Hoe werkt de EU Digital Identity Wallet?

De EU Digital Identity Wallet is een smartphone-app waarmee Europese burgers en inwoners geverifieerde persoonlijke gegevens digitaal kunnen opslaan, beheren en delen, zoals een nationaal identiteitsbewijs, rijbewijs of beroepskwalificaties, zonder fysieke documenten mee te hoeven nemen of identiteitscontroles steeds opnieuw te moeten doorlopen. Op grond van Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en informeel als eIDAS 2.0 wordt aangeduid, is elke EU-lidstaat verplicht om burgers uiterlijk op 24 december 2026 toegang tot een gecertificeerde EUDI-wallet te bieden. De onderstaande secties beantwoorden de meest gestelde vragen over hoe de EUDI-wallet werkt, welke attestaties er worden opgeslagen, wie erbij betrokken is en wat organisaties moeten doen om zich voor te bereiden.

Wat kun je eigenlijk doen met de EU Digital Identity Wallet?

Met de EUDI-wallet kun je bewijzen wie je bent, specifieke persoonlijke kenmerken delen, documenten elektronisch ondertekenen en online toegang krijgen tot publieke en private diensten, allemaal vanaf je telefoon, zonder meer informatie te hoeven verstrekken dan noodzakelijk voor de betreffende transactie.
In de praktijk dekt de EUDI-wallet een breed scala aan alledaagse situaties:

• Inloggen op overheidsportalen of gezondheidszorgdiensten zonder aparte gebruikersnaam en wachtwoord
• Je leeftijd bewijzen op een online platform door uitsluitend het attribuut “ouder dan 18” te delen, zonder je volledige geboortedatum prijs te geven
• Een bankrekening openen of KYC-controles uitvoeren zonder fysieke kopieën van documenten op te sturen
• Een geverifieerde beroepskwalificatie delen met een nieuwe werkgever
• Contracten en formulieren ondertekenen met een gekwalificeerde elektronische handtekening
• Toegang krijgen tot grensoverschrijdende diensten in EU-lidstaten met één digitale identiteit

De wallet is ontworpen voor zowel publieke als private interacties. Of je nu een afspraak bij de huisarts boekt, een bedrijf registreert of een lening aanvraagt, de wallet kan het proces stroomlijnen door geverifieerde attestaties direct en veilig aan te leveren. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken.

Welke gegevens slaat de EU Digital Identity Wallet op en deelt deze?

De EUDI-wallet slaat geverifieerde attestaties op: gestructureerde datapakketten die zijn uitgegeven en cryptografisch ondertekend door een vertrouwde autoriteit. Deze attestaties kunnen een nationaal identiteitsdocument, rijbewijs, diploma’s, beroepslicenties, informatie over de Europese ziekteverzekeringskaart en andere officiële gegevens bevatten. De wallet slaat geen ruwe documenten op, maar verifieerbare, machineleesbare attestaties van feiten over jou.
De verordening maakt onderscheid tussen verschillende typen attestaties. De Person Identification Data (PID) vormt de kernidentiteitsattestatie, uitgegeven door de lidstaat. Daarnaast bestaan er Qualified Electronic Attestations of Attributes (QEAA), uitgegeven door een qualified trust service provider, en Public Body-attested Electronic Attestations of Attributes (PuB-EAA), uitgegeven door of namens een publieke instantie. Andere attestaties die niet aan deze kwalificatievereisten voldoen, worden aangeduid als non-qualified EAA. De gekozen categorie bepaalt het vertrouwensniveau en de rechtsgevolgen die eraan verbonden zijn.
Belangrijk is dat de wallet alleen deelt wat strikt noodzakelijk is voor een bepaalde transactie. Dit principe heet selective disclosure. Als een dienst alleen hoeft te weten dat je ouder bent dan 18, deelt de wallet uitsluitend die bevestiging, niet je volledige naam, adres of geboortedatum. Technisch wordt dit mogelijk gemaakt via credentialformaten zoals SD-JWT VC en mdoc, die selective disclosure op attribuutniveau ondersteunen.
Attestaties worden lokaal opgeslagen in de wallet unit van de gebruiker: de wallet instance samen met de beveiligde cryptografische componenten waarin de privésleutels zich bevinden. Die privésleutels kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van simpelweg gekopieerd. Er is geen centrale database die alle walletactiviteit bijhoudt, en uitgevers kunnen na uitgifte niet zien waar hun attestaties worden gebruikt. De gebruiker behoudt te allen tijde de controle over zijn eigen gegevens.

Wie geeft attestaties uit en verifieert deze in de EUDI-wallet?

