eIDAS 2.0 verandert KYC-processen voor financiële instellingen aanzienlijk door een gestandaardiseerd, hoogbetrouwbaar digitaal identiteitskader te introduceren waarmee klanten hun identiteit eenmalig kunnen laten verifiëren en de resulterende geverifieerde gegevens bij meerdere organisaties opnieuw kunnen gebruiken. In plaats van identiteitscontroles telkens opnieuw van nul af aan te beginnen wanneer een klant een nieuwe rekening opent of toegang krijgt tot een gereguleerde dienst, kunnen financiële instellingen cryptografisch ondertekende identiteitsattributen rechtstreeks uit de EUDI-wallet accepteren. De onderstaande secties leggen precies uit wat dit in de praktijk betekent: van onboardingworkflows en betrouwbaarheidsniveaus tot nalevingstijdlijnen en concrete voorbereidingsstappen.
Wat verandert eIDAS 2.0 aan identiteitsverificatie?
eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. De verordening vervangt de versnipperde, land-voor-land aanpak van digitale identiteit niet, maar wijzigt en versterkt het bestaande kader door een uniform Europees kader voor de EUDI-wallet toe te voegen. Elke EU-lidstaat is op grond van artikel 5a verplicht burgers, inwoners en bedrijven een gecertificeerde EUDI-wallet aan te bieden. Publieke instanties en gereguleerde private partijen moeten deze wallets accepteren als geldig middel voor identiteitsverificatie. Dit verschuift identiteitsverificatie van een instellingsgestuurd proces naar een door de burger gecontroleerd proces, waarbij de gebruiker zelf bepaalt welke gegevens worden gedeeld via selective disclosure.
Onder de oorspronkelijke eIDAS-verordening konden lidstaten hun nationale eID-stelsels aanmelden voor grensoverschrijdende erkenning, maar daartoe bestond geen verplichting. Het resultaat was een lappendeken van incompatibele systemen. Verordening (EU) 2024/1183 sluit die kloof door de beschikbaarheid van wallets en grensoverschrijdende interoperabiliteit in alle lidstaten verplicht te stellen.
Voor financiële instellingen is de praktische verschuiving aanzienlijk. Identiteitsattributen die zijn opgeslagen in een EUDI-wallet zijn cryptografisch ondertekend door de uitgever, wat betekent dat de attributen die een klant deelt, zoals naam, geboortedatum of nationaliteit, door een relying party kunnen worden geverifieerd tegen de relevante nationale trusted list. Financiële instellingen hoeven informatie die al aan de bron is geverifieerd niet meer zelfstandig opnieuw te verifiëren, mits zij de verificatie correct uitvoeren. Daarbij gaat het om meer dan de handtekening van de uitgever: ook de intrekkingsstatus van de attestatie en de wallet unit attestation moeten worden gecontroleerd om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
Hoe beïnvloedt de EUDI-wallet KYC-onboardingworkflows?
De EUDI-wallet maakt het mogelijk dat klanten vooraf geverifieerde identiteitsattributen rechtstreeks vanuit hun wallet delen, waardoor het handmatig verzamelen en opnieuw verifiëren van documenten in veel gevallen overbodig wordt. In plaats van paspoortscans te uploaden of video-identificatie te voltooien, kan een klant bij één interactie toestemming geven voor het delen van specifieke geverifieerde gegevenspunten via selective disclosure. Dit maakt onboarding sneller, minder foutgevoelig en minder geneigd tot uitval.
Langdurige identiteitscontroles zijn een van de belangrijkste oorzaken van onboarding-uitval. Elke extra stap die een klant moet voltooien, vergroot de kans dat hij of zij afhaakt voordat het proces is afgerond. Het op wallets gebaseerde model vermindert die wrijving, omdat het zware verificatiewerk al eerder in het proces is gedaan door de uitgever van de attestatie.
Vanuit workflowperspectief maakt de EUDI-wallet ook herbruikbare onboarding mogelijk. Een klant die al identiteitsverificatie heeft voltooid bij zijn bank of bij een overheidsdienst, hoeft niet opnieuw van nul te beginnen wanneer hij of zij zich wendt tot een nieuwe financiële instelling. De geverifieerde gegevens reizen mee met de klant in de wallet instance, en de ontvangende instelling kan deze vertrouwen op basis van de cryptografische garanties die in de attestatie zijn ingebed. Hergebruik van KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Dit is een betekenisvolle verschuiving voor teams in de financiële dienstverlening die momenteel grote aantallen handmatige KYC-controles beheren.
