Hoe beïnvloedt eIDAS 2.0 bedrijven in Europa?

eIDAS 2.0 heeft gevolgen voor bedrijven in heel Europa door Verordening (EU) nr. 910/2014 te wijzigen via Verordening (EU) 2024/1183 en de Europese Digitale Identiteitswallet te introduceren als infrastructuur die kwalificerende bedrijven moeten accepteren. Waar de oorspronkelijke verordening zich voornamelijk richtte op overheidsdiensten en grensoverschrijdende erkenning van nationale eID-stelsels, schept eIDAS 2.0 directe verplichtingen voor een veel bredere groep organisaties. Dit artikel behandelt de belangrijkste vragen die bedrijven op dit moment stellen over wat er verandert, wie er mee te maken krijgt en hoe je je kunt voorbereiden.

Wat verandert eIDAS 2.0 concreet ten opzichte van de oorspronkelijke eIDAS?

De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, creëerde een kader waarbinnen EU-lidstaten elkaars nationale elektronische ID-systemen konden erkennen. Dit werkte redelijk goed voor grensoverschrijdende overheidsdiensten, maar deelname was vrijwillig en de adoptie was ongelijkmatig. eIDAS 2.0 wijzigt dat kader fundamenteel door de reikwijdte, het bereik en de ambitie ervan te vergroten en de EUDI-wallet een verplichting te maken in plaats van een optie.

Onder de oorspronkelijke regels konden lidstaten hun nationale eID-stelsels aanmelden voor grensoverschrijdende erkenning, maar daartoe waren zij niet verplicht. Dit leidde tot aanzienlijke verschillen tussen landen in hoe digitale identiteit in de praktijk werkte. eIDAS 2.0 sluit die lacunes door elke lidstaat te verplichten een EUDI-wallet beschikbaar te stellen aan alle burgers, ingezetenen en bedrijven vóór 24 december 2026.

De andere grote verschuiving is de uitbreiding naar de private sector. De oorspronkelijke verordening was grotendeels gericht op overheids- en publieke administratie-toepassingen. eIDAS 2.0 betrekt private organisaties erbij door bepaalde categorieën bedrijven in gereguleerde sectoren te verplichten de EUDI-wallet te accepteren als geldig middel voor identiteitsverificatie. Dit is geen kleine aanpassing. Het vertegenwoordigt een structurele verandering in hoe digitale identiteit in heel Europa werkt.

Welke soorten bedrijven worden getroffen door eIDAS 2.0?

eIDAS 2.0 heeft directe gevolgen voor bedrijven die onlinediensten aanbieden waarvoor sterke gebruikersauthenticatie wettelijk of contractueel vereist is, met name in gereguleerde sectoren. De verordening identificeert in artikel 5f specifieke categorieën dienstverleners die verplicht worden de EUDI-wallet te accepteren als identificatiemiddel. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd: dat zijn organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

De meest direct getroffen sectoren zijn:

• Financiële diensten en bankwezen — waaronder instellingen die KYC-controles uitvoeren, rekeningen openen en betalingsauthenticatie verzorgen
• Gezondheidszorg — voor patiëntidentificatie, receptverwerking en toegang tot medische dossiers
• Overheid en openbaar bestuur — voor digitale overheidsdiensten zoals belastingaangifte, toegang tot uitkeringen en vergunningverlening
• Telecommunicatie — voor SIM-registratie en klantidentiteitsverificatie
• Energie — voor klantidentificatie en toegang tot energiediensten
• Onderwijs — voor het uitgeven en verifiëren van academische kwalificaties
• Sociale zekerheid — voor toegang tot uitkeringen en overheidsregelingen
• Transport — voor digitale reisdocumenten en grensprocessen
• Drinkwater, post en digitale infrastructuur — als onderdeel van de bredere sectorale reikwijdte van artikel 5f
• Zeer grote onlineplatforms (VLOP’s) — met meer dan 45 miljoen gebruikers in de EU, waarbij de verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens

Buiten deze sectoren zou elke organisatie die momenteel gebruikmaakt van gebruikersnaam- en wachtwoordauthenticatie voor hoogwaardige of gevoelige diensten nauwlettend moeten opletten. eIDAS 2.0 stelt een nieuwe standaard voor hoe vertrouwde digitale identiteit eruitziet, en bedrijven buiten de direct gereguleerde categorieën kunnen er alsnog mee te maken krijgen doordat klantverwachtingen en concurrentiedruk hen richting wallet-compatibele identiteitsstromen duwen. Organisaties in de financiële dienstverlening en gezondheidszorg in het bijzonder worden geconfronteerd met de meest directe nalevingsvereisten.

Wat zijn de belangrijkste nalevingsverplichtingen voor bedrijven onder eIDAS 2.0?