Attestaties in de EUDI-wallet worden uitgegeven door vertrouwde entiteiten die Attestation Providers worden genoemd, en ze worden geverifieerd door relying parties: de organisaties of diensten die de wallet accepteren als bewijs van identiteit of kwalificatie. Overheden, publieke instellingen, banken, universiteiten en erkende beroepsorganisaties kunnen allemaal als uitgevers optreden, afhankelijk van het type attestatie en de daarvoor geldende vereisten.

Attestation Providers

Een Attestation Provider is elke organisatie die gemachtigd is om een geverifieerde attestatie in de wallet uit te geven. Een nationale overheid geeft de PID uit: de kernidentiteitsattestatie. Andere uitgevers kunnen een nationale rijbewijsautoriteit zijn die een digitaal rijbewijs uitgeeft als PuB-EAA, of een qualified trust service provider die een QEAA uitgeeft voor een beroepskwalificatie. Elke attestatie is cryptografisch ondertekend zodat de authenticiteit ervan kan worden gecontroleerd.

Relying Parties

Een relying party is elke organisatie die attestaties van de wallet opvraagt en accepteert om de identiteit of kenmerken van een gebruiker te verifiëren. Banken, verzekeraars, zorgverleners en overheidsinstanties zijn allemaal potentiële relying parties. Onder eIDAS 2.0 zijn bepaalde categorieën relying parties verplicht de EUDI-wallet te accepteren, afhankelijk van de toepasselijke deadline en de sector waarin zij actief zijn.
Een relying party moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Dit volgt uit CIR (EU) 2025/848 van 6 mei 2025. Bij registratie legt de relying party per beoogd gebruik vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Het vertrouwenskader dat bepaalt wie attestaties kan uitgeven en wie deze kan accepteren, wordt bijgehouden via nationale trusted lists conform ETSI TS 119 612, samengebracht in de EU List of Trusted Lists (LOTL). Alleen legitieme, geregistreerde partijen nemen deel aan het ecosysteem. Nationale registers van wallet-relying parties zijn iets anders dan deze trusted lists en mogen niet worden verward.
Verificatie van een attestatie omvat drie afzonderlijke controles: de handtekening van de uitgever wordt gecontroleerd aan de hand van de relevante nationale trusted list, de intrekkingsstatus wordt geraadpleegd via de statusinformatie van de uitgever, en de wallet unit attestation wordt gevalideerd om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.

Hoe beschermt de EUDI-wallet de privacy van gebruikers?

De EUDI-wallet is gebouwd rond privacy by design. Hij beschermt de privacy van gebruikers door middel van selective disclosure, lokale gegevensopslag in de wallet unit, cryptografische verificatie en strikte beperkingen op tracking.
Selective disclosure maakt het mogelijk om één enkel kenmerk te presenteren, zoals leeftijdsbewijs of nationaliteit, zonder het volledige onderliggende document te onthullen. Via credentialformaten zoals SD-JWT VC en mdoc kan worden bewezen dat een feit waar is zonder de onderliggende ruwe gegevens bloot te leggen.
Omdat attestaties op het apparaat van de gebruiker worden opgeslagen en lokaal worden geverifieerd, is er geen centraal register dat bijhoudt welke diensten iemand heeft bezocht of wanneer. Uitgevers kunnen niet zien waar hun attestaties worden gebruikt nadat ze zijn uitgegeven. Deze onkoppelbaarheid is een bewuste ontwerpkeuze om profilering en surveillance te beperken. Een volledig risico op tracking of profilering kan echter niet worden uitgesloten: de relying party ontvangt de gedeelde attributen en verwerkt deze op basis van een eigen AVG-grondslag.
Hier is een belangrijk onderscheid van toepassing: de goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting doorgaans de toepasselijke grondslag. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.

Welke organisaties zijn verplicht de EU Digital Identity Wallet te accepteren?

Onder eIDAS 2.0 zijn bepaalde categorieën organisaties in de EU wettelijk verplicht de EUDI-wallet te accepteren als geldig middel voor identiteitsverificatie. Het gaat niet om alle bedrijven, maar om specifieke gereguleerde sectoren en organisaties waarvoor sterke identiteitsverificatie al wettelijk verplicht is.
Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, uiterlijk op 24 december 2026. Voor gereguleerde private partijen geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De relevante private sectoren zijn onder meer:

• Banken en financiële dienstverlening
• Zorg
• Telecom
• Energie
• Transport
• Onderwijs
• Sociale zekerheid
• Drinkwater
• Post
• Digitale infrastructuur en digitale diensten

Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f. Voor VLOP’s geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
Micro- en kleine ondernemingen zijn uitgezonderd van de acceptatieplicht. De toepasselijke criteria zijn: minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Voor organisaties buiten de verplichte categorieën is het accepteren van de EUDI-wallet optioneel. Naarmate de adoptie groeit en gebruikers naadloze, herbruikbare identiteitsverificatie verwachten, zullen organisaties die vroegtijdig wallet-ondersteuning integreren beter gepositioneerd zijn. Een relying party heeft geen qualified trust service provider (QTSP) nodig om een EUDI-wallet te accepteren: een QTSP wordt pas relevant wanneer een organisatie zelf gekwalificeerde attestaties wil uitgeven of gekwalificeerd tekenen wil aanbieden.

