Hoe beïnvloedt eIDAS 2.0 telecommunicatie en SIM-gebaseerde identiteit?

eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, heeft directe gevolgen voor de telecommunicatiesector. De verordening stelt nieuwe eisen aan identiteitsverificatie, waaronder SIM-registratie, en introduceert de EUDI-wallet als gereguleerd middel voor het aantonen van identiteit bij digitale diensten. Voor mobiele netwerkoperators (MNO’s) verandert dit de manier waarop zij klanten verifiëren, compliance beheren en zich positioneren binnen het bredere Europese digitale identiteitsecosysteem. Dit artikel behandelt de belangrijkste vragen die telecombedrijven nu beantwoord moeten krijgen.

Welke veranderingen brengt eIDAS 2.0 voor identiteitsverificatie?

Verordening (EU) 2024/1183 wijzigt het oorspronkelijke eIDAS-kader ingrijpend en maakt digitale identiteitsverificatie consistenter, veiliger en interoperabeler in alle EU-lidstaten. De meest bepalende toevoeging is de EUDI-wallet: elke lidstaat is op grond van artikel 5a wettelijk verplicht minimaal één gecertificeerde wallet solution aan te bieden aan burgers, inwoners en bedrijven. Daarmee ontstaat één gestandaardiseerde manier om identiteit te verifiëren bij zowel publieke als private diensten.

Onder de oorspronkelijke eIDAS-verordening konden lidstaten zelf kiezen of ze hun nationale elektronische ID-stelsels wilden notificeren, en bestond er geen verplichting dat deze stelsels naadloos over de grenzen heen werkten. Verordening (EU) 2024/1183 sluit deze kloof. Gereguleerde organisaties in sectoren als telecom, financiële dienstverlening, zorg en energie moeten voorbereid zijn om EUDI-wallets te accepteren als geldige vorm van identiteitsverificatie.

Een aantal andere belangrijke verschuivingen valt op:

• Strengere betrouwbaarheidsniveaus: eIDAS 2.0 verscherpt de eisen voor wat geldt als een identiteit met hoog betrouwbaarheidsniveau, wat betekent dat verificatiemethoden van lage kwaliteit niet langer volstaan voor veel gereguleerde interacties.
• Selective disclosure: Gebruikers bepalen zelf welke gegevens ze delen via selective disclosure. Diensten mogen alleen opvragen wat strikt noodzakelijk is voor het betreffende doeleinde, waardoor het risico op overbodige gegevensverzameling wordt verminderd.
• Inclusie van de private sector: eIDAS 2.0 is via artikel 5f expliciet van toepassing op private sector relying parties, inclusief telecombedrijven, en niet alleen op overheidsdiensten.
• Gekwalificeerde verleners van vertrouwensdiensten (QTSPs): De verordening breidt de rol van QTSPs uit en stelt duidelijkere normen voor elektronische handtekeningen, zegels en attestaties.

Voor organisaties die tot nu toe werkten met identiteitsprocessen gebaseerd op oudere standaarden, vertegenwoordigt eIDAS 2.0 een wezenlijke verschuiving in wat compliance daadwerkelijk vereist. De verordening werkt rechtstreeks in alle lidstaten en vereist geen nationale omzetting, wel nationale uitvoering op specifieke punten, zoals de aanwijzing van bevoegde autoriteiten.

Hoe werkt SIM-gebaseerde identiteit momenteel in telecom?

SIM-gebaseerde identiteit gebruikt de SIM-kaart in een mobiel apparaat als proxy voor het verifiëren van de identiteit van een gebruiker. Omdat een SIM is gekoppeld aan een specifiek mobiel abonnement, waarvoor op zijn beurt een naam, adres en vaak een door de overheid uitgegeven ID vereist is, hebben mobiele netwerkoperators van oudsher het bezit van een SIM beschouwd als een vorm van identiteitsverificatie. Dit vormt de basis voor diensten zoals SMS-eenmalige wachtwoorden (OTP’s), mobiele nummerbehoud en SIM-gebaseerde authenticatie die wordt gebruikt door banken en andere diensten.

In de praktijk werkt SIM-gebaseerde identiteit op basis van de aanname dat de persoon die de telefoon vasthoudt de geregistreerde abonnee is. Wanneer een gebruiker een SMS-OTP ontvangt om een inlog of transactie te bevestigen, is de impliciete logica dat alleen de rechtmatige rekeninghouder toegang heeft tot die SIM. Dit heeft mobiele nummers tot een veelgebruikte tweede factor gemaakt in authenticatieprocessen voor bankieren, e-commerce en overheidsdiensten.

SIM-gebaseerde identiteit kent echter goed gedocumenteerde zwakke punten. SIM-swapfraude, waarbij een aanvaller een mobiele operator overtuigt om het nummer van een slachtoffer naar een nieuwe SIM over te zetten, is op grote schaal gebruikt om SMS-gebaseerde authenticatie te omzeilen. Bovendien varieert de kwaliteit van het oorspronkelijke SIM-registratieproces aanzienlijk per operator en land, wat betekent dat de identiteit achter een SIM-kaart niet altijd robuust is geverifieerd. Deze beperkingen zijn steeds zichtbaarder geworden naarmate identiteitsfraude geavanceerder is geworden.

