Organisaties moeten zich voorbereiden op de implementatie van eIDAS 2.0 door hun huidige identiteitsinfrastructuur te auditen, te begrijpen welke verplichtingen van toepassing zijn op hun sector, en concrete stappen te nemen om compatibel te worden met de EUDI-wallet. De verordening is geen verre toekomstmuziek: lidstaten zijn wettelijk verplicht om EUDI-wallets beschikbaar te stellen aan burgers en bedrijven vóór 24 december 2026, wat betekent dat het voorbereidingsvenster nu open staat. Dit artikel behandelt de belangrijkste vragen die organisaties stellen bij het opstarten.
Wat vereist eIDAS 2.0 eigenlijk van organisaties?
eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, wijzigt Verordening (EU) 910/2014 en verplicht bepaalde categorieën organisaties om de EUDI-wallet te accepteren als geldig middel voor authenticatie en identiteitsverificatie. Naast acceptatie moeten organisaties hun digitale identiteitsprocessen, gegevensverwerking en integraties met trust services afstemmen op het bijgewerkte regelgevingskader. Dit heeft invloed op hoe zij gebruikers onboarden, gegevens verifiëren en digitale handtekeningen verwerken.
Verordening (EU) 2024/1183 wijzigt de oorspronkelijke eIDAS-verordening en sluit daarmee aanzienlijke lacunes. Waar het oorspronkelijke kader het aan lidstaten overliet of zij nationale eID-stelsels wilden opzetten en promoten, maakt de nieuwe verordening dit verplicht. Elke EU-lidstaat moet een EUDI-wallet uitgeven aan elke burger, inwoner of onderneming die dat wenst.
Voor organisaties vertaalt dit zich in een aantal concrete verplichtingen:
- Het accepteren van EUDI-wallets voor authenticatie in diensten waarvoor sterke identiteitsverificatie vereist is
- Geregistreerd worden als relying party binnen het EUDI-wallet-ecosysteem, conform CIR (EU) 2025/848
- Ervoor zorgen dat uitwisseling van identiteitsgegevens voldoet aan de technische standaarden die zijn vastgelegd in het Architecture and Reference Framework
- Integraties met trust services afstemmen op bijgewerkte vereisten voor gekwalificeerde elektronische handtekeningen, zegels en tijdstempels
- Gegevensminimalisatiepraktijken herzien, omdat de wallet zo is ontworpen dat gebruikers via selective disclosure alleen delen wat strikt noodzakelijk is
De verordening introduceert ook nieuwe categorieën gekwalificeerde trust services, waaronder gekwalificeerde elektronische grootboeken en gekwalificeerde elektronische archiveringsservices, die het nalevingsoppervlak uitbreiden voor organisaties die op deze diensten vertrouwen.
Welke organisaties worden het meest getroffen door eIDAS 2.0?
Organisaties in gereguleerde sectoren met digitale interacties waarbij veel vertrouwen vereist is, worden het meest direct getroffen door eIDAS 2.0. Dit omvat financiële dienstverlening, bankwezen, verzekeringen, overheidsinstanties, zorgaanbieders, telecommunicatiebedrijven, energiebedrijven, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur. Elke organisatie die momenteel identiteitsverificatie vereist voor onboarding, authenticatie of ondertekening en actief is in een van deze sectoren, valt binnen het toepassingsgebied.
De verordening noemt specifiek bepaalde servicecategorieën waarvoor wallet-acceptatie verplicht zal zijn. Artikel 5f onderscheidt daarbij twee situaties. Voor gereguleerde private partijen in sectoren als bankwezen, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur geldt de acceptatieplicht waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling: zij moeten de EUDI-wallet accepteren waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Overheidsinstanties die digitale diensten aanbieden, moeten genotificeerde wallets accepteren vanaf 24 december 2026. Banken die online rekeningen openen, telecomaanbieders die simkaarten registreren en overheidsportalen die vergunningen of uitkeringen verstrekken zijn duidelijke voorbeelden. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn uitgezonderd van de acceptatieplicht onder artikel 5f.
De impact reikt verder dan de organisaties die expliciet in de verordening worden genoemd. Elk bedrijf dat gebruikers momenteel vraagt hun identiteit digitaal te bewijzen, zal moeten overwegen hoe de EUDI-wallet de verwachtingen van gebruikers en de concurrentiedynamiek verandert. Als jouw concurrenten de wallet accepteren en jij niet, wordt die drempel een zakelijk probleem, geen puur nalevingsvraagstuk.
Organisaties in de financiële dienstverlening staan voor bijzondere urgentie. De vereisten voor sterke klantauthenticatie onder PSD2 raken rechtstreeks aan eIDAS 2.0, en de wallet zal naar verwachting een erkende methode worden om aan die vereisten te voldoen. Zorgorganisaties die gevoelige patiëntgegevens verwerken, moeten daarnaast beoordelen hoe wallet-gebaseerde identiteit past in hun toestemmings- en verificatieworkflows, waarbij naast eIDAS ook artikel 9 AVG van toepassing is.
