eIDAS 2.0 regelt identiteitsverificatie op afstand door individuen in staat te stellen hun identiteit volledig online te bewijzen, zonder dat zij een fysieke locatie hoeven te bezoeken. Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en in de praktijk eIDAS 2.0 wordt genoemd, definieert geaccepteerde methoden, stelt betrouwbaarheidsniveaus vast en introduceert de EUDI-wallet als gestandaardiseerd hulpmiddel voor identificatie op afstand binnen de EU. Dit artikel behandelt de belangrijkste vragen die organisaties moeten begrijpen om zich op deze veranderingen voor te bereiden.
Welke methoden accepteert eIDAS 2.0 voor identiteitsverificatie op afstand?
eIDAS 2.0 schrijft geen specifieke technische methode voor identiteitsverificatie op afstand voor, maar vereist dat de gekozen aanpak voldoet aan het betrouwbaarheidsniveau dat voor het beoogde gebruik is vereist. In de praktijk worden chip-gebaseerd documentlezen via NFC, biometrische levensechtheidsdetectie, video-identificatie en herbruikbare digitale identiteiten uitgegeven door gekwalificeerde aanbieders breed ingezet.
De meest robuuste identificatiemethoden op afstand combineren twee elementen: het verifiëren van de authenticiteit van een identiteitsdocument en het bevestigen dat de persoon die het presenteert fysiek aanwezig is. NFC-paspoortchiplezen stelt een apparaat in staat om de gegevens die zijn opgeslagen in de chip van een document cryptografisch te verifiëren, wat vervalsing aanzienlijk moeilijker maakt. Biometrische levensechtheidsdetectie voegt een tweede laag toe door te bevestigen dat de gebruiker een echte, levende persoon is en geen foto of opname.
Video-identificatie, waarbij een getrainde medewerker of een geautomatiseerd systeem een live sessie beoordeelt, wordt ook geaccepteerd onder eIDAS 2.0 wanneer het aan de vereiste normen voldoet. Herbruikbare digitale identiteiten spelen een steeds grotere rol: zodra een persoon is geverifieerd door een vertrouwde aanbieder, kan die geverifieerde identiteit worden hergebruikt voor diensten zonder het volledige verificatieproces opnieuw te doorlopen. De verordening stelt de kwaliteitseisen waaraan het resultaat moet voldoen; de keuze van de technische invulling blijft een implementatiebeslissing.
Welke betrouwbaarheidsniveaus gelden voor identificatie op afstand onder eIDAS 2.0?
eIDAS 2.0 definieert drie betrouwbaarheidsniveaus voor identiteitsverificatie: Laag, Substantieel en Hoog. Identificatie op afstand kan elk van deze niveaus bereiken, afhankelijk van de gebruikte methode en de sterkte van het identiteitscontroleerproces. De meeste gereguleerde diensten, zoals bankieren of toegang tot gezondheidszorg, vereisen Substantieel of Hoog.
Het betrouwbaarheidsniveau weerspiegelt hoe zeker een relying party kan zijn dat de persoon die een identiteit claimt ook daadwerkelijk die persoon is. Dit is wat elk niveau betekent in een context op afstand:
- Laag: Basisinformatie op eigen verklaring, geschikt voor diensten met een laag risico en minimale identiteitsvereisten.
- Substantieel: Geverifieerde identiteit met behulp van betrouwbare documenten of attestaties, met bescherming tegen vervalsing en identiteitsfraude. Dit niveau omvat veel commerciële en overheidsdiensten.
- Hoog: Het sterkste niveau, dat cryptografische verificatie en robuuste levensechtheidscontroles vereist. Vereist voor toegang tot gevoelige overheidsdiensten, financiële producten of medische dossiers op afstand.
Het bereiken van Hoog vertrouwen op afstand vereist doorgaans NFC-chiplezen gecombineerd met biometrische verificatie, of het gebruik van een gekwalificeerde elektronische identiteit uitgegeven door een erkende vertrouwensdienstverlener. Organisaties in de financiële dienstverlening en gezondheidszorg zullen dit niveau het meest nodig hebben voor hun digitale onboardingprocessen. De verordening bepaalt welk niveau vereist is; de keuze van de technische invulling blijft een implementatiebeslissing.
Hoe maakt de EUDI-wallet identiteitsverificatie op afstand mogelijk?
De EUDI-wallet maakt identiteitsverificatie op afstand mogelijk door gebruikers een veilige, gestandaardiseerde digitale omgeving te bieden voor hun geverifieerde identiteitsattributen en attestaties. Bij het op afstand toegang krijgen tot een dienst kunnen gebruikers via selective disclosure alleen de specifiek vereiste informatie delen, zoals leeftijd, nationaliteit of een geverifieerde kwalificatie, zonder onnodige persoonsgegevens prijs te geven.
