eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, legt publieke sectororganisaties in de hele EU concrete verplichtingen op rond digitale identiteit. De verordening wijzigt Verordening (EU) nr. 910/2014 en introduceert onder meer een acceptatieplicht voor de EUDI-wallet bij onlinediensten waarvoor elektronische identificatie vereist is. Dit artikel beantwoordt de belangrijkste vragen die overheidsorganisaties op dit moment stellen, vanuit juridisch, technisch en operationeel perspectief.
Welke veranderingen brengt eIDAS 2.0 voor publieke sectororganisaties?
Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden en werkt als EU-verordening rechtstreeks in de rechtsorde van alle lidstaten. Nationale uitvoering is nodig voor de organisatorische en procedurele inbedding, maar de kernverplichtingen gelden zonder nationale uitvoering.
De meest ingrijpende wijziging voor de publieke sector is de acceptatieplicht. Waar de oorspronkelijke eIDAS-verordening lidstaten de ruimte gaf om nationaal eID vrijwillig aan te melden, verplicht de gewijzigde verordening publieke instanties om genotificeerde EUDI-wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Dat is geen beleidskeuze meer, maar een juridische verplichting.
Daarnaast introduceert de verordening strengere eisen op het gebied van dataminimalisatie en selective disclosure. Overheidsorganisaties mogen alleen de attributen opvragen die daadwerkelijk noodzakelijk zijn voor de betreffende dienst. Dit raakt direct aan gegevensbeheer, systeeminrichting en de manier waarop diensten zijn ontworpen. De verordening sluit ook nauw aan op de AVG, maar goedkeuring van een dataverzoek in de wallet is niet automatisch toestemming als bedoeld in artikel 6, lid 1, onder a, AVG. Publieke instanties hebben een zelfstandige verwerkingsgrondslag nodig, doorgaans een wettelijke taak.
Grensoverschrijdende identiteitsherkenning wordt een harde verplichting. Een burger met een EUDI-wallet uitgegeven door een andere lidstaat moet toegang kunnen krijgen tot jouw digitale diensten. De variatie die onder de oorspronkelijke verordening bestond tussen lidstaten met robuuste eID-systemen en lidstaten zonder, mag niet langer leiden tot ongelijke toegang.
- Verplichte acceptatie van genotificeerde EUDI-wallets voor digitale overheidsdiensten
- Strikte dataminimalisatie en selective disclosure per dienst
- Grensoverschrijdende identiteitsherkenning als juridische verplichting
- Bijgewerkte betrouwbaarheidsniveauvereisten voor diensten met een hoger risico
- Zelfstandige AVG-grondslag vereist naast goedkeuring van een dataverzoek in de wallet
Welke overheidsdiensten moeten voldoen aan eIDAS 2.0?
De acceptatieplicht geldt voor onlinediensten van publieke instanties waarvoor elektronische identificatie vereist is. Dat omvat een breed scala aan diensten: aanvragen van officiële documenten, belastingaangiften, toegang tot sociale zekerheidsgegevens, inschrijvingen voor overheidsprogramma’s en communicatie met openbare gezondheidssystemen. Elke dienst waarbij een burger momenteel zijn identiteit moet aantonen, valt in beginsel binnen het toepassingsgebied.
De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Het POTENTIAL-consortium piloteerde onder meer overheidsdiensten, mobiele rijbewijzen en e-recepten. Het DC4EU-consortium richtte zich op onderwijs en sociale zekerheid. De inzichten uit deze pilots vloeien door in de technische standaarden en uitvoeringshandelingen waaraan overheidsorganisaties zich moeten conformeren.
Overheidsdiensten in de gezondheidszorg, het onderwijs en de sociale zekerheid worden rechtstreeks geraakt. De pilots toonden aan dat de EUDI-wallet bedoeld is om te werken over de volledige breedte van het openbaar bestuur. Organisaties in digitale overheidsdiensten moeten dit opvatten als een brede opdracht die vrijwel alle publiekgerichte digitale kanalen raakt.
Hoe beïnvloedt de EUDI-wallet de toegang tot digitale overheidsdiensten?
De EUDI-wallet geeft burgers één gestandaardiseerde digitale identiteit waarmee zij zich kunnen authenticeren bij overheidsdiensten. In plaats van per dienst aparte inlogmethoden te beheren, presenteert een burger via de wallet de attributen die een specifieke dienst nodig heeft, en alleen die attributen.
Selective disclosure is daarbij een kernmechanisme. Een burger die een uitkering aanvraagt, kan zijn burgerservicenummer en woonadres delen zonder andere persoonsgegevens vrij te geven. De overheidsinstantie ontvangt cryptografisch ondertekende attestaties waarvan de geldigheid kan worden geverifieerd. Die verificatie omvat meer dan één controle. Een correcte verificatie door een relying party bestaat uit drie afzonderlijke controles: verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.
Voor publieke sectororganisaties verandert dit de inrichting van authenticatielagen en gebruikersreizen. Diensten waarbij burgers eerder documenten moesten uploaden of fysiek aanwezig moesten zijn, kunnen overstappen op wallet-gebaseerde stromen, mits de technische integratie op orde is.
De deadline is concreet: iedere lidstaat is juridisch verplicht uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen aan burgers, ingezetenen en ondernemingen. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dat 24 december 2026 de deadline is voor notificatie en uitgifte, betekent niet automatisch dat op dat moment volledige functionele interoperabiliteit in de hele EU bestaat. Overheidsorganisaties moeten daar in hun planning rekening mee houden.
