eIDAS 2.0 heeft directe gevolgen voor het beheer van digitale identiteiten van medewerkers. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, introduceert nieuwe vereisten voor de manier waarop organisaties werknemersidentiteiten verifiëren, authenticeren en beheren binnen digitale diensten. De verordening breidt het oorspronkelijke eIDAS-kader uit naar use cases in de private sector, wat betekent dat bedrijven de identiteit van hun personeel niet langer als een puur interne aangelegenheid kunnen beschouwen. Dit artikel behandelt de belangrijkste vragen die organisaties op dit moment stellen over eIDAS 2.0 en de identiteit van medewerkers.
Welke veranderingen introduceert eIDAS 2.0 voor werknemersidentiteit?
eIDAS 2.0 introduceert een wettelijk erkend kader voor digitale organisatie-identiteiten, waardoor medewerkers kunnen aantonen dat zij legitieme vertegenwoordigers van hun organisatie zijn met behulp van gestandaardiseerde, interoperabele attestaties. Dit is een significante verschuiving ten opzichte van de oorspronkelijke verordening, die zich bijna uitsluitend richtte op burgeridentiteit. Bedrijven moeten nu nadenken over werknemersidentiteit als onderdeel van een gereguleerd, grensoverschrijdend vertrouwensecosysteem.
Onder het oorspronkelijke eIDAS-kader was elektronische identificatie grotendeels beperkt tot overheidsdiensten en interacties met de publieke sector. eIDAS 2.0 opent dit ook voor diensten in de private sector. Dat betekent dat medewerkers die toegang krijgen tot bankplatformen, zorgsystemen, inkoopmiddelen of andere gereguleerde digitale diensten binnenkort geverifieerde organisatieattestaties moeten kunnen presenteren, in plaats van te vertrouwen op interne combinaties van gebruikersnaam en wachtwoord.
De verordening introduceert ook de Europese Digitale Identiteitswallet voor organisaties. Via de EUDI-wallet kunnen organisaties digitale attestaties voor hun personeel uitgeven en beheren. Medewerkers kunnen geverifieerde attributen met betrekking tot hun dienstverband, rol en autorisatieniveau bij zich dragen en deze presenteren aan diensten van derden, zonder telkens opnieuw vanaf nul te hoeven verifiëren. Dit creëert een nieuw model voor werknemersidentiteit dat overdraagbaar, privacyvriendelijk en wettelijk erkend is in alle EU-lidstaten.
Kunnen medewerkers de EUDI-wallet gebruiken voor werkplekverificatie?
Ja, medewerkers kunnen de EUDI-wallet gebruiken voor werkplekverificatie. De wallet ondersteunt digitale organisatie-identiteiten als een van de kerngebruiksscenario’s, waardoor medewerkers attestaties kunnen opslaan en presenteren die hun rol en autorisatie binnen een organisatie bewijzen. Dit maakt de wallet geschikt voor toegang tot zowel interne systemen als externe gereguleerde diensten.
De EUDI-wallet is ontworpen om een reeks geverifieerde digitale attestaties te bevatten, waaronder attestaties die gekoppeld zijn aan dienstverband en professionele kwalificaties. Voor werkplekscenario’s betekent dit dat een medewerker zich kan authenticeren bij een leveranciersportaal, een overheidsinkoopsysteem of een grensoverschrijdend financieel platform met behulp van wallet-gebaseerde attestaties, in plaats van een afzonderlijke bedrijfslogin.
Vanuit praktisch oogpunt functioneert de wallet als een beveiligde, app-gebaseerde omgeving. Medewerkers presenteren alleen de specifieke attributen die een dienst vereist, zoals de naam van hun werkgever, functietitel of autorisatieniveau, zonder onnodige persoonsgegevens bloot te leggen. Dit model van selective disclosure sluit goed aan bij de AVG-beginselen en vermindert het risico op het delen van te veel gegevens tijdens authenticatie.