Wat is de tijdlijn voor de nalevingsdeadlines van eIDAS 2.0?
Er zijn twee centrale deadlines. Op 24 december 2026 moeten EU-lidstaten minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen en acceptatie vóór de eigen deadline kan worden getest. Op 24 december 2027 treedt de acceptatieplicht in werking voor de betreffende gereguleerde private partijen op grond van artikel 5f van de verordening. Dit is twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie, en 36 maanden na de inwerkingtreding van de relevante uitvoeringshandelingen uit eind 2024. De verplichting geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
De verordening trad in werking op 20 mei 2024, waarmee een reeks uitvoeringshandelingen en technische specificaties in gang werd gezet. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor walletuitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 werd CIR (EU) 2025/848 vastgesteld over de registratie van wallet-relying parties.
Vier grootschalige pilotprojecten liepen van april 2023 tot 2025 en testten de wallet in realistische scenario’s. Het POTENTIAL-consortium richtte zich op overheidsdiensten, het openen van bankrekeningen, simkaartregistratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. DC4EU testte toepassingen in onderwijs en sociale zekerheid. EWC piloteerde Digital Travel Credentials, betalingen en organisational digital identity. NOBID richtte zich op betalingen. De inzichten uit die pilots werden verwerkt in de definitieve technische specificaties die organisaties zullen moeten implementeren. In 2025 startte een tweede pilotgolf: WE BUILD richt zich op business wallets en betalingen, APTITUDE op reizen, ticketing, voertuigregistratie en betalingen.
In de praktijk zijn deze deadlines uiterste data en geen garantie dat iedere organisatie of lidstaat de wallet op exact dat moment lanceert. Technische integratie, nalevingsbeoordeling en gereedheid van medewerkers kosten allemaal tijd. Wie wacht tot de wallets live zijn voordat er wordt begonnen met voorbereiding, riskeert het venster te missen.
Hoe moeten organisaties hun huidige lacunes in de identiteitsinfrastructuur beoordelen?
Organisaties moeten hun lacunes in de identiteitsinfrastructuur beoordelen door elk contactpunt in kaart te brengen waar identiteit wordt geverifieerd, gegevens worden uitgewisseld of handtekeningen worden gezet, en elk contactpunt vervolgens te toetsen aan de eIDAS 2.0-vereisten. Het doel is te identificeren waar huidige systemen geen wallet-gebaseerde interacties, verifieerbare attestaties of bijgewerkte trust service-normen kunnen ondersteunen.
Een praktische lacunebeoordeling omvat meerdere dimensies:
- Onboardingflows: Kan jouw huidige onboardingproces een EUDI-wallet-presentatie accepteren in plaats van een handmatige documentupload of een identiteitscontrole door derden?
- Authenticatiemethoden: Zijn jouw inlog- en herauthenticatiemechanismen compatibel met wallet-gebaseerde identiteitsbeweringen?
- Gegevensverwerking: Ondersteunt jouw systeem selective disclosure, waarbij gebruikers alleen de specifiek benodigde attributen delen in plaats van volledige identiteitsdocumenten?
- Integraties met trust services: Zijn jouw oplossingen voor elektronische handtekeningen en zegels afgestemd op de bijgewerkte vereisten voor gekwalificeerde trust services onder eIDAS 2.0?
- Interoperabiliteit: Kunnen jouw systemen communiceren met wallet-aanbieders en andere relying parties over de grenzen heen?
- Nalevingsdocumentatie: Beschik je over de audittrails, toestemmingsregistraties en documentatie over gegevensverwerking die toezichthouders zullen verwachten?
Veel organisaties ontdekken dat hun identiteitsinfrastructuur is gebouwd voor een wereld vóór de wallet: elke onboarding is onafhankelijk, gegevens zijn niet herbruikbaar en nalevingscontroles worden elke keer opnieuw vanaf nul uitgevoerd. Dat model is precies wat eIDAS 2.0 is ontworpen te vervangen. Het vroegtijdig identificeren van die lacunes maakt een realistisch implementatieplan mogelijk.
Welke technische wijzigingen zijn nodig om de EUDI-wallet te accepteren?
Om de EUDI-wallet te accepteren, moeten organisaties zich registreren als relying party conform CIR (EU) 2025/848 bij de bevoegde nationale autoriteit van de lidstaat van vestiging, ondersteuning implementeren voor de technische protocollen die zijn gedefinieerd in het Architecture and Reference Framework, en presentatieflows voor attestaties integreren in hun applicaties. Dit vereist back-endwijzigingen, bijgewerkte API’s en in veel gevallen nieuwe identiteitsmiddleware.
