eIDAS 2.0 heeft directe gevolgen voor identiteitsverificatie in e-commerce door de lat hoger te leggen voor hoe online bedrijven moeten bevestigen wie hun klanten zijn. De verordening introduceert de Europese Digitale Identiteitsportemonnee (EUDI Wallet) en versterkt de vereisten voor vertrouwde digitale identiteit in de hele EU, van toepassing op zowel publieke als private diensten, inclusief online retail. Dit artikel behandelt de belangrijkste vragen die e-commercebedrijven op dit moment stellen.

Welke veranderingen brengt eIDAS 2.0 voor online identiteitscontroles?

eIDAS 2.0 breidt het oorspronkelijke eIDAS-kader uit door digitale identiteitsverificatie meer gestandaardiseerd, veiliger en breder toepasbaar te maken in de hele EU. Waar de oorspronkelijke verordening zich voornamelijk richtte op publieke diensten, breidt eIDAS 2.0 zijn toepassingsgebied uit naar private platforms, inclusief e-commerce. Dit betekent dat online bedrijven digitale identiteit niet langer als een optionele overweging kunnen behandelen.

De meest ingrijpende verandering is de introductie van de EUDI Wallet, een door de overheid ondersteunde digitale identiteitsoplossing die elke EU-lidstaat beschikbaar moet stellen aan burgers en bedrijven. Daarnaast verscherpt eIDAS 2.0 de vereiste betrouwbaarheidsniveaus voor bepaalde soorten online interacties, wat betekent dat een eenvoudige gebruikersnaam en wachtwoord niet langer voldoende zijn voor transacties die een betekenisvol risico met zich meebrengen.

Voor e-commercebedrijven vertaalt dit zich in de noodzaak om identiteitsverificatiemethoden te ondersteunen die interoperabel zijn over EU-grenzen heen, privacybeschermend van opzet zijn en zijn afgestemd op de gedefinieerde betrouwbaarheidsniveaus. De verordening geeft gebruikers ook meer controle over hun persoonsgegevens, wat betekent dat bedrijven moeten heroverwegen hoe zij identiteitsinformatie verzamelen, opslaan en gebruiken tijdens onboarding en afrekenen.

Welke e-commercetransacties vereisen sterkere identiteitsverificatie onder eIDAS 2.0?

Niet elke online aankoop vereist verbeterde identiteitsverificatie onder eIDAS 2.0, maar meerdere transactietypes wel. De verordening richt zich op interacties waarbij sprake is van een betekenisvol risico, een wettelijke verplichting of de noodzaak om specifieke kenmerken van de gebruiker te bevestigen, zoals leeftijd, identiteit of beroepsstatus.

Transacties waarvoor doorgaans sterkere identiteitscontroles vereist zijn, omvatten:

• Leeftijdsgebonden aankopen zoals alcohol, tabak, gokdiensten of content voor volwassenen, waarbij verificatie van de leeftijd van de gebruiker een wettelijke vereiste is
• Financiële transacties van hoge waarde waarbij betalingsinitiatief of toegang tot een account moet voldoen aan de normen voor sterke cliëntauthenticatie
• Verkoop van gereguleerde producten zoals receptplichtige medicijnen of gecontroleerde stoffen, waarbij de identiteit van de koper moet worden bevestigd vóór uitvoering
• Accountaanmaken op platforms die zijn aangemerkt als zeer grote onlineplatforms of diensten die onderworpen zijn aan sectorspecifieke regels
• Grensoverschrijdende aankopen waarbij identiteitskenmerken herkend en vertrouwd moeten worden in alle EU-lidstaten

Voor veel van deze toepassingen biedt de EUDI Wallet een praktische oplossing. Een gebruiker kan alleen het noodzakelijke kenmerk delen, zoals bewijs dat hij of zij ouder is dan 18, zonder zijn of haar volledige identiteit te onthullen. Deze selectieve openbaarmaking is een van de belangrijkste innovaties die eIDAS 2.0 brengt voor online leeftijdsverificatie en identiteitscontroles in e-commerce.

Hoe werkt de EUDI Wallet bij het afrekenen in e-commerce?

De EUDI Wallet werkt als een beveiligde digitale app op de smartphone van een gebruiker, die geverifieerde identiteitskenmerken opslaat die zijn afgegeven door vertrouwde bronnen, zoals overheden of gekwalificeerde verleners van vertrouwensdiensten. Bij het afrekenen in e-commerce kan een gebruiker met een paar tikken specifieke geverifieerde kenmerken delen met de retailer, zonder formulieren in te vullen of documenten handmatig te uploaden.

