De EUDI-wallet verandert fundamenteel hoe mensen inloggen op online diensten, door wachtwoorden en gefragmenteerde inlogmethoden te vervangen door één veilige digitale identiteit op hun smartphone. In plaats van voor elk platform een account aan te maken en inloggegevens te onthouden, authenticeren gebruikers met hun geverifieerde identiteit vanuit hun wallet. Dit artikel legt uit hoe dat technisch werkt, wat het juridisch betekent voor organisaties en welke stappen je nu kunt zetten.
Wat vervangt de EUDI-wallet precies in een inlogproces?
De EUDI-wallet vervangt de traditionele combinatie van gebruikersnaam, wachtwoord en een tweede factor zoals een sms-code of authenticator-app. In plaats van inloggegevens in te voeren die een dienst controleert in een opgeslagen database, bewijzen gebruikers hun identiteit rechtstreeks vanuit hun wallet met cryptografisch ondertekende attestaties die zijn gekoppeld aan hun werkelijke identiteit. Geen wachtwoordresets meer, geen databases met inloggegevens meer om te beveiligen.
Naast wachtwoorden vervangt de wallet ook de noodzaak om registratieformulieren in te vullen. Wanneer iemand een nieuw account aanmaakt, typt hij doorgaans zijn naam, geboortedatum, adres en e-mailadres in. Met wallet-gebaseerd inloggen zijn die gegevens al geverifieerd en kunnen ze direct worden gedeeld via selective disclosure. De gebruiker selecteert wat hij wil delen en keurt de interactie goed op zijn toestel.
Dit vermindert ook de afhankelijkheid van sociale inlogknoppen zoals “Inloggen met Google” of “Inloggen met Facebook.” Die opties zijn handig, maar gaan ten koste van het delen van gedragsgegevens met commerciële platforms. De EUDI-wallet biedt vergelijkbaar gemak zonder jouw identiteit via een commerciële derde partij te leiden. Walletgebruik is overigens vrijwillig: artikel 5a van Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Hoe werkt wallet-gebaseerde authenticatie technisch?
Wallet-gebaseerde authenticatie maakt gebruik van verifieerbare attestaties en publieke-sleutelcryptografie. Wanneer een gebruiker wil inloggen, stuurt de dienst een verzoek naar de wallet. De wallet reageert met een digitaal ondertekende presentatie van de relevante identiteitsattributen. De relying party verifieert deze presentatie via drie afzonderlijke controles: de handtekening van de uitgever wordt gecontroleerd aan de hand van de relevante nationale trusted list conform ETSI TS 119 612, de intrekkingsstatus wordt geverifieerd via statusinformatie van de uitgever, en de wallet unit attestation wordt gevalideerd om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden. De privésleutel van de gebruiker verlaat nooit het beveiligde middel in de wallet unit.
Het proces volgt een drieledige structuur: een uitgever zoals een overheid of werkgever, een houder bestaande uit de gebruiker en zijn wallet unit, en een relying party die bewijs van identiteit opvraagt. De uitgever ondertekent de attestatie bij uitgifte via OID4VCI. De houder presenteert deze wanneer nodig via OID4VP. De relying party verifieert de handtekening en aanvullende statusinformatie om te bevestigen dat de attestatie authentiek en geldig is.
De technische basis voor het EUDI-wallet-ecosysteem is het Architecture and Reference Framework (ARF), ontwikkeld door de eIDAS Expert Group. De ARF bevat de technische uitwerking van het ecosysteem; de uitvoeringshandelingen zijn juridisch bindend. De grootschalige pilots die liepen van april 2023 tot 2025 hebben deze stroom getest in de hele EU en praktijkfeedback gegenereerd over hoe het systeem in de praktijk presteert. De open-source referentie-implementatie die is ontwikkeld onder het EU Digital Identity Wallet-programma maakt het mogelijk voor lidstaten en private partijen om compatibele wallet solutions te bouwen. Credentialformaten binnen het ecosysteem zijn mdoc, conform ISO/IEC TS 18013-7 voor online presentatie, en SD-JWT VC. Het High Assurance Interoperability Profile (HAIP) specificeert welke combinaties van formaten en protocollen verplicht worden ondersteund.
Welke gegevens kunnen organisaties opvragen bij een wallet-login?
