Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, zijn mobiele identiteitsdocumenten digitale attestaties van fysieke identiteitsbewijzen die worden opgeslagen en gepresenteerd via de Europese Digitale Identiteitswallet. De verordening stelt specifieke eisen aan documenttypen, technische normen, betrouwbaarheidsniveaus en privacyregels die van toepassing zijn op elk mobiel identiteitsdocument dat wordt gebruikt in gereguleerde interacties binnen de EU. Dit artikel behandelt elk van deze vereisten, zodat jouw organisatie precies weet waar ze op moet voorbereiden.
Welke mobiele identiteitsdocumenten vallen onder eIDAS 2.0?
eIDAS 2.0 omvat een breed scala aan mobiele identiteitsdocumenten die kunnen worden opgeslagen en gepresenteerd via de EUDI-wallet. Het meest prominente voorbeeld is het mobiele rijbewijs (mDL), maar het kader is ook van toepassing op digitale paspoorten, nationale identiteitskaarten, verblijfsvergunningen en andere door de overheid uitgegeven bewijzen die in digitale vorm worden gepresenteerd.
Naast deze fundamentele identiteitsdocumenten breidt eIDAS 2.0 zich uit naar een bredere categorie van attestaties die juridisch gewicht hebben in gereguleerde interacties. De grootschalige pilots die de EUDI-wallet hebben getest, hebben praktische gebruiksscenario’s bevestigd voor verschillende documenttypen, waaronder:
- Mobiele rijbewijzen (mDL): Gebruikt voor zowel controles langs de weg als online leeftijds- of identiteitsverificatie, getest binnen het POTENTIAL-consortium
- Reisdocumenten: Digital Travel Credentials zijn gepiloteerd binnen het EWC-consortium voor gebruik bij grensovergangen en luchthavenbeveiliging, maar zijn nog geen algemeen operationele EUDI-walletfunctionaliteit
- Sociale zekerheids- en gezondheidsdocumenten: Inclusief de Europese Ziekteverzekeringskaart, getest binnen DC4EU ter ondersteuning van grensoverschrijdende toegang tot gezondheidszorg
- Onderwijsbewijzen: Diploma’s, graden en certificaten opgeslagen als verifieerbare digitale attestaties, eveneens onderdeel van de DC4EU-pilot
- Organisatie-identiteitsdocumenten: Attestaties die aantonen dat een persoon een gemachtigd vertegenwoordiger van een bedrijf is, getest binnen het EWC-consortium
De gemeenschappelijke draad is dat al deze documenten moeten worden uitgegeven door een erkende autoriteit, veilig in de wallet moeten worden opgeslagen en op een manier moeten worden gepresenteerd waarmee de ontvangende partij hun authenticiteit kan verifiëren zonder de oorspronkelijke uitgever in realtime te hoeven raadplegen. Dat laatste vereist echter wel nuance: volledig offline verificatie is alleen mogelijk voor de handtekeningcontrole. Intrekkingsstatus en validatie van de wallet unit attestation vereisen doorgaans contact met externe bronnen.
Aan welke technische normen moeten mobiele identiteitsdocumenten voldoen onder eIDAS 2.0?
Mobiele identiteitsdocumenten onder eIDAS 2.0 moeten voldoen aan internationaal erkende technische normen om interoperabiliteit tussen EU-lidstaten te waarborgen. De bindende technische vereisten volgen uit de verordening en de bijbehorende uitvoeringshandelingen. De Architecture and Reference Framework (ARF) geeft de technische uitwerking daarvan.
Voor mobiele rijbewijzen is ISO/IEC 18013-5 de relevante norm voor proximity-presentatie. Deze specificeert het datamodel, de communicatieprotocollen voor apparaat-naar-apparaatoverdracht zoals Bluetooth Low Energy en NFC, en de cryptografische mechanismen die worden gebruikt om de attestatie te beschermen. Voor online presentatie is ISO/IEC TS 18013-7 de aanvullende norm. Dit betekent dat een mobiel rijbewijs dat in één lidstaat is uitgegeven, door een lezer in een andere lidstaat kan worden geverifieerd via hetzelfde technische proces, mits beide partijen deze normen implementeren.
