eIDAS 2.0 versterkt de juridische geldigheid van digitale documenten in de hele EU door de regels rondom elektronische handtekeningen, attestaties en trust services uit te breiden en te verduidelijken. Op grond van Verordening (EU) 2024/1183 hebben documenten die zijn ondertekend met een gekwalificeerde elektronische handtekening (QES) dezelfde juridische kracht als handgeschreven handtekeningen in alle EU-lidstaten, conform artikel 25, lid 2, van de verordening. Dit geldt zowel voor particulieren als voor organisaties. De onderstaande secties behandelen de belangrijkste vragen die organisaties stellen bij hun voorbereiding op de nieuwe regels.
Welke wijzigingen brengt eIDAS 2.0 aan in de regels voor elektronische handtekeningen?
Verordening (EU) 2024/1183, in de praktijk aangeduid als eIDAS 2.0, wijzigt Verordening (EU) nr. 910/2014 op een aantal wezenlijke punten. De verordening vervangt de oorspronkelijke eIDAS niet, maar breidt het juridische kader uit en koppelt het aan nieuwe technische infrastructuur, waaronder de EUDI-wallet.
De meest ingrijpende wijziging voor elektronische handtekeningen is de expliciete koppeling van de QES aan de EUDI-wallet. Artikel 5a verplicht lidstaten om burgers via gecertificeerde wallet solutions de mogelijkheid te bieden gratis een QES te gebruiken voor niet-professionele doeleinden. Dat maakt het hoogste handtekeningniveau toegankelijker dan onder de oorspronkelijke verordening het geval was, zonder dat de juridische definitie van een QES is veranderd.
De juridische vereisten voor een Advanced Electronic Signature (AdES) blijven ongewijzigd: de handtekening moet uniek gekoppeld zijn aan de ondertekenaar, geschikt zijn om de ondertekenaar te identificeren, aangemaakt zijn onder exclusieve controle van de ondertekenaar, en gekoppeld zijn aan de ondertekende gegevens zodat latere wijzigingen detecteerbaar zijn. Een QES voldoet daarnaast aan de vereisten rond een gekwalificeerd certificaat en een Qualified Signature Creation Device (QSCD). Remote signing bestond al onder de oorspronkelijke eIDAS-verordening. eIDAS 2.0 integreert het ondertekenen op afstand nadrukkelijker in het wallet-ecosysteem.
Daarnaast introduceert eIDAS 2.0 gekwalificeerde elektronische grootboeken en gekwalificeerde elektronische archiveringsservices als erkende trust services. Voor organisaties in gereguleerde sectoren betekent dit dat zij kunnen vertrouwen op juridisch erkende infrastructuur voor het opslaan en bewaren van ondertekende documenten, wat relevant is voor auditsporen en langetermijnhandhaafbaarheid.
Zijn documenten ondertekend met de EUDI-wallet juridisch geldig?
Ja, mits de handtekening voldoet aan de vereisten voor een QES onder Verordening (EU) 2024/1183. De juridische geldigheid volgt uit artikel 25, lid 2: een QES heeft in alle lidstaten dezelfde rechtskracht als een handgeschreven handtekening. De EUDI-wallet is ontworpen om QES te ondersteunen, zodat documenten die via de wallet worden ondertekend aan die vereisten kunnen voldoen.
De juridische geldigheid vloeit voort uit de manier waarop identiteitsverificatie en cryptografisch ondertekenen in het wallet-ecosysteem zijn georganiseerd. Wanneer een gebruiker een document via de wallet ondertekent, is zijn of haar identiteit op een hoog betrouwbaarheidsniveau geverifieerd door een vertrouwde uitgever. De handtekening is cryptografisch gekoppeld aan die geverifieerde identiteit, waardoor een tamper-evident record ontstaat dat door elke relying party kan worden gevalideerd.
Hier is een belangrijke beperking relevant: eIDAS 2.0 regelt de rechtskracht van een QES, maar nationale vormvereisten blijven nationaal recht. Of een specifieke transactie rechtsgeldig kan worden gesloten met een elektronische handtekening, hangt mede af van het toepasselijke nationale recht. Dat geldt bijvoorbeeld voor notariële akten of andere handelingen waarvoor de wet een specifieke vorm voorschrijft.
Ten opzichte van oudere digitale ondertekeningspraktijken is de grensoverschrijdende erkenning verbeterd. Onder de oorspronkelijke verordening was wederzijdse erkenning in de praktijk inconsistent. Met de EUDI-wallet en het gemeenschappelijke technische kader is juridische erkenning structureler verankerd, al betekent de deadline van 24 december 2026 voor wallet-uitgifte en publieke acceptatie niet automatisch dat volledige functionele interoperabiliteit in de hele EU op dat moment bestaat.
