eIDAS 2.0 verschilt van de oorspronkelijke eIDAS-verordening voornamelijk doordat Verordening (EU) 2024/1183 de Europese Digitale Identiteitswallet introduceert, het kader uitbreidt naar private sectordiensten, en nieuwe verplichtingen schept voor lidstaten om interoperabele digitale identiteitsoplossingen aan te bieden aan alle burgers en bedrijven. Waar de oorspronkelijke eIDAS gericht was op wederzijdse erkenning van nationale eID-stelsels en elektronische handtekeningen, bouwt eIDAS 2.0 een uitgebreider en door gebruikers gecontroleerd digitaal identiteitsecosysteem in de hele EU.
De oorspronkelijke verordening, van kracht sinds 2016, legde een belangrijke basis maar liet aanzienlijke lacunes in dekking en adoptie. Verordening (EU) 2024/1183, in werking getreden op 20 mei 2024, wijzigt Verordening (EU) 910/2014 en pakt die lacunes direct aan. De onderstaande secties behandelen de meest gestelde vragen van organisaties die proberen te begrijpen wat er is veranderd en wat dit voor hen betekent.
Wat veranderde er tussen eIDAS en eIDAS 2.0?
De oorspronkelijke eIDAS-verordening stond EU-lidstaten toe elkaars nationale elektronische ID-stelsels te notificeren en wederzijds te erkennen, maar verplichtte niet elk land er een te maken. Dit leidde tot aanzienlijke verschillen binnen de EU, waarbij sommige lidstaten volwassen eID-oplossingen aanboden en andere nauwelijks iets. eIDAS 2.0 verandert dit fundamenteel door digitale identiteitsvoorziening verplicht te stellen en door een gemeenschappelijke standaard in te voeren die geldt voor zowel de publieke als de private sector.
De belangrijkste verschuivingen van eIDAS naar eIDAS 2.0 kunnen als volgt worden samengevat:
- Verplichte wallets: Elke lidstaat moet een EUDI-wallet aanbieden aan burgers, inwoners en bedrijven. De deadline voor uitgifte en publieke acceptatie is 24 december 2026.
- Inclusie van de private sector: Aangewezen gereguleerde private partijen zijn op grond van artikel 5f verplicht de EUDI-wallet te accepteren voor authenticatie, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms (VLOP’s) vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De relevante deadline voor private relying parties is 24 december 2027.
- Uitgebreide attribuutuitwisseling: Gebruikers kunnen geverifieerde attestaties delen die verder gaan dan identiteit, zoals kwalificaties, vergunningen en gezondheidsgegevens.
- Sterkere gebruikerscontrole: Gebruikers bepalen welke gegevens ze delen, met wie en wanneer. Selective disclosure beperkt onnodige gegevensverstrekking.
- Nieuwe categorieën vertrouwensdiensten: eIDAS 2.0 introduceert aanvullende gekwalificeerde vertrouwensdiensten, waaronder elektronische attesteringen van attributen, elektronische archivering en elektronische registers.
De oorspronkelijke eIDAS legde een fundament. eIDAS 2.0 wijzigt die verordening ingrijpend en voegt verplichtingen toe die in het oorspronkelijke kader ontbraken.
Wat is de Europese Digitale Identiteitswallet en waarom werd deze geïntroduceerd?
De EUDI-wallet is een beveiligde applicatie waarmee EU-burgers, inwoners en bedrijven geverifieerde identiteitsgegevens en digitale attestaties kunnen opslaan, beheren en presenteren. Ze kan van alles bevatten, van een nationaal identiteitsbewijs en rijbewijs tot professionele kwalificaties en zorggegevens. Gebruikers delen via selective disclosure alleen de informatie die strikt noodzakelijk is voor een bepaalde interactie.
