Hoe verhoudt eIDAS 2.0 zich tot de NIST-richtlijnen voor digitale identiteit?

eIDAS 2.0 en de NIST-richtlijnen voor digitale identiteit (NIST SP 800-63) delen hetzelfde doel: digitale identiteit betrouwbaar en veilig maken, maar ze hanteren fundamenteel verschillende benaderingen. eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, is een bindende EU-verordening die van toepassing is op alle lidstaten en de Europese Digitale Identiteitswallet introduceert. NIST SP 800-63 is een vrijwillig technisch kader dat door het Amerikaanse National Institute of Standards and Technology is gepubliceerd, primair voor federale agentschappen, en breed wordt toegepast in de private sector. Organisaties die actief zijn op zowel de Europese als de Amerikaanse markt moeten begrijpen hoe deze kaders zich tot elkaar verhouden en waar afstemming mogelijk is.

Wat zijn de belangrijkste structurele verschillen tussen eIDAS 2.0 en NIST SP 800-63?

Het meest fundamentele verschil is de juridische autoriteit. eIDAS 2.0 is een EU-verordening met rechtstreekse werking in alle 27 lidstaten. Organisaties die digitale identiteitsdiensten aanbieden of gebruiken binnen de EU moeten hieraan voldoen. NIST SP 800-63 is een set vrijwillige richtlijnen, primair ontworpen voor federale agentschappen, maar breed gerefereerd in sectoren en geografieën als een best-practice-standaard.

Naast hun juridische status verschillen de twee kaders in reikwijdte en structuur. eIDAS 2.0 bestrijkt het volledige ecosysteem van digitale identiteit, inclusief vertrouwensdiensten zoals elektronische handtekeningen, elektronische zegels, tijdstempels en de EUDI-wallet. Het definieert ook rollen zoals relying parties, wallet-aanbieders en gekwalificeerde verleners van vertrouwensdiensten. NIST SP 800-63 richt zich specifiek op identiteitsverificatie, authenticatie en federatie, en is georganiseerd in drie afzonderlijke documenten die elk van deze gebieden diepgaand behandelen.

Een ander structureel verschil is de rol van de wallet. eIDAS 2.0 introduceert de EUDI-wallet als centraal mechanisme voor burgers en bedrijven om digitale identiteitsattributen en attestaties op te slaan en te delen. NIST heeft geen equivalent walletconcept in zijn huidige kader, hoewel de authenticatierichtlijnen betrekking hebben op credentialbeheer en gefedereerde identiteit op manieren die conceptueel verwant zijn.

Hoe verhouden de identiteitszekerheidsniveaus van eIDAS 2.0 en NIST zich tot elkaar?

Beide kaders maken gebruik van een gelaagd zekerheidmodel, maar de niveaus worden anders gedefinieerd. eIDAS 2.0 definieert drie zekerheidsniveaus: Laag, Substantieel en Hoog. NIST SP 800-63 gebruikt Identity Assurance Levels (IAL), Authenticator Assurance Levels (AAL) en Federation Assurance Levels (FAL), elk met drie niveaus. De structuren lopen parallel, maar de criteria en terminologie zijn niet direct uitwisselbaar.

Op hoofdlijnen is eIDAS Hoog breed vergelijkbaar met NIST IAL3 en AAL3, waarbij persoonlijke of begeleide externe identiteitsverificatie en sterke op hardware gebaseerde authenticatie vereist zijn. eIDAS Substantieel komt ruwweg overeen met NIST IAL2 en AAL2, die externe identiteitsverificatie met documentcontrole en meervoudige authenticatie toestaan. eIDAS Laag heeft de minst strenge vereisten en komt globaal overeen met NIST IAL1, waarbij de identiteit niet volledig wordt geverifieerd.

De belangrijke nuance is dat deze vergelijkingen bij benadering zijn. De specifieke technische vereisten binnen elk niveau verschillen tussen de twee kaders, en een dienst die voldoet aan NIST IAL2 voldoet niet automatisch aan eIDAS Substantieel, of omgekeerd. Organisaties die actief zijn in beide regelgevingsomgevingen moeten een gapanalyse uitvoeren in plaats van directe gelijkwaardigheid aan te nemen.