Hoe moeten organisaties zich voorbereiden op de uitrol van de EUDI-wallet?

Organisaties moeten nu beginnen met de voorbereiding door hun huidige identiteitsverificatieprocessen te beoordelen, hun wettelijke verplichtingen onder eIDAS 2.0 te begrijpen en te bepalen waar wallet-gebaseerde attestaties bestaande werkstromen kunnen vervangen of verbeteren. Wachten tot de volledige uitrol is afgerond, zal organisaties dwingen om in een krappe tijdspanne in te halen.
Een praktische voorbereidingsaanpak omvat de volgende stappen:

1. Breng je identiteitscontactpunten in kaart. Identificeer elk punt in de reis van je klant of medewerker waar identiteit wordt geverifieerd, documenten worden verzameld of authenticatie vereist is.
2. Beoordeel je wettelijke verplichtingen. Bepaal of je organisatie binnen het verplichte acceptatiebereik valt onder eIDAS 2.0, welke deadline van toepassing is (24 december 2026 voor publieke instanties, 24 december 2027 voor relevante private sectoren op grond van artikel 5f), en of de uitzondering voor micro- en kleine ondernemingen van toepassing is.
3. Evalueer je technische infrastructuur. Controleer of je huidige systemen verifieerbare attestaties en OID4VP kunnen ondersteunen: het protocol dat wordt gebruikt voor wallet-gebaseerde identiteitspresentatie. Houd ook rekening met OID4VCI voor de uitgifte van attestaties en met de credentialformaten mdoc en SD-JWT VC.
4. Registreer je als relying party. Op grond van CIR (EU) 2025/848 moet je organisatie zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Leg per beoogd gebruik vast welke attributen en attestaties je opvraagt, en beperk je daartoe.
5. Plan voor dataminimalisatie en AVG-grondslag. Herzie je gegevensverwerkingspraktijken om ze af te stemmen op het model van selective disclosure. Vraag alleen de gegevens op die je daadwerkelijk nodig hebt voor elke interactie, en zorg voor een zelfstandige AVG-grondslag voor de verwerking van ontvangen gegevens.

Organisaties in financiële dienstverlening en de overheid hebben de meest directe verplichtingen en moeten prioriteit geven aan gereedheidsplanning voor respectievelijk 24 december 2027 en 24 december 2026. Organisaties in de gezondheidszorg en andere gereguleerde sectoren moeten ook beginnen met het beoordelen hoe wallet-gebaseerde identiteitsverificatie aansluit bij hun bestaande nalevingskaders, waaronder sectorale regels voor hergebruik van KYC-gegevens en de toepasselijke AML-regelgeving. Hergebruik van KYC-gegevens wordt bepaald door AML-regelgeving, waarbij de AMLR vanaf juli 2027 van toepassing wordt, en valt buiten de directe reikwijdte van eIDAS 2.0. Een duidelijke interne routekaart die zowel technische integratie als procesherontwerp omvat, zal de overgang aanzienlijk soepeler maken.

Hoe helpt TrustTech organisaties zich voor te bereiden op de EU Digital Identity Wallet?

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken:

• Verificatie tegen trusted lists: controle van de handtekening van de uitgever aan de hand van de relevante nationale trusted lists en de EU List of Trusted Lists (LOTL)
• Controle van intrekkingsstatus: raadpleging van statusinformatie van de uitgever om te bevestigen dat een attestatie nog geldig is
• Validatie van de wallet unit attestation: vaststelling dat de presenterende wallet draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope: controle of het verzoek binnen de scope valt die bij registratie onder CIR (EU) 2025/848 is vastgelegd
• Hergebruik van geverifieerde identiteitsdata: eenmalig geverifieerde gegevens hergebruiken binnen onboarding- en authenticatiestromen, zodat KYC- en identiteitsvereisten in één stap worden vervuld
• Gekwalificeerd tekenen via een aangesloten QTSP: identiteit koppelen aan elke documenthandtekening en toestemming, met een volledige audittrail

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de overheid: sectoren waar wallet-acceptatie wettelijk verplicht wordt of waar herbruikbare identiteitsverificatie direct waarde toevoegt aan bestaande nalevingsprocessen.
Verken onze identiteitsoplossingen of neem contact op met ons team om te bespreken wat de EUDI-wallet betekent voor jouw organisatie.