De wallet werd geïntroduceerd omdat het oorspronkelijke eIDAS-kader een ongelijk landschap opleverde. Niet alle lidstaten bouwden interoperabele eID-systemen, en degenen die dat wel deden, beperkten ze vaak tot gebruik in de publieke sector. Burgers werden herhaaldelijk gevraagd dezelfde gegevens aan verschillende organisaties te bewijzen. De EUDI-wallet lost dit op door een draagbare en grensoverschrijdende identiteitslaag te creëren die werkt over grenzen en sectoren heen.
Uiterlijk op 24 december 2026 zijn lidstaten verplicht minimaal één gecertificeerde wallet solution beschikbaar te stellen. De wallet kan rechtstreeks door overheden worden uitgegeven of door private entiteiten die officiële erkenning ontvangen. De referentie-implementatie is openbaar beschikbaar op basis van open-source principes, zodat lidstaten er hun eigen wallet solutions op kunnen ontwikkelen.
Het is belangrijk onderscheid te maken tussen de wallet solution (het gecertificeerde product van de wallet provider), de wallet instance (de app zoals geïnstalleerd op het toestel van een individuele gebruiker) en de wallet unit (de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de sleutels zich bevinden). Privésleutels van PID en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties opnieuw uitgegeven in plaats van gekopieerd.
Voor organisaties in sectoren zoals financiële dienstverlening of overheid vertegenwoordigt de wallet een concrete verschuiving in hoe identiteitsverificatie en onboarding in de nabije toekomst zullen werken.
Hoe breidt eIDAS 2.0 het toepassingsgebied uit voorbij overheidsdiensten?
eIDAS 2.0 breidt het digitale identiteitskader expliciet uit naar private sectordiensten. Op grond van artikel 5f moeten aangewezen gereguleerde private partijen, waaronder banken, telecombedrijven, zorgaanbieders en energiebedrijven, de EUDI-wallet accepteren als middel voor gebruikersauthenticatie, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De relevante deadline voor deze private acceptatieplicht is 24 december 2027. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd: dat zijn organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
De praktische implicaties zijn aanzienlijk. Een persoon zou zijn wallet kunnen gebruiken om een bankrekening te openen, een simkaart te registreren, toegang te krijgen tot gezondheidszorgdiensten, contracten te ondertekenen of zijn leeftijd te verifiëren voor een onlineplatform, zonder nieuwe accounts aan te maken of documenten herhaaldelijk in te dienen.
Elke relying party die walletdata wil opvragen, moet zich op grond van CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Nationale registers van relying parties zijn iets anders dan de nationale trusted lists die worden gebruikt voor verificatie van uitgevers.
De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Ze testten praktijkgerichte gebruiksscenario’s bij meer dan 350 deelnemende entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne. Het consortium POTENTIAL richtte zich op overheidsdiensten, het openen van bankrekeningen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. DC4EU onderzocht onderwijs en sociale zekerheid. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. NOBID focuste op betalingen. De feedback uit deze pilots heeft de technische specificaties en architectuur beïnvloed die ten grondslag liggen aan het definitieve wallet-ontwerp. In 2025 startte een tweede pilotgolf: WE BUILD richt zich op business wallets en betalingen, en APTITUDE op reizen, ticketing, voertuigregistratie en betalingen.
Voor organisaties in de gezondheidszorg of gereguleerde sectoren betekent deze uitbreiding dat de wallet een inkomend kanaal is waarlangs klanten en patiënten verwachten te communiceren.
Wat zijn gekwalificeerde elektronische attesteringen van attributen (QEAA’s)?
Gekwalificeerde elektronische attesteringen van attributen (QEAA’s) zijn een nieuw type vertrouwensdienst dat door eIDAS 2.0 wordt geïntroduceerd. Het zijn digitaal ondertekende verklaringen, afgegeven door een gekwalificeerde vertrouwensdienstverlener, die specifieke kenmerken van een persoon of organisatie bevestigen. Voorbeelden zijn een geverifieerde beroepskwalificatie, een bevestigd adres of een door een werkgever afgegeven referentie. Een QEAA biedt een hoog niveau van juridische en technische zekerheid.