Welke soorten digitale documenten vallen onder eIDAS 2.0?
eIDAS 2.0 dekt een breed scala aan digitale documenten. De verordening erkent elk document dat is uitgegeven, ondertekend of uitgewisseld via een gekwalificeerde trust service als juridisch geldig. Dit omvat elektronisch ondertekende contracten, gekwalificeerde elektronische zegels voor organisaties en tijdgestempelde records.
De EUDI-wallet ondersteunt specifiek de volgende soorten attestaties en documenten in het dagelijkse en professionele leven:
- Mobiele rijbewijzen, bruikbaar bij zowel online als fysieke interacties
- Reisdocumenten zoals paspoorten en visa, waarbij gebruik bij grens- of luchthavencontrole in pilots is onderzocht en nog geen algemeen operationele EUDI-walletfunctionaliteit is
- Onderwijsattestaties waaronder diploma’s, graden en certificaten
- Receptgegevens gedeeld met apotheken voor medische verstrekking
- Bewijs van organisatievertegenwoordiging voor zakelijke transacties
- Sociale zekerheidsdocumenten waaronder de Europese Ziekteverzekeringskaart
- Identiteitsverificatie voor het openen van bankrekeningen of het initiëren van betalingen
Wat deze attestaties onderscheidt van gedigitaliseerde kopieën van papieren documenten, is dat hun authenticiteit cryptografisch kan worden geverifieerd door elke relying party die ze accepteert. Daarvoor zijn drie controles relevant: verificatie van de handtekening van de uitgever tegen de nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Attestaties in de EUDI-wallet worden uitgegeven in de credentialformaten mdoc of SD-JWT VC, en uitgewisseld via de protocollen OID4VCI voor uitgifte en OID4VP voor presentatie. Daarbij maakt selective disclosure het mogelijk dat een gebruiker alleen de attributen deelt die voor een specifieke transactie nodig zijn.
Maak onderscheid tussen de typen attestaties: een Qualified Electronic Attestation of Attributes (QEAA) wordt uitgegeven door een gekwalificeerde trust service provider, een Public Body Electronic Attestation of Attributes (PuB-EAA) door een publieke instantie, en een non-qualified EAA door andere uitgevers. PuB-EAA valt niet onder non-qualified EAA. Dit onderscheid is relevant voor de juridische waarde die een relying party aan een attestatie kan toekennen.
Hoe werkt grensoverschrijdende erkenning van digitale documenten onder eIDAS 2.0?
Onder eIDAS 2.0 worden digitale documenten en elektronische handtekeningen die in één EU-lidstaat zijn afgegeven erkend in alle andere lidstaten, mits ze voldoen aan de relevante vereisten. Voor QES volgt deze erkenning rechtstreeks uit artikel 25, lid 2. Voor andere trust services gelden de specifieke rechtsgevolgen uit de toepasselijke artikelen van de verordening.
Het mechanisme hierachter is het Europese Vertrouwde Lijstensysteem. Elke lidstaat onderhoudt een nationale trusted list van gekwalificeerde trust service providers, conform ETSI TS 119 612. Deze nationale lijsten zijn gebundeld in de EU List of Trusted Lists (LOTL). Wanneer een document wordt ondertekend of een attestatie wordt uitgegeven door een aanbieder op die lijst, zijn andere lidstaten wettelijk verplicht dit te erkennen. De EUDI-wallet versterkt dit verder door gebruik te maken van een gemeenschappelijk technisch kader, het Architecture and Reference Framework (ARF), dat ervoor zorgt dat wallet solutions uit verschillende landen met elkaar en met relying parties kunnen samenwerken.
Voor relying parties die grensoverschrijdend opereren is dit een praktische verbetering. Een contract ondertekend door een klant in Duitsland met zijn nationale EUDI-wallet is geldig voor een dienstverlener in Frankrijk of Spanje. Aanvullende notarisatie of landspecifieke juridische beoordeling is voor de handtekening zelf niet vereist. Nationale vormvereisten voor specifieke transacties blijven echter nationaal recht en vallen buiten het bereik van eIDAS 2.0.
Organisaties die actief zijn in financiële dienstverlening en andere grensoverschrijdende sectoren zullen dit voordeel het meest direct merken, omdat het een van de belangrijkste knelpunten bij internationale digitale transacties wegneemt.
Welke sectoren worden het meest beïnvloed door de regels voor documentgeldigheid onder eIDAS 2.0?
De sectoren die het meest worden beïnvloed door eIDAS 2.0 zijn die sectoren waar documentauthenticiteit, identiteitsverificatie en juridische verantwoording centraal staan in de dagelijkse bedrijfsvoering. Financiën, overheid, gezondheidszorg en onderwijs staan bovenaan deze lijst, maar de impact strekt zich uit tot elke organisatie die juridisch bindende documenten uitgeeft, accepteert of er op vertrouwt.