De kernverplichting voor bedrijven die binnen de reikwijdte van artikel 5f vallen, is de verplichting om de EUDI-wallet te accepteren als geldig middel voor gebruikersidentificatie en -authenticatie, daar waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Dit betekent dat digitale onboardingstromen, authenticatiesystemen en gegevensverwerkingsprocessen moeten worden bijgewerkt om wallet-gebaseerde interacties te ondersteunen.

Meer specifiek moeten bedrijven rekening houden met de volgende verplichtingen:

• Het accepteren van EUDI-wallet-attestaties voor identiteitsverificatie waar de verordening dit vereist
• Zorgen dat alleen de minimaal noodzakelijke gegevens worden opgevraagd bij gebruikers tijdens wallet-interacties, in lijn met de beginselen van dataminimalisatie
• Je registreren als relying party bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden gevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd.
• Afstemmen van identiteitsverificatieprocessen op de betrouwbaarheidsniveaus die zijn vastgelegd onder eIDAS 2.0, met name voor hoog-risicodiensten
• Beoordelen hoe bestaande identiteits- en authenticatie-infrastructuur samenwerkt met wallet-gebaseerde stromen

Voor bedrijven die al opereren onder AVG-, AML-, KYC- of PSD2-kaders voegt eIDAS 2.0 een extra laag vereisten toe die moeten worden geïntegreerd in bestaande nalevingsprogramma’s. Daarbij is het belangrijk te beseffen dat goedkeuring van gegevensdeling in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Voor gezondheidsgegevens geldt bovendien dat een toepasselijke grond uit artikel 9, lid 2, AVG aanwezig moet zijn. Ook het hergebruik van KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Wallet-gebaseerde identiteitsverificatie kan de naleving in de praktijk wel vereenvoudigen door cryptografisch ondertekende, gestandaardiseerde attestaties te leveren in plaats van te vertrouwen op handmatige documentcontroles.

Hoe beïnvloedt de EUDI-wallet de klantidentiteitsverificatie?

De EUDI-wallet verandert de klantidentiteitsverificatie door gefragmenteerde, repetitieve documentcontroles te vervangen door één herbruikbare digitale identiteit die gebruikers zelf beheren. In plaats van klanten te vragen bij elke nieuwe dienst een paspoort te uploaden, een selfie te maken en een adresbewijs in te dienen, kunnen bedrijven geverifieerde attributen rechtstreeks uit de wallet opvragen met goedkeuring van de gebruiker.

Dit heeft praktische gevolgen voor hoe onboarding werkt. Een klant die al geverifieerd is via zijn of haar nationaal identiteitssysteem, kan via selective disclosure alleen de specifieke informatie delen die een bedrijf nodig heeft, zoals een leeftijdsbewijs of nationaliteit, zonder het volledige identiteitsdocument bloot te geven. De gedeelde attestaties zijn cryptografisch ondertekend door de uitgever. Verificatie door de relying party omvat daarbij drie afzonderlijke controles: de handtekening van de uitgever wordt geverifieerd tegen de relevante nationale trusted list, de intrekkingsstatus wordt gecontroleerd via statusinformatie van de uitgever, en de wallet unit attestation wordt gevalideerd om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.

Voor bedrijven biedt dit de mogelijkheid om de onboardingdrempel aanzienlijk te verlagen. Langdurige identiteitscontroles zijn een van de belangrijkste oorzaken van afhakers tijdens digitale onboarding. Een wallet-gebaseerde stroom kan meerdere handmatige stappen vervangen door één door de gebruiker geïnitieerde deelactie. Tegelijkertijd moeten bedrijven hun systemen aanpassen om wallet-attestaties correct op te vragen en te verwerken, wat zowel technische integratie als een helder begrip vereist van welke gegevensattributen voor elk gebruik nodig zijn en binnen de geregistreerde attributenscope vallen.

De wallet ondersteunt ook herbruikbare naleving. Een klant die KYC heeft voltooid bij zijn bank hoeft het volledige proces niet opnieuw te doorlopen wanneer hij elders een rekening opent, als beide organisaties binnen hetzelfde vertrouwenskader opereren. Daarbij geldt wel dat hergebruik van KYC mede afhankelijk is van de toepasselijke AML-regelgeving en sectorale vereisten. Walletgebruik is bovendien vrijwillig: artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Bij iedere wallet-interactie keurt de gebruiker een presentatieverzoek afzonderlijk goed.

Wanneer moeten bedrijven klaar zijn voor eIDAS 2.0?

Verordening (EU) 2024/1183 trad op 20 mei 2024 in werking. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor walletuitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, en op 6 mei 2025 trad CIR (EU) 2025/848 in werking over de registratie van wallet-relying parties bij de bevoegde nationale autoriteit.

Op basis van deze mijlpalen gelden de volgende concrete deadlines:

• 24 december 2026: elke EU-lidstaat moet minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, ingezetenen en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen en acceptatie vóór de eigen deadline kan worden getest. Dit is een deadline voor walletuitgifte en publieke acceptatie, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.
• 24 december 2027: de acceptatieplicht voor gereguleerde private partijen gaat in op grond van artikel 5f van de verordening, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Dit is twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. De uitzondering voor micro- en kleine ondernemingen blijft van toepassing.

