eIDAS 2.0 ondersteunt de EU Digitale Eenheidsmarkt door een uniform, interoperabel digitale-identiteitsraamwerk te creëren dat werkt in alle lidstaten. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, elimineert de gefragmenteerde aanpak van zijn voorganger en geeft burgers, inwoners en bedrijven één vertrouwde manier om zichzelf online te identificeren, of ze nu toegang hebben tot publieke diensten in eigen land of transacties uitvoeren in een andere EU-lidstaat.
Voor bedrijven die grensoverschrijdend opereren, is dit ingrijpend. De verordening pakt direct de identiteitsgerelateerde belemmeringen aan die de Digitale Eenheidsmarkt al lang hebben verhinderd haar volledige potentieel te bereiken. De onderstaande secties lichten toe welke specifieke barrières worden weggenomen, hoe de EUDI-wallet in de praktijk werkt, welke sectoren het meest profiteren en wat naleving concreet betekent voor jouw organisatie.
Welke specifieke barrières voor de Digitale Eenheidsmarkt pakt eIDAS 2.0 aan?
eIDAS 2.0 pakt drie kernbarrières aan die de Digitale Eenheidsmarkt hebben tegengehouden: de ongelijke adoptie van elektronische identiteit in de lidstaten, de uitsluiting van de private sector van grensoverschrijdende identiteitserkenning, en het gebrek aan gebruikerscontrole over persoonsgegevens. Samen hebben deze lacunes het voor individuen en bedrijven moeilijk gemaakt om digitaal over EU-grenzen heen te communiceren met enige consistentie of vertrouwen.
Onder de oorspronkelijke eIDAS-verordening waren lidstaten verplicht erkende nationale eID-stelsels van andere landen te erkennen, maar zij waren niet verplicht zelf een stelsel te creëren of aan te melden. Dit leidde tot aanzienlijke verschillen binnen de EU. Sommige landen hadden goed ontwikkelde nationale eID-systemen; andere nauwelijks. Het resultaat was een lappendeken van digitale-identiteitsinfrastructuur die naadloze grensoverschrijdende digitale diensten voor veel organisaties praktisch onmogelijk maakte.
eIDAS 2.0 sluit deze lacunes op verschillende belangrijke manieren:
- Universele beschikbaarheid: Elke lidstaat moet uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet aanbieden aan alle burgers, inwoners en bedrijven, waardoor toegang tot digitale identiteit consistent wordt in de hele EU.
- Inclusie van de private sector: De verordening breidt erkenningsverplichtingen uit naar bepaalde gereguleerde private dienstverleners, zoals banken, zorginstellingen, telecombedrijven en zeer grote onlineplatforms, waardoor vertrouwde identiteitsverificatie wordt opengesteld voor onder meer bankieren, gezondheidszorg en e-commerce.
- Gegevensminimalisatie by design: Gebruikers kunnen via selective disclosure alleen de specifieke attributen delen die nodig zijn voor een transactie, zoals leeftijd of nationaliteit, zonder onnodige persoonsgegevens prijs te geven.
- Interoperabiliteit over grenzen heen: Één wallet werkt voor zowel binnenlandse als grensoverschrijdende interacties, waardoor de behoefte aan landspecifieke identiteitsoplossingen wegvalt.
Deze veranderingen transformeren digitale identiteit van een nationale aangelegenheid naar een gedeelde Europese infrastructuur. Dat is wat de Digitale Eenheidsmarkt nodig heeft om effectief te functioneren.
Hoe maakt de EUDI-wallet grensoverschrijdende digitale transacties mogelijk?
De EUDI-wallet maakt grensoverschrijdende digitale transacties mogelijk door gebruikers één gestandaardiseerde digitale identiteit te geven die wordt erkend en geaccepteerd in alle EU-lidstaten. In plaats van verschillende credentials te beheren voor verschillende landen of diensten, beschikken gebruikers over één beveiligde wallet unit met hun geverifieerde identiteitsattributen, documenten en attestaties, die allemaal kunnen worden gedeeld met elke compatibele relying party in de EU.
In de praktijk functioneert de wallet unit als een beveiligde container waarin privésleutels zijn opgeslagen in een gecertificeerd beveiligd middel. Een gebruiker kan zijn nationale identiteitskaart, rijbewijs, beroepskwalificaties, zorgverzekeringspas of onderwijscertificaten als attestaties opslaan. Wanneer toegang tot een dienst nodig is, of het nu gaat om het openen van een bankrekening in een ander land, het registreren van een simkaart of het ophalen van een recept in het buitenland, kunnen alleen de relevante attributen worden gedeeld via selective disclosure in één enkele interactie.
