Ja, de EUDI-wallet is ontworpen om veilig te zijn voor identiteitsverificatie. Hij is gebouwd op strikte Europese beveiligingsnormen onder Verordening (EU) 2024/1183, die sterke encryptie, door de gebruiker gecontroleerde gegevensdeling en onafhankelijke certificering vereist voordat een wallet solution in gebruik mag worden genomen. De onderstaande vragen lopen stap voor stap door hoe die veiligheid in de praktijk werkt, en wat dat betekent voor organisaties die de wallet willen accepteren.
Hoe beschermt de EUDI-wallet jouw identiteitsgegevens?
De EUDI-wallet beschermt jouw identiteitsgegevens door een combinatie van cryptografische beveiliging, selective disclosure en gebruikerstoestemming. Er verlaten geen gegevens de wallet zonder dat je dit expliciet goedkeurt, en elke gedeelde attestatie is cryptografisch ondertekend zodat de relying party de authenticiteit kan verifiëren.
Op praktisch niveau fungeert de wallet niet als een eenvoudige database van persoonsgegevens. Hij slaat geverifieerde attestaties op die zijn gekoppeld aan een specifieke wallet unit en uitgegeven door een erkende uitgever, zoals een overheidsinstantie of een gekwalificeerde vertrouwensdienstverlener. Wanneer je een attestatie presenteert, wordt alleen de informatie gedeeld die strikt noodzakelijk is voor die interactie. Het bewijzen dat je ouder bent dan 18 vereist niet dat je jouw geboortedatum, naam of enig ander gegeven deelt.
Deze aanpak, in de verordening en het Architecture and Reference Framework aangeduid als selective disclosure, is een van de kernprivacybeschermingen die zijn ingebouwd in het beveiligingsmodel van de EUDI-wallet. Hij beperkt de blootstelling van gegevens door ontwerp, ongeacht wat de relying party verder met de ontvangen informatie zou kunnen doen.
Aan welke beveiligingsnormen moet de EUDI-wallet voldoen?
De EUDI-wallet moet voldoen aan het hoge zekerheidsniveau zoals gedefinieerd onder Verordening (EU) 2024/1183, de meest veeleisende categorie binnen het Europese identiteitsbeveiligingskader. Dit betekent dat wallet solutions onafhankelijk worden geauditeerd en gecertificeerd voordat ze mogen opereren, en dat ze moeten voldoen aan technische normen die zijn uitgewerkt in uitvoeringshandelingen en het Architecture and Reference Framework.
Deze vereisten omvatten meerdere beveiligingslagen:
- Cryptografische integriteit: Attestaties die in de wallet zijn opgeslagen, zijn digitaal ondertekend en tamper-evident. Elke wijziging maakt de attestatie onmiddellijk ongeldig.
- Wallet unit-koppeling: Attestaties zijn cryptografisch gebonden aan de wallet unit van de gebruiker. Privésleutels kunnen het beveiligde middel niet verlaten, waardoor attestaties bij een nieuw toestel opnieuw moeten worden uitgegeven in plaats van gekopieerd.
- Authenticatievereisten: Gebruikers moeten zichzelf authenticeren, doorgaans via biometrie of een pincode, voordat de wallet gegevens kan delen.
- Interoperabiliteitsnormen: Wallet solutions moeten gemeenschappelijke technische specificaties volgen, waaronder de credentialformaten mdoc en SD-JWT VC en de uitwisselingsprotocollen OID4VCI en OID4VP, zodat ze consistent werken in alle EU-lidstaten.
De beveiligingsvereisten onder Verordening (EU) 2024/1183 gelden ook voor de organisaties die attestaties in de wallet uitgeven. Uitgevers moeten erkend zijn binnen het Europese vertrouwenskader, wat betekent dat de vertrouwensketen loopt van de uitgevende autoriteit tot aan het moment waarop een attestatie wordt gepresenteerd en geverifieerd door een relying party.
De vier Large Scale Pilots liepen van april 2023 tot 2025, met meer dan 350 entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne, en testten deze normen in realistische scenario’s. De verzamelde inzichten zijn verwerkt in het definitieve ontwerp en de beveiligingsspecificaties van de wallet. Inmiddels is een tweede pilotgolf gestart met onder andere WE BUILD en APTITUDE.
Wie beheert de gegevens in de EUDI-wallet?