De EUDI-wallet is ontworpen om in alle EU-lidstaten te werken. Een persoon die in één land is geverifieerd, kan zijn wallet gebruiken om in een ander land toegang te krijgen tot diensten zonder het identificatieproces te herhalen. Deze interoperabiliteit is een van de structurele voordelen van de wallet voor organisaties die grensoverschrijdend actief zijn, al is volledige functionele interoperabiliteit in de hele EU niet automatisch gerealiseerd op 24 december 2026.
Vanuit technisch oogpunt slaat de wallet unit attestaties op die cryptografisch zijn ondertekend door vertrouwde uitgevers, zoals overheden of gekwalificeerde vertrouwensdienstverleners. Wanneer een gebruiker op afstand een attestatie presenteert, voert de ontvangende relying party drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
De vier Large Scale Pilots, EWC, POTENTIAL, NOBID en DC4EU, liepen van april 2023 tot 2025 en testten deze scenario’s in de praktijk. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. POTENTIAL testte overheidsdiensten, het openen van bankrekeningen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. NOBID concentreerde zich op betalingen en DC4EU op onderwijs en sociale zekerheid. Deze pilots zijn afgerond. Een tweede pilotgolf, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen, startte in 2025. Op 24 december 2026 zijn lidstaten verplicht om gecertificeerde EUDI-wallets beschikbaar te stellen aan burgers, inwoners en bedrijven, en moeten publieke instanties deze wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is.
Wat is het verschil tussen verificatie op afstand onder eIDAS 1.0 en eIDAS 2.0?
Het belangrijkste verschil zit in de reikwijdte en standaardisatie. eIDAS 1.0 richtte zich voornamelijk op het mogelijk maken van grensoverschrijdende erkenning van nationale eID-stelsels tussen EU-lidstaten, maar deelname was grotendeels optioneel en ongelijkmatig. Verordening (EU) 2024/1183 wijzigt Verordening (EU) nr. 910/2014, maakt digitale identiteitsinfrastructuur verplicht, breidt deze uit naar de private sector en introduceert de EUDI-wallet als gestandaardiseerd hulpmiddel voor identiteitsverificatie op afstand. De oorspronkelijke verordening blijft van kracht; eIDAS 2.0 wijzigt deze.
Onder eIDAS 1.0 waren alleen overheidsdiensten verplicht om aangemelde eID’s van andere lidstaten te accepteren. Private organisaties, zoals banken of zorgaanbieders, vielen grotendeels buiten het toepassingsgebied van de verordening. Dit creëerde een gefragmenteerd landschap waarbij methoden voor identiteitsverificatie op afstand aanzienlijk verschilden per land en sector.
eIDAS 2.0 verandert dit op verschillende belangrijke manieren:
- Verplichte beschikbaarheid van de wallet: Elke lidstaat moet uiterlijk op 24 december 2026 een gecertificeerde EUDI-wallet aanbieden. Publieke instanties moeten de wallet vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is.
- Inclusie van de private sector: Gereguleerde private dienstverleners in sectoren zoals financiële dienstverlening, zorg, telecom, energie en transport moeten EUDI-wallets accepteren als geldige identificatiemethode wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Deze acceptatieplicht op grond van artikel 5f gaat in op 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken op vrijwillig verzoek van de gebruiker, voor de minimaal noodzakelijke gegevens, waar het platform gebruikersauthenticatie vereist.
- Herbruikbare attestaties: Geverifieerde attributen kunnen worden hergebruikt voor diensten, waardoor herhaalde verificatie wordt verminderd en de gebruikerservaring wordt verbeterd.
- Sterkere privacycontroles: Gebruikers hebben expliciete controle over welke gegevens ze delen en met wie, ondersteund door selective disclosure. Walletgebruik is vrijwillig; artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
- Bredere trust services: eIDAS 2.0 breidt de lijst van gekwalificeerde trust services uit, inclusief elektronische attestaties van attributen, die essentieel zijn voor verificatie van attestaties op afstand.
Voor organisaties die hun verificatieprocessen op afstand al hebben opgebouwd rond eIDAS 1.0, vertegenwoordigen deze wijzigingen een aanzienlijke uitbreiding van zowel mogelijkheden als nalevingsvereisten. Een relying party die walletdata wil opvragen, moet zich bovendien registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848, en per intended use vastleggen welke attributen en attestaties worden opgevraagd. Verzoeken buiten de geregistreerde scope kunnen door de wallet worden geweigerd.
Welke sectoren worden het meest beïnvloed door de regels voor identiteitsverificatie op afstand van eIDAS 2.0?
De sectoren die het meest worden beïnvloed door de regels voor identiteitsverificatie op afstand van eIDAS 2.0 zijn financiële dienstverlening, overheid, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, evenals zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU. Deze sectoren verwerken gevoelige gegevens, opereren onder strikte nalevingskaders en hebben contact met grote aantallen gebruikers die betrouwbaar moeten worden geïdentificeerd voordat ze toegang krijgen tot diensten.