Naast QEAA’s kent eIDAS 2.0 ook PuB-EAA’s, afgegeven door of namens publieke instanties, en non-qualified EAA’s. PuB-EAA’s vallen niet onder de non-qualified categorie. Het onderscheid is relevant voor relying parties die moeten bepalen welk type attestatie voor hun gebruiksscenario passend is.
Dit concept bestond niet in het oorspronkelijke eIDAS-kader, dat zich voornamelijk richtte op identiteitsauthenticatie en elektronische handtekeningen. QEAA’s vullen een lacune op door organisaties in staat te stellen geverifieerde gegevens te delen en te accepteren die verder gaan dan identiteit.
Binnen de EUDI-wallet kunnen gebruikers QEAA’s opslaan naast hun identiteitsdocumenten en ze op verzoek aan relying parties presenteren. Een ziekenhuis kan een QEAA afgeven ter bevestiging van de gegevens van een arts. Een universiteit kan er een afgeven ter bevestiging van een diploma. Een overheidsinstantie kan een bedrijfsvergunning bevestigen. Elk van deze attestaties is cryptografisch verifieerbaar en overdraagbaar over grenzen heen.
Een relying party heeft voor walletacceptatie niet automatisch een QTSP nodig. Een QTSP komt in beeld bij het uitgeven of accepteren van gekwalificeerde attestaties of het faciliteren van een gekwalificeerde elektronische handtekening.
Voor compliance-teams en managers digitale transformatie vertegenwoordigen QEAA’s een betekenisvolle verschuiving in hoe geverifieerde gegevens tussen organisaties kunnen stromen, waardoor duplicatie wordt verminderd en het vertrouwen in de uitgewisselde gegevens wordt vergroot.
Hoe verschillen vertrouwensniveaus en zekerheidsniveaus tussen de twee kaders?
Zowel eIDAS als eIDAS 2.0 gebruiken een drietraps zekerheidsmodel: Laag, Substantieel en Hoog. Deze niveaus beschrijven hoe betrouwbaar een identiteit is geverifieerd voordat deze wordt gebruikt in een transactie. Hoe hoger het zekerheidsniveau, hoe grondiger het identiteitsverificatieproces dat werd gebruikt. Deze structuur blijft consistent tussen de twee kaders, maar eIDAS 2.0 past deze breder toe en koppelt ze aan een breder scala aan attestaties en vertrouwensdiensten.
Onder de oorspronkelijke eIDAS waren zekerheidsniveaus voornamelijk van toepassing op genotificeerde eID-stelsels die werden gebruikt voor toegang tot publieke diensten. Onder eIDAS 2.0 is hetzelfde zekerheidskader nu van toepassing op de EUDI-wallet en op de nieuwe categorieën vertrouwensdiensten, inclusief QEAA’s. Dit betekent dat een relying party kan vaststellen welk verificatieniveau ten grondslag ligt aan elke via de wallet gepresenteerde attestatie.
Verificatie van een walletpresentatie omvat meer dan het controleren van een cryptografische handtekening. Een volledige verificatie bestaat uit drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Voor de andere twee is contact met externe bronnen nodig. Nationale trusted lists worden bijgehouden volgens ETSI TS 119 612 en zijn toegankelijk via de EU List of Trusted Lists.
eIDAS 2.0 introduceert ook meer gedetailleerde technische vereisten voor het bereiken van elk zekerheidsniveau, ondersteund door uitvoeringshandelingen en het Architecture and Reference Framework (ARF). De uitvoeringshandelingen zijn juridisch bindend; het ARF bevat de technische uitwerking. Dit biedt organisaties duidelijkere richtlijnen over wat ze moeten doen om attestaties op een bepaald niveau uit te geven of te accepteren.
Voor risico- en beveiligingsprofessionals is de praktische conclusie dat het zekerheidsmodel zelf vertrouwd is, maar dat de toepassing ervan nu veel breder en beter gespecificeerd is dan voorheen.
Wat betekent eIDAS 2.0 voor organisaties die moeten voldoen?