De gebruiker beheert de gegevens in de EUDI-wallet. Dit is een van de fundamentele principes van Verordening (EU) 2024/1183. Geen enkele derde partij, inclusief de wallet provider, de attestatie-uitgever of de Europese Commissie, kan de gegevens van een gebruiker inzien of delen zonder diens expliciete handeling.
Dit gebruikersgerichte beheer werkt op twee belangrijke manieren. Ten eerste beslissen gebruikers welke attestaties ze in hun wallet opslaan en welke ze in een bepaalde interactie presenteren. Ten tweede biedt de wallet een transactieoverzicht waarmee gebruikers kunnen zien wat er is gedeeld en met wie. Dit overzicht is een functionaliteit voor de gebruiker, geen loggingvoorziening voor de relying party of de wallet provider.
De verordening verbiedt wallet providers om gebruikers te volgen via verschillende diensten. Een overheid die jouw digitale identiteitsattestatie uitgeeft, kan niet zien waar je deze gebruikt. Een privébedrijf dat jouw identiteit via de wallet verifieert, kan die interactie niet koppelen aan andere diensten die je hebt gebruikt. Deze structurele scheiding is een bewuste ontwerpkeuze om grootschalige gegevensprofilering te voorkomen.
Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg heeft dit ook nalevingsimplicaties. Het accepteren van EUDI-wallet-attestaties betekent dat je alleen de geverifieerde gegevens ontvangt die de gebruiker heeft gekozen te delen. Dat sluit aan bij de gegevensminimalisatieprincipes onder de AVG, maar vervangt niet de zelfstandige AVG-grondslag die een relying party nodig heeft voor de verwerking van die gegevens.
Kan de EUDI-wallet worden gehackt of misbruikt?
Geen enkel digitaal systeem is volledig immuun voor risico’s, maar de EUDI-wallet is ontworpen met meerdere beschermingslagen die hem aanzienlijk weerbaarder maken tegen misbruik dan de meeste bestaande identiteitsmethoden. De combinatie van wallet unit-koppeling, cryptografische ondertekening en authenticatie op hoog zekerheidsniveau maakt het zeer moeilijk om een legitieme gebruiker na te doen of attestaties te manipuleren.
Verschillende specifieke beschermingsmaatregelen verminderen het risico op misbruik:
- Attestaties kunnen niet worden gekopieerd: Omdat privésleutels het beveiligde middel niet kunnen verlaten, kunnen attestaties niet worden geëxtraheerd en elders worden gebruikt.
- Presentatie vereist actieve gebruikersgoedkeuring: Zelfs als een apparaat gecompromitteerd zou zijn, kan een attestatie niet worden gepresenteerd zonder dat de gebruiker een authenticatiestap voltooit.
- Uitgevers zijn erkend: Alleen erkende en geauditeerde uitgevers kunnen attestaties in een wallet plaatsen, waardoor frauduleuze attestaties niet in het systeem kunnen komen.
- Relying parties zijn geregistreerd: Organisaties die attestaties van een wallet willen opvragen, moeten zich registreren bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848. Anonieme of niet-geregistreerde partijen kunnen geen gegevens opvragen.
Verificatie door een relying party bestaat uit meer dan het controleren van de cryptografische handtekening. Een volledige verificatie omvat drie stappen: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste stap kan volledig offline plaatsvinden.
De Large Scale Pilots die van april 2023 tot 2025 liepen, testten deze beschermingsmaatregelen in realistische scenario’s, van het openen van bankrekeningen tot het ophalen van e-recepten en het toegang krijgen tot overheidsdiensten. De verzamelde feedback is verwerkt in de specificaties voor de definitieve uitrol.
Hoe verhoudt de EUDI-wallet zich tot bestaande digitale identiteitsmethoden?
De EUDI-wallet biedt sterkere privacy, een hoger zekerheidsniveau en bredere interoperabiliteit dan de meeste bestaande digitale identiteitsmethoden. Waar traditionele benaderingen vertrouwen op combinaties van gebruikersnaam en wachtwoord, eenmalige codes of gefragmenteerde nationale eID-systemen, biedt de EUDI-wallet één enkele identiteit met hoog zekerheidsniveau die werkt over grenzen heen en zowel voor publieke als private diensten.