Hoe beïnvloedt eIDAS 2.0 mobiele netwerkoperators?

eIDAS 2.0 beïnvloedt mobiele netwerkoperators op twee concrete manieren: het verhoogt de lat voor hoe MNO’s de identiteit van klanten moeten verifiëren bij SIM-registratie, en het opent de mogelijkheid voor telecombedrijven om actieve deelnemers te worden in het bredere Europese digitale identiteitsecosysteem.

Aan de compliance-kant is SIM-registratie een van de use cases die tijdens de Large Scale Pilots zijn onderzocht, specifiek binnen het POTENTIAL-consortium. Het idee is dat een klant die een SIM-kaart registreert, prepaid of postpaid, de EUDI-wallet kan gebruiken om de identiteit veilig en verifieerbaar aan te tonen via een gecertificeerde attestatie, zonder onnodige gegevens te hoeven overhandigen. Selective disclosure maakt het daarbij mogelijk dat de klant alleen de strikt benodigde attributen deelt. Dit vermindert het frauderisico voor de operator en vereenvoudigt het proces voor de klant. Het betekent ook dat MNO’s de technische capaciteit moeten opbouwen om EUDI-wallet-gebaseerde identiteitspresentaties te accepteren en correct te verifiëren.

Aan de kansenkant zijn telecombedrijven goed gepositioneerd om vertrouwensankers te worden binnen het eIDAS 2.0-ecosysteem. MNO’s beschikken al over geverifieerde abonneegegevens van miljoenen klanten. Als zij hun identiteitsinfrastructuur afstemmen op eIDAS 2.0-normen, kunnen zij identiteitsverificatiediensten aanbieden aan andere sectoren en optreden als betrouwbare bron van identiteitsgegevens waarop andere organisaties kunnen vertrouwen. Dit is een betekenisvolle commerciële kans, met name voor operators die hun dienstverlening willen uitbreiden voorbij connectiviteitsdiensten.

Toch brengt de overgang ook echte uitdagingen met zich mee. Bestaande identiteitsverificatieworkflows voldoen mogelijk niet aan de betrouwbaarheidsniveaus die eIDAS 2.0 vereist. Systemen die zijn gebouwd rond SMS-OTP’s of eenvoudige documentcontroles moeten mogelijk worden vervangen of aanzienlijk worden verbeterd. Daarnaast moeten MNO’s die als relying party willen optreden zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848, voordat zij walletdata kunnen opvragen. Bij die registratie leggen zij per intended use vast welke attributen en attestaties zij opvragen. Een verzoek buiten die geregistreerde scope kan door de wallet worden geweigerd. Voor organisaties die hun aanpak van digitale identiteitstransformatie willen begrijpen, is dit een goed moment om de huidige mogelijkheden af te zetten tegen wat eIDAS 2.0 daadwerkelijk vereist.

Kunnen SIM-gebaseerde identiteit en de EUDI-wallet naast elkaar bestaan?

Ja, SIM-gebaseerde identiteit en de EUDI-wallet kunnen naast elkaar bestaan, maar de verhouding tussen beide zal verschuiven. SIM-gebaseerde identiteit wordt waarschijnlijk één input of laag binnen een breder, wallet-centrisch identiteitskader. De twee benaderingen dienen verschillende doeleinden en opereren op verschillende betrouwbaarheidsniveaus.

De EUDI-wallet is ontworpen voor identiteitsinteracties met een hoog betrouwbaarheidsniveau: aantonen wie je bent om een bankrekening te openen, een SIM te registreren, overheidsdiensten te gebruiken of een contract te ondertekenen. SIM-gebaseerde identiteit is daarentegen primair nuttig als authenticatiefactor, het bevestigen dat een bekende gebruiker aanwezig is op een specifiek apparaat. Dit zijn complementaire rollen.

In een volwassen eIDAS 2.0-omgeving zou een plausibele stroom er als volgt uit kunnen zien:

1. Een klant gebruikt de EUDI-wallet om de identiteit te verifiëren bij het registreren van een nieuw SIM-contract, waarbij een handmatige documentcontrole wordt vervangen door een cryptografisch geverifieerde attestatie in mdoc- of SD-JWT VC-formaat.
2. Na registratie wordt het mobiele nummer een geverifieerd attribuut dat is gekoppeld aan een bevestigde identiteit.
3. Voor daaropvolgende authenticatie, zoals inloggen op een app of een betaling bevestigen, kan de SIM- of apparaatgebaseerde factor nog steeds een rol spelen, nu ondersteund door een identiteitsfundament van hogere kwaliteit.

