Vertrouwende partijen onder eIDAS 2.0 moeten zich registreren bij een nationale autoriteit in hun EU-lidstaat voordat zij identiteitsgegevens kunnen opvragen uit een Europese Digitale Identiteitsportemonnee. Deze registratieverplichting is nieuw en verplicht. Ze geldt voor elke organisatie die attributen wil accepteren en verifiëren die door portemonneehouders worden gedeeld. De onderstaande secties beschrijven wie in aanmerking komt, hoe registratie werkt, welke gegevens u kunt opvragen en wat er gebeurt als u het proces overslaat.

Wie kwalificeert als vertrouwende partij onder eIDAS 2.0?

Een vertrouwende partij onder eIDAS 2.0 is elke organisatie, publiek of privaat, die identiteitsattributen of attestaties opvraagt uit een Europese Digitale Identiteitsportemonnee en hierop vertrouwt om een dienst te verlenen. Als uw organisatie een gebruiker vraagt om hun identiteit, leeftijd, kwalificaties of een ander persoonlijk attribuut te bewijzen via een EUDI Wallet, bent u een vertrouwende partij.

Dit omvat een enorm scala aan organisaties. Banken die de identiteit van klanten verifiëren tijdens onboarding, ziekenhuizen die patiëntgegevens controleren, overheidsportalen die toegang verlenen tot publieke diensten, verzekeraars die polishoudergegevens bevestigen en werkgevers die beroepskwalificaties verifiëren vallen allemaal in deze categorie. In de praktijk moet elke organisatie die actief is in een gereguleerde sector en identiteitsverificatie uitvoert, ervan uitgaan dat zij als vertrouwende partij kwalificeert.

De definitie is bewust breed. eIDAS 2.0 beperkt de status van vertrouwende partij niet tot grote ondernemingen of specifieke sectoren. Wat telt, is of uw dienst geverifieerde gegevens opvraagt uit een portemonnee. Als dat zo is, geldt de registratieplicht voor u.

Waarom moeten vertrouwende partijen zich registreren onder eIDAS 2.0?

Vertrouwende partijen moeten zich registreren omdat eIDAS 2.0 dit vereist als voorwaarde voor het ontvangen van identiteitsgegevens uit EUDI Wallets. Registratie zorgt voor verantwoording en transparantie in het ecosysteem. Zonder een geverifieerd register van wie gegevens opvraagt, hebben gebruikers geen betrouwbare manier om te weten of een dienst die hun persoonlijke informatie opvraagt legitiem is.

De registratieverplichting dient meerdere belangrijke doelen. Ze zorgt ervoor dat portemonneehouders kunnen vertrouwen op de partijen met wie ze gegevens delen. Ze geeft nationale toezichthoudende autoriteiten inzicht in wie actief is binnen het identiteitsecosysteem. Ze creëert ook een beschermingslaag tegen frauduleuze of ongeautoriseerde gegevensverzoeken.

Vanuit een complianceperspectief is de verplichting duidelijk. De Uitvoeringsverordening van de Commissie betreffende de registratie van Wallet Relying Parties is een van de vastgestelde uitvoeringshandelingen onder eIDAS 2.0. Dit betekent dat het registratiekader geen voorstel of richtlijn is. Het is bindend recht dat organisaties moeten volgen voordat ze op een betekenisvolle manier kunnen communiceren met EUDI Wallets. Organisaties in de financiële dienstverlening en andere gereguleerde sectoren moeten dit behandelen als een harde compliancedeadline, niet als een toekomstige overweging.

Hoe werkt het registratieproces voor vertrouwende partijen?

Registratie als vertrouwende partij onder eIDAS 2.0 vereist dat organisaties een registratie indienen bij een aangewezen nationale autoriteit in de lidstaat waar zij gevestigd zijn. De autoriteit verifieert de registratie en zodra deze is goedgekeurd, wordt de organisatie opgenomen in een nationaal register dat EUDI Wallet-oplossingen kunnen raadplegen om de legitimiteit van gegevensverzoeken te bevestigen.

