Hoe verandert eIDAS 2.0 digitale onboardingprocessen?

eIDAS 2.0 verandert digitale onboarding fundamenteel. Verordening (EU) 2024/1183 verplicht gereguleerde organisaties om identiteitsverificatie via de EUDI-wallet te accepteren en gestandaardiseerde, interoperabele methoden voor identiteitscontrole te ondersteunen. Gefragmenteerde, handmatige identiteitscontroles maken plaats voor een uniform, gebruikersgestuurd digitaal identiteitskader. Deze verschuiving geldt voor gereguleerde organisaties die digitale diensten aanbieden binnen de EU, waaronder banken, zorgverleners, overheidsinstanties en zeer grote onlineplatforms. De onderstaande secties leggen uit wat dit in de praktijk betekent, wie er gevolgen van ondervindt en hoe je je kunt voorbereiden.

Wat vereist eIDAS 2.0 van digitale onboardingprocessen?

Verordening (EU) 2024/1183 verplicht gereguleerde organisaties die digitale diensten aanbieden om identiteitsverificatie via de EUDI-wallet te accepteren en gestandaardiseerde, interoperabele methoden voor identiteitscontrole te ondersteunen. Onboardingprocessen moeten daarvoor in staat zijn om attestaties van vertrouwde bronnen te ontvangen en te valideren, in aanvulling op of ter vervanging van documentuploads of handmatige controles.

Onder de gewijzigde verordening moet identiteitsdata worden verwerkt op een manier die het principe van dataminimalisatie respecteert. Dit betekent dat jouw onboardingsysteem alleen de specifieke attributen mag opvragen die het daadwerkelijk nodig heeft, zoals een leeftijdsbevestiging, nationaliteit of beroepskwalificatie, in plaats van standaard een volledig identiteitsdocument op te vragen. Gebruikers behouden de controle over wat zij delen en met wie. Dit is geen technische keuze, maar een juridische verplichting die voortvloeit uit de verordening en aansluit bij de vereisten van de AVG.

Voor organisaties in gereguleerde sectoren versterkt eIDAS 2.0 ook de verplichting om passende betrouwbaarheidsniveaus te gebruiken voor identiteitsverificatie wanneer het risicoprofiel dit vereist. Dit heeft directe gevolgen voor de manier waarop KYC-nalevingsprocessen worden ontworpen en hoe identiteitscontrole wordt gedocumenteerd voor auditdoeleinden. Houd daarbij in gedachten dat hergebruik van KYC-data mede wordt bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.

Hoe vervangt de EUDI-wallet traditionele stappen voor identiteitsverificatie?

De EUDI-wallet stelt gebruikers in staat om vooraf uitgegeven, cryptografisch beveiligde attestaties rechtstreeks vanuit hun wallet te presenteren. Daarmee vervalt de noodzaak om herhaaldelijk documenten in te dienen, formulieren in te vullen of voor elke nieuwe dienst opnieuw een identiteitscontrole te ondergaan. De wallet fungeert als een herbruikbare digitale identiteit waarop organisaties kunnen vertrouwen op het betrouwbaarheidsniveau dat bij de uitgegeven attestatie hoort.

In een traditioneel onboardingproces uploadt een gebruiker een pasfoto, dient een selfie in voor liveness-detectie en wacht op een handmatige beoordeling. Met de EUDI-wallet kan diezelfde gebruiker een geverifieerde attestatie delen, bijvoorbeeld een bevestigd identiteitsattribuut uit zijn of haar nationale identiteitssysteem, met één enkele interactie. De ontvangende relying party ontvangt een cryptografisch verifieerbaar bewijs zonder het onderliggende document opnieuw te hoeven verifiëren.

Verificatie is daarbij meer dan het controleren van een cryptografische handtekening. Een relying party voert drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Schrijf een onboardingproces daarom niet zo dat het uitgaat van volledige offline verificatie.