Is eIDAS 2.0 of NIST van toepassing op jouw organisatie?

Of eIDAS 2.0, NIST SP 800-63 of beide van toepassing zijn op jouw organisatie, hangt af van waar je actief bent en welke diensten je aanbiedt. eIDAS 2.0 is van toepassing op elke organisatie die digitale diensten aanbiedt binnen de EU, met name die welke afhankelijk zijn van elektronische identificatie of vertrouwensdiensten. NIST SP 800-63 is rechtstreeks van toepassing op Amerikaanse federale agentschappen en wordt vrijwillig overgenomen door organisaties in de private sector, met name in de financiële sector, de gezondheidszorg en de technologie.

Hier is een praktische manier om te bepalen welk kader van toepassing is:

• In de EU gevestigde organisaties die openbare of private digitale diensten aanbieden, moeten voldoen aan eIDAS 2.0, vooral als ze verplicht zijn de EUDI-wallet te accepteren als identificatiemiddel.
• Amerikaanse federale agentschappen moeten NIST SP 800-63 volgen als verplichte standaard voor hun digitale identiteitsprogramma’s.
• Multinationale organisaties die actief zijn in zowel de EU als de VS, moeten mogelijk aan beide kaders voldoen, afhankelijk van de diensten die ze aanbieden en de rechtsgebieden die ze bedienen.
• Private sectororganisaties buiten de EU nemen NIST vaak vrijwillig over als geloofwaardige benchmark voor hun identiteits- en authenticatiepraktijken.

Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg kunnen beide kaders relevant zijn, zelfs als slechts één ervan strikt verplicht is. Het gebruik van beide als referentiepunten kan helpen een robuustere en internationaal erkende identiteitszekerheidspositie op te bouwen.

Hoe past de EUDI-wallet in de vergelijking tussen eIDAS 2.0 en NIST?

De EUDI-wallet is een uniek element van eIDAS 2.0 dat geen direct equivalent heeft in het NIST-kader. Onder eIDAS 2.0 is elke EU-lidstaat verplicht uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen aan burgers, inwoners en bedrijven. Vanaf die datum moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Met deze wallets kunnen gebruikers geverifieerde identiteitsattributen en attestaties opslaan, deze via selective disclosure delen met diensten en ze gebruiken voor authenticatie en ondertekening over grenzen heen.

NIST SP 800-63 definieert geen walletarchitectuur. De federatierichtlijnen (FAL) beschrijven hoe identiteitsbeweringen tussen systemen kunnen worden doorgegeven, maar het concept van een door de gebruiker beheerde, draagbare credential-wallet maakt geen deel uit van het NIST-model. De EUDI-wallet introduceert daarmee een paradigma in identiteitsinfrastructuur dat verder gaat dan wat zowel de oorspronkelijke eIDAS-verordening als NIST eerder heeft behandeld.

Voor organisaties die zich voorbereiden op de EUDI-wallet betekent dit dat afstemming op NIST alleen niet voldoende is. De wallet introduceert specifieke technische vereisten rond verifieerbare attestaties, selective disclosure en wallet-naar-dienst-protocollen die zijn vastgelegd in de uitvoeringshandelingen van eIDAS 2.0 en het Architecture and Reference Framework dat door de EU is ontwikkeld.

Kunnen organisaties tegelijkertijd voldoen aan zowel eIDAS 2.0 als NIST-richtlijnen?

Ja, organisaties kunnen tegelijkertijd voldoen aan zowel eIDAS 2.0 als NIST SP 800-63, en in veel gevallen is dit een praktische aanpak voor multinationale organisaties. De twee kaders zijn niet tegenstrijdig. Ze delen onderliggende principes rond identiteitsverificatie, authenticatiesterkte en risicogebaseerde zekerheid, ook al verschillen hun specifieke vereisten en terminologie.