De technische basis van de EUDI-wallet is gebouwd op open standaarden voor verifieerbare attestaties en digitale identiteit. Organisaties moeten de presentatie ondersteunen van persoonsidentificatiegegevens en elektronische attestaties van attributen, de twee kerngegevenstypen die in de verordening zijn gedefinieerd. Attestaties zijn cryptografisch tamper-evident, wat betekent dat jouw systemen de integriteit en authenticiteit moeten kunnen valideren van wat de wallet unit presenteert. Volledige verificatie omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Belangrijke technische stappen zijn onder meer:
- Registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging conform CIR (EU) 2025/848, inclusief het vastleggen van de attributenscope per intended use voordat walletdata kan worden opgevraagd
- Implementeren van de protocollen en interfaces die zijn gespecificeerd in het Architecture and Reference Framework voor wallet-interacties, waaronder OID4VP voor presentatie
- Ondersteuning van selective disclosure, zodat jouw systemen alleen de attributen opvragen en verwerken die zij daadwerkelijk nodig hebben
- Integreren met gecertificeerde wallet solutions en ervoor zorgen dat jouw technische stack grensoverschrijdende identiteitsmatching aankan
- Bijwerken van jouw workflows voor gekwalificeerde elektronische handtekeningen als je gebruikmaakt van ondertekening op afstand of gekwalificeerde trust services
Voor organisaties die identiteitsverificatie momenteel intern afhandelen, is dit een aanzienlijke onderneming. Voor organisaties die al werken met moderne identiteitsplatforms is de weg naar wallet-compatibiliteit korter, maar vereist nog steeds doelbewust integratiewerk. De digitale identiteitsoplossingen die vandaag beschikbaar zijn, worden steeds vaker ontworpen met ingebouwde eIDAS 2.0-gereedheid, wat de last van maatwerkontwikkeling vermindert.
Waar moeten organisaties beginnen met hun eIDAS 2.0-voorbereiding?
Organisaties moeten hun eIDAS 2.0-voorbereiding beginnen door te identificeren welke verplichtingen op hen van toepassing zijn, een lacunebeoordeling uit te voeren van hun huidige identiteitsinfrastructuur en eigenaarschap toe te wijzen aan de naleving- en implementatiewerkstroom. Beginnen met duidelijkheid over het toepassingsgebied voorkomt verspilde inspanning en helpt bij het prioriteren van de meest relevante wijzigingen.
In de praktijk zien de eerste stappen er als volgt uit. Bepaal eerst of jouw organisatie valt onder een verplichte acceptatiecategorie op grond van artikel 5f, zoals bankwezen, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur of zeer grote onlineplatforms, of dat wallet-gereedheid eerder een strategische prioriteit is dan een wettelijke. Controleer daarbij ook of de uitzondering voor micro- en kleine ondernemingen van toepassing is. Breng vervolgens jouw huidige identiteitscontactpunten in kaart en toets ze aan de hierboven beschreven eIDAS 2.0-vereisten. Betrek ten derde jouw IT-, naleving-, juridische en zakelijke teams vroegtijdig: eIDAS 2.0 is geen puur technisch project, en beslissingen over gegevensminimalisatie, gebruikerstoestemming en grensoverschrijdende interoperabiliteit hebben zakelijke en juridische dimensies. Houd daarbij in gedachten dat goedkeuring van een dataverzoek in de wallet niet automatisch toestemming is als AVG-grondslag onder artikel 6, lid 1, onder a, AVG. Jouw organisatie heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Organisaties in overheidsdiensten zullen vaak andere uitgangspunten hebben dan die in de financiële dienstverlening of gezondheidszorg. Sectorspecifieke richtlijnen en use cases uit de grootschalige pilots zijn een nuttige referentie voor het begrijpen hoe wallet-gebaseerde interacties er in de praktijk uitzien.
Organisaties die eIDAS 2.0 benutten om identiteitsprocessen te herbouwen die al lang gefragmenteerd en frictievol zijn, zullen het soepelst aanpassen. Herbruikbare identiteit, draagbare attestaties en vertrouwde digitale handtekeningen zijn de bouwstenen van betere digitale ervaringen voor zowel organisaties als hun gebruikers. Het verkennen van de beschikbare bronnen over de implementatie van digitale identiteit kan teams helpen snel op snelheid te komen.
Hoe de ID Connector van TrustTech past bij de implementatie van eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector voert de drie verificatiestappen uit die wallet-acceptatie vereist: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list via de EU List of Trusted Lists, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope, zodat jouw systeem uitsluitend de attributen opvraagt die zijn vastgelegd bij de registratie als relying party conform CIR (EU) 2025/848. Geverifieerde identiteitsdata kunnen worden hergebruikt binnen jouw platform, wat herhaalde verificatie bij terugkerende gebruikers overbodig maakt. Voor ondertekening verbindt de ID Connector met een aangesloten QTSP, zodat een gekwalificeerde elektronische handtekening tot stand kan komen zonder dat TrustTech zelf als QTSP optreedt.
De ID Connector is relevant voor financial services, healthcare, pharma en government: sectoren waar sterke authenticatie wettelijk of contractueel vereist is en waar de deadlines van artikel 5f direct van toepassing zijn.
Neem contact op met TrustTech om te bespreken welke wallet-interacties jouw organisatie moet ondersteunen en hoe de ID Connector daarin past.