Organisaties in de financiële dienstverlening, waaronder banken, verzekeraars en betalingsdienstverleners, worden direct getroffen omdat KYC-, AML- en PSD2-vereisten al een sterke identiteitscontrole vereisen. eIDAS 2.0 introduceert nieuwe verplichtingen rond het accepteren van EUDI-wallet-attestaties en het afstemmen van verificatieprocessen op afstand op bijgewerkte betrouwbaarheidsnormen. Gereguleerde private partijen in deze sectoren moeten de EUDI-wallet accepteren wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is, met als deadline 24 december 2027 op grond van artikel 5f. Hergebruik van KYC-verificatie wordt daarbij mede bepaald door AML-regelgeving en sectorale regels; eIDAS 2.0 regelt dat niet zelfstandig. Organisaties in overheidsdiensten moeten hun digitale diensten wallet-compatibel maken en ervoor zorgen dat burgers er op afstand toegang toe kunnen krijgen op het juiste betrouwbaarheidsniveau, uiterlijk per 24 december 2026.
Organisaties in de gezondheidszorg en farmaceutische sector staan voor vergelijkbare uitdagingen, met name rond patiëntidentificatie, toegang tot e-recepten en toestemmingsbeheer. Identificatie op afstand op Hoog vertrouwensniveau wordt steeds meer verwacht wanneer gevoelige gezondheidsgegevens of medische beslissingen betrokken zijn. Voor de verwerking van gezondheidsgegevens is naast een grondslag onder artikel 6 AVG ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist.
Buiten deze sectoren worden ook werving en grensoverschrijdende dienstverleners beïnvloed. Het op afstand verifiëren van arbeidsgeschiktheid, academische kwalificaties of beroepslicenties wordt betrouwbaarder en efficiënter onder eIDAS 2.0, dankzij attestaties opgeslagen in de EUDI-wallet. De juridische erkenning van beroepskwalificaties volgt echter uit Richtlijn 2005/36/EG; de wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
Wat moeten organisaties doen om zich voor te bereiden op de vereisten voor verificatie op afstand van eIDAS 2.0?
Organisaties moeten beginnen met het in kaart brengen van hun huidige identiteitsverificatieprocessen ten opzichte van de eIDAS 2.0-vereisten, waarbij ze hiaten in betrouwbaarheidsniveaus, nalevingsdekking en technische gereedheid identificeren. Het doel is te begrijpen waar bestaande identificatiemethoden op afstand tekortschieten en welke wijzigingen nodig zijn om wallet-klaar en regelgevingsconform te worden.
Praktische voorbereiding omvat verschillende parallelle werkstromen. Ten eerste moeten organisaties beoordelen welke diensten welke betrouwbaarheidsniveaus vereisen en of hun huidige verificatiemethoden op afstand aan deze normen kunnen voldoen. Ten tweede moeten zij evalueren hoe zij de acceptatie van de EUDI-wallet kunnen integreren in hun onboarding- en authenticatiestromen. Ten derde moeten zij hun gegevensbeheer- en toestemmingskaders herzien om af te stemmen op de strengere privacy- en selective disclosure-vereisten van eIDAS 2.0. Daarbij is het van belang onderscheid te maken tussen goedkeuring van een dataverzoek in de wallet en toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG: die twee zijn niet hetzelfde. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens.
Organisaties die walletdata willen opvragen, moeten zich registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848, vóórdat zij walletpresentaties kunnen ontvangen. Per intended use wordt vastgelegd welke attributen en attestaties worden opgevraagd. Een leverancier die walletdata technisch namens een organisatie verwerkt, wordt daardoor niet automatisch zelf relying party; de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Het is ook zinvol te investeren in herbruikbare identiteitsinfrastructuur. Zodra een gebruiker is geverifieerd, kan die verificatie worden hergebruikt voor diensten. Organisaties die nu bouwen voor herbruikbaarheid, verminderen wrijving en verlagen onboardingkosten. Het vroeg verkennen van de beschikbare digitale identiteitsoplossingen geeft organisaties een voorsprong bij de implementatie.
Onderschat ten slotte de dimensie van verandermanagement niet. Teams in compliance, IT, juridische zaken en klantervaring moeten allemaal begrijpen hoe eIDAS 2.0 hun werk beïnvloedt. Vroege cross-functionele afstemming maakt de implementatie soepeler en voorkomt kostbaar herstelwerk later.
Hoe ondersteunt de ID Connector van TrustTech identiteitsverificatie op afstand onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope per intended use, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata voor vervolgdiensten binnen hetzelfde platform
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES tot stand komt bij die QTSP
Het platform biedt één auditspoor over identificatie, kwalificatie en ondertekening, met ingebouwde EU-compliance. Organisaties in de financiële dienstverlening kunnen hiermee hun onboardingstromen afstemmen op de acceptatieplicht van 24 december 2027. Zorgorganisaties en overheidsdiensten kunnen wallet-compatibele toegang realiseren vóór de deadline van 24 december 2026.
Wil je weten hoe de ID Connector aansluit op jouw verificatieproces op afstand? Neem contact op met TrustTech om jouw specifieke situatie te bespreken.