Deze aanpak vermindert ook de wrijving voor gebruikers. Via selective disclosure presenteren gebruikers alleen de attributen die voor de specifieke transactie noodzakelijk zijn, zonder voor elke dienst nieuwe accounts aan te maken en persoonlijke gegevens opnieuw in te voeren. Vanuit organisatorisch perspectief verlaagt dit de kosten en complexiteit van identiteitscontrole, terwijl de betrouwbaarheid van de ontvangen gegevens verbetert. Tegelijkertijd blijft walletgebruik vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.

Welke sectoren worden het meest getroffen door de onboardingwijzigingen van eIDAS 2.0?

De sectoren die het meest worden getroffen door de onboardingwijzigingen van eIDAS 2.0 zijn financiële dienstverlening, overheid, zorg, telecommunicatie, energie, transport, onderwijs en digitale diensten. Deze sectoren verwerken op grote schaal gevoelige identiteitsdata en zijn al onderworpen aan strikte regelgevende vereisten rond identiteitsverificatie en KYC-naleving. De acceptatieplicht onder artikel 5f geldt voor gereguleerde private partijen in deze sectoren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms geldt een afzonderlijke bepaling van artikel 5f: de verplichting geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

Hieronder volgt een nadere blik op de sectoren die de meest ingrijpende aanpassingen moeten doorvoeren:

• Financiële dienstverlening en bankwezen: Banken en betalingsdienstaanbieders moeten hun KYC- en AML-onboardingworkflows bijwerken om EUDI-wallet-attestaties te accepteren. Het POTENTIAL-consortium heeft wallet-gebaseerde identiteitsverificatie getest voor het openen van bankrekeningen en het autoriseren van betalingen. Houd er rekening mee dat hergebruik van KYC-data ook onderworpen is aan AML-regelgeving, waaronder de AMLR die per juli 2027 van toepassing wordt.
• Overheidsdiensten: Publieke organisaties moeten EUDI-wallet-compatibele toegang bieden tot digitale diensten zoals belastingaangifte, sociale zekerheid en paspoortaanvragen. Lidstaten zijn op grond van de verordening verplicht om uiterlijk op 24 december 2026 minimaal één gecertificeerde wallet beschikbaar te stellen, en publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is.
• Zorg en farmacie: Identiteitsverificatie van patiënten, receptaanvragen en toegang tot medische dossiers vereisen veilige identiteitscontrole op het passende betrouwbaarheidsniveau. Het POTENTIAL-consortium heeft gebruiksscenario’s getest, waaronder digitale recepten. Voor gezondheidsgegevens geldt naast de eIDAS-verplichtingen ook een toepasselijke grond uit artikel 9, lid 2, AVG.
• Telecommunicatie: SIM-registratie en contractactivering zijn opgenomen in de testscenario’s van het POTENTIAL-consortium, wat betekent dat mobiele operators hun identiteitsverificatieprocessen moeten afstemmen op wallet-gebaseerde attestaties.
• Onderwijs: Instellingen die diploma’s en certificaten uitgeven of verifiëren, maken deel uit van de pilotscope van DC4EU, waarbij de wallet draagbare, verifieerbare onderwijsattestaties mogelijk maakt.

Organisaties in deze sectoren kunnen verkennen hoe digitale identiteit in financiële dienstverlening of identiteitsoplossingen in de zorg zich ontwikkelen als reactie op deze regelgevende veranderingen.

Wat is het verschil tussen eIDAS 1.0 en eIDAS 2.0 voor onboarding?

Het belangrijkste verschil tussen de oorspronkelijke eIDAS-verordening en Verordening (EU) 2024/1183 voor onboarding is dat de oorspronkelijke verordening gericht was op het mogelijk maken van grensoverschrijdende erkenning van nationale elektronische ID-stelsels tussen lidstaten, terwijl de gewijzigde verordening een universele, wallet-gebaseerde identiteitslaag introduceert die zich uitstrekt tot de private sector en individuen directe controle geeft over hun eigen identiteitsdata. Verordening (EU) 2024/1183 wijzigt Verordening (EU) nr. 910/2014 en vervangt deze niet.

