Hoe beïnvloedt eIDAS 2.0 cloudserviceproviders in Europa?

eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, heeft directe gevolgen voor cloudserviceproviders in Europa, met name voor aanbieders van diensten die betrekking hebben op identiteitsverificatie, elektronische handtekeningen of vertrouwde gegevensuitwisseling. Als jouw cloudplatform een van deze functies biedt aan Europese gebruikers of bedrijven, val je waarschijnlijk binnen de reikwijdte van de bijgewerkte verordening. De onderstaande secties beschrijven welke diensten worden beïnvloed, hoe compliance er in de praktijk uitziet en hoe je je kunt voorbereiden.

Welke clouddiensten vallen onder de verplichtingen van eIDAS 2.0?

Clouddiensten vallen onder de verplichtingen van eIDAS 2.0 wanneer zij gekwalificeerde trust services leveren of ondersteunen, zoals elektronische handtekeningen, elektronische zegels, tijdstempels, websiteauthenticatiecertificaten of gekwalificeerde bezorgdiensten. Cloudproviders die deze functies hosten of beheren namens Europese bedrijven vallen rechtstreeks binnen de reikwijdte. Providers die uitsluitend gegevens opslaan of infrastructuur beheren zonder betrokken te zijn bij identiteits- of ondertekeningsprocessen, hebben minder directe verplichtingen, maar worden wel indirect beïnvloed.

De duidelijkste categorie zijn Gekwalificeerde Verleners van Vertrouwensdiensten (QTSPs). Als een cloudplatform gekwalificeerde certificaten uitgeeft, ondertekeningssleutels beheert of gekwalificeerde elektronische handtekeningen als dienst levert, moet het voldoen aan de strikte vereisten van eIDAS 2.0. Dit omvat auditverplichtingen, beveiligingsnormen en registratie bij een nationale toezichthoudende instantie, waarna de provider wordt opgenomen in de nationale trusted list.

Naast QTSPs ondervinden ook cloudproviders die zakelijke klanten ondersteunen in gereguleerde sectoren zoals financiën, gezondheidszorg of overheid de gevolgen. Wanneer die klanten cloudinfrastructuur gebruiken om identiteiten te verifiëren, onboarding te verwerken of digitale documenten te beheren, wordt de cloudprovider onderdeel van de complianceketen. Inzicht in de positie van jouw platform binnen die keten is het startpunt voor elke compliancebeoordeling.

Welke nieuwe compliancevereisten introduceert eIDAS 2.0 voor cloudproviders?

eIDAS 2.0 introduceert een aanzienlijk uitgebreider pakket aan compliancevereisten vergeleken met de oorspronkelijke eIDAS-verordening. Cloudproviders die gekwalificeerde trust services aanbieden, moeten voldoen aan bijgewerkte technische normen, conformiteitsbeoordelingen ondergaan door geaccrediteerde instanties en doorlopende compliance aantonen via regelmatige audits. Uitvoeringshandelingen die eind 2024 en in 2025 werden aangenomen, bestrijken alles van meldingen van beveiligingsincidenten tot het beheer van apparaten voor het aanmaken van gekwalificeerde handtekeningen op afstand.

Enkele van de meest relevante nieuwe vereisten zijn:

• Beheer van QSCD op afstand: Cloudgebaseerde ondertekeningsdiensten op afstand die apparaten voor het aanmaken van gekwalificeerde handtekeningen (QSCD’s) beheren, worden nu erkend als een afzonderlijke categorie trust service, met specifieke beveiligings- en operationele vereisten.
• Registratie als relying party voor de wallet: Cloudplatforms die gegevens van de EUDI-wallet opvragen of verwerken, moeten zich registreren als relying party bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848, voordat zij walletdata kunnen opvragen. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. Bij registratie legt een relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
• Meldingsverplichtingen binnen het ecosysteem: Providers die betrokken zijn bij het bredere EUDI-wallet-ecosysteem moeten voldoen aan meldingsregels, waaronder de manier waarop zij beveiligingsincidenten en wijzigingen in hun diensten rapporteren.
• Strengere interoperabiliteitsnormen: Clouddiensten die identiteitsgegevens uitwisselen over landsgrenzen heen, moeten voldoen aan bijgewerkte protocollen en interfacespecificaties zoals vastgelegd in het Architecture and Reference Framework (ARF).
• Jaarlijkse rapportage: Toezichthoudende instanties vereisen gestructureerde jaarverslagen van gekwalificeerde verleners van trust services, wat betekent dat cloudgebaseerde QTSPs rapportageprocessen moeten integreren in hun bedrijfsvoering.

Voor cloudproviders die zelf geen QTSP zijn maar zakelijke klanten ondersteunen bij het nakomen van deze verplichtingen, betekent dit in de praktijk dat hun platforms in staat moeten zijn te integreren met conforme identiteits- en ondertekeningsinfrastructuur. Dit vereist vaak het bijwerken van API’s, het ondersteunen van nieuwe credentialformaten zoals mdoc en SD-JWT VC, en het waarborgen dat gegevensverwerking voldoet aan zowel eIDAS 2.0 als de AVG.

