eIDAS 2.0, de informele naam voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, ondersteunt gedecentraliseerde identiteitsarchitecturen door de controle over identiteitsgegevens te verschuiven van centrale tussenpersonen naar individuen zelf. In plaats van te vertrouwen op één enkele autoriteit voor het verifiëren en delen van identiteitsinformatie, introduceert de verordening de Europese Digitale Identiteitswallet (EUDI-wallet), waarmee gebruikers hun eigen geverifieerde attestaties kunnen bewaren, beheren en selectief delen. De onderstaande secties leggen technisch uit hoe dit werkt, op welke standaarden het steunt en wat organisaties moeten doen om zich voor te bereiden.
Wat maakt eIDAS 2.0 architecturaal anders dan eIDAS 1.0?
Het fundamentele verschil is dat eIDAS 1.0 was gebouwd rond gecentraliseerde nationale identiteitsschema’s, terwijl eIDAS 2.0 een door de gebruiker beheerd walletmodel introduceert dat identiteitsgegevens distribueert naar de randen van het netwerk. Onder het oorspronkelijke kader konden lidstaten hun nationale eID-systemen aanmelden voor grensoverschrijdende erkenning, maar daartoe bestond geen verplichting en de private sector was grotendeels uitgesloten. Dit creëerde een gefragmenteerd landschap waarbij erkenning sterk verschilde tussen landen.
eIDAS 2.0 pakt dit rechtstreeks aan. Elke lidstaat is nu wettelijk verplicht om burgers, inwoners en bedrijven een EUDI-wallet aan te bieden. In plaats van identiteitsverificatie via een centrale tussenpersoon of een overheidsportaal te laten verlopen, staat de wallet instance op het apparaat van de gebruiker en fungeert als een persoonlijke identiteitshub. Geverifieerde attributen, zoals een rijbewijs of beroepskwalificatie, worden opgeslagen als attestaties die gebruikers rechtstreeks aan relying parties kunnen presenteren.
Deze architecturale verschuiving heeft reële gevolgen voor organisaties. Voorheen moest een dienstverlener in één land mogelijk integreren met meerdere nationale identiteitssystemen om gebruikers in de hele EU te bedienen. Onder eIDAS 2.0 volstaat één enkel integratiepunt met het wallet-ecosysteem. Het resultaat is een meer interoperabele, schaalbare en privacyvriendelijke infrastructuur voor de gehele Europese Unie. De deadline van 24 december 2026 voor uitgifte en notificatie betekent niet automatisch dat volledige functionele interoperabiliteit in de hele EU op dat moment al bestaat.
Hoe maakt de EUDI-wallet gedecentraliseerde identiteit mogelijk?
De EUDI-wallet maakt gedecentraliseerde identiteit mogelijk door te fungeren als een persoonlijke gegevensopslag die onder controle van de gebruiker staat, in plaats van op een server die wordt beheerd door een overheid of platform. Wanneer een gebruiker zijn leeftijd, nationaliteit of beroepsstatus wil bewijzen, presenteert hij een cryptografisch geverifieerde attestatie rechtstreeks vanuit zijn wallet aan de verzoekende partij, zonder dat een centrale autoriteit de transactie in realtime hoeft te bemiddelen.
Dit model wordt soms omschreven als een “eenmalig verifiëren, overal presenteren”-aanpak. Een overheidsinstantie of vertrouwde instelling geeft een attestatie af aan de wallet. Vanaf dat moment kan de gebruiker die attestatie delen met elke dienst die deze accepteert, over grenzen en sectoren heen, zonder telkens terug te hoeven gaan naar de oorspronkelijke uitgever.
De wallet geeft gebruikers ook gedetailleerde controle over wat ze delen. In plaats van een volledig identiteitsdocument te overhandigen, kan een gebruiker alleen het specifieke attribuut onthullen dat een dienst nodig heeft. Bewijzen dat je ouder bent dan 18 vereist niet dat je je exacte geboortedatum onthult. Dit principe van selective disclosure staat centraal in het gedecentraliseerde identiteitsmodel en is een kernvereiste van de EUDI-wallet.
De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en testten deze mogelijkheden in sectoren zoals financiële dienstverlening, gezondheidszorg, onderwijs en transport. Bij deze pilots waren meer dan 350 entiteiten uit 26 lidstaten betrokken. Ze verzamelden praktijkfeedback over bruikbaarheid, beveiliging en interoperabiliteit om de wallet te verfijnen vóór volledige uitrol. Een tweede pilotgolf startte in 2025, met onder andere de consortia WE BUILD en APTITUDE.
Wat zijn attestaties en hoe passen ze in eIDAS 2.0?