Zo werkt het proces in de praktijk:

1. Het e-commerceplatform vraagt een specifiek identiteitskenmerk op bij de klant, bijvoorbeeld leeftijdsbewijs of een geverifieerde naam en adres.
2. De klant ontvangt een melding in zijn of haar EUDI Wallet-app en bekijkt wat er wordt opgevraagd.
3. De klant keurt het delen goed en geeft alleen de gevraagde informatie vrij, niet meer dan dat.
4. De retailer ontvangt een cryptografisch geverifieerde reactie die het kenmerk bevestigt, zonder onnodige persoonsgegevens op te slaan.
5. De transactie verloopt op basis van de geverifieerde reactie.

Dit proces is sneller en privacyvriendelijker dan traditionele documentuploads of handmatige KYC-flows. Omdat de wallet is gebaseerd op door de overheid uitgegeven identiteitsgegevens, is het betrouwbaarheidsniveau hoog, wat betekent dat retailers het resultaat kunnen vertrouwen. Grootschalige pilotprogramma’s in de hele EU hebben deze flow al getest in praktijkscenario’s, waaronder betalingen en leeftijdsverificatie, en hebben waardevolle feedback gegenereerd die de definitieve implementatie mede vormgeeft.

Wat is het verschil tussen eIDAS 2.0 en bestaande KYC- of leeftijdsverificatiemethoden?

Het belangrijkste verschil is vertrouwen, interoperabiliteit en privacy. Bestaande KYC- en leeftijdsverificatiemethoden variëren sterk in kwaliteit, juridische erkenning en grensoverschrijdende geldigheid. eIDAS 2.0 stelt een gemeenschappelijke EU-brede standaard vast waarop elke conforme organisatie kan vertrouwen, ongeacht uit welke lidstaat de gebruiker afkomstig is.

Traditionele KYC-processen in e-commerce omvatten vaak het verzamelen van documenten, het uitvoeren van geautomatiseerde controles en het opslaan van persoonsgegevens. Deze flows kunnen traag zijn, fraudegevoelig en privacyschendend. De leeftijdsverificatiemethoden die tegenwoordig worden gebruikt, variëren van eenvoudige zelfverklaring tot creditcardcontroles, geen van alle bieden een hoog betrouwbaarheidsniveau.

eIDAS 2.0 en de EUDI Wallet veranderen dit op drie belangrijke manieren:

• Hoger betrouwbaarheidsniveau: Walletcredentials worden afgegeven door erkende autoriteiten, waardoor ze veel betrouwbaarder zijn dan zelf gerapporteerde gegevens of documentscans
• Selectieve openbaarmaking: Gebruikers delen alleen wat noodzakelijk is, bijvoorbeeld een ja of nee op de vraag “is deze persoon ouder dan 18”, in plaats van hun volledige geboortedatum
• Grensoverschrijdende erkenning: Een wallet afgegeven in één EU-land wordt erkend en geaccepteerd in alle lidstaten, wat wrijving bij internationale e-commerce vermindert

Voor bedrijven die al KYC-processen uitvoeren, vervangt eIDAS 2.0 bestaande workflows niet per se volledig. In plaats daarvan introduceert het een hoogwaardiger input die de betrouwbaarheid van identiteitscontroles kan verbeteren en tegelijkertijd de last voor gebruikers vermindert. Begrijpen hoe deze kaders met elkaar verbonden zijn, maakt deel uit van het voorbereiden van uw identiteitsoplossingen op het nieuwe regelgevingslandschap.

Wanneer moeten e-commercebedrijven voldoen aan eIDAS 2.0?

De eIDAS 2.0-verordening is in 2024 in werking getreden, waarbij lidstaten verplicht zijn de EUDI Wallet uiterlijk in 2026 beschikbaar te stellen aan burgers en bedrijven. Dit betekent dat in 2026 de infrastructuur voor op wallets gebaseerde identiteitsverificatie naar verwachting in de hele EU aanwezig is, en bedrijven die actief zijn in sectoren met identiteitsverplichtingen zich nu al moeten voorbereiden.

De nalevingstijdlijn is geen enkelvoudige harde deadline voor alle e-commercebedrijven. In plaats daarvan ontvouwt het zich in fasen, afhankelijk van het type dienst, de sector en de specifieke verplichtingen die van toepassing zijn. Bedrijven in de financiële dienstverlening, de gezondheidszorg en andere gereguleerde sectoren worden geconfronteerd met eerdere en strengere vereisten dan algemene retailers. Elk e-commerceplatform dat leeftijdsgebonden producten, risicovolle transacties of gebruikersaccounts met persoonsgegevens verwerkt, moet 2026 echter beschouwen als een planningshorizon, niet als een verre deadline.

