Hoe beïnvloedt eIDAS 2.0 de digitale identiteit van niet-EU-inwoners?

eIDAS 2.0 is niet rechtstreeks van toepassing op niet-EU-inwoners als individuele burgers, maar het heeft wel praktische gevolgen voor hen. Als je buiten de EU woont maar gebruik maakt van Europese digitale diensten, werkt voor een bedrijf dat actief is in Europa, of beschikt over door een derde land afgegeven attestaties, bepaalt de verordening hoe jouw identiteit wordt geverifieerd en vertrouwd over de EU-grenzen heen. Dit artikel behandelt de meest gestelde vragen van niet-EU-inwoners en wereldwijde organisaties over eIDAS 2.0 en wat dit voor hen betekent.

Is eIDAS 2.0 van toepassing op mensen buiten de EU?

eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. Als EU-verordening werkt deze rechtstreeks in alle lidstaten en legt zij geen wettelijke verplichtingen op aan personen die buiten de EU wonen. Niet-EU-onderdanen die toegang hebben tot Europese digitale diensten, de EU-grenzen oversteken of samenwerken met in de EU gevestigde organisaties, zullen echter te maken krijgen met systemen en vereisten die zijn vormgegeven door eIDAS 2.0, of ze dat nu beseffen of niet.

De verordening vereist dat alle EU-lidstaten uiterlijk op 24 december 2026 een digitale identiteitswallet beschikbaar stellen aan hun burgers en inwoners. Verblijf in een EU-land, ongeacht de nationaliteit, is het doorslaggevende criterium. Dit betekent dat een niet-EU-onderdaan die legaal in Duitsland of Nederland verblijft, in aanmerking komt voor een EUDI-wallet, net als elke EU-burger.

Voor mensen die volledig buiten de EU wonen, verleent eIDAS 2.0 geen rechten en legt het geen verplichtingen op. De diensten die zij gebruiken en de organisaties waarmee zij in Europa samenwerken, zijn er wel aan gebonden. Die indirecte effecten zijn het waard om te begrijpen.

Kunnen niet-EU-inwoners de EUDI-wallet gebruiken?

Niet-EU-inwoners die legaal verblijf hebben in een EU-lidstaat, komen in aanmerking voor het ontvangen en gebruiken van de EUDI-wallet. De wallet is bedoeld voor alle burgers en inwoners van EU-landen, niet alleen voor houders van een EU-paspoort. Een onderdaan van een derde land met een geldige verblijfsvergunning in een EU-lidstaat valt binnen het toepassingsgebied van de walletuitgifte.

Voor mensen die volledig buiten de EU wonen zonder formele verblijfsstatus in een lidstaat, wordt toegang tot de EUDI-wallet momenteel niet geboden. De wallet wordt uitgegeven door nationale autoriteiten binnen elke lidstaat en is gekoppeld aan geverifieerde verblijfs- of burgerschapsstatus in dat land.

De onderliggende architectuur van de wallet is gebouwd met interoperabiliteit in gedachten. De vier Large Scale Pilots liepen van april 2023 tot 2025 en testten gebruiksscenario’s zoals Digital Travel Credentials, betalingen en grensoverschrijdende toegang tot gezondheidszorg. Deze scenario’s omvatten vaak interacties met niet-EU-partijen, en de technische standaarden die werden ontwikkeld, zijn ontworpen om vertrouwde gegevensuitwisseling buiten de EU-grenzen in de loop van de tijd te ondersteunen. Noorwegen en IJsland namen deel aan deze pilots als EER-landen; Oekraïne was eveneens betrokken.

In de praktijk kunnen niet-EU-inwoners die Europa bezoeken of gebruik maken van Europese digitale diensten, wallet-gebaseerde verificatie tegenkomen als voorkeurs- of vereiste methode. Begrijpen hoe de EUDI-wallet werkt, ook zonder er zelf een te hebben, helpt organisaties en individuen zich voor te bereiden op deze interacties.

Hoe beïnvloedt eIDAS 2.0 niet-EU-bedrijven die in Europa actief zijn?

Niet-EU-bedrijven die in Europa actief zijn, diensten aanbieden aan EU-inwoners, of integreren met Europese digitale infrastructuur, worden rechtstreeks beïnvloed door eIDAS 2.0. De verordening stelt eisen aan de manier waarop identiteitsverificatie, elektronische handtekeningen en trust services moeten werken binnen de EU. Elke organisatie die deze diensten aanbiedt aan Europese gebruikers of deze van Europese gebruikers accepteert, moet zich afstemmen op deze normen.