Een praktisch pad naar dubbele afstemming omvat doorgaans de volgende stappen:

1. Breng je zekerheidsniveaus in kaart: Identificeer welke NIST IAL- en AAL-niveaus het nauwst aansluiten bij de eIDAS-zekerheidsniveaus die voor jouw diensten vereist zijn.
2. Voer een gapanalyse uit: Vergelijk de specifieke technische vereisten van elk kader op het relevante zekerheidsniveau om te identificeren waar ze uiteenlopen.
3. Neem de strengere eis over waar ze conflicteren: In de meeste gevallen voldoet het voldoen aan de hogere standaard aan beide kaders.
4. Behandel EUDI-wallet-specifieke vereisten afzonderlijk: Deze zijn uniek voor eIDAS 2.0 en vereisen specifieke technische voorbereiding die verder gaat dan wat NIST dekt.
5. Documenteer je compliancemapping: Houd duidelijke registraties bij van hoe jouw identiteitsprocessen aan beide kaders voldoen, wat audits en regelgevingsbeoordelingen ondersteunt.

Organisaties met een sterke gestructureerde aanpak van digitale identiteit zullen merken dat bouwen naar de hogere eIDAS Hoog- of NIST AAL3-standaard een basis creëert die voldoet aan de meeste vereisten van beide kaders.

Wat moeten Europese organisaties prioriteren bij het vergelijken van deze kaders?

Europese organisaties moeten eIDAS 2.0-naleving als hun primaire verplichting behandelen, terwijl ze NIST SP 800-63 gebruiken als nuttige referentie voor het versterken van hun identiteitspraktijken. Omdat eIDAS 2.0 bindend EU-recht is met rechtstreekse werking, stelt het de nalevingsbasislijn vast. NIST is een vrijwillig kader dat diepgang en internationale geloofwaardigheid kan toevoegen aan jouw identiteitszekerheidsbenadering, maar het vervangt de eIDAS-verplichtingen niet.

De meest urgente prioriteiten voor Europese organisaties zijn:

• Begrijpen welke eIDAS 2.0-verplichtingen van toepassing zijn op jouw specifieke rol in het ecosysteem van digitale identiteit, of dat nu als relying party, wallet-aanbieder of verlener van vertrouwensdiensten is.
• Systemen voorbereiden om de EUDI-wallet te accepteren als geldig identificatiemiddel. Publieke instanties moeten genotificeerde wallets vanaf 24 december 2026 accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg, telecom, energie en transport geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn uitgezonderd. Voor Very Large Online Platforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
• Huidige identiteitsverificatie- en authenticatieprocessen toetsen aan de eIDAS-zekerheidsniveauvereisten.
• Kennismaken met de technische specificaties die zijn gepubliceerd in het Architecture and Reference Framework om de interoperabiliteitsvereisten van de wallet te begrijpen.
• Registratie als relying party bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848, vastgesteld op 6 mei 2025, voordat walletdata kan worden opgevraagd. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Verzoeken buiten deze geregistreerde scope kunnen door de wallet worden geweigerd.

NIST-richtlijnen blijven waardevol voor organisaties die hun praktijken willen benchmarken aan een wereldwijd erkende standaard, met name bij het bedienen van Amerikaanse klanten of het opereren in sectoren waar NIST breed wordt gerefereerd. Voor overheidsorganisaties en publieke sector-instanties kunnen beide kaders bijdragen aan een meer omvattende digitale identiteitsstrategie.

Hoe de ID Connector van TrustTech relying parties ondersteunt

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die werken aan afstemming op eIDAS 2.0 ondersteunt de ID Connector een aantal concrete technische taken die centraal staan in wallet-gebaseerde verificatie.

De ID Connector biedt:

• Verificatie tegen nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat de handtekening van de uitgever van een attestatie correct wordt gevalideerd.
• Controle van intrekkingsstatus via statusinformatie van de uitgever, als aanvulling op handtekeningverificatie.
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution.
• Bewaking van de geregistreerde attributenscope, zodat alleen de attributen en attestaties worden opgevraagd die zijn vastgelegd in de registratie onder CIR (EU) 2025/848.
• Hergebruik van geverifieerde identiteitsdata voor onboarding en doorlopende dienstverlening, op basis van PID-attributen en gekwalificeerde attestaties (QEAA).
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening tot stand komt via een gekwalificeerde verlener van vertrouwensdiensten.

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar de vereisten voor identiteitszekerheid het hoogst zijn en waar zowel de publieke als de private acceptatieplicht onder eIDAS 2.0 van toepassing is.

Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw digitale identiteitsinfrastructuur.