Is de EU Digital Identity Wallet verplicht voor burgers?

De EU Digital Identity Wallet is niet verplicht voor burgers. Onder eIDAS 2.0 is elke EU-lidstaat verplicht om de wallet aan zijn burgers aan te bieden, maar het gebruik ervan blijft volledig vrijwillig. Burgers kunnen zelf kiezen of ze er gebruik van maken, en niemand kan worden gedwongen de EUDI-wallet te gebruiken als voorwaarde voor toegang tot diensten of werk. De onderstaande secties leggen precies uit wie waartoe verplicht is, welke sectoren de wallet moeten accepteren en wanneer deze beschikbaar zal zijn in heel Europa.

Wie is daadwerkelijk verplicht de EU Digital Identity Wallet aan te bieden?

Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, zijn EU-lidstaten de partijen die verplicht zijn te handelen. Elk land in de Europese Unie moet vóór de in de verordening vastgestelde deadlines ten minste één gecertificeerde EUDI-wallet solution aan zijn burgers uitgeven. De verplichting rust op overheden, niet op individuen. Burgers zijn de beoogde begunstigden, niet de partijen die een wettelijke plicht dragen.

Dit onderscheid is belangrijk. De verordening schept een aanbodverplichting: lidstaten moeten een wallet solution bouwen, certificeren en beschikbaar stellen die voldoet aan de technische en beveiligingseisen uit het Architecture and Reference Framework (ARF). Burgers hebben vervolgens de mogelijkheid om die wallet aan te vragen en te gebruiken als ze dat willen.

Partijen uit de private sector en overheidsinstanties in bepaalde sectoren hebben ook verplichtingen, maar deze hebben betrekking op het accepteren van de wallet als relying party, niet op het uitgeven ervan. De Europese Commissie, samen met de European Digital Identity Cooperation Group, houdt toezicht op de ontwikkeling van gemeenschappelijke normen en technische specificaties om ervoor te zorgen dat wallet solutions die door verschillende lidstaten worden uitgegeven, grensoverschrijdend interoperabel zijn.

Kunnen burgers door werkgevers of dienstverleners worden gedwongen de EUDI-wallet te gebruiken?

Nee. Artikel 5a van Verordening (EU) 2024/1183 verbiedt uitdrukkelijk om het gebruik van de EUDI-wallet als verplichte voorwaarde te stellen voor toegang tot diensten. Werkgevers kunnen werknemers niet verplichten deze te gebruiken, en dienstverleners kunnen de toegang niet weigeren aan gebruikers die dat niet willen. Het principe van vrijwillig gebruik is ingebouwd in de verordening om de individuele autonomie te beschermen.

Deze bescherming geldt zowel in de publieke als de private sector. Een bank kan een klant niet vertellen dat de EUDI-wallet de enige geaccepteerde vorm van identificatie is. Een overheidsportaal kan burgers die de voorkeur geven aan alternatieve identiteitsverificatiemethoden niet de toegang ontzeggen. De wallet is ontworpen als een aanvullende optie, waarbij bestaande identificatiemogelijkheden beschikbaar blijven.

Digitale inclusie is een kernzorg voor Europese beleidsmakers. Niet elke burger heeft gelijke toegang tot smartphones of digitale vaardigheden, dus het verplicht stellen van walletgebruik zou kwetsbare groepen kunnen uitsluiten. De verordening zorgt er daarom voor dat waar de wallet wordt geaccepteerd, gelijkwaardige niet-digitale alternatieven beschikbaar moeten blijven.

Wat gebeurt er als een burger ervoor kiest de EUDI-wallet niet te gebruiken?

Als een burger besluit de EUDI-wallet niet te gebruiken, verandert er niets aan zijn of haar toegang tot diensten. Bestaande identiteitsdocumenten, nationale eID-systemen en andere geaccepteerde verificatiemethoden blijven gewoon bruikbaar. De wallet voegt een nieuwe optie toe zonder bestaande opties te verwijderen.

In de praktijk betekent dit dat burgers die geen wallet gebruiken geen toegang verliezen tot bankieren, gezondheidszorg, overheidsdiensten of andere gereguleerde sectoren. Relying parties die verplicht zijn de EUDI-wallet te accepteren, moeten ook alternatieve identificatiemethoden blijven ondersteunen voor gebruikers die geen wallet hebben of willen.

Na verloop van tijd kan walletgebruik voor veel interacties de meest praktische route worden, met name voor grensoverschrijdende diensten waar gefragmenteerde nationale systemen momenteel voor wrijving zorgen. Gemak verandert echter niets aan de wettelijke bescherming: burgers behouden het recht om hun identiteit te beheren op de manier die hen het beste past, en de verordening is ontworpen om de wallet aantrekkelijk te maken, niet onvermijdelijk.

Welke sectoren zijn verplicht de EU Digital Identity Wallet te accepteren?