Organisaties kunnen alleen de specifieke attributen opvragen die ze nodig hebben voor een bepaalde interactie, en uitsluitend binnen de scope die zij hebben geregistreerd bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025. Een relying party registreert per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. De EUDI-wallet is gebouwd rondom selective disclosure, wat betekent dat een gebruiker zijn leeftijd kan bevestigen zonder zijn volledige geboortedatum te onthullen, of zijn nationaliteit kan delen zonder zijn adres prijs te geven.
Voorbeelden van attributen die kunnen worden gedeeld tijdens een wallet-login zijn:
- Naam en geboortedatum
- Nationaliteit of land van verblijf
- Leeftijdsbevestiging (bijvoorbeeld bevestigen dat iemand ouder is dan 18)
- Beroepskwalificaties of certificeringen
- Arbeidsstatus of organisatorische aansluiting
- Ziektekostenverzekeringsinformatie
- Gegevens van het mobiele rijbewijs
Organisaties kunnen niet zomaar alle beschikbare attributen tegelijk opvragen. Het gegevensminimalisatieprincipe onder de AVG is van toepassing, en de wallet-architectuur handhaaft dit technisch via de geregistreerde attributenscope. Gebruikers zien precies wat er wordt opgevraagd voordat ze het goedkeuren, en ze kunnen weigeren attributen te delen die verder gaan dan noodzakelijk. Belangrijk hierbij is dat goedkeuring in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen persoonsgegevens. Voor bijzondere categorieën zoals gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Hoe verschilt EUDI-wallet-login van bestaande SSO en federatieve identiteit?
Het belangrijkste verschil tussen EUDI-wallet-login en bestaande single sign-on (SSO) of federatieve identiteitssystemen is dat de wallet niet afhankelijk is van een centrale identiteitsprovider die online is tijdens de transactie. Bij traditionele SSO moet een provider zoals het identiteitsplatform van een werkgever of een sociale inlogdienst de identiteit in realtime bevestigen. Met de EUDI-wallet wordt de attestatie door de gebruiker bewaard in de wallet unit en geverifieerd via cryptografisch bewijs, waardoor de afhankelijkheid van een live tussenpersoon grotendeels wegvalt. De intrekkingscontrole vereist echter wel contact met externe statusinformatie van de uitgever.
Federatieve identiteitssystemen zoals SAML of OpenID Connect zijn krachtig, maar werken binnen ecosystemen die vertrouwensovereenkomsten tussen specifieke partijen vereisen. Een zakelijke SSO werkt binnen een bedrijf. Een nationaal eID-systeem werkt binnen zijn eigen land. Grensoverschrijdende erkenning is historisch gezien inconsistent geweest, en dat is precies de kloof die Verordening (EU) 2024/1183 is ontworpen te dichten.
De EUDI-wallet hanteert een andere architecturale aanpak. Omdat attestaties worden ondertekend op het moment van uitgifte en geverifieerd op het moment van presentatie via de nationale trusted lists en de EU List of Trusted Lists (LOTL), werkt het systeem grensoverschrijdend en sectoroverstijgend zonder bilaterale overeenkomsten tussen elke betrokken organisatie te vereisen. Elke geregistreerde relying party kan een wallet-presentatie accepteren van elke EU-burger, ongeacht welke lidstaat de onderliggende identiteit heeft uitgegeven.
Dit verandert ook het privacymodel. Bij federatieve identiteit kan de identiteitsprovider vaak waarnemen bij welke diensten een gebruiker inlogt en wanneer. Bij wallet-gebaseerde authenticatie is de uitgever niet betrokken bij de presentatie, waardoor er geen centrale partij is die activiteiten over diensten heen bijhoudt. Het transactieoverzicht in de wallet is een functionaliteit voor de gebruiker zelf, geen loggingvoorziening voor de relying party of wallet provider.
Welke sectoren en gebruikssituaties worden als eerste beïnvloed?
De sectoren die als eerste worden beïnvloed zijn degenen die al onderworpen zijn aan strenge identiteitsverificatievereisten: financiële diensten, overheid, gezondheidszorg en telecommunicatie. Dit zijn ook de sectoren waar de grootschalige pilots het actiefst waren en de vroegste praktijkgegevens hebben gegenereerd over hoe wallet-gebaseerde identiteit in de praktijk presteert.
