Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, is een elektronische attesteringsdienst van attributen (EAA) een digitaal ondertekende verklaring die specifieke kenmerken of kwalificaties over een persoon of organisatie bevestigt, zoals een beroepsvergunning, leeftijd of opleidingskwalificatie. Een EAA hoeft niet te bewijzen wie je bent, maar alleen dat een bepaald feit over jou waar is en is geverifieerd door een bevoegde bron. Dit artikel legt uit hoe EAA’s worden gedefinieerd, wie ze kan uitgeven, welke juridische gevolgen ze hebben en wat ze in de praktijk betekenen voor organisaties en relying parties in de EU.
Welke typen elektronische attesteringsdiensten van attributen erkent eIDAS 2.0?
eIDAS 2.0 onderscheidt drie categorieën attestaties: gekwalificeerde elektronische attesteringsdiensten van attributen (QEAA’s), publieke EAA’s (PuB-EAA’s) en niet-gekwalificeerde EAA’s. Dit onderscheid is juridisch relevant omdat het bepaalt welk vertrouwensniveau en welk rechtsgevolg aan de attestatie verbonden is, en wie bevoegd is deze uit te geven.
QEAA’s worden uitgegeven door gekwalificeerde verleners van vertrouwensdiensten (QTSP’s) die zijn opgenomen op een nationale trusted list. Zij bieden de hoogste mate van juridische zekerheid en moeten grensoverschrijdend worden erkend binnen de EU.
PuB-EAA’s worden uitgegeven door of namens overheidsinstanties die verantwoordelijk zijn voor authentieke bronnen, zoals bevolkingsregisters of beroepsregisters. Zij staan op een afzonderlijke vertrouwenslijst, de List of Trusted Entities (LoTE), en vallen niet onder de categorie niet-gekwalificeerde EAA’s. Hun vertrouwensniveau is hoog, ook al worden ze niet uitgegeven door een QTSP.
Niet-gekwalificeerde EAA’s kunnen worden uitgegeven door andere partijen, waaronder private organisaties zoals werkgevers of onderwijsinstellingen. Zij hebben juridisch gewicht, maar hun grensoverschrijdende erkenning hangt af van de context en het beleid van de ontvangende organisatie.
Alle drie de categorieën kunnen een breed scala aan attribuutgegevens bevatten, waaronder:
- Beroepskwalificaties en vergunningen
- Opleidingskwalificaties en diploma’s
- Leeftijdsverificatie en nationaliteit
- Organisatorische rollen en autorisaties
- Gezondheidsgegevens zoals recepten of verzekeringsrechten
- Rijbewijsinformatie
Deze flexibiliteit is een kernontwerpdoel van de verordening. eIDAS 2.0 beperkt digitale identiteit niet tot één nationaal identiteitsbewijs, maar maakt een ecosysteem van verifieerbare attestaties mogelijk die kunnen worden uitgegeven, opgeslagen en gepresenteerd via de digitale identiteitsinfrastructuur die organisaties en overheden nu opbouwen.
Hoe verschillen elektronische attesteringsdiensten van attributen van eID’s?
Een eID stelt de wettelijke identiteit van een persoon vast, doorgaans via naam, geboortedatum en een unieke identificator. Een EAA is een gerichte attestatie die door een bevoegde autoriteit is uitgegeven en een bepaald feit bevestigt, zonder dat de volledige identiteit van de houder hoeft te worden onthuld.
Jouw paspoort is een eID. Een attestatie die bevestigt dat je een erkend apotheker bent, is een EAA. Beide zijn digitaal ondertekend en verifieerbaar, maar ze dienen verschillende doeleinden en worden uitgegeven door verschillende partijen.
Deze scheiding is bewust. eIDAS 2.0 is ontworpen om dataminimalisatie te ondersteunen, een principe dat ook is verankerd in de AVG. Wanneer een gebruiker wil aantonen dat hij of zij ouder is dan 18, hoeft hij of zij niet de volledige naam, het adres en de exacte geboortedatum te delen. Een EAA kan bevestigen dat aan de leeftijdsdrempel is voldaan via selective disclosure van bijvoorbeeld het attribuut “ouder dan 18”, zonder onnodige persoonsgegevens vrij te geven. Dit geeft gebruikers betekenisvolle controle over wat ze delen en met wie.
