Hoe werken de eIDAS 2.0 grootschalige pilots in de praktijk?

De grootschalige pilots van eIDAS 2.0 waren praktijktestprogramma’s die werden gefinancierd door de Europese Commissie en die de Europese Digitale Identiteitswallet (EUDI-wallet) testten aan de hand van een reeks alledaagse gebruiksscenario’s, landen en sectoren. Vier pilotconsortia zijn in april 2023 van start gegaan en hebben tot 2025 gelopen, waarbij ze feedback verzamelden die rechtstreeks van invloed was op de technische standaarden en uitvoeringshandelingen die elke organisatie uiteindelijk zal moeten volgen. De onderstaande secties beantwoorden de meest gestelde vragen over hoe deze pilots werkten en wat ze betekenen voor jouw organisatie.

Welke grootschalige pilots liepen er onder eIDAS 2.0?

Vier grootschalige pilotprojecten (Large Scale Pilots) liepen van april 2023 tot 2025 onder eIDAS 2.0, elk gefinancierd via het DIGITAL Europe Programme van de Europese Commissie. De vier consortia waren POTENTIAL, EWC (European Wallet Consortium), DC4EU en NOBID. Samen bestreken ze meer dan 25 EU-lidstaten en brachten ze overheden, banken, universiteiten, zorgaanbieders en technologiebedrijven samen om de EUDI-wallet te testen in echte, grensoverschrijdende situaties.

Elk consortium had een eigen focusgebied. POTENTIAL richtte zich op overheidsdiensten, het openen van een bankrekening, SIM-registratie, het mobiele rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC focuste op Digital Travel Credentials, betalingen en organisational digital identity. DC4EU richtte zich op onderwijs en sociale zekerheid. NOBID, een Noordse-Baltische groep waaraan ook Italië en Duitsland deelnamen, was gewijd aan betalingsscenario’s en testte hoe de EUDI-wallet kan worden gebruikt om identiteit te verifiëren bij het initiëren van binnenlandse en grensoverschrijdende betalingen.

Alle vier de pilots werkten vanuit dezelfde technische basis: het Architecture and Reference Framework (ARF), dat de gemeenschappelijke specificaties definieert waaraan wallet solutions in heel Europa moeten voldoen. De ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. De feedback die de pilots verzamelden, werd rechtstreeks teruggekoppeld om die specificaties te verfijnen. In 2025 is een tweede pilotgolf gestart, met consortia zoals WE BUILD, dat zich richt op business wallets en betalingen, en APTITUDE, dat reizen, ticketing, voertuigregistratie en betalingen bestrijkt.

Welke gebruiksscenario’s testten de pilots?

De eIDAS 2.0-pilots testten een breed scala aan praktijksituaties waarbij mensen moesten bewijzen wie ze zijn of geverifieerde informatie veilig moesten delen. De gebruiksscenario’s omvatten zowel publieke als private sector-interacties, en veel ervan betroffen grensoverschrijdende situaties waarbij een burger uit één lidstaat erkend moest worden in een andere.

Enkele van de meest prominente gebruiksscenario’s die werden getest:

• Mobiel rijbewijs: Het tonen van een digitaal rijbewijs tijdens een wegcontrole of bij het online huren van een voertuig
• Onderwijscredentials: Het delen van geverifieerde diploma’s, graden en certificaten bij het solliciteren naar banen of vervolgonderwijs
• Betalingen: Identiteitsverificatie bij het initiëren van een online betaling, waardoor fraude wordt verminderd
• Digital Travel Credentials: Het tonen van paspoort- of visuminformatie bij grenscontroles, gepiloteerd door EWC. Dit is nog geen algemeen operationele EUDI-walletfunctionaliteit.
• E-recepten: Het delen van receptgegevens met een apotheek om de uitgifte van medicatie te starten
• Toegang tot sociale zekerheid: Toegang tot uitkeringen en het opslaan van documenten zoals de Europese ziekteverzekeringskaart
• Organisational digital identity: Bewijzen dat een persoon een legitieme vertegenwoordiger van een bedrijf is
• Gekwalificeerde handtekening op afstand: Het aanmaken van gekwalificeerde digitale handtekeningen om contracten te ondertekenen

Deze gebruiksscenario’s vertegenwoordigen de interacties die burgers en bedrijven het vaakst tegenkomen, en waarbij gefragmenteerde of onveilige identiteitsverificatie de meeste wrijving veroorzaakt. Door ze onder echte omstandigheden te testen, genereerden de pilots het soort bewijs dat regelgevers en standaardisatieorganen nodig hebben om de definitieve technische specificaties praktisch en robuust te maken.