Hier is hoe de verplichtingen van toepassing zijn op de belangrijkste sectoren:
- Financiële dienstverlening: Banken, verzekeraars en betalingsdienstverleners behoren tot de gereguleerde private sectoren waarop artikel 5f van toepassing is. Zij moeten de EUDI-wallet accepteren voor identificatie in contexten waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De plandatum daarvoor is 24 december 2027. eIDAS 2.0 sluit aan bij KYC- en AML-vereisten, maar hergebruik van KYC wordt mede bepaald door AML-regelgeving en sectorale regels. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn uitgezonderd van de acceptatieplicht.
- Overheid: Publieke instanties zijn verplicht genotificeerde EUDI-wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, met ingang van 24 december 2026. Dit omvat diensten zoals belastingaangiften en aanvragen voor sociale zekerheid. Overheden in publieke sector organisaties moeten ook wallet-compatibele attestaties aan burgers uitgeven.
- Gezondheidszorg: Receptgegevens, patiëntidentiteit en toestemmingsdocumenten kunnen worden uitgewisseld via wallet-attestaties. Zorginstellingen behoren tot de gereguleerde private sectoren waarop artikel 5f van toepassing is per 24 december 2027. Voor gezondheidsgegevens geldt daarnaast dat zowel een AVG-grondslag als een toepasselijke grond uit artikel 9, lid 2, AVG aanwezig moet zijn voor de verwerking door de relying party.
- Onderwijs: Instellingen kunnen digitaal verifieerbare attestaties van diploma’s en certificaten via de wallet uitgeven, waardoor verificatie voor werkgevers en toelatingscommissies wordt vereenvoudigd. De erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG. De wallet kan de gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
- Farmacie: Receptvalidatie en documentatie van de toeleveringsketen profiteren van het vertrouwde, verifieerbare attestatiemodel dat eIDAS 2.0 mogelijk maakt.
Organisaties in gezondheidszorg en life sciences worden geconfronteerd met een bijzonder complexe reeks vereisten, omdat zij tegelijkertijd patiëntprivacy, grensoverschrijdende gegevensuitwisseling en strikte regelgevende verplichtingen moeten balanceren.
Wat moeten organisaties doen om ervoor te zorgen dat hun documenten voldoen aan de eIDAS 2.0-vereisten?
Om ervoor te zorgen dat digitale documenten voldoen aan de eIDAS 2.0-vereisten, moeten organisaties hun huidige ondertekening- en identiteitsinfrastructuur beoordelen, hiaten identificeren ten opzichte van de nieuwe trust service-vereisten, en systemen bouwen of integreren die QES en wallet-compatibele attestaties ondersteunen. De deadline van 24 december 2026 geldt voor wallet-uitgifte en publieke acceptatie. Voor relevante gereguleerde private sectoren is 24 december 2027 de plandatum voor de acceptatieplicht onder artikel 5f.
De praktische stappen die organisaties moeten nemen zijn:
- Bestaande digitale ondertekeningsprocessen beoordelen om te bepalen of ze voldoen aan QES-, AdES- of basis elektronische handtekeningstandaarden
- Beoordelen of huidige identiteitsverificatiemethoden worden geaccepteerd onder de betrouwbaarheidsniveauvereisten van eIDAS 2.0
- Samenwerken met gekwalificeerde trust service providers om verouderde ondertekeningsinfrastructuur te updaten of te vervangen
- Interne systemen voorbereiden om EUDI-wallet-attestaties van klanten, partners en medewerkers te accepteren
- Zich als relying party registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848, voordat wallet-data kan worden opgevraagd. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Verzoeken buiten de geregistreerde scope kunnen door de wallet worden geweigerd.
- Compliancedocumentatie bijwerken om het nieuwe juridische kader te weerspiegelen, met name voor sectoren die onderworpen zijn aan AML-, KYC- of AVG-verplichtingen
Organisaties moeten ook aandacht besteden aan de vereisten voor gekwalificeerde elektronische archivering onder eIDAS 2.0. Het opslaan van ondertekende documenten in een juridisch erkend archief wordt steeds relevanter voor auditsporen en langetermijnhandhaafbaarheid, met name in gereguleerde sectoren. Je kunt relevante resources en richtlijnen verkennen ter ondersteuning van jouw voorbereidingsproces.
Hoe de ID Connector van TrustTech helpt bij eIDAS 2.0-documentgeldigheid
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel ondersteunt de ID Connector de volgende technische taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata zonder herhaalde controles bij vervolginteracties
- Ondersteuning van gekwalificeerd tekenen via een aangesloten gekwalificeerde trust service provider
De ID Connector is relevant voor financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar wallet-acceptatie en documentgeldigheid directe operationele en complianceconsequenties hebben. Verken onze identiteits- en ondertekeningsoplossingen of neem contact op met ons team om te bespreken wat eIDAS 2.0 specifiek betekent voor jouw organisatie.