De pilots hebben specifieke gebruikssituaties getest. De meest kansrijke om als eerste in productie te gaan zijn:
- Een bankrekening openen met wallet-geverifieerde identiteit in plaats van handmatige documentcontroles, getest binnen het POTENTIAL-consortium
- Toegang tot overheidsdiensten zoals belastingaangifte, paspoortaanvragen en sociale zekerheid, getest binnen POTENTIAL en DC4EU
- SIM-kaartregistratie om fraude voor mobiele netwerkoperators te verminderen, getest binnen POTENTIAL
- Recepten ophalen bij apotheken met geverifieerde gezondheidscredentials, getest binnen POTENTIAL
- Gekwalificeerd tekenen op afstand met aan wallet-geverifieerde identiteit gekoppelde gekwalificeerde elektronische handtekeningen, getest binnen POTENTIAL
- Onderwijscertificering voor het verifiëren van diploma’s tijdens sollicitaties, getest binnen DC4EU
Voor financiële dienstverleners biedt de wallet een pad naar herbruikbare KYC. Zodra een klant via zijn wallet is geverifieerd, kan die verificatie worden hergebruikt voor meerdere diensten zonder het volledige onboardingproces te herhalen. Hergebruik van KYC wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Voor zorgverleners opent het de deur naar grensoverschrijdende toegang tot patiëntattestaties en recepten. Voor overheidsinstanties betekent het dat burgers toegang kunnen krijgen tot digitale publieke diensten met één draagbare identiteit.
Wat moeten organisaties nu doen om zich voor te bereiden op wallet-gebaseerd inloggen?
Organisaties moeten beginnen met het in kaart brengen van hun huidige identiteits- en authenticatie-infrastructuur om te begrijpen waar wallet-gebaseerd inloggen moet worden geïntegreerd. De belangrijkste onmiddellijke stap is het beoordelen welke diensten identiteitsverificatie vereisen en hoe die verificatiestromen momenteel zijn gebouwd. Van daaruit kunnen organisaties bepalen waar wallet-integratie de meeste waarde creëert en waar de technische hiaten liggen.
Belangrijke voorbereidingsstappen zijn:
- Huidige onboarding- en authenticatiestromen beoordelen om te identificeren waar wachtwoorden en handmatige identiteitscontroles nog worden gebruikt
- Nalevingsvereisten onder Verordening (EU) 2024/1183 beoordelen en begrijpen welke diensten verplicht worden om wallet-gebaseerde identiteit te accepteren
- Technische teams inschakelen om de gereedheid voor OID4VP en gerelateerde wallet-presentatieprotocollen te evalueren
- Het Architecture and Reference Framework en de uitvoeringshandelingen monitoren op nieuwe versies en aanvullende technische vereisten
- Plannen voor een gefaseerde uitrol die begint bij de hoogste-waarde of hoogste-risico identiteitscontactpunten
- Registratie als relying party voorbereiden conform CIR (EU) 2025/848, inclusief het vastleggen van de intended use en de attributenscope per dienst
Uiterlijk op 24 december 2026 zijn lidstaten verplicht gecertificeerde EUDI-wallets beschikbaar te stellen aan burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg, telecom, energie en transport geldt de acceptatieplicht onder artikel 5f van Verordening (EU) 2024/1183 vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor very large online platforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten de EUDI-wallet accepteren waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn uitgezonderd van deze acceptatieplicht. Organisaties in de relevante sectoren doen er goed aan 24 december 2027 als actieve plandatum te behandelen. De technische specificaties zijn volwassen genoeg om nu te beginnen met integratieplanning, en de beschikbare resources van EU-instellingen en pilotconsortia zijn al aanzienlijk.
Hoe de ID Connector van TrustTech wallet-gebaseerd inloggen mogelijk maakt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector:
- Verificatie van uitgevershandtekeningen aan de hand van nationale trusted lists en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, zodat wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de registered intended use worden geblokkeerd
- Hergebruik van geverifieerde identiteitsdata voor meerdere diensten zonder herhaalde onboarding
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES tot stand komt bij de QTSP
Voor financiële dienstverleners, zorgorganisaties en overheidsinstanties biedt de ID Connector een directe verbinding met het EUDI-wallet-ecosysteem zonder dat de relying party zelf de volledige verificatielogica hoeft te bouwen. Het platform is gebouwd op de technische standaarden van Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen. Verken onze identiteitsoplossingen of neem contact op om de technische integratiemogelijkheden voor jouw organisatie te bespreken.