Bij de verificatie van een wallet-presentatie controleert de relying party niet alleen de cryptografische handtekening van de uitgever tegen de relevante nationale trusted list, maar ook de intrekkingsstatus via de statusinformatie van de uitgever en de wallet unit attestation. Die laatste controle stelt vast dat de presenterende wallet unit op een gecertificeerde wallet solution draait. Alleen de handtekeningcontrole tegen de nationale trusted list kan volledig offline plaatsvinden. De intrekkingscontrole en de validatie van de wallet unit attestation vereisen contact met externe bronnen.

Dit gelaagde model maakt identiteit robuuster zonder de bruikbaarheid die SIM-gebaseerde benaderingen al bieden te verwerpen. De sleutel is dat de initiële identiteitsverificatiestap wordt verhoogd om te voldoen aan eIDAS 2.0-normen, wat alles dat daarop is gebouwd versterkt.

Wat moeten telecombedrijven doen om zich voor te bereiden op eIDAS 2.0?

Telecombedrijven die compliant en concurrerend willen blijven onder eIDAS 2.0 moeten nu actie ondernemen. De relevante tijdlijn is concreet: de verordening is op 20 mei 2024 in werking getreden. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, wat de 24-maandentermijn voor wallet-uitgifte en publieke acceptatie heeft gestart. Op 6 mei 2025 is CIR (EU) 2025/848 gepubliceerd, met de registratievereisten voor wallet-relying parties. Lidstaten moeten uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel hebben. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private relying parties in sectoren zoals telecom geldt op grond van artikel 5f een acceptatieplicht vanaf 24 december 2027, daar waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De uitzondering voor micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, is daarbij van toepassing. Wachten op volledige marktadoptie voordat je je voorbereidt is een risicovolle strategie.

De belangrijkste stappen voor mobiele netwerkoperators zijn:

• Auditeer huidige identiteitsverificatieprocessen: Begrijp waar jouw SIM-registratie- en klantacceptatieworkflows tekortschieten ten opzichte van de betrouwbaarheidsniveauvereisten van eIDAS 2.0.
• Beoordeel jouw rol in het ecosysteem: Bepaal of je wilt optreden als relying party (EUDI-wallet-attestaties accepteren), als uitgever van attestaties, of als beide. Elke rol heeft verschillende technische en compliance-implicaties, waaronder de registratieplicht onder CIR (EU) 2025/848 voor relying parties.
• Integreer EUDI-wallet-acceptatie in jouw technische roadmap: Dit betekent integreren met de presentatieprotocollen van de wallet, waaronder OID4VP voor online presentatie, en ervoor zorgen dat jouw systemen geverifieerde attestaties in mdoc- en SD-JWT VC-formaat kunnen verwerken.
• Herzie fraudepreventiekaders: SIM-swapfraude en aanverwante dreigingen worden direct aangepakt door sterkere identiteitsverificatie bij registratie. Afstemming op eIDAS 2.0 is daarmee ook een fraudereductiestrategie.
• Betrek jouw compliance- en juridische teams vroegtijdig: Het snijvlak van eIDAS 2.0, de AVG en sectorspecifieke regelgeving creëert complexiteit die sectoroverstijgende input vereist. AML-regelgeving, die via de AMLR vanaf juli 2027 van toepassing wordt, en KYC-verplichtingen bepalen mede of en hoe identiteitsgegevens uit de wallet hergebruikt kunnen worden. Dit wordt niet uitsluitend door eIDAS 2.0 geregeld.

Telecombedrijven die nu investeren in hun digitale identiteitsoplossingen zijn beter gepositioneerd om vertrouwde, herbruikbare identiteitsdiensten aan te bieden aan klanten en partners. Voor sectorspecifieke context is het ook de moeite waard om te onderzoeken hoe aangrenzende sectoren zoals financiële dienstverlening dezelfde transitie benaderen, aangezien veel van de identiteitsuitdagingen overlappen.

Hoe helpt TrustTech telecombedrijven bij het navigeren door eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor telecombedrijven die wallet-gebaseerde identiteitspresentaties willen verwerken, ondersteunt de ID Connector concreet:

• Verificatie tegen nationale trusted lists volgens ETSI TS 119 612, zodat de handtekening van de uitgever van een attestatie correct wordt gevalideerd
• Controle van de intrekkingsstatus via de statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet unit op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de scope die is vastgelegd onder CIR (EU) 2025/848 worden gesignaleerd
• Verwerking van attestaties in mdoc- en SD-JWT VC-formaat, inclusief ondersteuning voor OID4VP als presentatieprotocol
• Gekwalificeerd tekenen via een aangesloten QTSP, voor use cases waarbij een gekwalificeerde elektronische handtekening vereist is

De ID Connector is relevant voor telecombedrijven die wallet-acceptatie willen inbouwen in SIM-registratieprocessen, maar ook voor organisaties in financiële dienstverlening, zorg en overheid die met vergelijkbare identiteitsuitdagingen werken.

Bekijk onze klantverhalen om te zien hoe organisaties in vergelijkbare situaties deze uitdaging hebben aangepakt, of neem contact op met ons team om te bespreken wat eIDAS 2.0 specifiek betekent voor jouw telecomomgeving.