De meest significante gevolgen voor niet-EU-bedrijven zijn:

• EUDI-wallets accepteren als verificatiemethode: Bedrijven in gereguleerde sectoren zoals financiële dienstverlening, zorg en telecom kunnen verplicht worden om attestaties te accepteren die worden gepresenteerd via de EUDI-wallet. Op grond van artikel 5f van de verordening geldt de acceptatieplicht voor relevante gereguleerde private partijen in deze sectoren vanaf 24 december 2027, ook wanneer het bedrijf zelf buiten de EU is gevestigd maar diensten aanbiedt aan EU-inwoners waarbij sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze verplichting uitgezonderd.
• Gekwalificeerde trust services: Elektronische handtekeningen en zegels die worden gebruikt bij grensoverschrijdende transacties met EU-entiteiten, moeten voldoen aan de eIDAS-normen om juridisch erkend te worden. Niet-EU-bedrijven die vertrouwen op hun eigen nationale handtekeningoplossingen, kunnen merken dat deze niet automatisch worden geaccepteerd binnen de EU.
• Dataminimalisatie en selective disclosure: De EUDI-wallet stelt gebruikers in staat om via selective disclosure alleen de attributen te delen die strikt noodzakelijk zijn voor een transactie. Niet-EU-bedrijven die samenwerken met wallethouders, moeten voorbereid zijn op het ontvangen van op attribuutniveau geselecteerde identiteitsgegevens in plaats van volledige documentkopieën.
• Registratie als relying party: Voordat een organisatie walletdata kan opvragen, moet zij zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848 van 6 mei 2025. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
• Interoperabiliteitsvereisten: Systemen die identiteitsgegevens uitwisselen met EU-organisaties, moeten de technische standaarden en vertrouwenskaders ondersteunen die zijn gedefinieerd onder eIDAS 2.0, waaronder de credentialformaten mdoc en SD-JWT VC en de uitwisselingsprotocollen OID4VCI en OID4VP.

Voor bedrijven in sectoren zoals financiële dienstverlening of farmaceutica die al opereren onder strenge nalevingsvereisten, voegt eIDAS 2.0 een extra laag toe om te beheren. Afstemming op de verordening is noodzakelijk voor organisaties die vertrouwde, soepele relaties willen onderhouden met EU-partners en klanten.

Wat gebeurt er met digitale identiteitsattestaties die buiten de EU zijn afgegeven onder eIDAS 2.0?

Digitale identiteitsattestaties die buiten de EU zijn afgegeven, worden niet automatisch erkend onder eIDAS 2.0. Erkenning hangt af van de vraag of een derde land een formele gelijkwaardigheidsovereenkomst of wederzijdse erkenningsregeling met de EU heeft gesloten. Zonder een dergelijke overeenkomst hebben attestaties die zijn afgegeven door niet-EU-autoriteiten niet hetzelfde juridische gewicht als eIDAS-conforme attestaties binnen de EU.

Dit betekent niet dat attestaties van derde landen waardeloos zijn in Europese contexten. Organisaties kunnen ze nog steeds gebruiken als ondersteunend bewijs tijdens identiteitsverificatieprocessen. Ze kunnen echter niet worden behandeld als gelijkwaardig aan een gekwalificeerde elektronische attestatie van attributen (QEAA) of een door publieke instanties afgegeven attestatie (PuB-EAA) onder eIDAS 2.0, zonder aanvullende verificatiestappen.

De verordening laat ruimte voor de ontwikkeling van interoperabiliteit met derde landen. Het Architecture and Reference Framework (ARF) dat de EUDI-wallet ondersteunt, is ontworpen met openheid in gedachten, en de Europese Commissie heeft interesse getoond in het bouwen van verbindingen met vertrouwde internationale identiteitssystemen. De betrokkenheid van Noorwegen, IJsland en Oekraïne bij de Large Scale Pilots laat zien dat de EU verder denkt dan haar formele grenzen bij het ontwerpen van het ecosysteem.

Voor organisaties die niet-EU-attestaties afgeven of daarop vertrouwen, is de praktische aanbeveling om die attestaties te mappen op de eIDAS-betrouwbaarheidsniveaus Laag, Substantieel en Hoog, en te bepalen waar aanvullende verificatie vereist kan zijn bij het opereren in Europese contexten.

Hoe moeten organisaties zich voorbereiden op eIDAS 2.0 bij het bedienen van zowel EU- als niet-EU-gebruikers?

Organisaties die zowel EU- als niet-EU-gebruikers bedienen, hebben een digitale identiteitsstrategie nodig die in beide contexten werkt zonder twee volledig afzonderlijke gebruikerservaringen te creëren. Het doel is het bouwen van een flexibele, op standaarden afgestemde infrastructuur die eIDAS-conforme attestaties van EU-gebruikers kan verwerken en tegelijkertijd vertrouwde verificatie ondersteunt voor gebruikers van buiten de EU.

