringen versnelden
- 24 december 2026: lidstaten moeten minimaal één gecertificeerde EUDI-wallet operationeel hebben; publieke instanties moeten genotificeerde wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is
- 24 december 2027: artikel 5f wordt van toepassing voor gereguleerde private partijen in relevante sectoren, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is
- Doorlopend: toezicht en handhaving nemen toe; niet-conforme organisaties worden geconfronteerd met regelgevend toezicht
Organisaties die nog niet zijn begonnen met hun eIDAS 2.0-implementatie lopen al achter. De technische complexiteit, de behoefte aan juridische en nalevingsbeoordeling, en de tijd die nodig is om nieuwe identiteitsinfrastructuur te integreren, betekenen dat organisaties realistisch gezien 12 tot 24 maanden voorlooptijd nodig hebben voor een volledige implementatie. Nu beginnen is niet vroeg; het is noodzakelijk.
Hoe moeten organisaties vandaag beginnen met de voorbereiding op eIDAS 2.0-naleving?
Organisaties moeten beginnen met het in kaart brengen van hun huidige identiteitsverificatieprocessen ten opzichte van de eIDAS 2.0-vereisten om te identificeren waar de hiaten zich bevinden. Dit betekent begrijpen welke van jouw diensten identiteitsverificatie vereisen, welke zekerheidsniveaus nodig zijn, en of jouw bestaande infrastructuur op wallet gebaseerde attestaties kan ondersteunen. Een gapanalyse is de basis van elk realistisch nalevingsroadmap.
Praktische voorbereiding omvat meerdere parallelle werkstromen. Aan de technische kant moeten organisaties beginnen met het testen van integraties met beschikbare wallet-referentie-implementaties en het bestuderen van het Architecture and Reference Framework. Aan de juridische en nalevingskant moeten teams de verwerkingsdocumentatie bijwerken, contracten met identiteitsserviceproviders herzien en de AVG-implicaties van nieuwe gegevensstromen beoordelen. Relying parties moeten zich daarnaast tijdig registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848, en per intended use vastleggen welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd.
Het is ook de moeite waard om de resultaten van de afgeronde grootschalige pilots te raadplegen, die zijn ontworpen om kennis breed te delen. Organisaties die de uitkomsten van deze pilots volgen, zullen een duidelijker beeld hebben van wat in de praktijk werkt.
Onderschat ten slotte de organisatorische dimensie niet. eIDAS 2.0 raakt tegelijkertijd compliance-, juridische, IT-, product- en klantervaringsteams. Het vroegtijdig toewijzen van duidelijk eigenaarschap en het opbouwen van cross-functionele afstemming bespaart later aanzienlijk tijd en kosten. Je kunt verkennen hoe andere organisaties in vergelijkbare sectoren deze uitdaging hebben aangepakt door klantervaringen en sectorspecifieke gebruikssituaties te bekijken.
Hoe de ID Connector van TrustTech aansluit op deze nalevingsuitdagingen
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector:
- Verificatie tegen trusted lists: de ID Connector controleert uitgevershandtekeningen van attestaties tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, conform ETSI TS 119 612
- Controle van intrekkingsstatus: per transactie wordt de actuele intrekkingsstatus van een attestatie gecontroleerd via de statusinformatie van de uitgever
- Validatie van wallet unit attestations: de ID Connector verifieert dat de presenterende wallet instance draait op een gecertificeerde wallet solution, als onderdeel van het volledige verificatieproces
- Bewaking van de geregistreerde attributenscope: verzoeken worden beperkt tot de attributen en attestaties die zijn vastgelegd bij registratie conform CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden voorkomen
- Hergebruik van geverifieerde identiteitsdata: gebruikers keuren per sessie een presentatie uit de wallet goed en kunnen hun identiteitsattributen hergebruiken voor jouw diensten, wat herhaalde verificatiestappen vermindert
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector koppelt geverifieerde identiteit aan een gekwalificeerde elektronische handtekening die tot stand komt via een aangesloten qualified trust service provider, met een volledige audittrail
De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar identiteitsnaleving en de koppeling aan gekwalificeerde trust services operationeel kritisch zijn. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw eIDAS 2.0-nalevingsroadmap.