De praktische implicatie is dat IT-teams in de publieke sector de acceptatie van de wallet moeten integreren in hun authenticatielagen, hun systemen moeten kunnen omgaan met geverifieerde attributen en attestaties uit de wallet, en gebruikersinterfaces moeten worden ingericht op het nieuwe authenticatiemodel.
Wat zijn de grensoverschrijdende identiteitsimplicaties voor overheidsdiensten?
Publieke instanties zijn verplicht EUDI-wallets te accepteren die zijn uitgegeven door andere lidstaten. Een burger met een door Frankrijk uitgegeven wallet moet daarmee toegang kunnen krijgen tot een digitaal overheidsportaal in Nederland, en omgekeerd. Deze verplichting geldt voor alle onlinediensten waarvoor elektronische identificatie vereist is.
De oorspronkelijke eIDAS-verordening introduceerde wederzijdse erkenning van aangemelde eID-systemen, maar de toepassing was ongelijkmatig. Verordening (EU) 2024/1183 verwijdert het opt-in-karakter voor overheidsdiensten. Elke publieke instantie moet in staat zijn wallets uit alle lidstaten te accepteren en de daarin opgenomen attributen te verwerken.
Dit heeft directe operationele gevolgen. Systemen moeten identiteitsattributen kunnen verwerken uit verschillende nationale contexten, inclusief variaties in naamstructuur, adresformaat en documentnummers. Interoperabiliteit tussen nationale systemen was een van de primaire doelen van de Large Scale Pilots. Meer dan 350 entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne namen daaraan deel. De inzichten uit die pilots werken door in het Architecture and Reference Framework en de uitvoeringshandelingen waaraan overheidsinstanties zich moeten conformeren.
Voor organisaties die burgers uit andere lidstaten bedienen, is dit een kans om toegang te vereenvoudigen. Voor organisaties die grensoverschrijdende scenario’s nog niet hebben meegenomen in hun systeemontwerp, maakt eIDAS 2.0 dit een nalevingsvereiste.
Hoe moeten publieke sectororganisaties zich voorbereiden op eIDAS 2.0?
De deadline van 24 december 2026 voor wallet-uitgifte en publieke acceptatie laat weinig ruimte. Organisaties die nu beginnen, hebben tijd om te testen, bij te sturen en interne kennis op te bouwen. Organisaties die wachten op definitieve implementatiedeadlines, lopen het risico onvoldoende voorbereid te zijn.
Een relying party moet zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Dit volgt uit CIR (EU) 2025/848, die op 6 mei 2025 is vastgesteld. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Overheidsorganisaties moeten deze registratie dus zorgvuldig voorbereiden, afgestemd op de daadwerkelijke gegevensbehoefte per dienst.
De voorbereiding omvat zowel technische als organisatorische stappen. Technisch gaat het om de vraag of bestaande authenticatiesystemen wallet-gebaseerde identiteitsstromen kunnen verwerken, inclusief de onderliggende credentialformaten mdoc en SD-JWT VC, en de bijbehorende uitwisselingsprotocollen OID4VCI en OID4VP. Organisatorisch gaat het om het herzien van gegevensbeleid, het herontwerpen van gebruikersreizen en het borgen van een correcte AVG-grondslag voor elke dienst.
- Breng je diensten in kaart: Identificeer elke publiekgerichte digitale dienst die identiteitsverificatie vereist en beoordeel de huidige authenticatiemethode.
- Beoordeel betrouwbaarheidsniveaus: Bepaal welke diensten een hoog, substantieel of laag betrouwbaarheidsniveau vereisen en stem je identiteitsmethoden daarop af.
- Beoordeel technische gereedheid: Evalueer of je huidige infrastructuur kan worden geïntegreerd met EUDI-wallet-protocollen en welke wijzigingen daarvoor nodig zijn.
- Werk gegevensbeheer bij: Zorg dat je gegevensverwerkingspraktijken aansluiten op de principes van selective disclosure en dataminimalisatie, en dat je per dienst een zelfstandige AVG-grondslag hebt.
- Bereid je registratie voor: Registreer je als relying party bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848 en leg per intended use vast welke attributen je opvraagt.
- Volg het Architecture and Reference Framework: Houd de actuele ARF-versie bij en volg de uitvoeringshandelingen om afgestemd te blijven op de technische vereisten.
- Plan voor grensoverschrijdende scenario’s: Zorg dat je systemen identiteitsattributen uit andere lidstaten kunnen verwerken, niet alleen je eigen nationale eID.
Organisaties in de gezondheidszorg en andere gereguleerde sectoren worden geconfronteerd met extra complexiteit, omdat identiteitsvereisten samenkomen met sectorspecifieke regelgeving. Voor gezondheidsgegevens geldt bovendien dat naast een AVG-grondslag uit artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG aanwezig moet zijn. Door nu met de voorbereiding te beginnen, krijgen organisaties de tijd om te testen, bij te sturen en interne expertise op te bouwen voordat de acceptatieplicht van kracht wordt.
Hoe ondersteunt de ID Connector van TrustTech publieke sectororganisaties
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor publieke sectororganisaties ondersteunt de ID Connector concreet de volgende technische taken:
- Verificatie van uitgevershandtekeningen aan de hand van nationale trusted lists conform ETSI TS 119 612
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation om te bevestigen dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Verwerking van geverifieerde identiteitsattributen uit wallets van alle lidstaten, inclusief variaties in naamstructuur en adresformaat
- Ondersteuning van gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener
De ID Connector is relevant voor overheidsorganisaties, gezondheidszorginstellingen, zorggerelateerde sectoren en financial services. Ontdek de digitale identiteitsoplossingen van TrustTech of neem contact op om te bespreken hoe de ID Connector aansluit op jouw diensten en infrastructuur.