Een praktische voorbereidingsaanpak omvat de volgende stappen:

1. Controleer jouw huidige identiteitsverificatieprocessen. Begrijp welke gebruikerstrajecten EU-inwoners betreffen en welke onderdanen van derde landen. Identificeer waar de vereisten van eIDAS 2.0 van toepassing zijn en waar niet.
2. Stem af op de eIDAS-betrouwbaarheidsniveaus. Breng jouw bestaande verificatiemethoden in kaart op de niveaus Laag, Substantieel en Hoog zoals gedefinieerd onder eIDAS. Dit helpt je hiaten te identificeren en verbeteringen te prioriteren.
3. Registreer je als relying party conform CIR (EU) 2025/848. Voordat jouw systemen walletdata kunnen opvragen, moet de organisatie die de dienst aan de eindgebruiker levert, geregistreerd zijn bij de bevoegde nationale autoriteit van de lidstaat van vestiging. Leg per intended use vast welke attributen en attestaties worden opgevraagd.
4. Bereid je voor op het accepteren van EUDI-wallet-attestaties. Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, uiterlijk op 24 december 2026. Voor relevante gereguleerde private partijen in sectoren zoals zorg, financiële dienstverlening en telecom geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027. Bouw de acceptatie van op wallet gebaseerde attestaties in jouw onboarding- en authenticatieprocessen.
5. Ontwerp voor selective disclosure. De EUDI-wallet stelt gebruikers in staat om alleen de attributen te delen die nodig zijn voor een specifieke transactie. Jouw systemen moeten in staat zijn om op attribuutniveau gegevens op te vragen en te verwerken, in plaats van volledige documentindiening te vereisen.
6. Beoordeel jouw elektronische handtekening- en trust service-afspraken. Als je elektronische handtekeningen gebruikt bij grensoverschrijdende EU-transacties, bevestig dan dat jouw huidige oplossing voldoet aan de eIDAS-vereisten of identificeer een gekwalificeerd alternatief.

Organisaties in overheidsdiensten of gezondheidszorg staan voor bijzondere urgentie. Publieke instanties moeten genotificeerde wallets accepteren uiterlijk op 24 december 2026, terwijl voor relevante gereguleerde private partijen in sectoren zoals zorg, financiële dienstverlening en telecom de acceptatieplicht op grond van artikel 5f ingaat op 24 december 2027. Door het voorbereidingsproces nu te starten, in plaats van te wachten op volledige handhaving van de regelgeving, staan organisaties in een veel sterkere positie.

Het vroeg verkennen van de juiste implementatieaanpak vermindert ook het risico op kostbare herzieningen later, met name voor organisaties die complexe, multi-jurisdictionele gebruikersbestanden beheren.

Hoe de ID Connector van TrustTech werkt bij grensoverschrijdende digitale identiteit

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die zowel EU- als niet-EU-gebruikers bedienen, ondersteunt de ID Connector de volgende technische taken:

• Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list conform ETSI TS 119 612 en de EU List of Trusted Lists, zodat alleen attestaties van erkende uitgevers worden geaccepteerd.
• Controle van intrekkingsstatus: De ID Connector controleert de intrekkingsstatus van gepresenteerde attestaties via de statusinformatie van de uitgever.
• Validatie van de wallet unit attestation: De ID Connector verifieert de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution.
• Bewaking van de geregistreerde attributenscope: De ID Connector bewaakt dat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde scope onder CIR (EU) 2025/848, waardoor verzoeken buiten de geregistreerde scope worden voorkomen.
• Hergebruik van geverifieerde identiteitsdata: Geverifieerde identiteitsgegevens kunnen worden hergebruikt in onboarding-, KYC- en ondertekeningsworkflows, waardoor herhaalde controles voor zowel EU- als niet-EU-gebruikers worden verminderd.
• Gekwalificeerd tekenen via een aangesloten QTSP: Voor transacties waarbij een gekwalificeerde elektronische handtekening vereist is, verbindt de ID Connector met een aangesloten qualified trust service provider. De QES wordt door de QTSP uitgegeven, niet door TrustTech zelf.

De ID Connector is inzetbaar in financiële dienstverlening, gezondheidszorg, farmaceutica en overheidsdiensten, sectoren waar de combinatie van eIDAS-conforme identificatie en grensoverschrijdende interoperabiliteit direct operationele waarde heeft.

Als jouw organisatie de gevolgen van eIDAS 2.0 voor EU- en niet-EU-gebruikerstrajecten doorwerkt, neem dan contact op met TrustTech om te bespreken wat de ID Connector concreet voor jouw situatie kan betekenen.