Attestaties zijn digitaal ondertekende verklaringen die zijn uitgegeven door een vertrouwde autoriteit en die cryptografisch kunnen worden geverifieerd door een relying party. Ze zijn de bouwstenen van het EUDI-wallet-ecosysteem en het mechanisme waarmee eIDAS 2.0 gedecentraliseerde identiteit in de praktijk laat werken. Binnen het kader maakt eIDAS 2.0 onderscheid tussen gekwalificeerde attestaties (QEAA), uitgegeven door een Qualified Trust Service Provider, publiekrechtelijke attestaties (PuB-EAA), en niet-gekwalificeerde attestaties (non-qualified EAA). Elk type kent eigen vereisten en rechtsgevolgen. PuB-EAA valt daarbij in een eigen categorie en staat los van non-qualified EAA.
Beschouw een attestatie als het digitale equivalent van een gestempeld certificaat, met als verschil dat het stempel tamper-evident is en verificatie onmiddellijk plaatsvindt. Een werkgever, universiteit, overheidsinstantie of gekwalificeerde verlener van trust services geeft een attestatie af die wordt opgeslagen in de wallet van de gebruiker. Wanneer die gebruiker de attestatie presenteert aan een bank, zorgverlener of onlineplatform, kan de relying party de authenticiteit en integriteit ervan verifiëren.
Verificatie is daarbij meer dan alleen het controleren van een cryptografische handtekening. Een volledige verificatie omvat drie afzonderlijke stappen: controle van de handtekening van de uitgever aan de hand van de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste stap kan volledig offline plaatsvinden.
Binnen het eIDAS 2.0-kader kunnen attestaties een breed scala aan identiteitsattributen en documenten vertegenwoordigen:
- Nationale identiteitsdocumenten en paspoorten
- Academische kwalificaties en diploma’s
- Beroepslicenties en certificeringen
- Arbeidsgegevens en KYC-data
- Zorgattestaties en recepten
- Betalingsattestaties en financiële nalevingsgegevens
Voor organisaties in gereguleerde sectoren zoals financiën, gezondheidszorg en overheid openen attestaties de mogelijkheid om vertrouwde identiteitsgegevens herbruikbaar te maken in verschillende processen. Een klant die al een identiteitsverificatie heeft voltooid bij zijn bank, zou diezelfde geverifieerde attestatie kunnen presenteren bij het onboarden bij een verzekeraar of een zorgverlener, waardoor overbodige controles worden geëlimineerd en de drempel aan beide kanten wordt verlaagd. Hergebruik van KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels. eIDAS 2.0 regelt dit niet zelfstandig.
Hoe regelt eIDAS 2.0 vertrouwen zonder een centrale identiteitstussenpersoon?
eIDAS 2.0 vervangt het centrale tussenpersoonmodel door een vertrouwenskader dat is gebaseerd op cryptografisch bewijs en een netwerk van erkende uitgevers en verificateurs. Vertrouwen wordt niet gevestigd door identiteitsgegevens via één enkele autoriteit te leiden, maar door te garanderen dat elke attestatie in het ecosysteem is uitgegeven door een partij wiens identiteit en bevoegdheid onafhankelijk kunnen worden geverifieerd.
Het Architecture and Reference Framework (ARF), ontwikkeld door de European Digital Identity Cooperation Group, definieert de technische uitwerking die dit mogelijk maakt. De juridisch bindende vereisten volgen uit de verordening zelf en de bijbehorende uitvoeringshandelingen. Het ARF specificeert hoe wallet solutions moeten worden gecertificeerd, hoe attestaties moeten worden gestructureerd en ondertekend, en hoe relying parties kunnen verifiëren dat een attestatie authentiek is en niet is gemanipuleerd.
De kern van dit model is het gebruik van nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL). Vertrouwde uitgevers, zoals overheidsinstanties, banken, universiteiten en gekwalificeerde verleners van trust services, zijn opgenomen in deze lijsten, die relying parties kunnen raadplegen om te bevestigen dat een bron van een attestatie legitiem is. Dit betekent dat een ziekenhuis in Spanje een beroepskwalificatieattestatie die is uitgegeven door een Nederlandse autoriteit kan vertrouwen, omdat beide opereren binnen hetzelfde beheerde kader. Erkenning van beroepskwalificaties volgt juridisch uit Richtlijn 2005/36/EG. De wallet kan de gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
Deze aanpak distribueert vertrouwen over het hele ecosysteem in plaats van het op één plek te concentreren. Het is veerkrachtiger, schaalbaarder en meer privacybeschermend dan architecturen waarbij elke identiteitstransactie via een centraal knooppunt moet verlopen.
Op welke standaarden en protocollen steunt eIDAS 2.0?
eIDAS 2.0 steunt op een combinatie van open standaarden voor attestatieformaten, cryptografisch ondertekenen en communicatieprotocollen voor wallets. Deze standaarden zorgen ervoor dat wallets, uitgevers en verificateurs uit verschillende landen en technologieleveranciers betrouwbaar kunnen samenwerken in de hele EU.