Lidstaten zijn op grond van de verordening verplicht de EUDI-wallet uiterlijk op 24 december 2026 beschikbaar te stellen aan burgers en organisaties. Vanaf dat moment moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, zoals banken, zorginstellingen en aanbieders van digitale diensten, geldt de acceptatieplicht onder artikel 5f van de verordening vanaf 24 december 2027, daar waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Organisaties kunnen de tussenliggende periode gebruiken om wallet-gebaseerde authenticatie te testen en hun systemen tijdig voor te bereiden. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van de private acceptatieplicht uitgezonderd.
Wat zijn verifieerbare attestaties en hoe werken ze voor medewerkers?
Attestaties zijn digitaal ondertekende, cryptografisch beveiligde verklaringen over feiten betreffende een persoon of organisatie. Voor medewerkers kan een attestatie hun dienstverbandstatus, professionele kwalificatie of bevoegdheid om namens hun werkgever te handelen bevestigen. In tegenstelling tot een gescand document of een PDF-certificaat kunnen attestaties geautomatiseerd worden gecontroleerd zonder rechtstreeks contact op te nemen met de uitgevende organisatie, mits de juiste verificatiestappen worden doorlopen.
Het proces verloopt in drie stappen. Een uitgever, zoals een werkgever, een overheidsinstantie of een certificeringsautoriteit, maakt een attestatie aan en ondertekent deze. De medewerker slaat die attestatie op in zijn wallet unit. Wanneer een dienstverlener de claim van de medewerker moet verifiëren, vraagt hij de relevante attestatie op en presenteert de wallet deze via het OID4VP-protocol. De dienstverlener voert vervolgens drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Het is daarom onjuist te stellen dat een attestatie volledig kan worden geverifieerd zonder contact met externe bronnen.
Voor organisaties heeft dit model duidelijke operationele voordelen. Het onboarden van een nieuwe medewerker bij platforms van derden gaat sneller omdat de identiteits- en dienstverbandattestaties van de medewerker al zijn geverifieerd. Compliancecontroles waarvoor momenteel handmatige documentindiening vereist is, kunnen worden vervangen door geautomatiseerde attestatieverificatie. Omdat attestaties herbruikbaar zijn, hoeven medewerkers dezelfde feiten niet opnieuw te bewijzen aan elk nieuw systeem waartoe ze toegang hebben.
eIDAS 2.0 biedt het wettelijke kader dat attestaties erkend en betrouwbaar maakt in alle EU-lidstaten, waardoor grensoverschrijdende interacties van medewerkers dezelfde mate van rechtszekerheid krijgen als binnenlandse interacties. Het is daarbij van belang onderscheid te maken tussen gekwalificeerde elektronische attestaties van attributen (QEAA), publieke attestaties (PuB-EAA) en niet-gekwalificeerde attestaties. De rechtsgevolgen en het vereiste vertrouwensniveau verschillen per categorie.
Hoe beïnvloedt eIDAS 2.0 identiteitsfederatie en SSO-systemen?
eIDAS 2.0 vervangt bestaande identiteitsfederatie- of Single Sign-On (SSO)-systemen niet, maar verhoogt wel de lat voor wat als vertrouwde authenticatie wordt beschouwd. Organisaties die gefedereerde identiteit of SSO gebruiken voor toegang door medewerkers, moeten evalueren of hun huidige assuranceniveaus aansluiten bij de eIDAS 2.0-vereisten, met name wanneer medewerkers toegang hebben tot gereguleerde externe diensten.
Veel enterprise SSO-systemen vertrouwen tegenwoordig op combinaties van gebruikersnaam en wachtwoord met optionele meervoudige authenticatie. Onder eIDAS 2.0 zullen bepaalde gereguleerde diensten authenticatie vereisen op een gedefinieerd assuranceniveau, met name substantieel of hoog. Als de SSO-sessie van een medewerker niet aan dat niveau voldoet, moet hij mogelijk zijn authenticatie verhogen met een wallet-gebaseerde attestatie of een andere erkende methode.