Artikel 5f van Verordening (EU) 2024/1183 identificeert een reeks relying parties die verplicht zijn de EUDI-wallet te accepteren voor identiteitsverificatie en het delen van attributen. Het gaat om gereguleerde publieke en private organisaties in specifieke sectoren. De acceptatieplicht voor private relying parties gaat in op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. Voor de gereguleerde private sectoren geldt de verplichting binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen vallen buiten de acceptatieplicht. Zeer grote onlineplatforms (VLOP’s) vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De sectoren die onder de verplichte acceptatieplicht vallen, zijn onder meer:

• Financiële dienstverlening: Banken en financiële instellingen die onderworpen zijn aan sterke klantauthenticatie en KYC-vereisten, moeten de wallet accepteren voor klantidentificatie en onboarding.
• Gezondheidszorg: Openbare zorgverleners en systemen die patiëntidentiteit en gezondheidsgegevens verwerken, vallen binnen het toepassingsgebied van verplichte acceptatie.
• Overheid en openbaar bestuur: Overheidsinstanties die digitale overheidsdiensten aanbieden, zijn verplicht de wallet te accepteren voor burgeridentificatie, met ingang van 24 december 2026.
• Telecommunicatie: Aanbieders van mobiele en internetdiensten vallen binnen het toepassingsgebied van verplichte relying parties.
• Energie: Energiebedrijven en -aanbieders vallen eveneens onder de acceptatieplicht.
• Transport: Grote transportoperators en -platforms zijn gehouden op wallet gebaseerde attestaties te accepteren.
• Onderwijs: Instellingen die onderwijsbewijzen en kwalificaties afgeven of verifiëren, zijn inbegrepen.
• Sociale zekerheid: Instanties die sociale zekerheidsuitkeringen en -diensten beheren, vallen binnen het toepassingsgebied.
• Drinkwater, post en digitale infrastructuur: Ook aanbieders in deze sectoren zijn verplicht de wallet te accepteren.
• Zeer grote onlineplatforms: Platforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f, waarbij de verplichting geldt op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.

Voor organisaties in deze sectoren is voorbereiding op walletacceptatie niet optioneel. Een relying party moet zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging onder CIR (EU) 2025/848, voordat zij walletdata kan opvragen. Bij die registratie legt de organisatie per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Organisaties in de financiële dienstverlening worden geconfronteerd met overlappende verplichtingen, aangezien walletacceptatie aansluit bij bestaande AML-, KYC- en sterke klantauthenticatievereisten onder PSD2. Het nieuwe AML-raamwerk, dat vanaf juli 2027 van toepassing wordt, stuurt eveneens aan op identiteitsverificatie via genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. Dit betreft een aanvullend kader naast de acceptatieplicht uit artikel 5f van Verordening (EU) 2024/1183. Zorgverleners moeten de walletintegratie afstemmen op hun bestaande processen voor patiëntidentiteit en gegevensbeheer. Voor gezondheidsgegevens is naast de goedkeuring van de gebruiker in de wallet ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist als grondslag voor de verwerking.

Kleinere bedrijven en organisaties buiten de genoemde sectoren zijn momenteel niet verplicht de wallet te accepteren, hoewel ze er vrijwillig voor kunnen kiezen. De verwachting is dat walletgebruik organisch zal groeien naarmate meer burgers er gebruik van maken en het ecosysteem volwassener wordt.

Wanneer is de EU Digital Identity Wallet beschikbaar in heel Europa?

De tijdlijn voor de uitrol van de EUDI-wallet is gekoppeld aan Verordening (EU) 2024/1183, die op 20 mei 2024 in werking trad. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen startten tevens de relevante 24-maandentermijn voor walletuitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners (QTSP’s). Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, dat de registratie van wallet-relying parties bij bevoegde nationale autoriteiten regelt. De uitrol verloopt vervolgens in fasen:

1. Grootschalige pilots (april 2023 tot 2025): De Europese Commissie financierde vier grootschalige pilotconsortia om de wallet in praktijkscenario’s te testen. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. POTENTIAL testte overheidsdiensten, het openen van bankrekeningen, SIM-registratie, het mobiele rijbewijs, gekwalificeerd tekenen op afstand en e-recepten. NOBID concentreerde zich op betalingen en DC4EU op onderwijs en sociale zekerheid. Deze pilots zijn afgerond en hebben de technische specificaties geïnformeerd. In 2025 startte een tweede pilotgolf, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
2. Walletuitgifte en publieke acceptatie (uiterlijk 24 december 2026): Iedere EU-lidstaat moet uiterlijk op deze datum minimaal één gecertificeerde EUDI-wallet solution operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties en publieke dienstverleners moeten genotificeerde wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Deze deadline is een uiterste datum voor notificatie en uitgifte, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.
3. Acceptatieplicht voor gereguleerde private relying parties (24 december 2027): Gereguleerde private relying parties in de bovengenoemde sectoren zijn verplicht de EUDI-wallet te accepteren binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Deze verplichting volgt uit artikel 5f van de verordening en geldt twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. De uitzondering voor micro- en kleine ondernemingen is ook op deze deadline van toepassing.

Het tempo van de uitrol zal per lidstaat verschillen, afhankelijk van de bestaande nationale digitale identiteitsinfrastructuur. Landen met volwassen eID-systemen zullen waarschijnlijk sneller gaan, terwijl andere meer tijd nodig hebben om de onderliggende technische en governancekaders te bouwen. Voor organisaties die de wallet moeten accepteren, is dit het juiste moment om de gereedheid te beoordelen en te beginnen met integratieplanning, in plaats van te wachten tot formele deadlines naderen.

Hoe TrustTech organisaties helpt zich voor te bereiden op de EUDI-wallet

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. De ID Connector ondersteunt de technische taken die nodig zijn om walletpresentaties correct te verwerken:

• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
• Controle van de intrekkingsstatus via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet instance op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata binnen bestaande onboardingprocessen
• Gekwalificeerd tekenen via een aangesloten QTSP, zodat gebruikers via de wallet een gekwalificeerde elektronische handtekening kunnen plaatsen

De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar walletacceptatie verplicht wordt en waar de eisen aan identiteitsverificatie, attributenvalidatie en gegevensbeheer het zwaarst zijn.

Als jouw organisatie bezig is met wat de EUDI-wallet in de praktijk betekent, neem dan contact op met TrustTech om te verkennen wat de ID Connector voor jouw situatie kan doen.