Het huidige eIDAS-kader, van kracht sinds 2018, stelt EU-lidstaten al in staat elkaars nationale eID-stelsels te erkennen. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en voegt de EUDI-wallet toe als verplicht aan te bieden instrument. De deelname aan het huidige kader is echter ongelijkmatig geweest, de dekking van diensten in de private sector is beperkt, en de gebruikerservaring verschilt aanzienlijk van land tot land. De EUDI-wallet is ontworpen om deze lacunes te dichten door een consistente, interoperabele standaard te creëren die elke lidstaat moet aanbieden.
Vergeleken met commerciële identiteitsoplossingen zoals sociale login of verificatiediensten van derden, geeft de EUDI-wallet gebruikers meer controle over hun gegevens en creëert hij geen afhankelijkheid van een privéplatform. Walletgebruik is bovendien vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Voor organisaties is het praktische verschil ook significant. Het accepteren van een EUDI-wallet-attestatie betekent het ontvangen van cryptografisch geverifieerde gegevens van een erkende uitgever, waarbij de relying party de handtekening controleert tegen de nationale trusted list, de intrekkingsstatus verifieert en de wallet unit attestation valideert. Dit vermindert het frauderisico, versnelt het onboardingproces en ondersteunt de naleving van KYC- en AML-vereisten op een robuustere manier dan veel huidige methoden toelaten. Onze digitale identiteitsoplossingen zijn precies gebouwd rond deze verschuiving van gefragmenteerde verificatie naar herbruikbare, vertrouwde attestaties.
Moeten organisaties de EUDI-wallet accepteren voor identiteitsverificatie?
Ja, organisaties moeten plannen maken om de EUDI-wallet te accepteren voor identiteitsverificatie. Onder Verordening (EU) 2024/1183 gelden er verschillende verplichtingen voor verschillende soorten partijen. Publieke instanties en publieke dienstverleners moeten genotificeerde wallets uiterlijk op 24 december 2026 accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen geldt op grond van artikel 5f een acceptatieplicht per 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Dit betreft sectoren zoals banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: de verplichting geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen vallen buiten de verplichting. Voor andere organisaties is het accepteren van de wallet een strategische beslissing die duidelijke voordelen biedt op het gebied van beveiliging, naleving en gebruikerservaring.
Elke relying party die walletdata wil opvragen, moet zich bovendien registreren bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848, gepubliceerd op 6 mei 2025. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Vanuit praktisch oogpunt vereenvoudigt het accepteren van EUDI-wallet-attestaties de identiteitsverificatie aanzienlijk. Organisaties kunnen vertrouwen op attestaties die al zijn uitgegeven en gevalideerd door een erkende autoriteit, wat de last van identiteitscontrole vermindert en het frauderisico verlaagt.
Organisaties in gereguleerde sectoren hebben extra redenen om vroeg te handelen. De wallet sluit aan bij de gegevensminimalisatievereisten onder de AVG, ondersteunt KYC- en AML-naleving en biedt een duidelijk auditspoor voor elke geverifieerde interactie. Voor sectoren zoals overheidsdiensten staat de wallet al centraal in de regelgevende routekaart richting 24 december 2026 en daarna.
De vraag is eigenlijk niet óf de EUDI-wallet moet worden geaccepteerd, maar hoe je je er effectief op voorbereidt en hoe snel je moet handelen. Organisaties die nu wallet-klare infrastructuur bouwen, zijn beter gepositioneerd wanneer de adoptie versnelt.
Hoe de ID Connector van TrustTech identiteitsverificatie met de EUDI-wallet ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Specifiek ondersteunt de ID Connector organisaties met:
- Verificatie tegen nationale trusted lists volgens ETSI TS 119 612, zodat de handtekening van de uitgever correct wordt gevalideerd
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatiestroom
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden herkend en afgehandeld
- Hergebruik van geverifieerde identiteitsdata voor meerdere diensten zonder dat gebruikers elke keer opnieuw moeten beginnen
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening tot stand komt via een erkende vertrouwensdienstverlener
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, waar identiteitsverificatie op hoog zekerheidsniveau een wettelijke of operationele vereiste is.
Als jouw organisatie zich voorbereidt op de EUDI-wallet en wil begrijpen wat dit betekent voor jouw systemen, processen en nalevingsverplichtingen, neem dan contact op met TrustTech om te verkennen hoe de ID Connector jouw transitie kan ondersteunen.