De vier Large Scale Pilots die de wallet hebben getest in sectoren waaronder bankwezen, gezondheidszorg, transport en onderwijs, liepen van april 2023 tot 2025 en zijn afgerond. De inzichten uit die pilots zijn verwerkt in de technische specificaties en architectuur waarmee bedrijven moeten integreren. Dit betekent dat de standaarden grotendeels zijn vastgesteld en dat afwachten geen veilige strategie meer is.

In de praktijk kost het tijd om een conforme relying party te worden in het EUDI-wallet-ecosysteem. Technische integratie, juridische beoordeling, registratieprocessen onder CIR (EU) 2025/848 en intern verandermanagement vereisen allemaal doorlooptijd. Organisaties die pas laat beginnen met voorbereidingen, zullen onder druk moeten bouwen. Degenen die eerder zijn begonnen, staan al in een sterkere positie.

Welke stappen moeten bedrijven nemen om zich voor te bereiden op eIDAS 2.0?

Voorbereiding op eIDAS 2.0 omvat een combinatie van regulatoire beoordeling, technische gereedheid en procesherontwerp. De meest effectieve aanpak begint met een goed begrip van waar jouw organisatie zich bevindt binnen de reikwijdte van de verordening en werkt van daaruit verder.

1. Beoordeel je regulatoire reikwijdte. Bepaal of jouw organisatie valt binnen de categorieën dienstverleners die op grond van artikel 5f verplicht zijn de EUDI-wallet te accepteren. Dit hangt af van je sector, de aard van je diensten en of sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Controleer ook of de uitzondering voor micro- en kleine ondernemingen op jouw organisatie van toepassing is.
2. Breng je huidige identiteitsstromen in kaart. Auditeer hoe je momenteel gebruikers verifieert, onboardt en authenticeert. Identificeer welke stappen vervangen of verbeterd kunnen worden door wallet-gebaseerde interacties, en waar lacunes bestaan in je huidige infrastructuur.
3. Begrijp de technische vereisten. Maak je technische teams vertrouwd met het Architecture and Reference Framework voor de EUDI-wallet. Relying party worden vereist integratie met gestandaardiseerde protocollen zoals OID4VP voor presentatie en OID4VCI voor uitgifte, en credentialformaten zoals mdoc en SD-JWT VC. Registratie bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848 is een formele vereiste voordat walletdata kan worden opgevraagd.
4. Stem af op bestaande nalevingskaders. Verbind je eIDAS 2.0-voorbereiding met je bestaande AVG-, AML-, KYC- en sectorspecifieke nalevingsprogramma’s. Zorg dat je voor iedere verwerking van walletdata een zelfstandige AVG-grondslag hebt. Deze kaders overlappen aanzienlijk, en een geïntegreerde aanpak voorkomt dubbel werk.
5. Schakel je technologiepartners in. Werk samen met aanbieders van identiteitsinfrastructuur die al ervaring hebben met eIDAS-conforme systemen. De implementatietijdlijn is krap, en specialistische kennis van de technische standaarden kan het risico aanzienlijk verminderen.
6. Plan voor verandermanagement. Digitale identiteitswijzigingen hebben gevolgen voor de klantervaring, interne processen en werkstromen van medewerkers. Ontwikkel een duidelijk intern communicatie- en trainingsplan naast je technische implementatie.

Organisaties die eIDAS 2.0 behandelen als een nalevingsvinkje zullen de bredere kans missen. De verordening schept de voorwaarden voor snellere, veiligere en gebruiksvriendelijkere digitale interacties. Bedrijven die hun identiteitsstromen van de grond af aan rondom de wallet ontwerpen, zullen beter gepositioneerd zijn dan degenen die het er achteraf aan vastknopen. Verken hoe je deze overgang strategisch aanpakt om optimaal gebruik te maken van wat het nieuwe kader mogelijk maakt.

Hoe ondersteunt de ID Connector van TrustTech relying parties bij eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector de volgende technische taken die relevant zijn voor relying parties onder eIDAS 2.0:

• Verificatie van uitgevershandtekeningen op attestaties tegen de relevante nationale trusted lists, conform de ETSI TS 119 612-structuur en de EU List of Trusted Lists
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
• Ondersteuning van hergebruik van geverifieerde identiteitsdata binnen de grenzen van de toepasselijke AVG-grondslag en sectorale regels
• Gekwalificeerd tekenen via een aangesloten qualified trust service provider, voor diensten die een QES vereisen

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk te maken hebben met specifieke nalevingsvereisten rond identiteitsverificatie en authenticatie onder eIDAS 2.0.

Neem contact op met TrustTech om te bespreken wat de ID Connector concreet doet voor jouw situatie als relying party.