Het proces omvat globaal de volgende stappen:

1. Identificeer de bevoegde autoriteit in uw lidstaat die verantwoordelijk is voor het beheer van registraties van vertrouwende partijen.
2. Bereid uw registratiegegevens voor, inclusief de identiteit van uw organisatie, de soorten attributen die u wilt opvragen en de doeleinden waarvoor u deze zult gebruiken.
3. Dien uw registratie in via het nationale proces dat is vastgelegd door de implementatie van de uitvoeringsverordening in uw lidstaat.
4. Ontvang bevestiging en zorg ervoor dat uw registratiegegevens correct zijn opgenomen in het nationale register.
5. Onderhoud uw registratie door deze up-to-date te houden wanneer uw gegevensverzoeken of gebruiksscenario’s veranderen.

Een belangrijke nuance is dat registratie geen eenmalige formaliteit is. Als uw organisatie de soorten attributen wijzigt die zij opvraagt of haar gebruiksscenario’s uitbreidt, moet de registratie dienovereenkomstig worden bijgewerkt. Het ecosysteem is zo ontworpen dat wallet-apps automatisch kunnen verifiëren of een vertrouwende partij is geregistreerd en of de opgevraagde gegevens overeenkomen met wat bij registratie is opgegeven. Elke afwijking kan ertoe leiden dat de wallet weigert gegevens te delen met uw dienst.

Welke attributen kan een vertrouwende partij opvragen uit de EUDI Wallet?

Vertrouwende partijen mogen alleen attributen opvragen die direct noodzakelijk zijn voor de specifieke dienst die zij verlenen. eIDAS 2.0 handhaaft een strikt principe van gegevensminimalisatie. U kunt niet meer gegevens opvragen dan uw opgegeven doel vereist, en uw registratie moet specificeren welke attributen u wilt gebruiken en waarom.

EUDI Wallets kunnen een breed scala aan geverifieerde attributen opslaan en delen, waaronder:

• Persoonsidentificatiegegevens (PID), zoals naam, geboortedatum en nationaliteit
• Elektronische Attestaties van Attributen (EAA), zoals beroepskwalificaties, diploma’s of arbeidsstatus
• Gekwalificeerde Elektronische Attestaties van Attributen (QEAA), die een hoger betrouwbaarheidsniveau bieden en worden afgegeven door gekwalificeerde verleners van vertrouwensdiensten
• Sectorspecifieke credentials, zoals mobiele rijbewijzen, zorgverzekeringsgegevens of leeftijdsverificatie

De belangrijkste beperking is dat uw registratie bepaalt wat u mag opvragen. Een bank die is geregistreerd om PID op te vragen voor KYC-doeleinden, kan niet zomaar beroepskwalificaties beginnen op te vragen zonder haar registratie bij te werken. Dit maakt het registratieproces een echte governance-oefening, niet slechts een administratief afvinkpunt. Organisaties moeten goed nadenken over hun volledige scala aan gebruiksscenario’s voordat zij hun initiële registratie indienen.

Wat zijn de gevolgen van niet-naleving van de registratievereisten?

Organisaties die gegevens opvragen uit EUDI Wallets zonder de registratie als vertrouwende partij te hebben voltooid, opereren buiten het wettelijke kader dat door eIDAS 2.0 is vastgesteld. In de praktijk zijn wallet-oplossingen verplicht om de registratiestatus te verifiëren voordat zij gegevens delen, zodat niet-geregistreerde partijen simpelweg worden geblokkeerd van het ontvangen van wallet-attributen. Naast de technische barrière zijn er ook reële juridische en reputatierisico’s.

Niet-naleving van de registratievereisten van eIDAS 2.0 kan leiden tot handhavingsmaatregelen door nationale toezichthoudende autoriteiten. Afhankelijk van de lidstaat kan dit boetes, schorsing van het recht om wallet-gegevens op te vragen of andere regelgevende sancties omvatten. Voor organisaties in sectoren zoals gezondheidszorg of de overheid, waar identiteitsverificatie is gekoppeld aan gereguleerde processen, kan het onvermogen om wallet-gegevens te accepteren ook leiden tot verstoring van kernservices.