Belangrijk hierbij is dat walletgebruik vrijwillig is. Artikel 5a van de verordening beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen EUDI-wallet gebruiken.
Voor organisaties in sectoren zoals financiële dienstverlening of gezondheidszorg is dit onderscheid ook operationeel relevant. Het accepteren van een EAA vermindert de hoeveelheid gevoelige gegevens die je verwerkt. Dat vermindert op zijn beurt het nalevingsrisico onder de gegevensbeschermingswetgeving. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen attribuutgegevens. Goedkeuring van een dataverzoek in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Wie kan gekwalificeerde elektronische attesteringsdiensten van attributen uitgeven onder eIDAS 2.0?
Gekwalificeerde elektronische attesteringsdiensten van attributen kunnen alleen worden uitgegeven door gekwalificeerde verleners van vertrouwensdiensten (QTSP’s) die officieel zijn erkend op een nationale trusted list conform ETSI TS 119 612. Deze aanbieders moeten voldoen aan strenge eisen die zijn vastgelegd in de verordening en de bijbehorende uitvoeringshandelingen, met betrekking tot beveiliging, auditing en operationele normen.
De verordening stelt een duidelijke verantwoordingsketen vast. Een QTSP die een QEAA uitgeeft, moet het onderliggende attribuut kunnen verifiëren via een gezaghebbende bron voordat hij de attestatie verleent. Een QTSP die een QEAA uitgeeft ter bevestiging van het lidmaatschap van een advocaat bij de balie, moet die bevestiging verkrijgen van de relevante orde van advocaten of het officiële register.
PuB-EAA’s worden uitgegeven door of namens overheidsinstanties die verantwoordelijk zijn voor authentieke bronnen. Zij zijn opgenomen op een LoTE en vallen buiten het QTSP-kader, maar hebben wel een formeel vertrouwensniveau binnen het eIDAS 2.0-ecosysteem.
Niet-gekwalificeerde EAA’s kunnen worden uitgegeven door andere partijen, waaronder werkgevers, onderwijsinstellingen en beroepsorganisaties. Hun juridische gewicht en grensoverschrijdende acceptatie zijn afhankelijk van de context en het beleid van de ontvangende organisatie.
Dit is een significante uitbreiding ten opzichte van het oorspronkelijke eIDAS-kader, dat zich voornamelijk richtte op elektronische handtekeningen en identiteit. Onder eIDAS 2.0 omvat het ecosysteem van vertrouwensdiensten een veel breder scala aan attribuutuitgevers, mits zij binnen het erkende kader opereren. Organisaties die hun rol in dit ecosysteem verkennen, kunnen praktische informatie vinden via de implementatieaanpak van TrustTech.
Hoe slaat de EUDI-wallet elektronische attesteringsdiensten van attributen op en presenteert deze?
De Europese Digitale Identiteitswallet (EUDI-wallet) slaat attestaties op als verifieerbare attestaties in gestandaardiseerde, cryptografisch beveiligde formaten. De verordening en het Architecture and Reference Framework (ARF) schrijven twee credentialformaten voor: mdoc en SD-JWT VC. Voor proximity-presentatie geldt ISO/IEC 18013-5, voor online presentatie ISO/IEC TS 18013-7. Uitgifte verloopt via OID4VCI, presentatie via OID4VP.
Wanneer een gebruiker een attestatie moet presenteren aan een relying party, genereert de wallet unit een selective disclosure-respons, waarbij alleen de specifieke attributen worden gedeeld die de dienst vereist, zonder de volledige attestatie of niet-gerelateerde gegevens bloot te stellen.
Verificatie door een relying party omvat drie afzonderlijke controles:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, via de EU List of Trusted Lists (LOTL) of een LoTE.
- Controle van de intrekkingsstatus via statusinformatie van de uitgever.
- Verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
Alleen de eerste controle kan volledig offline plaatsvinden. De tweede en derde vereisen contact met externe bronnen. Het is dan ook onjuist te stellen dat een attestatie volledig kan worden geverifieerd zonder enige netwerkverbinding.
Privésleutels van PID’s en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties opnieuw uitgegeven in plaats van gekopieerd. Relying parties moeten hiermee rekening houden bij het inrichten van hergebruikscenario’s.