Vroege voorbereiding is belangrijk omdat het integreren van EUDI Wallet-ondersteuning in bestaande afrekenen- en onboardingflows tijd kost. Bedrijven die wachten tot verplichtingen formeel worden gehandhaafd, riskeren overhaaste implementaties, nalevingshiaten en een slechte gebruikerservaring. Organisaties in de financiële dienstverleningssector in het bijzonder zouden nu al moeten beoordelen hoe eIDAS 2.0 zich verhoudt tot hun bestaande authenticatie- en KYC-verplichtingen.

Hoe moeten online retailers zich voorbereiden op de identiteitsvereisten van eIDAS 2.0?

Online retailers moeten beginnen met het in kaart brengen van welke transacties en gebruikersinteracties waarschijnlijk onder de verplichtingen van eIDAS 2.0 vallen, en vervolgens beoordelen welke wijzigingen hun huidige identiteitsverificatieflows nodig hebben. Dit is niet alleen een technische oefening. Het vereist dat compliance-, product-, juridische en IT-teams samenwerken om de regelgevingsvereisten en hun praktische implicaties te begrijpen.

Praktische stappen die u nu kunt nemen, zijn onder meer:

1. Voer een transactieaudit uit: Identificeer welke producten of diensten leeftijdsverificatie, identiteitsbevestiging of sterke authenticatie vereisen op grond van bestaande of aankomende regels.
2. Beoordeel uw huidige identiteitsstack: Begrijp welke betrouwbaarheidsniveaus uw huidige verificatiemethoden bieden en waar ze tekortschieten ten opzichte van de eIDAS 2.0-vereisten.
3. Beoordeel de gereedheid voor de EUDI Wallet: Onderzoek wat er nodig is om op wallets gebaseerde credentials te accepteren bij het afrekenen en of uw technologiepartners dit ondersteunen.
4. Werk uw dataminimalisatiepraktijken bij: eIDAS 2.0 legt sterke nadruk op privacy en selectieve openbaarmaking, dus beoordeel welke persoonsgegevens u verzamelt en of u deze kunt beperken.
5. Volg de regelgevingstijdlijn: Houd de nationale implementatieplannen bij in de markten waar u actief bent, aangezien tijdlijnen en specifieke verplichtingen per land kunnen verschillen.

Retailers moeten ook kijken hoe eIDAS 2.0 samenhangt met andere regelgeving waaraan zij al voldoen, zoals AVG, PSD2 en sectorspecifieke KYC-regels. In veel gevallen kan een goed geïmplementeerde digitale identiteitsstrategie de naleving van meerdere kaders tegelijk vereenvoudigen. Het verkennen van de bredere resources over digitale identiteit kan helpen een duidelijker beeld te krijgen van wat er vereist is.

Hoe TrustTech helpt bij eIDAS 2.0 identiteitsverificatie in e-commerce

Navigeren door eIDAS 2.0 als e-commercebedrijf omvat meer dan het lezen van de verordening. Het vereist het vertalen van complexe vereisten naar praktische wijzigingen in uw identiteitsflows, technologiestack en nalevingsprocessen. Dat is precies waar TrustTech het verschil kan maken.

TrustTech ondersteunt online retailers en organisaties in gereguleerde sectoren door:

• Uw huidige identiteitsverificatieopzet te beoordelen aan de hand van de eIDAS 2.0-vereisten
• EUDI Wallet-integratie in uw afrekenen- en onboardingflows te ontwerpen en implementeren
• Advies te geven over dataminimalisatie, selectieve openbaarmaking en privacy-by-designpraktijken
• Uw digitale identiteitsstrategie te verbinden met bredere nalevingsverplichtingen zoals KYC, AML en sterke cliëntauthenticatie
• Sectorspecifieke begeleiding te bieden voor e-commercebedrijven in financiële dienstverlening, gezondheidszorg en andere gereguleerde sectoren

Of u nu net begint te begrijpen wat de implicaties van eIDAS 2.0 zijn of klaar bent om te beginnen met de implementatie, TrustTech brengt de technische diepgang en regelgevingsexpertise om u er doorheen te begeleiden. Neem contact op met TrustTech om te bespreken hoe wij uw organisatie kunnen helpen zich voor te bereiden op de toekomst van digitale identiteit in e-commerce.