Voor het bredere EUDI-wallet-ecosysteem schrijft de ARF voor welke credentialformaten en uitwisselingsprotocollen wallet solutions moeten ondersteunen. De twee relevante credentialformaten zijn mdoc en SD-JWT VC. Voor uitgifte van attestaties geldt OID4VCI als uitwisselingsprotocol; voor presentatie geldt OID4VP. Het High Assurance Interoperability Profile (HAIP) specificeert aanvullend welke combinaties van formaten en protocollen verplicht worden ondersteund voor hoog-betrouwbaarheidstoepassingen.
De ARF definieert verder de technische bouwstenen die alle wallet solutions moeten ondersteunen, waaronder:
- Selective disclosure, zodat gebruikers alleen de specifieke attributen kunnen delen die nodig zijn voor een transactie
- Cryptografische koppeling tussen de attestatie en de wallet unit van de gebruiker
- Ondersteuning voor zowel online als offline presentatiescenario’s, met dien verstande dat alleen de handtekeningcontrole volledig offline kan plaatsvinden
- Interoperabiliteit met gekwalificeerde vertrouwensdiensten zoals gedefinieerd in het eIDAS-vertrouwenskader
Organisaties die van plan zijn mobiele identiteitsdocumenten te accepteren als relying party, moeten ervoor zorgen dat hun verificatie-infrastructuur deze normen ondersteunt. Een visuele weergave controleren is onvoldoende: de cryptografische handtekening van de uitgever moet worden gevalideerd tegen de relevante nationale trusted list, de intrekkingsstatus moet worden gecontroleerd via statusinformatie van de uitgever, en de wallet unit attestation moet worden geverifieerd om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
Welk betrouwbaarheidsniveau is vereist voor mobiele identiteitsdocumenten onder eIDAS 2.0?
Mobiele identiteitsdocumenten die worden gebruikt in gereguleerde interacties onder eIDAS 2.0 moeten in de meeste gevallen voldoen aan het hoge betrouwbaarheidsniveau zoals gedefinieerd in de verordening. Dit is het hoogste niveau in het eIDAS-kader, wat betekent dat de identiteit achter de attestatie is geverifieerd via een streng proces dat sterk vertrouwen biedt in de geclaimde identiteit van de persoon.
Het hoge betrouwbaarheidsniveau vereist dat de oorspronkelijke identiteitscontrole is uitgevoerd met behulp van betrouwbare en verifieerbare bronnen, doorgaans met persoonlijke verificatie of identificatie op afstand met gelijkwaardige beveiligingsgaranties. De attestatie zelf moet cryptografisch zijn gekoppeld aan de wallet unit op het apparaat van de gebruiker, waardoor klonen of ongeautoriseerde overdracht wordt tegengegaan. Privésleutels van attestaties kunnen de beveiligde componenten van de wallet unit niet verlaten. Bij een nieuw apparaat worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
Ter vergelijking: eIDAS definieert drie betrouwbaarheidsniveaus: laag, substantieel en hoog. De meeste grensoverschrijdende openbare diensten en gereguleerde gebruiksscenario’s in de private sector, zoals het openen van een bankrekening of toegang tot overheidsuitkeringen, vereisen minimaal het substantiële betrouwbaarheidsniveau. Voor mobiele identiteitsdocumenten die dienen als juridisch equivalent van fysieke identiteitsdocumenten is het hoge niveau de verwachte basislijn, maar het concrete vereiste niveau volgt uit de toepasselijke sectorale regelgeving of de dienst waarvoor de attestatie wordt gebruikt.
Dit heeft directe gevolgen voor wallet providers en documentuitgevers. Het identiteitsverificatieproces dat wordt gebruikt om een mobiel identiteitsdocument uit te geven, moet zelf voldoen aan de hoge betrouwbaarheidsvereisten. Organisaties in sectoren zoals financiële dienstverlening of overheid moeten hun bestaande onboarding- en verificatieprocessen beoordelen om te bevestigen dat ze hieraan voldoen.
Hoe verwerkt de EUDI-wallet de verificatie van mobiele identiteitsdocumenten?