De praktische implicatie is dat organisaties hun identiteitsinfrastructuur waarschijnlijk moeten integreren met EUDI-wallet-compatibele flows. Bestaande systemen worden daardoor niet volledig vervangen, maar wel uitgebreid om wallet-gebaseerde authenticatie te ondersteunen als een extra laag, met name voor interacties met externe gereguleerde diensten. Een relying party die walletdata wil opvragen, moet zich bovendien registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd. Identiteitsproviders en enterprise-architectuurteams moeten beginnen met het in kaart brengen van welke toegangsscenario’s hogere assuranceniveaus vereisen en dienovereenkomstig plannen.
Voor organisaties die actief zijn in meerdere EU-lidstaten biedt eIDAS 2.0 ook de mogelijkheid om grensoverschrijdende identiteitsfederatie te vereenvoudigen. In plaats van afzonderlijke bilaterale vertrouwensovereenkomsten te onderhouden, kunnen organisaties vertrouwen op de interoperabiliteit die is ingebouwd in het EUDI-wallet-ecosysteem om medewerkers consistent te authenticeren in verschillende nationale contexten.
Welke sectoren krijgen te maken met de strengste eIDAS 2.0-nalevingsvereisten voor werknemersidentiteit?
Financiële dienstverlening, overheid, gezondheidszorg en farmacie hebben te maken met de meest stringente eIDAS 2.0-nalevingsvereisten voor digitale identiteit van medewerkers. Deze sectoren verwerken gevoelige gegevens, opereren onder bestaande regelgevingskaders die al sterke identiteitszekerheid vereisen, en vallen onder de sectoren waarvoor artikel 5f van de verordening specifieke verplichtingen introduceert. Naast deze sectoren geldt de acceptatieplicht ook voor telecom, energie, transport, sociale zekerheid, drinkwater, post, digitale infrastructuur en zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU. Voor die zeer grote onlineplatforms geldt een afzonderlijke bepaling van artikel 5f: de verplichting is van toepassing waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
- Financiële dienstverlening: Banken, verzekeraars en betalingsdienstverleners moeten voldoen aan hoge assurancevereisten voor authenticatie van medewerkers die toegang hebben tot gereguleerde systemen. eIDAS 2.0 raakt bestaande verplichtingen onder AML, KYC en PSD2, wat betekent dat verificatie van werknemersidentiteit zowel een regelgevings- als een compliancerisicokwestie is. Organisaties in deze sector kunnen sectorspecifieke identiteitsoplossingen voor financiën verkennen om te begrijpen hoe compliance-ready infrastructuur er in de praktijk uitziet.
- Overheid en openbaar bestuur: Medewerkers van de publieke sector die toegang hebben tot grensoverschrijdende EU-diensten of via digitale kanalen contact hebben met burgers, moeten zich authenticeren met erkende attestaties. De overheidssector is een van de eerste gebieden waar adoptie van de EUDI-wallet naar verwachting zal versnellen, mede omdat publieke instanties vanaf 24 december 2026 verplicht zijn genotificeerde wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is.
- Gezondheidszorg en farmacie: Professionals die toegang hebben tot patiëntendossiers, voorschrijfsystemen of grensoverschrijdende gezondheidsgegevens moeten zowel hun identiteit als hun professionele autorisatie aantonen. eIDAS 2.0 ondersteunt dit via attestaties die professionele kwalificaties samen met identiteitsattributen kunnen coderen. Organisaties in digitale identiteit voor de gezondheidszorg worden geconfronteerd met bijzonder complexe vereisten gezien de gevoeligheid van de betrokken gegevens. Voor gezondheidsgegevens geldt daarnaast dat verwerking een toepasselijke grond onder artikel 9, lid 2, AVG vereist.
