Relying parties onder eIDAS 2.0 moeten zich registreren bij een nationale autoriteit in hun EU-lidstaat voordat zij identiteitsgegevens kunnen opvragen uit een Europese Digitale Identiteitswallet. Deze registratieverplichting volgt uit CIR (EU) 2025/848, vastgesteld op 6 mei 2025, en is bindend recht. Ze geldt voor elke organisatie die attributen wil accepteren en verifiëren die door wallethouders worden gedeeld. De onderstaande secties beschrijven wie in aanmerking komt, hoe registratie werkt, welke gegevens je kunt opvragen en wat er gebeurt als je het proces overslaat.
Wie kwalificeert als relying party onder eIDAS 2.0?
Een relying party onder eIDAS 2.0 is elke organisatie, publiek of privaat, die identiteitsattributen of attestaties opvraagt uit een EUDI-wallet en hierop vertrouwt om een dienst te verlenen. Als jouw organisatie een gebruiker vraagt om hun identiteit, leeftijd, kwalificaties of een ander persoonlijk attribuut te bewijzen via een EUDI-wallet, ben je een relying party.
Dit omvat een breed scala aan organisaties. Banken die de identiteit van klanten verifiëren tijdens onboarding, ziekenhuizen die patiëntgegevens controleren, overheidsportalen die toegang verlenen tot publieke diensten, verzekeraars die polishoudergegevens bevestigen en werkgevers die beroepskwalificaties verifiëren vallen allemaal in deze categorie. In de praktijk moet elke organisatie die actief is in een gereguleerde sector en identiteitsverificatie uitvoert, beoordelen of zij als relying party kwalificeert.
De definitie is bewust breed. eIDAS 2.0 beperkt de status van relying party niet tot grote ondernemingen of specifieke sectoren. Wat telt, is of jouw dienst geverifieerde gegevens opvraagt uit een wallet. Als dat zo is, geldt de registratieplicht op grond van CIR (EU) 2025/848 voor jou. Belangrijk onderscheid: een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Waarom moeten relying parties zich registreren onder eIDAS 2.0?
Relying parties moeten zich registreren omdat CIR (EU) 2025/848 dit vereist als voorwaarde voor het ontvangen van identiteitsgegevens uit EUDI-wallets. Registratie zorgt voor verantwoording en transparantie in het ecosysteem. Zonder een geverifieerd register van wie gegevens opvraagt, hebben gebruikers geen betrouwbare manier om te weten of een dienst die hun persoonlijke informatie opvraagt legitiem is.
De registratieverplichting dient meerdere doelen. Ze zorgt ervoor dat wallethouders kunnen vertrouwen op de partijen met wie ze gegevens delen. Ze geeft nationale toezichthoudende autoriteiten inzicht in wie actief is binnen het identiteitsecosysteem. Ze creëert ook een beschermingslaag tegen frauduleuze of ongeautoriseerde gegevensverzoeken.
Vanuit een complianceperspectief is de verplichting duidelijk. CIR (EU) 2025/848 is een uitvoeringshandeling onder Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0. eIDAS 2.0 wijzigt Verordening (EU) 910/2014 en vervangt die niet. Dit betekent dat het registratiekader geen voorstel of richtlijn is. Het is bindend recht dat organisaties moeten naleven voordat ze op een betekenisvolle manier kunnen communiceren met EUDI-wallets. Organisaties in de financiële dienstverlening en andere gereguleerde sectoren moeten dit behandelen als een harde compliancedeadline. Een relying party heeft voor walletacceptatie niet automatisch een gekwalificeerde verlener van vertrouwensdiensten (QTSP) nodig. Een QTSP komt onder andere in beeld bij gekwalificeerd tekenen en gekwalificeerde attestaties.
Hoe werkt het registratieproces voor relying parties?
