De EUDI-wallet is het praktische instrument waarmee Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, zijn kernbelofte waarmaakt: één veilige digitale identiteit die werkt in alle EU-lidstaten. Waar eIDAS 2.0 het juridische en technische kader bepaalt, is de EUDI-wallet de implementatie die deze regels in de praktijk brengt voor burgers, inwoners en bedrijven. De onderstaande secties beantwoorden de meest gestelde vragen van organisaties over hoe de twee zich tot elkaar verhouden en wat zij moeten doen om zich voor te bereiden.
Aan welke eisen van eIDAS 2.0 voldoet de EUDI-wallet direct?
De EUDI-wallet voldoet direct aan de eIDAS 2.0-vereiste dat elke EU-lidstaat uiterlijk op 24 december 2026 een gecertificeerde digitale identiteitsoplossing beschikbaar moet stellen aan alle burgers, inwoners en bedrijven. De wallet voldoet ook aan de eisen van de verordening voor grensoverschrijdende erkenning, hoge betrouwbaarheidsniveaus en ondersteuning van zowel publieke als private toepassingen binnen één geharmoniseerd kader.
Onder de oorspronkelijke eIDAS-verordening konden lidstaten hun nationale eID-stelsels aanmelden, maar daartoe waren zij niet verplicht. Dit leidde tot een versnipperd landschap waarbij sommige landen een sterke digitale identiteitsinfrastructuur hadden en andere nauwelijks. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 fundamenteel. De verordening verplicht elke lidstaat een wallet uit te geven die voldoet aan een gemeenschappelijke technische standaard, vastgelegd in het Architecture and Reference Framework (ARF). Dit zorgt ervoor dat een wallet die in het ene land is uitgegeven, in een ander land wordt erkend en geaccepteerd.
De wallet voldoet ook aan de vereisten van de verordening op het gebied van gekwalificeerde elektronische handtekeningen, elektronische attestaties van attributen en interoperabiliteit met trust services. In de praktijk betekent dit dat de EUDI-wallet een volwaardig vertrouwensinfrastructuurinstrument is dat geverifieerde attestaties kan bevatten, juridisch bindende handtekeningen mogelijk maakt en een breed scala aan digitale interacties ondersteunt.
Hoe slaat de EUDI-wallet identiteitsgegevens op en deelt deze?
De EUDI-wallet slaat identiteitsgegevens op als digitale attestaties die cryptografisch beveiligd zijn en gekoppeld zijn aan de identiteit van de gebruiker. Wanneer je informatie wil delen, selecteer je precies welke gegevens worden vrijgegeven, en die gegevens worden rechtstreeks naar de ontvangende partij verzonden in een geverifieerd en tamper-evident formaat.
Beschouw de wallet als een veilige digitale container. Daarin kun je een breed scala aan documenten en attestaties bewaren: een nationaal identiteitsbewijs, een rijbewijs, opleidingskwalificaties, professionele certificeringen, gezondheidsgegevens en meer. Elke attestatie wordt uitgegeven door een vertrouwde bron, zoals een overheidsinstantie of een erkende instelling, en is cryptografisch ondertekend om de authenticiteit aantoonbaar te maken.
Delen verloopt via selective disclosure. Wanneer je je leeftijd moet aantonen om toegang te krijgen tot een dienst, hoef je niet het volledige identiteitsdocument te delen. De wallet stelt je in staat alleen te bevestigen dat je ouder bent dan een bepaalde leeftijd, bijvoorbeeld via het attribuut “ouder dan 18”, zonder je geboortedatum, adres of enig ander persoonlijk gegeven prijs te geven. Dit is een aanzienlijke verbetering ten opzichte van fysieke documenten, die altijd meer informatie tonen dan strikt noodzakelijk is.
Technisch worden attestaties opgeslagen in de wallet unit: de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de privésleutels zich bevinden. Die sleutels kunnen het beveiligde middel niet verlaten. Wanneer je een nieuw toestel in gebruik neemt, worden attestaties opnieuw uitgegeven door de oorspronkelijke uitgever, niet simpelweg gekopieerd van het oude toestel.
Wat is het verschil tussen de EUDI-wallet en bestaande nationale eID-stelsels?