Voor organisaties in gereguleerde sectoren introduceert eIDAS 2.0 concrete verplichtingen en verandert het de verwachtingen die aan digitale identiteitsinfrastructuur worden gesteld. Lidstaten moeten uiterlijk op 24 december 2026 een gecertificeerde wallet solution aanbieden. Publieke instanties moeten genotificeerde EUDI-wallets vanaf die datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Aangewezen gereguleerde private partijen, zoals banken, telecombedrijven, zorgaanbieders en energiebedrijven, moeten de EUDI-wallet accepteren uiterlijk op 24 december 2027, op grond van artikel 5f, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor VLOP’s geldt de verplichting op grond van een afzonderlijke bepaling van artikel 5f, waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd. Vertrouwensdienstverleners moeten voldoen aan bijgewerkte vereisten. Relying parties moeten zich registreren op grond van CIR (EU) 2025/848 bij de nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd.
Het compliance-landschap is breder dan eIDAS 2.0 alleen. Organisaties navigeren tegelijkertijd door de AVG, AML, KYC, PSD2 en de inkomende AMLR-vereisten, die richting juli 2027 eveneens aansturen op identiteitsverificatie via genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. eIDAS 2.0 wijzigt deze kaders niet, maar heeft er raakvlakken mee. Hergebruik van KYC-verificaties wordt bepaald door AML-regelgeving en sectorale regels, niet door eIDAS zelf. Een goed ontworpen digitale identiteitsinfrastructuur kan helpen aan vereisten van meerdere regelgevingen tegelijk te voldoen.
Walletgebruik is vrijwillig. Artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Organisaties mogen wallet-acceptatie niet als enige toegangsweg aanbieden. Goedkeuring van een dataverzoek in de wallet is bovendien niet hetzelfde als toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting als grondslag doorgaans relevant. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Belangrijke acties die organisaties zouden moeten overwegen:
- Beoordeel je huidige identiteitsinfrastructuur aan de hand van eIDAS 2.0-vereisten en identificeer lacunes in zekerheidsniveaus, interoperabiliteit en attribuutverwerking.
- Breng je klantreizen in kaart om te begrijpen waar de EUDI-wallet relevant zal zijn, van onboarding en authenticatie tot goedkeuring van gegevensdeling en ondertekening.
- Volg de uitvoeringshandelingen en het ARF om te begrijpen hoe jouw sectorspecifieke gebruiksscenario’s worden uitgewerkt. De eerste vijf kernuitvoeringshandelingen zijn eind 2024 aangenomen. Een tweede golf volgt in 2025.
- Plan voor herbruikbare identiteitsstromen zodat zodra een gebruiker eenmaal is geverifieerd, die verificatie vertrouwd en hergebruikt kan worden bij alle interacties, binnen de grenzen van AML-regelgeving en sectorale regels.
- Stem compliance- en technologieteams op elkaar af zodat regelgevingsvereisten en technische implementatiebeslissingen samen worden genomen.
Organisaties die nu beginnen met voorbereiden, zijn beter gepositioneerd om de deadlines van 24 december 2026 en 24 december 2027 te halen. Je kunt praktische hulpbronnen verkennen ter ondersteuning van jouw voorbereiding.
Hoe ondersteunt de ID Connector van TrustTech relying parties bij eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken:
- Verificatie van uitgevershandtekeningen tegen nationale trusted lists, toegankelijk via de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de toepasselijke AVG-grondslag en sectorale regels
- Gekwalificeerd tekenen via een aangesloten QTSP, voor gebruiksscenario’s waarbij een gekwalificeerde elektronische handtekening vereist is
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die voor 24 december 2026 of 24 december 2027 wallet-acceptatie operationeel moeten hebben. Het platform bevindt zich tussen de partijen die met elkaar moeten communiceren, zonder een van hen te bezitten, en vormt daarmee een neutrale laag voor identiteit, attestaties en ondertekening.
Wil je weten wat eIDAS 2.0 specifiek betekent voor jouw organisatie? Neem contact op met TrustTech en start het gesprek.