Onder de oorspronkelijke verordening konden lidstaten hun nationale eID-stelsels notificeren zodat deze in de hele EU erkend zouden worden. Er was echter geen verplichting voor elk land om een dergelijk stelsel te creëren, en private-sectororganisaties vielen grotendeels buiten de reikwijdte van de verordening. Dit leidde tot aanzienlijke inconsistentie: sommige landen hadden een volwassen digitale identiteitsinfrastructuur, terwijl andere er nauwelijks over beschikten, en bedrijven konden niet vertrouwen op één enkele, interoperabele methode voor digitale identiteitsverificatie in heel Europa.

Verordening (EU) 2024/1183 sluit deze lacunes op verschillende belangrijke manieren:

1. Universele beschikbaarheid van de wallet: Elke lidstaat moet uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar stellen aan alle burgers, inwoners en bedrijven, waarmee een basisniveau wordt gecreëerd dat voorheen niet bestond. Dit is de deadline voor uitgifte en notificatie, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.
2. Inclusie van de private sector: Gereguleerde private partijen in sectoren zoals banken, verzekeraars en zeer grote onlineplatforms zijn op grond van artikel 5f verplicht om wallet-gebaseerde identiteitsverificatie te integreren in hun onboardingprocessen. Voor gereguleerde private sectoren geldt die verplichting waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms gelden de afzonderlijke voorwaarden van artikel 5f. De acceptatieplicht voor deze partijen gaat in op 24 december 2027.
3. Verifieerbare attestaties: Verordening (EU) 2024/1183 introduceert een gestructureerd kader voor het uitgeven en accepteren van attestaties, waaronder gekwalificeerde elektronische attestaties van attributen (QEAA), publieke elektronische attestaties van attributen (PuB-EAA) en non-qualified EAA. Relying parties kunnen daarmee digitaal ondertekende identiteitsattributen vertrouwen in plaats van ruwe documentkopieën.
4. Dataminimalisatie by design: Gebruikers kunnen via selective disclosure alleen de attributen delen die nodig zijn voor een specifieke transactie. Dit was geen kernkenmerk van de oorspronkelijke verordening.
5. Uitgebreide vertrouwensdiensten: Verordening (EU) 2024/1183 voegt nieuwe categorieën gekwalificeerde vertrouwensdiensten toe, waaronder elektronische attestatie van attributen, die direct relevant zijn voor identiteitscontrole in onboardingcontexten.

Wanneer moeten organisaties voldoen aan de onboardingvereisten van eIDAS 2.0?

De belangrijkste deadlines volgen uit Verordening (EU) 2024/1183, die op 20 mei 2024 in werking trad. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, waarmee de relevante 24-maandentermijn voor de wallets is gestart. Lidstaten zijn verplicht om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel te hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, waaronder banken, zorgaanbieders, telecomaanbieders en zeer grote onlineplatforms, geldt de acceptatieplicht onder artikel 5f die ingaat op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. Voor gereguleerde private sectoren geldt deze verplichting binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms gelden de afzonderlijke voorwaarden van artikel 5f. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd.

Daarnaast trad op 6 mei 2025 CIR (EU) 2025/848 in werking, de uitvoeringshandeling over de registratie van wallet-relying parties. Een relying party moet zich op grond van deze verordening registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

In de praktijk variëren de nalevingstermijnen afhankelijk van het type organisatie en de specifieke vereisten die daarop van toepassing zijn. De vier Large Scale Pilots liepen van april 2023 tot 2025 en omvatten meer dan 350 entiteiten in 26 lidstaten. Ze leverden technische specificaties en praktijkfeedback op die zijn verwerkt in de uitrolfase. Een tweede pilotgolf startte in 2025 met onder andere WE BUILD en APTITUDE.