Het ARF specificeert de technische grondslagen die alle EUDI-wallet-implementaties moeten volgen. Belangrijke standaarden en componenten zijn onder meer:
- ISO/IEC 18013-5 voor proximity-presentatie van mdoc-attestaties, zoals mobiele rijbewijzen. Voor online presentatie van mdoc is ISO/IEC TS 18013-7 relevant.
- SD-JWT VC als credentialformaat dat selective disclosure van individuele attributen mogelijk maakt zonder het volledige document te onthullen.
- OpenID for Verifiable Credential Issuance (OID4VCI) en OpenID for Verifiable Presentations (OID4VP), die definiëren hoe attestaties worden afgegeven aan wallets en hoe ze worden gepresenteerd aan relying parties.
- Het High Assurance Interoperability Profile (HAIP), dat aanvullende interoperabiliteitsvereisten specificeert bovenop de basisprotocollen voor gebruik in de EUDI-wallet-context.
- Qualified Electronic Signatures (QES) onder het bestaande trust services-kader, die centraal blijven voor juridisch bindende digitale ondertekening. Een QES heeft op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening. De EUDI-wallet moet burgers de mogelijkheid bieden om voor niet-professioneel gebruik gratis een QES te gebruiken.
Het open-source karakter van de EUDI-wallet-referentie-implementatie betekent dat lidstaten en private aanbieders kunnen voortbouwen op een gedeelde, publiek getoetste codebase. Dit versnelt de adoptie en vermindert het risico op fragmentatie tussen nationale implementaties.
Wat moeten organisaties nu doen om zich voor te bereiden op eIDAS 2.0?
Organisaties moeten beginnen met de voorbereiding op eIDAS 2.0 door te beoordelen welke van hun processen identiteitsverificatie, attestatie-uitwisseling of elektronische ondertekening omvatten, en die processen vervolgens in kaart te brengen aan de hand van de vereisten van het nieuwe kader. Lidstaten zijn wettelijk verplicht om gecertificeerde EUDI-wallets beschikbaar te stellen uiterlijk op 24 december 2026. Vanaf die datum moeten publieke instanties genotificeerde EUDI-wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private relying parties in aangewezen sectoren, waaronder banken, financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, geldt de acceptatieplicht onder artikel 5f uiterlijk op 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd. De tijdlijn voor voorbereiding is daarmee al actief.
Belangrijk voor relying parties is ook dat zij zich onder CIR (EU) 2025/848 moeten registreren bij de bevoegde nationale autoriteit voordat zij walletdata kunnen opvragen. Bij registratie leggen zij per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Voorbereiding hoeft niet overweldigend te zijn. Een gestructureerde aanpak helpt organisaties van bewustwording naar actie te gaan zonder hun teams te overbelasten. Praktische stappen zijn onder meer:
- Beoordelen van huidige identiteitsverificatie- en onboardingprocessen om te identificeren waar EUDI-wallet-integratie vereist of voordelig zal zijn
- Beoordelen van bestaande infrastructuur voor digitale handtekeningen aan de hand van de eIDAS 2.0-vereisten voor gekwalificeerde handtekeningen
- Betrokkenheid bij het Architecture and Reference Framework om technische specificaties te begrijpen die relevant zijn voor jouw sector
- Evalueren van interoperabiliteitsvereisten, met name voor organisaties die actief zijn in meerdere EU-lidstaten
- Identificeren welke attestaties jouw organisatie mogelijk moet uitgeven, accepteren of verifiëren onder het nieuwe kader
Organisaties in financiële dienstverlening staan voor bijzondere urgentie, gezien de overlap tussen eIDAS 2.0-vereisten en bestaande AML-, KYC- en PSD2-verplichtingen. Evenzo zullen organisaties in de gezondheidszorg en bij de overheid hun identiteitsinfrastructuur vroegtijdig moeten afstemmen op walletgebaseerde attestatie-uitwisseling. De sectie TrustTech-resources biedt verdere begeleiding bij sectorspecifieke voorbereiding.
Hoe helpt TrustTech bij eIDAS 2.0 en gedecentraliseerde identiteit
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet voert de ID Connector de volgende taken uit:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, zodat wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat alleen de attributen worden opgevraagd die zijn vastgelegd bij registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata in onboarding-, authenticatie- en ondertekeningsworkflows
- Gekwalificeerd tekenen via een aangesloten Qualified Trust Service Provider
De ID Connector is direct relevant voor organisaties in financiële dienstverlening, gezondheidszorg en overheid die vóór 24 december 2027 moeten voldoen aan de acceptatieplicht onder artikel 5f. Verken de TrustTech-oplossingen of neem contact op om jouw specifieke situatie te bespreken.