Een relying party moet zich bovendien voorafgaand aan het opvragen van walletdata registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Voldoet eIDAS 2.0-naleving aan AML- en KYC-regelgevingsvereisten?
eIDAS 2.0-naleving voldoet niet automatisch aan AML- of KYC-vereisten, maar biedt een wettelijk erkende basis voor de identiteitsverificatiecomponent daarvan. KYC-verplichtingen op grond van antiwitwasrichtlijnen vereisen dat financiële instellingen de identiteit van klanten verifiëren, de aard van de zakelijke relatie begrijpen en risicogebaseerde due diligence toepassen. eIDAS 2.0 richt zich rechtstreeks op de identiteitsverificatiecomponent, maar AML-naleving omvat aanvullende verplichtingen die verder gaan dan identiteitscontrole.
De relatie tussen eIDAS 2.0 en AML-regelgeving wordt steeds meer op elkaar afgestemd. Het AML-regelgevingskader van de EU evolueert parallel aan het digitale identiteitslandschap. De AMLR wordt naar verwachting van toepassing in juli 2027. Toezichthouders hebben aangegeven dat hoogbetrouwbare digitale identiteitsverificatie via de EUDI-wallet kan bijdragen aan het voldoen aan customer due diligence-vereisten onder AML-regels, maar de exacte toepassingsvoorwaarden volgen uit de AML-regelgeving zelf, niet uit eIDAS 2.0.
Voor financiële instellingen is de praktische implicatie dat het accepteren van EUDI-wallet-attestaties voor identiteitsverificatie technisch geldig is en naar verwachting de gangbare standaard wordt. Instellingen die hun KYC-processen opbouwen rond op wallets gebaseerde verificatie, zullen beter gepositioneerd zijn om zowel aan de huidige AML-vereisten als aan het meer geharmoniseerde nalevingskader te voldoen dat op Europees niveau vorm krijgt. Daarbij geldt dat een relying party een zelfstandige AVG-grondslag nodig heeft voor de verwerking van identiteitsgegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Goedkeuring van gegevensdeling in de wallet is geen toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG.
Welk betrouwbaarheidsniveau vereist eIDAS 2.0 voor KYC in de financiële sector?
eIDAS 2.0 vereist dat de EUDI-wallet opereert op het Hoge betrouwbaarheidsniveau, het hoogste niveau dat in het eIDAS-kader is gedefinieerd. Voor KYC in de financiële sector is dit van belang omdat het betekent dat de identiteitsattributen die via de wallet worden opgeslagen en gedeeld, zijn geverifieerd via een proces dat voldoet aan strenge normen voor identiteitscontrole, authenticatie en gegevensintegriteit. Dit sluit aan bij de risicogebaseerde vereisten die AML- en KYC-regelgeving aan financiële instellingen stelt.
De drie betrouwbaarheidsniveaus onder het eIDAS-kader zijn Laag, Substantieel en Hoog. Het Hoge niveau vereist dat de identiteit is geverifieerd via een robuust proces, doorgaans met documentair bewijs en biometrische controles, en dat het authenticatiemechanisme dat wordt gebruikt om toegang te krijgen tot de wallet bestand is tegen compromittering. Voor financiële instellingen die actief zijn in gereguleerde contexten is alleen het Hoge betrouwbaarheidsniveau doorgaans voldoende voor het onboarden van nieuwe klanten of het verlenen van toegang tot gevoelige accountfuncties.
Dit is een van de redenen waarom de EUDI-wallet een betekenisvolle stap voorwaarts vertegenwoordigt voor naleving in de financiële dienstverlening. Eerdere digitale identiteitsoplossingen varieerden sterk in betrouwbaarheidsniveaus en werden vaak niet formeel grensoverschrijdend erkend. De EUDI-wallet standaardiseert het Hoge betrouwbaarheidsniveau op Europees niveau, waardoor financiële instellingen een consistente en wettelijk erkende basis hebben om hun KYC-processen op te bouwen. Daarbij omvat verificatie door een relying party drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Hoe moeten financiële instellingen hun systemen voorbereiden op eIDAS 2.0 KYC?
Financiële instellingen moeten zich voorbereiden op eIDAS 2.0 KYC door hun huidige identiteitsverificatie-infrastructuur te auditeren, te identificeren waar op wallets gebaseerde attestaties bestaande controles kunnen vervangen of aanvullen, en ervoor te zorgen dat hun systemen attestaties op een standaardconforme manier kunnen accepteren en verwerken. Voorbereiding is geen eenmalig project, maar een gefaseerd proces dat technologie, naleving en operaties raakt.
Een praktische voorbereidingsaanpak omvat de volgende stappen:
- Auditeer je huidige KYC-proces om te identificeren welke stappen het verzamelen van identiteitsdocumenten, handmatige verificatie of herhaalde gegevensinvoer omvatten die door op wallets gebaseerde attributen kunnen worden vervangen.
- Breng jouw regelgevingsverplichtingen in kaart om te begrijpen welke KYC- en AML-vereisten de EUDI-wallet kan adresseren en welke aanvullende controles vereisen die verder gaan dan identiteitscontrole, inclusief de AVG-grondslag voor gegevensverwerking.
