Onder eIDAS 2.0 — de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt — geven nationale overheden attestaties uit als gezaghebbende gegevensbronnen die geverifieerde identiteitsattributen in het European Digital Identity Wallet-ecosysteem plaatsen. Elke lidstaat is wettelijk verplicht om burgers, inwoners en bedrijven vóór 24 december 2026 een gecertificeerde EUDI-wallet te verstrekken. Overheidsinstanties zijn de primaire uitgevers van de fundamentele attestaties die deze wallets betrouwbaar en bruikbaar maken over de grenzen heen. Dit artikel behandelt de belangrijkste vragen die organisaties en professionals stellen over hoe dat uitgifteproces in de praktijk werkt.
Welke soorten attestaties kunnen overheden uitgeven onder eIDAS 2.0?
Onder eIDAS 2.0 kunnen overheden twee hoofdcategorieën attestaties uitgeven: de Person Identification Data (PID) en Qualified Electronic Attestations of Attributes (QEAAs). De PID is de fundamentele identiteitsattestatie die bevestigt wie iemand is. QEAAs bestrijken een veel breder scala aan geverifieerde attributen, van rijbewijzen tot beroepskwalificaties en de Europese ziekteverzekeringskaart.
In de praktijk betekent dit dat een overheidsinstantie attestaties kan uitgeven voor een breed spectrum aan dagelijkse behoeften. De grootschalige pilots die van april 2023 tot 2025 liepen, testten het gebruik van attestaties in meerdere specifieke scenario’s, waaronder:
- Toegang tot overheidsdiensten zoals het indienen van belastingaangifte of het aanvragen van een paspoort
- Het openen van een bankrekening met geverifieerde identiteitsgegevens
- Het tonen van een mobiel rijbewijs in zowel online als fysieke situaties
- Het ophalen van recepten bij een apotheek
- Het tonen van reisdocumenten bij grenscontroles, die tijdens de pilots zijn getest maar nog niet als algemeen operationele EUDI-walletfunctionaliteit beschikbaar zijn
- Toegang tot sociale zekerheidsuitkeringen en informatie over de Europese ziekteverzekeringskaart
- Het aantonen van organisatorische vertegenwoordiging als legitieme bedrijfsgemachtigde
Wat deze attestaties onderscheidt van digitale kopieën van papieren documenten, is dat ze tamper-evident zijn en selective disclosure ondersteunen. Een gebruiker kan daarmee zijn leeftijd bewijzen zonder zijn volledige geboortedatum te onthullen, of zijn nationaliteit bevestigen zonder zijn thuisadres te delen.
Hoe wordt een overheidsinstantie een vertrouwde uitgever van attestaties?
Een overheidsinstantie wordt een vertrouwde uitgever onder eIDAS 2.0 door formeel erkend te worden binnen het nationale vertrouwenskader en opgenomen te worden op de relevante trusted list die door de lidstaat wordt bijgehouden volgens ETSI TS 119 612. Dit erkenningsproces zorgt ervoor dat attestaties die door die instantie worden uitgegeven juridisch gewicht hebben en door relying parties in de hele EU kunnen worden geverifieerd via de EU List of Trusted Lists (LOTL).
Het vertrouwensmodel werkt in lagen. Bovenaan staat de lidstaat zelf, die verantwoordelijk is voor het aanmelden en onderhouden van zijn nationale vertrouwensinfrastructuur. Instanties die attestaties uitgeven, of het nu een nationaal identiteitsbureau, een rijbewijsautoriteit of een sociale zekerheidsinstantie is, moeten voldoen aan vastgestelde beveiligings- en betrouwbaarheidsnormen voordat ze kunnen deelnemen aan het ecosysteem.
eIDAS 2.0 opent dit ook voor niet-puur-gouvernementele organisaties. Particuliere organisaties kunnen eveneens vertrouwde uitgevers worden, mits ze officieel worden erkend door hun lidstaat. Dat betekent dat een bank, een universiteit of een zorgverlener QEAAs kan uitgeven met hetzelfde vertrouwensniveau als een overheidsafdeling, zolang ze voldoen aan de vereiste normen en op de trusted list staan. Plaatsing op een trusted list volgt niet automatisch: een private uitgever doorloopt daarvoor een formeel erkenningstraject bij de bevoegde nationale autoriteit.
Hoe werkt het uitgifteproces van attestaties in de praktijk?