- Onderwijs en onderzoek: Instellingen die academische attestaties of onderzoeksgegevens grensoverschrijdend delen, moeten zich afstemmen op de interoperabiliteitsnormen van eIDAS 2.0 om ervoor te zorgen dat attestaties worden erkend en vertrouwd. De erkenning van beroepskwalificaties zelf volgt uit Richtlijn 2005/36/EG. De wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
In al deze sectoren is de gemeenschappelijke noemer dat werknemersidentiteit niet langer als een interne IT-aangelegenheid kan worden behandeld. Het is een nalevingsvereiste met grensoverschrijdende implicaties.
Wat moeten organisaties nu doen om hun identiteitssystemen voor te bereiden op eIDAS 2.0?
Organisaties moeten beginnen met het in kaart brengen van hun huidige werknemersidentiteitsprocessen ten opzichte van de eIDAS 2.0-vereisten, waarbij ze hiaten in assuranceniveaus, interoperabiliteit en overdraagbaarheid van attestaties identificeren. Nu handelen is belangrijk omdat de regelgevingstijdlijn snel vordert en het integreren van wallet-compatibele identiteitsinfrastructuur tijd kost om te plannen, testen en implementeren.
Een praktische voorbereidingsaanpak volgt een duidelijke volgorde:
- Audit van huidige identiteitsinfrastructuur: Identificeer welke systemen werknemersauthenticatie afhandelen, welke assuranceniveaus ze momenteel bieden en welke externe diensten medewerkers gebruiken die mogelijk eIDAS 2.0-conforme attestaties vereisen.
- Beoordeel de regelgevingsblootstelling: Bepaal welke bedrijfsactiviteiten onder de eIDAS 2.0-vereisten vallen, met name als jouw organisatie actief is in financiën, gezondheidszorg, overheid of grensoverschrijdende diensten. Controleer ook of jouw organisatie onder de uitzondering voor micro- en kleine ondernemingen valt.
- Evalueer de EUDI-wallet-gereedheid: Begrijp wat het betekent om een wallet-compatibele relying party te worden en welke wijzigingen jouw toegangsbeheersystemen nodig hebben om attestatie-gebaseerde authenticatie te ondersteunen. Houd daarbij rekening met de registratieplicht onder CIR (EU) 2025/848 en de vereiste attributenscope per intended use.
- Plan voor de uitgifte van attestaties: Als jouw organisatie attestaties aan medewerkers zal uitgeven, zoals dienstverbandverklaringen of professionele autorisaties, identificeer dan de technische en governance-vereisten om dit op een conforme manier te doen. Attestaties worden uitgegeven via het OID4VCI-protocol en opgeslagen in de wallet unit van de medewerker.
- Neem contact op met jouw identiteits- en vertrouwensdienstproviders: Veel van de technische componenten die nodig zijn voor eIDAS 2.0-naleving zijn beschikbaar via gekwalificeerde vertrouwensdienstproviders. Het vroegtijdig kiezen van de juiste partners vermindert het implementatierisico.
Organisaties die de voorbereiding op eIDAS 2.0 behandelen als een eenmalig nalevingsproject zullen waarschijnlijk moeite hebben. De duurzamere aanpak is het bouwen van een identiteitsinfrastructuur die flexibel genoeg is om mee te evolueren naarmate de verordening in de lidstaten wordt uitgevoerd en het EUDI-wallet-ecosysteem volwassener wordt. Het beoordelen van jouw identiteitsaanpak met een gestructureerd raamwerk maakt dit proces aanzienlijk beter beheersbaar.
Hoe ondersteunt de ID Connector van TrustTech het beheer van digitale identiteiten van medewerkers onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor werknemersidentiteit ondersteunt de ID Connector de volgende technische taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde intended use onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata voor onboarding en toegangsbeheer, waardoor handmatige herverificatie bij elk platform vervalt
- Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP, voor scenario’s waarin een gekwalificeerde elektronische handtekening wettelijk vereist of gewenst is
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar hoge assurancevereisten gelden en de acceptatieplicht onder artikel 5f het vroegst van toepassing zal zijn. Neem contact op met TrustTech om te bespreken hoe jouw organisatie de ID Connector kan inzetten voor de digitale identiteit van medewerkers.