Registratie als relying party onder eIDAS 2.0 vereist dat organisaties een registratie indienen bij een aangewezen nationale autoriteit in de lidstaat waar zij gevestigd zijn. De autoriteit verifieert de registratie en zodra deze is goedgekeurd, wordt de organisatie opgenomen in een nationaal register dat EUDI-wallet-oplossingen kunnen raadplegen om de legitimiteit van gegevensverzoeken te bevestigen. Dit nationale register van relying parties is iets anders dan de nationale trusted lists die worden gebruikt voor de verificatie van uitgevers van attestaties.
Het proces omvat globaal de volgende stappen:
- Identificeer de bevoegde autoriteit in jouw lidstaat die verantwoordelijk is voor het beheer van registraties van relying parties.
- Bereid jouw registratiegegevens voor, inclusief de identiteit van jouw organisatie, de soorten attributen die je wilt opvragen en de doeleinden waarvoor je deze zult gebruiken.
- Dien jouw registratie in via het nationale proces dat is vastgelegd door de uitvoering van CIR (EU) 2025/848 in jouw lidstaat.
- Ontvang bevestiging en zorg ervoor dat jouw registratiegegevens correct zijn opgenomen in het nationale register.
- Onderhoud jouw registratie door deze up-to-date te houden wanneer jouw gegevensverzoeken of gebruiksscenario’s veranderen.
Een belangrijke nuance is dat registratie geen eenmalige formaliteit is. Als jouw organisatie de soorten attributen wijzigt die zij opvraagt of haar gebruiksscenario’s uitbreidt, moet de registratie dienovereenkomstig worden bijgewerkt. Het ecosysteem is zo ontworpen dat wallet-apps automatisch kunnen verifiëren of een relying party is geregistreerd en of de opgevraagde gegevens overeenkomen met wat per intended use bij registratie is opgegeven. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Welke attributen kan een relying party opvragen uit de EUDI-wallet?
Relying parties mogen alleen attributen opvragen die direct noodzakelijk zijn voor de specifieke dienst die zij verlenen. eIDAS 2.0 handhaaft een strikt principe van gegevensminimalisatie. Je kunt niet meer gegevens opvragen dan jouw opgegeven doel vereist, en jouw registratie moet per intended use specificeren welke attributen je wilt gebruiken en waarom.
EUDI-wallets kunnen een breed scala aan geverifieerde attributen opslaan en delen, waaronder:
- Persoonsidentificatiegegevens (PID), zoals naam, geboortedatum en nationaliteit
- Elektronische Attestaties van Attributen (EAA), zoals beroepskwalificaties, diploma’s of arbeidsstatus
- Gekwalificeerde Elektronische Attestaties van Attributen (QEAA), die een hoger betrouwbaarheidsniveau bieden en worden afgegeven door gekwalificeerde verleners van vertrouwensdiensten
- Sectorspecifieke attestaties, zoals mobiele rijbewijzen, zorgverzekeringsgegevens of leeftijdsverificatie
De beperking is dat jouw registratie bepaalt wat je mag opvragen. Een bank die is geregistreerd om PID op te vragen voor KYC-doeleinden, kan niet zomaar beroepskwalificaties beginnen op te vragen zonder haar registratie bij te werken. Dit maakt het registratieproces een echte governance-oefening. Organisaties moeten goed nadenken over hun volledige scala aan gebruiksscenario’s voordat zij hun initiële registratie indienen. Houd er ook rekening mee dat goedkeuring van een gegevensverzoek in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Als relying party heb je een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Wat zijn de gevolgen van niet-naleving van de registratievereisten?
Organisaties die gegevens opvragen uit EUDI-wallets zonder de registratie als relying party te hebben voltooid, opereren buiten het wettelijke kader dat door eIDAS 2.0 is vastgesteld. In de praktijk zijn wallet-oplossingen verplicht om de registratiestatus te verifiëren voordat zij gegevens delen, zodat niet-geregistreerde partijen worden geblokkeerd van het ontvangen van wallet-attributen. Naast deze technische barrière zijn er ook juridische en reputatierisico’s.