Het uitgifteproces onder eIDAS 2.0 volgt een gestructureerde stroom waarbij een vertrouwde uitgever een ondertekende, verifieerbare attestatie aanmaakt en deze via het OID4VCI-protocol rechtstreeks aan de EUDI-wallet van de gebruiker levert. De gebruiker bewaart die attestatie vervolgens in zijn wallet unit en kan deze presenteren aan elke relying party die op EUDI-wallet gebaseerde authenticatie accepteert.
Het proces verloopt over het algemeen in de volgende volgorde:
- Identiteitsverificatie: De uitgevende instantie bevestigt eerst de identiteit van de gebruiker, doorgaans via een bestaand nationaal eID-stelsel of een persoonlijk verificatieproces.
- Aanmaken van de attestatie: De instantie genereert een digitale attestatie met de relevante attributen, cryptografisch ondertekend met de privésleutel van de uitgever. De privésleutel van de gebruiker bevindt zich in de beveiligde cryptografische component van de wallet unit en kan dit beveiligde middel niet verlaten.
- Levering aan de wallet: De ondertekende attestatie wordt via OID4VCI, zoals gedefinieerd in het Architecture and Reference Framework, naar de EUDI-wallet van de gebruiker verzonden.
- Opslag en beheer: De gebruiker slaat de attestatie op in zijn wallet instance en beslist wanneer en met wie hij deze deelt.
- Presentatie aan een relying party: Wanneer een dienst verificatie aanvraagt, presenteert de gebruiker via OID4VP selectief de relevante attributen uit de attestatie. De relying party voert daarbij drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
De Europese Commissie heeft een referentie-implementatie van de EUDI-wallet beschikbaar gesteld als open-source prototype, waarop lidstaten en particuliere ontwikkelaars kunnen voortbouwen. Deze gemeenschappelijke technische basis ondersteunt grensoverschrijdende interoperabiliteit, al betekent de deadline van 24 december 2026 niet automatisch dat volledige functionele interoperabiliteit in de hele EU op dat moment bestaat.
Wat is het verschil tussen een PID en een QEAA?
Het belangrijkste onderscheid is dat een PID (Person Identification Data) de fundamentele identiteitsattestatie is die vaststelt wie je bent, terwijl een QEAA (Qualified Electronic Attestation of Attributes) een gekwalificeerde verklaring is over een specifiek attribuut of een kwalificatie die je bezit. Een PID wordt uitsluitend uitgegeven door of namens een lidstaat; een QEAA kan worden uitgegeven door elke gekwalificeerde vertrouwensdienstverlener die officieel is erkend.
Beschouw de PID als het digitale equivalent van een nationale identiteitskaart. Het bevat kernidentiteitsgegevens zoals naam, geboortedatum en nationaliteit, en vormt het vertrouwensanker voor alles in de wallet. Zonder een geldige PID heeft het overige attestatie-ecosysteem geen betrouwbare identiteitsbasis om op voort te bouwen.
Een QEAA is een geverifieerd certificaat dat aan die identiteit is gekoppeld. Voorbeelden zijn een rijbewijs, een universitair diploma, een beroepsregistratie of de Europese ziekteverzekeringskaart. Deze attestaties zijn gekwalificeerd omdat ze worden uitgegeven door een erkende instantie en onder EU-recht hetzelfde juridische gewicht dragen als hun fysieke of papieren equivalenten. Naast QEAAs bestaan er ook PuB-EAAs, attestaties uitgegeven door publieke instanties die niet als QTSP zijn aangewezen, en non-qualified EAAs voor toepassingen met een lager betrouwbaarheidsniveau. QEAAs zijn de standaard voor gereguleerde sectoren zoals financiën, gezondheidszorg en overheidsdiensten. Daarbij is van belang dat de erkenning van beroepskwalificaties juridisch geregeld wordt door Richtlijn 2005/36/EG: de wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
Wat was de rol van de grootschalige pilots?
De volledige uitrol is nog niet afgerond, maar er is aanzienlijke vooruitgang geboekt via de vier grootschalige pilotprogramma’s die van april 2023 tot 2025 liepen. Deze pilots omvatten meer dan 350 entiteiten uit 26 lidstaten, plus Noorwegen, IJsland en Oekraïne, en testten de uitgifte van attestaties in de echte wereld in meerdere sectoren.