Hoe verandert eIDAS 2.0 de relatie tussen cloudproviders en hun zakelijke klanten?

eIDAS 2.0 verschuift de dynamiek tussen cloudproviders en hun zakelijke klanten door compliance tot een gedeelde verantwoordelijkheid te maken. Zakelijke klanten in gereguleerde sectoren kunnen identiteitsverificatie en digitaal ondertekenen niet langer behandelen als puur interne processen. Wanneer die functies draaien op cloudinfrastructuur, wordt de cloudprovider een cruciaal onderdeel van het complianceplaatje, en klanten zullen in toenemende mate gedocumenteerde zekerheid over die compliance eisen.

Dit creëert zowel een uitdaging als een kans voor cloudproviders. Zakelijke klanten zullen kritischere vragen stellen: Is jouw platform compatibel met de EUDI-wallet? Kun je gekwalificeerde elektronische handtekeningen ondersteunen? Ben je opgenomen in de nationale trusted list? Providers die deze vragen niet helder kunnen beantwoorden, lopen het risico klanten te verliezen aan concurrenten die dat wel kunnen.

Cloudproviders die investeren in eIDAS 2.0-gereedheid kunnen concrete meerwaarde bieden aan zakelijke klanten die complexe regelgevingsvereisten moeten navigeren. De mogelijkheid om herbruikbare identiteitsverificatie, wallet-compatibele onboardingprocessen en gekwalificeerde ondertekeningsfunctionaliteit aan te bieden als onderdeel van een beheerde clouddienst is steeds aantrekkelijker voor organisaties die de interne expertise missen om deze mogelijkheden zelf te ontwikkelen. Daarbij is het relevant te beseffen dat een relying party geen QTSP nodig heeft om een EUDI-wallet te accepteren. Een QTSP wordt pas relevant wanneer het gaat om gekwalificeerd tekenen of het uitvragen van gekwalificeerde attestaties.

Voor zakelijke klanten in sectoren zoals financiële dienstverlening of gezondheidszorg, waar identiteitszekerheid zowel een wettelijke vereiste als een bedrijfskritische functie is, worden cloudproviders die eIDAS 2.0-conformiteit kunnen aantonen strategische partners in plaats van gewone leveranciers. Dit is een betekenisvolle verschuiving in de manier waarop inkoop en leveranciersrelaties worden beheerd.

Wat is de rol van cloudgebaseerd ondertekenen op afstand onder eIDAS 2.0?

Cloudgebaseerd ondertekenen op afstand speelt een centrale rol onder eIDAS 2.0 en wordt nu formeel erkend als een zelfstandige gekwalificeerde trust service. Ondertekenen op afstand bestond al onder de oorspronkelijke eIDAS-verordening. eIDAS 2.0 versterkt de juridische grondslag en verduidelijkt de operationele vereisten voor cloudgebaseerde QSCD’s. Het stelt gebruikers in staat een gekwalificeerde elektronische handtekening (QES) te plaatsen zonder een fysiek ondertekeningsapparaat te bezitten, omdat de cryptografische sleutel namens hen veilig in de cloud wordt beheerd.

Het is juridisch relevant onderscheid te maken tussen een Advanced Electronic Signature (AdES) en een QES. Een AdES is uniek gekoppeld aan de ondertekenaar, geschikt om de ondertekenaar te identificeren, aangemaakt onder diens exclusieve controle, en gekoppeld aan de ondertekende gegevens zodat latere wijzigingen detecteerbaar zijn. Een QES voldoet daarnaast aan de vereisten rond een gekwalificeerd certificaat én een QSCD. Alleen de QES heeft op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening.

Onder eIDAS 2.0 moeten providers die QSCD’s op afstand beheren, voldoen aan een vastgesteld pakket beveiligings- en operationele vereisten. Een kernvereiste is de waarborg dat de ondertekeningssleutel onder de exclusieve controle van de ondertekenaar blijft, ook al wordt deze op afstand opgeslagen. De verordening en de bijbehorende uitvoeringshandelingen stellen technische normen vast voor de manier waarop deze controle wordt aangetoond en geaudit.

Voor cloudproviders is dit een van de commercieel meest significante aspecten van de bijgewerkte verordening. Organisaties door heel Europa hebben gekwalificeerde elektronische handtekeningen nodig voor contracten, onboarding, regelgevingsaanvragen en een groeiend aantal digitale interacties. Cloudgebaseerde ondertekeningsdiensten op afstand die voldoen aan de eIDAS 2.0-vereisten kunnen op grote schaal aan deze vraag voldoen, zonder dat gebruikers fysieke tokens of smartcards hoeven te beheren.

De integratie van ondertekenen op afstand met de EUDI-wallet biedt een extra laag aan mogelijkheden. De EUDI-wallet moet burgers de mogelijkheid bieden om voor niet-professioneel gebruik gratis een QES te plaatsen. Naarmate de wallet het primaire mechanisme voor identiteitsverificatie in de EU wordt, zullen cloudgebaseerde ondertekeningsdiensten die naadloos aansluiten op wallet-attestaties goed gepositioneerd zijn om de volledige digitale interactiecyclus te ondersteunen, van identiteitsverificatie tot een juridisch bindende handtekening. Daarbij geldt wel dat nationale vormvereisten nationaal recht blijven. eIDAS 2.0 bepaalt de rechtskracht van elektronische handtekeningen, maar niet automatisch of iedere transactie daarmee rechtsgeldig kan worden gesloten.