- Beoordeel je technische stack om te bepalen of jouw onboardingplatform kan integreren met op wallets gebaseerde attestatieflows via OID4VP en welke wijzigingen nodig zijn om mdoc- en SD-JWT VC-formaten te ondersteunen.
- Registreer je als relying party bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Leg daarbij per intended use vast welke attributen en attestaties worden gevraagd.
- Betrek je compliance- en juridische teams vroegtijdig om ervoor te zorgen dat op wallets gebaseerde verificatie is gedocumenteerd in jouw beleid en dat jouw risicoframework rekening houdt met het nieuwe identiteitsmodel, inclusief de grenzen van wat eIDAS 2.0 regelt ten opzichte van AML-verplichtingen.
- Plan voor interoperabiliteit door te overwegen hoe jouw systemen omgaan met klanten die arriveren met wallets uit verschillende lidstaten, aangezien de EUDI-wallet is ontworpen om grensoverschrijdend te werken.
Organisaties die dit proces nu starten, hebben een aanzienlijk voordeel. Implementatietijdlijnen voor wijzigingen in identiteitsinfrastructuur zijn zelden kort, en wallet-gereedheid inbouwen in bestaande digitale transformatieprogramma’s is veel efficiënter dan het er later aan toevoegen. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn uitgezonderd van de private acceptatieplicht onder artikel 5f.
Wanneer moeten financiële instellingen voldoen aan eIDAS 2.0?
De nalevingstijdlijn voor eIDAS 2.0 kent twee belangrijke momenten. Uiterlijk op 24 december 2026 moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet beschikbaar hebben gesteld aan burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit is de deadline voor walletuitgifte en publieke acceptatie. Voor financiële instellingen als private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen en acceptatie vóór de eigen deadline kan worden getest. De datum van 24 december 2026 is een deadline voor notificatie en uitgifte, geen garantie dat volledige functionele interoperabiliteit in de hele EU op dat moment bestaat.
De acceptatieplicht voor gereguleerde private partijen, waaronder banken en financiële dienstverleners, gaat in op 24 december 2027. Deze verplichting geldt op grond van artikel 5f van de verordening, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Het gaat daarbij om een uiterste datum, geen garantie dat elke organisatie of lidstaat de wallet op precies die datum volledig operationeel heeft. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd.
De nalevingstijdlijn is geen enkelvoudige harde deadline, maar een doorlopende verplichting die samenhangt met de uitrol van wallets per lidstaat. Financiële instellingen mogen echter niet wachten op die uitrolprocessen om hun voorbereiding te beginnen. De technische en organisatorische wijzigingen die nodig zijn om op wallets gebaseerde attestaties te accepteren kosten tijd, en instellingen die wachten lopen zowel het risico op nalevingstekorten als op concurrentienadeel naarmate de adoptie van wallets versnelt.
eIDAS 2.0-naleving heeft ook raakvlakken met andere regelgevingstijdlijnen. De AMLR wordt naar verwachting van toepassing in juli 2027 en stuurt aan op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. Dit is een verwante, maar afzonderlijke verplichting ten opzichte van de acceptatieplicht uit eIDAS 2.0. Financiële instellingen die hun KYC-infrastructuur nu afstemmen op eIDAS 2.0 zullen ook beter gepositioneerd zijn om aan die vereisten te voldoen.
Hoe de ID Connector van TrustTech financiële instellingen ondersteunt bij eIDAS 2.0 KYC
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor financiële instellingen die hun KYC-processen willen afstemmen op eIDAS 2.0 ondersteunt de ID Connector de volgende technische taken:
- Verificatie tegen trusted lists: de ID Connector valideert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list, conform ETSI TS 119 612 en de EU List of Trusted Lists.
- Controle van intrekkingsstatus: de ID Connector controleert via statusinformatie van de uitgever of een attestatie nog geldig is op het moment van presentatie.
- Validatie van de wallet unit attestation: de ID Connector stelt vast dat de presenterende wallet draait op een gecertificeerde wallet solution, wat noodzakelijk is voor een volledige verificatie.
- Bewaking van de geregistreerde attributenscope: de ID Connector ondersteunt het opvragen van uitsluitend de attributen en attestaties die zijn vastgelegd in de registratie onder CIR (EU) 2025/848, zodat verzoeken binnen de geregistreerde scope blijven.
- Hergebruik van geverifieerde identiteitsdata: de ID Connector maakt het mogelijk dat geverifieerde klantgegevens vertrouwd worden hergebruikt over producten en diensten heen, wat herbruikbare KYC-flows ondersteunt.
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector koppelt identiteit aan toestemming, goedkeuring en transactie met een volledig auditspoor, waarbij een gekwalificeerde elektronische handtekening tot stand komt via een gekwalificeerde vertrouwensdienstverlener.
De ID Connector is relevant voor financiële dienstverlening, gezondheidszorg, farmacie en overheid. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw KYC-infrastructuur en nalevingstijdlijn.