Het belangrijkste verschil is reikwijdte en verplichting. Bestaande nationale eID-stelsels variëren sterk tussen lidstaten en worden buiten hun eigen land niet altijd geaccepteerd. De EUDI-wallet is gestandaardiseerd binnen de EU, wettelijk verplicht door elke lidstaat te worden aangeboden, en moet worden geaccepteerd door publieke dienstverleners en, voor de relevante gereguleerde sectoren, door private dienstverleners in de hele EU.
Sommige landen beschikken al over volwassen nationale eID-systemen met hoge adoptiecijfers. Andere landen zijn nog bezig hun digitale identiteitsinfrastructuur te ontwikkelen. De huidige situatie betekent dat een organisatie die actief is in meerdere EU-landen mogelijk meerdere verschillende nationale eID-stelsels moet ondersteunen, elk met verschillende technische interfaces en betrouwbaarheidsniveaus.
De EUDI-wallet introduceert een gemeenschappelijke standaard. Zodra de wallet volledig is uitgerold, kunnen organisaties aansluiten op één enkel kader in plaats van meerdere integraties te beheren. De wallet breidt de functionaliteit ook uit voorbij traditionele eID-stelsels door elektronische attestaties van attributen te ondersteunen. Daarmee kan de wallet naast een basis-PID ook gekwalificeerde elektronische attestaties van attributen (QEAA), publieke attestaties (PuB-EAA) en non-qualified attestaties bevatten, zoals professionele kwalificaties, gezondheidsgegevens en andere geverifieerde informatie die nationale eID-stelsels doorgaans niet ondersteunen.
Welke sectoren zijn verplicht de EUDI-wallet te accepteren?
Onder eIDAS 2.0 zijn bepaalde categorieën gereguleerde private dienstverleners wettelijk verplicht de EUDI-wallet te accepteren, op basis van artikel 5f van de verordening. De acceptatieplicht voor deze private partijen gaat in op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. De verplichting geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie aanbieden waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Publieke instanties en publieke dienstverleners moeten genotificeerde wallets al vanaf 24 december 2026 accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is.
Micro- en kleine ondernemingen zijn uitgezonderd van de private acceptatieplicht. De uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen.
De sectoren waarvoor de acceptatieplicht geldt, weerspiegelen de gebieden waar veilige digitale identiteit de meest directe impact heeft. De verordening noemt onder andere banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Voor financiële dienstverlening ondersteunt de wallet identiteitsverificatie voor het openen van rekeningen en sterke cliëntauthenticatie. Voor de gezondheidszorg maakt het veilige toegang tot patiëntendossiers en grensoverschrijdende gezondheidsdiensten mogelijk. Voor overheidsdiensten vereenvoudigt het de toegang tot de openbare administratie in alle lidstaten.
De vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. De verdeling was als volgt:
- POTENTIAL: overheidsdiensten, bankrekening openen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten
- EWC: Digital Travel Credentials, betalingen en organisational digital identity
- DC4EU: onderwijs en sociale zekerheid
- NOBID: betalingen
Vanaf 2025 loopt een tweede pilotgolf, waaronder WE BUILD (business wallets en betalingen) en APTITUDE (reizen, ticketing, voertuigregistratie en betalingen). De bevindingen uit de eerste golf zijn verwerkt in de verdere uitwerking van het ARF en de uitvoeringshandelingen.
Organisaties in de financiële dienstverlening en gezondheidszorg in het bijzonder moeten de acceptatie van de wallet beschouwen als een wettelijke verplichting waarvoor zij nu al moeten plannen.
Hoe beschermt de EUDI-wallet de privacy van gebruikers onder eIDAS 2.0?
De EUDI-wallet beschermt de privacy van gebruikers door een combinatie van selective disclosure, goedkeuring van de gebruiker per verzoek en een ontwerpprincipe dat onnodig delen van gegevens voorkomt. Onder eIDAS 2.0 is de wallet specifiek vereist om te waarborgen dat gebruikers de controle houden over wat zij delen, met wie en hoe lang. Er worden geen gegevens gedeeld zonder expliciete actie van de gebruiker.