Hoe moeten cloudproviders zich voorbereiden op eIDAS 2.0-compliance?

Cloudproviders moeten zich voorbereiden op eIDAS 2.0-compliance door eerst in kaart te brengen welke van hun diensten binnen de reikwijdte vallen, vervolgens de hiaten te beoordelen ten opzichte van de bijgewerkte technische en juridische vereisten, en ten slotte een gestructureerde roadmap op te stellen om die hiaten te dichten. Wachten op volledige regelgevingszekerheid voordat je begint is een risico: de kernverplichtingen zijn al vastgesteld en zakelijke klanten beginnen nu al compliancevragen te stellen.

Een praktische voorbereidingsaanpak volgt deze stappen:

1. Reikwijdtebeoordeling: Identificeer welke diensten betrekking hebben op identiteitsverificatie, elektronische handtekeningen, uitgifte van attestaties of vertrouwde gegevensuitwisseling. Dit zijn de gebieden die het meest direct worden beïnvloed door eIDAS 2.0.
2. Gapanalyse: Vergelijk jouw huidige technische mogelijkheden en governanceprocessen met de uitvoeringshandelingen onder eIDAS 2.0, inclusief vereisten voor beheer van remote QSCD’s, registratie als relying party onder CIR (EU) 2025/848 en interoperabiliteitsnormen zoals vastgelegd in het ARF.
3. EUDI-wallet-gereedheid: Beoordeel of jouw platform kan samenwerken met EUDI-wallets. Lidstaten zijn wettelijk verplicht uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen aan burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, zoals banken, zorginstellingen, telecombedrijven en andere sectoren waarvoor artikel 5f van de verordening geldt, gaat de acceptatieplicht in op 24 december 2027, in de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze acceptatieplicht uitgezonderd. Organisaties zullen verwachten dat hun cloudproviders wallet-gebaseerde identiteitsstromen tijdig ondersteunen.
4. Planning van conformiteitsbeoordeling: Als je QTSP bent of wilt worden, neem dan vroegtijdig contact op met een geaccrediteerde conformiteitsbeoordelingsinstantie. Het auditproces kost tijd en vroege betrokkenheid vermindert het risico op vertragingen.
5. Klantcommunicatie: Ontwikkel duidelijke documentatie van jouw eIDAS 2.0-compliancestatus en roadmap. Zakelijke klanten in gereguleerde sectoren zullen ernaar vragen, en heldere antwoorden bouwen vertrouwen op.

Providers die overheids– of andere sterk gereguleerde klanten bedienen, moeten ook de Large Scale Pilots volgen die de EUDI-wallet-functionaliteit hebben getest in de deelnemende lidstaten. De eerste vier pilots liepen van april 2023 tot 2025 en zijn afgerond. De inzichten uit die pilots hebben de technische specificaties gevormd die nu zijn verankerd in de verordening en de bijbehorende uitvoeringshandelingen. Inzicht in wat in de praktijk heeft gewerkt, is waardevolle context voor implementatieplanning. Verken de beschikbare resources over digitale identiteit om op de hoogte te blijven naarmate het regelgevingslandschap zich verder ontwikkelt.

Hoe helpt TrustTech cloudserviceproviders bij het navigeren van eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

• Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat alleen attestaties van erkende uitgevers worden geaccepteerd.
• Controle van intrekkingsstatus: De ID Connector controleert de intrekkingsstatus via de statusinformatie van de uitgever, als onderdeel van het volledige verificatieproces naast handtekeningverificatie.
• Validatie van de wallet unit attestation: De ID Connector valideert de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
• Bewaking van de geregistreerde attributenscope: De ID Connector ondersteunt het bewaken van de attributen en attestaties die per intended use zijn geregistreerd onder CIR (EU) 2025/848, zodat verzoeken binnen de geregistreerde scope blijven.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitsdata kan worden hergebruikt voor diensten en organisaties, waardoor overbodige verificatiestappen worden voorkomen.
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector ondersteunt gekwalificeerd tekenen via een aangesloten gekwalificeerde verlener van trust services. De QES zelf komt via die QTSP tot stand.

Dit maakt de ID Connector relevant voor cloudproviders die klanten bedienen in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar wallet-gebaseerde identiteitsverificatie en gekwalificeerd tekenen een directe operationele en compliancebehoefte zijn.

Als je een cloudprovider bent die jouw eIDAS 2.0-gereedheid beoordeelt, of een onderneming die op zoek is naar een betrouwbare integratie voor jouw digitale identiteitsinfrastructuur, beschrijft de oplossingenpagina van TrustTech wat de ID Connector concreet doet. Neem contact op met TrustTech om jouw specifieke situatie te bespreken.