In de praktijk kan een gebruiker zijn beroepskwalificatie presenteren aan een werkgever, zijn leeftijd aan een onlineplatform, of zijn zorgverzekeringsrecht aan een apotheek, allemaal vanuit dezelfde wallet-app, zonder een fysiek document te overhandigen of een handmatig verificatieproces te herhalen. De wallet is ontworpen om zowel online als bij fysieke interacties te werken.
Voor organisaties in sectoren zoals gezondheidszorg of de overheid biedt dit concrete operationele voordelen. Het verifiëren van een attestatie die vanuit een EUDI-wallet wordt gepresenteerd, is sneller en beter auditeerbaar dan het controleren van een papieren document of het uitvoeren van een handmatige databasequery. Tegelijkertijd vereist het dat de ontvangende organisatie haar systemen inricht op de drie verificatiestappen hierboven.
Welke juridische gevolgen hebben elektronische attesteringsdiensten van attributen in EU-lidstaten?
Gekwalificeerde elektronische attesteringsdiensten van attributen hebben gelijkwaardig juridisch effect in alle EU-lidstaten. Een QEAA die in één lidstaat is uitgegeven, moet door relying parties in alle andere lidstaten worden geaccepteerd, mits deze betrekking heeft op attributen die binnen de reikwijdte van de verordening vallen. PuB-EAA’s hebben eveneens een sterk vertrouwensniveau en worden breed geaccepteerd, hoewel het juridisch kader per gebruiksscenario kan variëren. Niet-gekwalificeerde EAA’s hebben ook juridisch gewicht, maar hun grensoverschrijdende erkenning hangt af van de specifieke context en het beleid van de ontvangende organisatie.
Vóór eIDAS 2.0 werd een beroepskwalificatie die in Duitsland was afgegeven, mogelijk niet automatisch geaccepteerd door een digitale dienst in Spanje, omdat er geen gemeenschappelijk technisch of juridisch kader was om deze op afstand te verifiëren. eIDAS 2.0 creëert een bindend interoperabiliteitskader dat dit verandert.
De juridische gevolgen zijn als volgt gestructureerd:
- QEAA’s moeten worden geaccepteerd overal waar het betreffende attribuuttype juridisch erkend is in de EU, met dezelfde status als gelijkwaardige papieren certificaten.
- PuB-EAA’s van overheidsinstanties hebben een sterk bewijsrechtelijk gewicht en worden naar verwachting breed geaccepteerd, hoewel het juridisch kader per gebruiksscenario kan variëren.
- Niet-gekwalificeerde EAA’s van private uitgevers zijn juridisch geldig, maar hun acceptatie hangt af van het beleid van de relying party en eventuele sectorspecifieke regels.
Twee deadlines zijn hier relevant. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt artikel 5f van de verordening voor de relevante gereguleerde private sectoren, waaronder banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, voor zover sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor Very Large Online Platforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn uitgezonderd van de private acceptatieplicht.
Een relying party moet zich daarnaast registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging conform CIR (EU) 2025/848 van 6 mei 2025, voordat walletdata kan worden opgevraagd. Per intended use wordt geregistreerd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Erkenning van beroepskwalificaties volgt juridisch uit Richtlijn 2005/36/EG. De EUDI-wallet kan de relevante attestaties dragen, maar vormt niet zelf de juridische erkenningsgrondslag. Dit onderscheid is relevant voor organisaties die grensoverschrijdend actief zijn in gereguleerde beroepen.
Voor organisaties die grensoverschrijdend actief zijn, met name in gereguleerde sectoren zoals financiën, farmacie of professionele dienstverlening, neemt dit kader een significante barrière weg. Een eenmaal geverifieerde attestatie kan worden hergebruikt voor meerdere diensten en jurisdicties, waardoor duplicatie wordt verminderd en processen worden versneld die voorheen afzonderlijke verificatie in elk land vereisten.
Hoe ondersteunt de ID Connector van TrustTech relying parties bij elektronische attesteringsdiensten van attributen
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel voert de ID Connector de volgende technische taken uit:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list via de EU List of Trusted Lists (LOTL) en LoTE’s.
- Controle van de intrekkingsstatus via statusinformatie van de uitgever.
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848.
- Hergebruik van geverifieerde attribuutdata voor meerdere diensten binnen de geregistreerde scope.
- Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de QTSP zelf.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de overheid die zich voorbereiden op de acceptatieverplichtingen van 24 december 2026 en 24 december 2027. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw technische en juridische vereisten.