Hoe communiceerde een gebruiker met de EUDI-wallet tijdens een pilot?

Tijdens een pilot communiceerde een gebruiker met de EUDI-wallet via een smartphone-applicatie die geverifieerde digitale documenten opsloeg en de gebruiker in staat stelde specifieke attributen te delen met een verzoekende partij. De ervaring was ontworpen om eenvoudig te zijn: de gebruiker ontving een verzoek, bekeek precies welke informatie werd gevraagd, en keurde het delen goed of weigerde dit.

Zo werkte een typische pilotinteractie in de praktijk:

1. Wallet instellen: De gebruiker downloadde een wallet-app van een deelnemende lidstaat of een officieel erkende private aanbieder en voltooide een identiteitsverificatieproces om hun nationale identiteit aan de wallet te koppelen.
2. Uitgifte van attestaties: Geverifieerde documenten, zoals een rijbewijs of universitair diploma, werden door een vertrouwde bron zoals een overheidsinstantie of onderwijsinstelling als attestatie in de wallet uitgegeven.
3. Presentatieverzoek: Een relying party, bijvoorbeeld een werkgever, een bank of een grenscontrolesysteem, stuurde een verzoek voor specifieke attributen.
4. Selective disclosure: De gebruiker zag precies welke gegevenspunten werden opgevraagd en koos ervoor alleen het noodzakelijke te delen, bijvoorbeeld bevestigen dat ze ouder zijn dan 18 zonder hun exacte geboortedatum te onthullen.
5. Verificatie: De relying party ontving cryptografisch ondertekende gegevens en kon de handtekening van de uitgever verifiëren tegen de relevante nationale trusted list, de intrekkingsstatus controleren via statusinformatie van de uitgever, en de wallet unit attestation valideren om vast te stellen dat de presenterende wallet instance op een gecertificeerde wallet solution draait.

Selective disclosure is een van de centrale privacyfuncties van de EUDI-wallet. Een wallet instance stelt gebruikers in staat het minimum noodzakelijke te delen, wat het risico op onnodige gegevensverstrekking vermindert en gebruikers controle geeft over hun eigen gegevens. Goedkeuring van gegevensdeling in de wallet is daarbij geen toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.

Wie was verantwoordelijk voor het uitvoeren en besturen van de pilots?

De grootschalige pilots werden gefinancierd en overzien door de Europese Commissie via het DIGITAL Europe Programme, maar het dagelijkse beheer werd verzorgd door de pilotconsortia zelf. Elk consortium werd geleid door een coördinerende organisatie en omvatte een mix van publieke instanties, private bedrijven en onderzoeksinstellingen uit meerdere lidstaten.

Governance werkte op meerdere niveaus. Op EU-niveau bewaakte de Commissie de voortgang, verzamelde bevindingen en gebruikte deze om het Architecture and Reference Framework te verfijnen. Op consortiumniveau werkten leden samen aan technische implementatie, gebruikerstests en rapportage. Op nationaal niveau droegen deelnemende lidstaten hun eigen identiteitsinfrastructuur en regelgevende context bij om ervoor te zorgen dat de pilots echte implementatieomstandigheden weerspiegelden.

De Commissie bood ook een referentie-implementatie van de EUDI-wallet aan: een open-source prototype dat diende als testomgeving voor de technische specificaties. Dit prototype is openbaar beschikbaar, wat betekent dat lidstaten en private partijen erop kunnen voortbouwen bij het ontwikkelen van hun eigen wallet solutions. De open-source aanpak verlaagt de drempel voor deelname en zorgt ervoor dat de via de pilots ontwikkelde standaarden toegankelijk zijn voor iedereen die ze moet implementeren.