De vier Large Scale Pilots die in april 2023 zijn gestart en in 2025 zijn afgerond, hebben precies deze scenario’s getest. De consortia POTENTIAL, EWC, NOBID en DC4EU onderzochten samen meerdere praktijkgerichte gebruiksscenario’s: POTENTIAL richtte zich op overheidsdiensten, het openen van een bankrekening, SIM-registratie, een mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten; EWC op Digital Travel Credentials, betalingen en organisational digital identity; NOBID op betalingen; en DC4EU op onderwijs en sociale zekerheid. De inzichten uit deze pilots zijn verwerkt in de definitieve technische specificaties voor de wallet. In 2025 is een tweede pilotgolf gestart, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
Voor bedrijven betekent dit dat grensoverschrijdende digitale diensten niet langer vereisen dat er voor elk land afzonderlijke identiteitsverificatiestromen worden gebouwd. Één integratie met de EUDI-wallet-infrastructuur volstaat om klanten in de gehele EU te bedienen, waardoor zowel de technische complexiteit als de nalevingslast aanzienlijk wordt verminderd.
Welke sectoren profiteren het meest van eIDAS 2.0 op de Digitale Eenheidsmarkt?
De sectoren die het meest profiteren van eIDAS 2.0 zijn die waarbij identiteitsverificatie frequent, hoogwaardig of grensoverschrijdend van aard is. Financiële diensten, overheid, gezondheidszorg en farmacie hebben het meest te winnen, maar de voordelen strekken zich uit tot elke sector die momenteel afhankelijk is van herhaalde handmatige identiteitscontroles of moeite heeft met grensoverschrijdende onboarding.
Financiële diensten en bankieren
Banken en financiële instellingen ondervinden aanzienlijke wrijving bij het onboarden van klanten, met name voor grensoverschrijdende cliënten. eIDAS 2.0 maakt herbruikbare, cryptografisch ondertekende attestaties mogelijk, wat betekent dat een klant die al is geverifieerd via zijn nationale wallet het proces niet hoeft te herhalen bij het openen van een rekening bij een nieuwe aanbieder. Dit versnelt de onboarding en verlaagt de KYC-kosten, waarbij het hergebruik van KYC-data ook wordt bepaald door de toepasselijke AML-regelgeving en sectorale regels. Organisaties in de financiële dienstverlening kunnen wallet-gebaseerde identiteit ook inzetten voor sterke klantauthenticatie onder PSD2, wat zorgt voor een naadloze en veilige ervaring. Banken met meer dan 45 miljoen gebruikers in de EU vallen bovendien onder de acceptatieplicht van artikel 5f vanaf 24 december 2027. Micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van deze verplichting uitgezonderd.
Overheid en publieke diensten
Overheidsinstanties staan centraal in het eIDAS 2.0-raamwerk. Ze zijn zowel uitgevers van wallets als dienstverleners, en de verordening verplicht hen genotificeerde EUDI-wallets te accepteren voor toegang tot digitale overheidsdiensten waarvoor elektronische identificatie vereist is, vanaf 24 december 2026. Voor overheidsorganisaties biedt dit een kans om burgerdiensten te moderniseren en de administratieve last te verminderen, terwijl de beveiliging en controleerbaarheid worden verbeterd.
Gezondheidszorg en farmacie
Gezondheidszorg is een van de prioritaire gebruiksscenario’s die zijn getest in de Large Scale Pilots, met name binnen het POTENTIAL-consortium dat e-recepten heeft onderzocht. De wallet stelt patiënten in staat geverifieerde gezondheidsattestaties te delen, recepten grensoverschrijdend op te halen en hun Europese Ziekteverzekeringskaart digitaal te raadplegen. Voor zorgaanbieders en farmaceutische bedrijven vereenvoudigt dit grensoverschrijdende zorg en vermindert het het risico op fraude of fouten bij patiëntidentificatie. Verwerking van gezondheidsgegevens vereist naast een AVG-grondslag onder artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG.
Wat is het verschil tussen eIDAS 1.0 en eIDAS 2.0 voor bedrijven?
Het belangrijkste verschil tussen eIDAS 1.0 en eIDAS 2.0 voor bedrijven is reikwijdte en verplichting. eIDAS 1.0 richtte zich voornamelijk op identiteitserkenning in de publieke sector en elektronische vertrouwensdiensten. eIDAS 2.0 breidt deze vereisten uit naar bepaalde gereguleerde private sectoren, introduceert de EUDI-wallet als verplichte infrastructuur en schept nieuwe verplichtingen voor specifieke categorieën bedrijven die digitale diensten aanbieden aan EU-gebruikers.
Onder eIDAS 1.0 vielen private bedrijven grotendeels buiten het erkenningskader. Een bedrijf kon ervoor kiezen erkende eID’s te accepteren, maar daartoe was geen verplichting. Het systeem werkte redelijk goed voor overheid-naar-burger-interacties, maar liet de private sector achter zonder een consistente, vertrouwde identiteitslaag.
eIDAS 2.0 verandert dit op verschillende betekenisvolle manieren voor bedrijven:
- Verplichte acceptatie voor specifieke gereguleerde sectoren: Bepaalde categorieën van private dienstverleners, waaronder banken, zorgaanbieders, telecombedrijven en zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU, zijn op grond van artikel 5f verplicht de EUDI-wallet te accepteren als geldige identificatiemethode. Voor gereguleerde private partijen geldt deze acceptatieplicht vanaf 24 december 2027, wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd.