Voor organisaties in sectoren met bestaande regelgevende verplichtingen, zoals KYC-naleving onder AML-richtlijnen of identiteitsverificatie van patiënten in de zorg, is de verwachting dat eIDAS 2.0-conforme methoden de standaardbenadering worden naarmate de adoptie van de wallet groeit. Wachten tot het laatste moment om onboardingsystemen aan te passen brengt reële risico’s met zich mee, zowel in termen van regelgevende blootstelling als concurrentieel nadeel. Organisaties die hun huidige identiteitscontroleprocedures nog niet hebben getoetst aan de vereisten van Verordening (EU) 2024/1183, moeten nu met die beoordeling beginnen.

Hoe moeten organisaties beginnen met het voorbereiden van hun onboardingsystemen op eIDAS 2.0?

Organisaties moeten beginnen met het auditeren van hun huidige onboardingprocessen om te identificeren waar identiteitsverificatie plaatsvindt, welke gegevens worden verzameld en of bestaande processen kunnen worden aangepast om attestaties van de EUDI-wallet te accepteren. Vervolgens verschuift de focus naar technische integratie, nalevingsafstemming en gereedheid van stakeholders.

Een praktisch startpunt omvat het stellen van een aantal fundamentele vragen over de huidige situatie: Ondersteunt jouw onboardingsysteem op standaarden gebaseerde attestatieverificatie, inclusief verificatie tegen de relevante nationale trusted list en controle van de intrekkingsstatus? Zijn jouw identiteitsbetrouwbaarheidsniveaus gedocumenteerd en afgestemd op de eIDAS-vereisten? Weerspiegelen jouw gegevensverzamelingspraktijken het principe van dataminimalisatie? Is jouw organisatie geregistreerd of in staat om zich te registreren als relying party onder CIR (EU) 2025/848? Heb je per intended use vastgelegd welke attributen en attestaties worden opgevraagd?

Naast de technische audit betekent voorbereiding ook het betrekken van de juiste interne stakeholders. Complianceteams, IT-architecten, juridisch adviseurs en digitale transformatieleiders spelen allemaal een rol. Verordening (EU) 2024/1183 vereist afstemming tussen regelgevende interpretatie, systeemontwerp en gebruikerservaring. Houd daarbij ook rekening met de AVG: goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen identiteitsdata.

Organisaties die op zoek zijn naar gestructureerde begeleiding bij deze transitie kunnen praktische kaders en implementatie-inzichten vinden via TrustTech’s digitale identiteitsresources. Inzicht in de bredere aanpak van digitale identiteitsimplementatie kan teams ook helpen om efficiënter van bewustwording naar actie over te stappen.

Hoe helpt TrustTech bij digitale onboarding voor eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor digitale onboarding ondersteunt de ID Connector de volgende technische taken:

• Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list, conform ETSI TS 119 612 en de EU List of Trusted Lists.
• Controle van intrekkingsstatus: De ID Connector controleert de intrekkingsstatus van een attestatie via de statusinformatie van de uitgever, zodat verlopen of ingetrokken attestaties niet worden geaccepteerd.
• Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet op een gecertificeerde wallet solution draait, wat een vereiste is voor betrouwbare identiteitscontrole.
• Bewaking van de geregistreerde attributenscope: De ID Connector bewaakt dat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde scope onder CIR (EU) 2025/848, waarmee de relying party binnen de grenzen van haar registratie blijft.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitsattributen kunnen worden hergebruikt binnen het onboardingproces, wat de wrijving voor gebruikers vermindert en de verwerkingskosten verlaagt.
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector ondersteunt gekwalificeerd tekenen via een aangesloten qualified trust service provider, zodat relying parties een gekwalificeerde elektronische handtekening kunnen integreren in hun onboardingproces zonder zelf als QTSP op te treden.

De ID Connector is relevant voor relying parties in financiële dienstverlening, zorg en farmacie, en overheidsorganisaties die voor 24 december 2026 of 24 december 2027 moeten voldoen aan de acceptatieplicht onder Verordening (EU) 2024/1183.

Als jouw organisatie klaar is om de volgende stap te zetten naar eIDAS 2.0-conforme digitale onboarding, neem dan contact op met TrustTech om te verkennen hoe de ID Connector aansluit op jouw onboardingproces.