De EUDI-wallet verifieert mobiele identiteitsdocumenten via een combinatie van cryptografisch bewijs en selective disclosure. Wanneer een gebruiker een mobiele identiteitsattestatie presenteert, genereert de wallet unit een cryptografisch ondertekend antwoord dat bewijst dat de attestatie is uitgegeven door een vertrouwde autoriteit en tamper-evident is, zonder noodzakelijkerwijs het volledige document aan de verificateur te onthullen.
Volledige verificatie omvat drie afzonderlijke controles. Ten eerste wordt de handtekening van de uitgever gevalideerd tegen de relevante nationale trusted list, opgesteld conform ETSI TS 119 612, en via de EU List of Trusted Lists (LOTL). Ten tweede wordt de intrekkingsstatus gecontroleerd via statusinformatie van de uitgever. Ten derde wordt de wallet unit attestation geverifieerd, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. De tweede en derde vereisen doorgaans contact met externe bronnen.
Het verificatieproces werkt anders afhankelijk van of de interactie online of fysiek plaatsvindt. In een online context communiceert de wallet instance via OID4VP met het systeem van de relying party, en de infrastructuur van de relying party valideert de attestatie aan de hand van de publieke sleutel van de uitgever. In een fysieke context, zoals een verkeerscontrole waarbij een bestuurder zijn mobiele rijbewijs toont, vindt de uitwisseling apparaat-naar-apparaat plaats via proximity-protocollen zoals NFC of Bluetooth conform ISO/IEC 18013-5, zonder dat een internetverbinding nodig is voor de handtekeningcontrole zelf.
Een belangrijk kenmerk van deze architectuur is dat de uitgevende autoriteit niet hoeft te worden geraadpleegd tijdens de handtekeningvalidatie. Dit beschermt de privacy van de gebruiker en voorkomt dat de uitgever kan bijhouden waar en wanneer een attestatie wordt gepresenteerd. De intrekkingscontrole vereist echter wel een vorm van contact met de uitgever of diens statusinformatie.
De vier grootschalige pilotprogramma’s die zijn uitgevoerd in 26 lidstaten, waaronder POTENTIAL, EWC, NOBID en DC4EU, hebben precies deze verificatiestromen getest in praktijkscenario’s, van inchecken op de luchthaven tot registratie van simkaarten. Deze pilots zijn afgerond en hebben praktische feedback opgeleverd die de definitieve technische specificaties mede heeft gevormd.
Wat zijn de privacyvereisten voor mobiele identiteitsdocumenten in eIDAS 2.0?
eIDAS 2.0 plaatst sterke privacyvereisten centraal in het ontwerp van mobiele identiteitsdocumenten. De verordening vereist dat mobiele identiteitsdocumenten selective disclosure ondersteunen, wat betekent dat gebruikers alleen de specifieke attributen moeten kunnen delen die vereist zijn voor een transactie, in plaats van hun volledige identiteitsdocument.
Wanneer iemand zijn leeftijd bewijst voor een online dienst, moet een gebruiker kunnen bevestigen dat hij boven een bepaalde leeftijdsgrens valt zonder zijn geboortedatum, naam of andere persoonsgegevens te onthullen. Dit principe van gegevensminimalisatie is een kernvereiste waaraan alle conforme mobiele identiteitsdocumenten en wallet solutions moeten voldoen.
Het privacykader verbiedt ook dat de uitgevende autoriteit bijhoudt hoe en waar attestaties worden gebruikt. Elke presentatie van een mobiel identiteitsdocument moet onkoppelbaar zijn aan andere presentaties, zodat noch de uitgever noch een derde partij een profiel kan opbouwen van de activiteit van een gebruiker op basis van het gebruik van hun attestatie.
Gebruikers behouden controle over wat ze delen en met wie. De EUDI-wallet is zo ontworpen dat niets wordt gedeeld zonder de uitdrukkelijke goedkeuring van de gebruiker voor die specifieke interactie. Belangrijk onderscheid: goedkeuring in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen persoonsgegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Walletgebruik is bovendien vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Voor organisaties die actief zijn in de gezondheidszorg of andere gevoelige sectoren gelden naast de eIDAS-privacyvereisten ook de AVG-verplichtingen, waaronder de specifieke grondslag uit artikel 9, lid 2, AVG voor de verwerking van bijzondere categorieën persoonsgegevens zoals gezondheidsgegevens. De eIDAS-vereisten voor gegevensminimalisatie en doelbinding versterken die AVG-verplichtingen, maar vervangen ze niet.