Niet-naleving van de registratievereisten van CIR (EU) 2025/848 kan leiden tot handhavingsmaatregelen door nationale toezichthoudende autoriteiten. Afhankelijk van de lidstaat kan dit boetes, schorsing van het recht om wallet-gegevens op te vragen of andere regelgevende sancties omvatten. Voor organisaties in sectoren zoals gezondheidszorg of de overheid, waar identiteitsverificatie is gekoppeld aan gereguleerde processen, kan het onvermogen om wallet-gegevens te accepteren ook leiden tot verstoring van kernservices.
Er is ook een vertrouwensdimensie. De gehele waarde van het EUDI-wallet-ecosysteem hangt af van het vermogen van gebruikers om te vertrouwen op de partijen met wie zij gegevens delen. Een organisatie die buiten het registratiekader opereert, schaadt daarmee ook het gebruikersvertrouwen in digitale identiteit in bredere zin.
Hoe moeten organisaties zich nu voorbereiden op registratie als relying party?
Organisaties moeten nu beginnen met de voorbereiding op registratie als relying party. Uiterlijk op 24 december 2026 zijn lidstaten verplicht om gecertificeerde EUDI-wallets beschikbaar te stellen aan burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. De registratie-infrastructuur wordt nu opgezet en vroege voorbereiding geeft organisaties de tijd om hun gegevensbehoeften in kaart te brengen, interne processen af te stemmen en last-minute compliancedruk te vermijden. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten geldt bovendien een acceptatieplicht op grond van artikel 5f vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de acceptatieplicht uitgezonderd.
Praktische stappen die je nu kunt nemen, zijn onder meer:
- Breng jouw gebruiksscenario’s in kaart: Identificeer elke dienst of elk proces in jouw organisatie dat momenteel identiteitsverificatie gebruikt en baat zou kunnen hebben bij wallet-gebaseerde attributen.
- Definieer jouw attribuutbehoeften: Bepaal voor elk gebruiksscenario precies welke attributen je nodig hebt en documenteer het rechtmatige doel voor het opvragen ervan.
- Volg jouw nationale autoriteit: Houd de bevoegde autoriteit in jouw lidstaat in de gaten voor richtlijnen over het registratieproces en de tijdlijnen onder CIR (EU) 2025/848.
- Beoordeel jouw technische infrastructuur: Zorg ervoor dat jouw systemen kunnen communiceren met EUDI-wallet-protocollen en -interfaces zoals beschreven in het Architecture and Reference Framework (ARF).
- Betrek juridische en compliance-teams: Registratie raakt aan de AVG, sectorspecifieke regelgeving en eIDAS 2.0-verplichtingen. Functionele afstemming is essentieel.
Organisaties die zich al hebben verdiept in de beschikbare bronnen over eIDAS 2.0 en het EUDI-wallet-ecosysteem, zullen beter gepositioneerd zijn om snel te handelen wanneer nationale registratieprocessen opengaan. Wachten op volledige regelgevende duidelijkheid voordat interne voorbereiding begint, is een veelgemaakte fout. Het kader is stabiel genoeg om nu te beginnen met plannen.
Hoe ondersteunt de ID Connector van TrustTech relying parties onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende taken die direct relevant zijn voor relying parties in het registratieproces en de dagelijkse operatie:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata in bestaande onboarding- en authenticatieworkflows
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt via de gekwalificeerde verlener van vertrouwensdiensten
De ID Connector is relevant voor organisaties in financiële dienstverlening, overheid, gezondheidszorg en andere gereguleerde sectoren die tijdig compliant willen zijn met de verplichtingen die voortvloeien uit eIDAS 2.0 en CIR (EU) 2025/848. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw registratie als relying party en jouw bredere implementatie van vertrouwde digitale identiteit.