Walletgebruik is vrijwillig. Artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Verschillende privacy-by-design-principes zijn ingebouwd in de walletarchitectuur:
- Selective disclosure: je deelt alleen de specifieke attributen die nodig zijn voor een transactie, niet je volledige identiteitsdocument
- Geen centrale tracking: de walletarchitectuur is ontworpen om te voorkomen dat één enkele partij, inclusief de walletuitgever, alle interacties van een gebruiker kan volgen
- Goedkeuring per verzoek: elke gegevensdeling vereist actieve bevestiging van de gebruiker voor dat specifieke verzoek
- Minimale gegevensblootstelling: relying parties kunnen alleen de gegevens opvragen waarvoor zij geregistreerd zijn, niet alles wat beschikbaar is in de wallet
- Pseudonieme identifiers: in sommige toepassingen kan de wallet een pseudonieme identifier presenteren in plaats van een volledige identiteit, waardoor het risico op profilering wordt verminderd
Belangrijk onderscheid: de goedkeuring die je in de wallet geeft voor het delen van gegevens, is niet automatisch een toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting doorgaans de toepasselijke grondslag. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Het transactieoverzicht in de wallet is een functionaliteit voor de gebruiker, geen loggingvoorziening voor de relying party of walletprovider.
Wanneer je een paspoort of identiteitskaart overhandigt, leg je de volledige naam, geboortedatum, adres en andere gegevens bloot, ook als de dienst alleen de nationaliteit hoefde te bevestigen. De EUDI-wallet maakt het technisch en juridisch mogelijk te bewijzen wat bewezen moet worden, zonder meer te onthullen dan noodzakelijk.
Wanneer moeten organisaties klaar zijn voor de EUDI-wallet?
Lidstaten zijn wettelijk verplicht de EUDI-wallet uiterlijk op 24 december 2026 beschikbaar te stellen aan burgers en bedrijven. Publieke instanties en publieke dienstverleners moeten genotificeerde wallets vanaf diezelfde datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Gereguleerde private partijen in de relevante sectoren moeten de wallet accepteren uiterlijk op 24 december 2027 op grond van artikel 5f. Gezien het feit dat deze deadlines snel naderen, moet de voorbereiding al ver gevorderd zijn.
De tijdlijn is strakker dan veel organisaties beseffen. De eerste vijf kernuitvoeringshandelingen zijn eind 2024 aangenomen, waarmee de relevante 24-maandentermijn voor wallets is gestart. Op 6 mei 2025 is CIR (EU) 2025/848 in werking getreden over de registratie van wallet-relying parties. Een relying party moet zich op grond van deze uitvoeringshandeling registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Het Architecture and Reference Framework is van kracht, en uitvoeringshandelingen die gebieden bestrijken zoals protocollen, interfaces, certificering en beveiliging zijn aangenomen. De technische basis is grotendeels gelegd. Een tweede golf uitvoeringshandelingen loopt in 2025.
Voor organisaties is de praktische implicatie dat walletgereedheid een actuele compliance- en technologische uitdaging is. Organisaties die wachten op de volledige nationale uitrol voordat ze beginnen met hun integratiewerk, lopen het risico achterop te raken. Hoe eerder een organisatie de technische vereisten begrijpt en deze koppelt aan haar bestaande systemen, hoe soepeler de overgang zal verlopen.
Overheidsinstanties en publieke sector-organisaties worden geconfronteerd met vroege verplichtingen, aangezien overheidsdiensten tot de eerste categorieën behoren die verplicht zijn de wallet te accepteren, al vanaf 24 december 2026. Organisaties in de private sector, met name die in gereguleerde sectoren, moeten deze periode gebruiken om hun identiteitsverificatieprocessen te controleren, hun huidige infrastructuur te beoordelen en te bepalen waar walletintegratie nodig zal zijn vóór de deadline van 24 december 2027.
Hoe helpt TrustTech organisaties zich voor te bereiden op de EUDI-wallet
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt concreet:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata voor herbruikbare compliance-controles die herhaalde identiteitsverificatie bij interacties elimineren
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener (QTSP), waarbij de QES tot stand komt bij de QTSP
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk te maken hebben met de acceptatieverplichtingen onder eIDAS 2.0. Neem contact op met TrustTech om te bespreken hoe EUDI-wallet-gereedheid er voor jouw organisatie uitziet.