Wat moeten organisaties doen om eIDAS 2.0-conforme mobiele identiteitsattestaties te accepteren?
Om eIDAS 2.0-conforme mobiele identiteitsdocumenten te accepteren, moeten organisaties zich registreren als relying party binnen het EUDI-wallet-ecosysteem en de technische infrastructuur implementeren die nodig is om cryptografisch ondertekende attestaties te verifiëren. Op grond van CIR (EU) 2025/848 moet een relying party zich registreren bij de bevoegde nationale autoriteit voordat walletdata kan worden opgevraagd. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt pas relevant wanneer gekwalificeerde attestaties worden uitgegeven of wanneer gekwalificeerd tekenen deel uitmaakt van de dienst.
De praktische stappen die organisaties moeten doorlopen, zijn:
- Begrijp welke gebruiksscenario’s van toepassing zijn: Identificeer de identiteitsinteracties in jouw diensten waarbij mobiele identiteitsdocumenten bestaande verificatiemethoden kunnen vervangen of aanvullen.
- Registreer je als relying party: Voltooi het formele registratieproces onder CIR (EU) 2025/848 bij de bevoegde nationale autoriteit, inclusief de vastlegging van welke attributen per intended use worden opgevraagd.
- Implementeer conforme verificatie-infrastructuur: Integreer de technische protocollen die nodig zijn om mdoc- en SD-JWT VC-attestaties te valideren, inclusief handtekeningvalidatie tegen de nationale trusted list, intrekkingsstatuscontrole en validatie van de wallet unit attestation.
- Werk jouw gegevensminimalisatiepraktijken bij: Zorg ervoor dat jouw systemen alleen de attributen opvragen die daadwerkelijk nodig zijn voor elke transactie, in overeenstemming met de vereisten voor selective disclosure en de geregistreerde attributenscope.
- Herzie jouw bestaande betrouwbaarheidsniveauvereisten: Bevestig dat de betrouwbaarheidsniveaus die jouw diensten vereisen, overeenkomen met wat de EUDI-wallet kan bieden en wat de toepasselijke sectorale regelgeving voorschrijft.
- Train relevante teams: Compliance-, juridische, IT- en klantgerichte teams moeten allemaal begrijpen wat eIDAS 2.0-conforme mobiele identiteitsattestaties betekenen voor hun processen, inclusief de AVG-verplichtingen die los van de wallet blijven gelden.
Organisaties die al op grote schaal identiteitsverificatie uitvoeren, zoals banken, verzekeraars of aanbieders van openbare diensten, zullen hun onboardingstromen en back-endvalidatielogica moeten bijwerken. Organisaties met een lagere basislijn van digitale identiteitsvolwassenheid moeten mogelijk aanzienlijk meer investeren in nieuwe infrastructuur.
Voor de planning gelden de volgende wettelijke data. Uiterlijk 24 december 2026 zijn lidstaten verplicht gecertificeerde EUDI-wallets beschikbaar te stellen en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom en energie geldt op grond van artikel 5f van de verordening de acceptatieplicht vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn uitgezonderd van de private acceptatieplicht. Het venster voor voorbereiding wordt smaller. Jouw implementatieaanpak nu beoordelen is de praktische volgende stap.
Hoe ondersteunt de ID Connector van TrustTech mobiele identiteitscompliance onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor mobiele identiteitsdocumenten voert de ID Connector de drie verificatiestappen uit die volledige compliance vereisen: validatie van de handtekening van de uitgever tegen de relevante nationale trusted list via de EU List of Trusted Lists (LOTL), controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope, zodat jouw systemen alleen opvragen wat is vastgelegd bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848.
Voor organisaties in financiële dienstverlening, gezondheidszorg, farma en overheid ondersteunt de ID Connector zowel online als proximity-verificatiestromen, verwerking van mdoc- en SD-JWT VC-attestaties via OID4VP, en, waar van toepassing, gekwalificeerd tekenen via een aangesloten QTSP.
Als jouw organisatie bezig is met wat eIDAS 2.0 mobiele identiteitscompliance in de praktijk betekent, is nu het juiste moment om actie te ondernemen. Neem contact op met TrustTech om jouw specifieke situatie te bespreken.