Er is ook een vertrouwensdimensie. De gehele waarde van het EUDI Wallet-ecosysteem hangt af van het vermogen van gebruikers om te vertrouwen op de partijen met wie zij gegevens delen. Een organisatie die probeert te opereren buiten het registratiekader schaadt niet alleen haar eigen compliancepositie, maar ook het gebruikersvertrouwen in digitale identiteit in bredere zin.

Hoe moeten organisaties zich nu voorbereiden op registratie als vertrouwende partij?

Organisaties moeten onmiddellijk beginnen met de voorbereiding op registratie als vertrouwende partij. In 2026 zijn lidstaten verplicht om EUDI Wallets beschikbaar te stellen aan burgers en bedrijven. De registratie-infrastructuur wordt nu opgezet en vroege voorbereiding geeft organisaties de tijd om hun gegevensbehoeften in kaart te brengen, interne processen af te stemmen en last-minute compliancedruk te vermijden.

Praktische stappen die u nu kunt nemen, zijn onder meer:

• Breng uw gebruiksscenario’s in kaart: Identificeer elke dienst of elk proces in uw organisatie dat momenteel identiteitsverificatie gebruikt en baat zou kunnen hebben bij wallet-gebaseerde attributen.
• Definieer uw attribuutbehoeften: Bepaal voor elk gebruiksscenario precies welke attributen u nodig heeft en documenteer het rechtmatige doel voor het opvragen ervan.
• Volg uw nationale autoriteit: Houd de bevoegde autoriteit in uw lidstaat in de gaten voor richtlijnen over het registratieproces en de tijdlijnen.
• Beoordeel uw technische infrastructuur: Zorg ervoor dat uw systemen kunnen communiceren met EUDI Wallet-protocollen en -interfaces zoals gedefinieerd in het Architecture and Reference Framework (ARF).
• Betrek juridische en compliance-teams: Registratie raakt aan de AVG, sectorspecifieke regelgeving en eIDAS 2.0-verplichtingen. Functionele afstemming is essentieel.

Organisaties die zich al hebben verdiept in de beschikbare bronnen over eIDAS 2.0 en het EUDI Wallet-ecosysteem, zullen beter gepositioneerd zijn om snel te handelen wanneer nationale registratieprocessen opengaan. Wachten op volledige regelgevende duidelijkheid voordat interne voorbereiding begint, is een veelgemaakte fout. Het kader is stabiel genoeg om nu te beginnen met plannen.

Hoe helpt TrustTech bij registratie als vertrouwende partij onder eIDAS 2.0

Navigeren door de registratie als vertrouwende partij onder eIDAS 2.0 is een meerlaagse uitdaging die tegelijkertijd compliance, technologie en organisatorische gereedheid raakt. TrustTech is specifiek gebouwd om organisaties door deze transitie te ondersteunen.

Door samen te werken met TrustTech kunnen organisaties:

• Hun identiteitsgebruiksscenario’s in kaart brengen naar de juiste attribuuttypen en registratievereisten onder eIDAS 2.0
• Hun technische infrastructuur afstemmen op EUDI Wallet-protocollen en de uitvoeringsverordeningen inzake interfaces en protocollen
• Een compliant, wallet-klaar onboardingproces opbouwen dat vanaf dag één voldoet aan de eIDAS 2.0-vereisten
• Herbruikbare identiteit en gekwalificeerde handtekeningen integreren in bestaande workflows in de financiële sector, overheid, gezondheidszorg en andere gereguleerde sectoren
• Regelgevende veranderingen voor blijven met voortdurende expertise in de evoluerende uitvoeringshandelingen van eIDAS 2.0 en nationale implementaties

TrustTech combineert diepgaande regelgevingskennis met praktische implementatie-ervaring, zodat organisaties dit niet alleen hoeven uit te zoeken. Of u nu aan het begin staat van uw eIDAS 2.0-traject of klaar bent om over te gaan tot implementatie, de juiste ondersteuning maakt het verschil tussen een soepele overgang en een compliance-lacune. Neem contact op met TrustTech om te ontdekken hoe uw organisatie zich kan voorbereiden op registratie als vertrouwende partij en de bredere verschuiving naar vertrouwde digitale identiteit in Europa.