Wat betekenen de pilotresultaten voor organisaties die zich voorbereiden op eIDAS 2.0?

De pilotresultaten bepalen rechtstreeks de definitieve technische vereisten en uitvoeringshandelingen waaraan organisaties onder eIDAS 2.0 zullen moeten voldoen. Voor bedrijven en publieke sector-organisaties die zullen optreden als relying party, en die identiteitsgegevens opvragen en verifiëren vanuit EUDI-wallets, zijn de pilotbevindingen het duidelijkste signaal over hoe implementatie in de praktijk eruitziet.

Verschillende praktische implicaties zijn relevant voor organisaties die beginnen met voorbereiden:

• Technische integratie: De pilots bevestigen dat relying parties systemen moeten bouwen of aanpassen om gestandaardiseerde presentatieverzoeken te verzenden via OID4VP en cryptografisch ondertekende antwoorden te verwerken in mdoc- of SD-JWT VC-formaat. Dit verschilt wezenlijk van traditionele identiteitsverificatieprocessen.
• Registratieplicht: Onder CIR (EU) 2025/848 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use wordt daarbij geregistreerd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
• Sectorspecifieke vereisten: Gebruiksscenario’s in financiën, gezondheidszorg en overheid hebben elk hun eigen regelgevende context. De pilots genereerden sectorspecifieke inzichten die organisaties in die sectoren nauwlettend moeten volgen.
• Verwachtingen voor gebruikerservaring: Pilotfeedback benadrukt dat gebruikers snelle, drempelvrije interacties verwachten. Omslachtige of te uitgebreide gegevensverzoeken leiden tot uitval en kunnen buiten de geregistreerde attributenscope vallen.
• Grensoverschrijdende gereedheid: De pilots toonden aan dat wallet instances die in één lidstaat zijn uitgegeven, in andere lidstaten moeten worden erkend. Organisaties die grensoverschrijdend opereren, moeten interoperabiliteit vanaf het begin inplannen.

Uiterlijk op 24 december 2026 moet iedere EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten geldt de acceptatieplicht onder artikel 5f van Verordening (EU) 2024/1183 vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: die verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de private acceptatieplicht uitgezonderd. Organisaties die wachten op volledige regelgevende zekerheid voordat ze beginnen met voorbereiden, lopen het risico achter te raken. De pilotresultaten bieden nu al voldoende duidelijkheid om te beginnen met het beoordelen van hiaten, het definiëren van integratievereisten en het opbouwen van interne kennis.

Voor organisaties in sectoren zoals financiële dienstverlening, overheid en gezondheidszorg staat identiteitsverificatie centraal in hun activiteiten. Een gestructureerde beoordeling van de huidige infrastructuur ten opzichte van de opkomende eIDAS 2.0-vereisten is de meest effectieve eerste stap.

Hoe ondersteunt TrustTech organisaties bij de voorbereiding op eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

• Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever tegen de relevante nationale trusted list conform ETSI TS 119 612 en de EU List of Trusted Lists.
• Controle van intrekkingsstatus: Statusinformatie van de uitgever wordt gecontroleerd zodat ingetrokken attestaties niet worden geaccepteerd.
• Validatie van de wallet unit attestation: De ID Connector stelt vast dat de presenterende wallet instance op een gecertificeerde wallet solution draait.
• Bewaking van de geregistreerde attributenscope: Verzoeken worden beperkt tot de attributen en attestaties die zijn geregistreerd onder CIR (EU) 2025/848, zodat verzoeken buiten scope worden voorkomen.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitsgegevens kunnen worden hergebruikt binnen de dienstverlening, met inachtneming van de toepasselijke AVG-grondslag.
• Gekwalificeerd tekenen via een aangesloten QTSP: Voor gebruiksscenario’s waarbij een gekwalificeerde elektronische handtekening vereist is, verbindt de ID Connector de wallet met een qualified trust service provider die de QES tot stand brengt.

De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar identiteitsverificatie een wettelijke of operationele vereiste is en waar de deadlines van 24 december 2026 en 24 december 2027 direct van toepassing zijn. Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe jouw organisatie de EUDI-wallet kan integreren in bestaande processen.