- Nieuwe categorieën vertrouwensdiensten: eIDAS 2.0 introduceert aanvullende gekwalificeerde vertrouwensdiensten, waaronder elektronische attesten van attributen en elektronische archivering, die bedrijven kunnen gebruiken om robuustere digitale workflows te bouwen.
- Herbruikbare attestaties in de private sector: Bedrijven kunnen vertrouwen op via de wallet geverifieerde attestaties in plaats van zelf identiteitscontroles van nul af aan uit te voeren, waardoor duplicatie en kosten worden verminderd.
- Sterkere gebruikersgoedkeuring en gegevensbeheer: De verordening legt gegevensminimalisatie en gebruikersgoedkeuring op infrastructuurniveau op. Goedkeuring in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Bedrijven hebben een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen persoonsgegevens.
eIDAS 1.0 legde de fundamenten. eIDAS 2.0 bouwt de infrastructuur waarbinnen bedrijven nu moeten opereren.
Wanneer moeten bedrijven voldoen aan de eIDAS 2.0-vereisten?
Bedrijven moeten nu beginnen met de voorbereiding op naleving van eIDAS 2.0. De verordening trad op 20 mei 2024 in werking. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, met technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets. In 2025 volgde een tweede golf uitvoeringshandelingen, onder meer over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, die de registratie van wallet-relying parties bij de bevoegde nationale autoriteit regelt.
Er zijn twee belangrijke wettelijke mijlpalen. Uiterlijk op 24 december 2026 moet elke lidstaat minimaal één gecertificeerde EUDI-wallet beschikbaar hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, zoals banken, zorgaanbieders, telecombedrijven, energiebedrijven, transportaanbieders en zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU, geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027. Voor gereguleerde private partijen geldt deze verplichting wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is; voor zeer grote onlineplatforms geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De deadline van 24 december 2026 is het moment waarop wallets beschikbaar komen en waarop gereguleerde private partijen al kunnen beginnen met testen en integreren, ruim vóór hun eigen acceptatiedeadline op 24 december 2027. Micro- en kleine ondernemingen zijn van de private acceptatieplicht uitgezonderd.
Elke relying party die walletdata wil opvragen, moet zich voorafgaand registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Voor de meeste bedrijven is naleving geen enkele deadline, maar een doorlopend proces. De praktische stappen hangen af van jouw sector, jouw huidige identiteitsinfrastructuur en de manier waarop jouw klanten met je omgaan. Organisaties die wachten op volledige regelgevende duidelijkheid voordat ze handelen, lopen het risico achter te raken op zowel technische gereedheid als concurrentiepositie.
De gebieden waar voorbereiding het meest urgent is, zijn onder meer het beoordelen van jouw huidige identiteitsverificatie- en onboardingstromen, het begrijpen welke gekwalificeerde vertrouwensdiensten van toepassing zijn op jouw bedrijf, het beoordelen van jouw verplichtingen onder gerelateerde regelgeving zoals AML en KYC, en het starten van integratieplannen voor EUDI-wallet-compatibiliteit. Verken de beschikbare resources voor een duidelijker beeld van waar je moet beginnen.
Hoe ondersteunt de ID Connector organisaties bij eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken:
- Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists, zodat alleen attestaties van erkende uitgevers worden geaccepteerd.
- Controle van intrekkingsstatus: Per gepresenteerde attestatie wordt de actuele intrekkingsstatus gecontroleerd via de statusinformatie van de uitgever.
- Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet instance draait op een gecertificeerde wallet solution, conform de vereisten van de verordening.
- Bewaking van de geregistreerde attributenscope: Verzoeken worden getoetst aan de bij de bevoegde nationale autoriteit geregistreerde scope, zodat alleen attributen worden opgevraagd die zijn vastgelegd in de registratie onder CIR (EU) 2025/848.
- Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde attributen kunnen worden hergebruikt binnen onboarding-, authenticatie- en ondertekeningsworkflows, zonder dat de eindgebruiker het proces opnieuw doorloopt.
- Gekwalificeerd tekenen via een aangesloten QTSP: Voor workflows waarbij een gekwalificeerde elektronische handtekening vereist is, koppelt de ID Connector aan een qualified trust service provider. De QES wordt door de QTSP uitgegeven, niet door TrustTech zelf.
Voor organisaties in de financiële dienstverlening ondersteunt de ID Connector wallet-gebaseerde sterke klantauthenticatie en herbruikbare KYC-attestaties. Voor overheidsorganisaties maakt de ID Connector het mogelijk genotificeerde wallets te accepteren voor digitale publieke diensten vanaf 24 december 2026. Voor zorgaanbieders en farmaceutische bedrijven ondersteunt de ID Connector de verwerking van gezondheidsattestaties, waarbij de verantwoordelijkheid voor de AVG-grondslag onder artikel 9, lid 2, bij de relying party ligt.
Neem contact op met TrustTech om te bespreken welke integratiestappen voor jouw organisatie als eerste aan de orde zijn.