De vier pilotconsortia richtten zich elk op verschillende gebruiksscenario’s. Het EU Digital Identity Wallet Consortium (EWC) onderzocht Digital Travel Credentials, betalingen en organisational digital identity. Het NOBID Consortium, bestaande uit Noordse en Baltische landen samen met Italië en Duitsland, pilotte wallet-gebaseerde betalingsautorisatie. Het POTENTIAL-consortium richtte zich op overheidsdiensten, het openen van een bankrekening, SIM-registratie, mobiele rijbewijzen, gekwalificeerde handtekeningen op afstand en e-recepten. DC4EU ondersteunde gebruiksscenario’s voor onderwijs en sociale zekerheid over de grenzen heen.
De inzichten uit de pilots worden rechtstreeks verwerkt in de definitieve technische specificaties en beveiligingsvereisten die de live attestatie-uitgifte in de hele EU zullen regelen. In 2025 startte een tweede pilotgolf: WE BUILD richt zich op business wallets en betalingen, APTITUDE op reizen, ticketing, voertuigregistratie en betalingen. Informatie over de voortgang van nationale walletimplementaties veroudert snel en verdient verificatie vlak voor publicatie.
Wat betekent attestatie-uitgifte door de overheid voor organisaties die deze accepteren?
Voor organisaties die door de overheid uitgegeven eIDAS 2.0-attestaties accepteren, is de praktische implicatie dat identiteitsverificatie sneller, betrouwbaarder en juridisch sterker wordt. Wanneer een gebruiker een wallet-gebaseerde PID of QEAA presenteert, ontvangt de organisatie tamper-evident verifieerbare gegevens van een vertrouwde bron. Dat vermindert de noodzaak om identiteit opnieuw vanaf nul te verifiëren en verkleint het risico op fraude of documentvervalsing. Volledig offline verifiëren is daarbij niet zonder meer mogelijk: de controle van de intrekkingsstatus en de wallet unit attestation vereisen contact met externe bronnen.
Dit is het meest relevant in gereguleerde sectoren. Een bank die een door de overheid uitgegeven PID accepteert voor het openen van een rekening, kan daarmee onderdelen van het KYC-proces ondersteunen, al blijft het hergebruik van KYC-gegevens mede bepaald door AML-regelgeving en sectorale regels. Een zorgverlener die een geverifieerde attestatie van de Europese ziekteverzekeringskaart ontvangt, kan deze met vertrouwen verwerken. Een overheidsportal die een wallet-gebaseerde attestatie accepteert voor toegang tot diensten, kan dit doen zonder een eigen identiteitsverificatie-infrastructuur te bouwen.
Belangrijk voor elke relying party is dat zij zich onder CIR (EU) 2025/848 van 6 mei 2025 moeten registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Er zijn ook compliance-implicaties om rekening mee te houden. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, zoals organisaties in de sectoren bankieren en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027, en dan uitsluitend in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten deze verplichting. Walletgebruik blijft voor de eindgebruiker vrijwillig; artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Dit alles betekent dat het accepteren van digitale attestaties van de overheid voor steeds meer organisaties niet alleen een efficiëntiekeuze is, maar ook een wettelijke verplichting wordt. Organisaties die nu investeren in de juiste technische integratie, zijn beter gepositioneerd om aan die verplichtingen te voldoen en klanten in financiële dienstverlening en andere gereguleerde sectoren zonder wrijving te bedienen.
Hoe de ID Connector van TrustTech attestatie-acceptatie ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de technische taken die bij attestatie-acceptatie komen kijken: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, validatie van de wallet unit attestation, en bewaking van de geregistreerde attributenscope zodat verzoeken buiten de geregistreerde intended use worden onderkend. Daarnaast maakt de ID Connector hergebruik van geverifieerde identiteitsdata binnen de organisatie mogelijk, waardoor herhaalde verificaties worden vermeden. Voor organisaties die gekwalificeerd tekenen willen aanbieden, verbindt de ID Connector met een aangesloten QTSP: TrustTech geeft zelf geen gekwalificeerde elektronische handtekeningen uit.
Dit is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk te maken krijgen met de acceptatieverplichtingen die voortvloeien uit eIDAS 2.0. Je kunt de oplossingen van TrustTech verkennen om te zien hoe de ID Connector de volledige identiteitslevenscyclus ondersteunt, of contact opnemen met het team om te bespreken wat eIDAS 2.0-attestatieacceptatie betekent voor jouw specifieke organisatie.