Ja, bedrijven kunnen de EUDI-wallet gebruiken om klanten online te verifiëren. Onder Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, die Verordening (EU) 910/2014 wijzigt, krijgen organisaties die zich registreren als relying party de mogelijkheid om geverifieerde identiteitsattributen op te vragen vanuit de EUDI-wallet van een klant. Dit maakt digitale identiteitsverificatie sneller, betrouwbaarder en minder belastend voor de klant dan veel huidige methoden.
De EUDI-wallet is een praktische infrastructuur voor bedrijven die moeten bevestigen met wie zij te maken hebben, of dat nu tijdens onboarding, leeftijdsverificatie of toegang tot gereguleerde diensten is. De onderstaande secties beschrijven wat dit in de praktijk betekent, welke sectoren het meest kunnen profiteren en hoe jouw organisatie zich kan voorbereiden.
Wat kunnen bedrijven daadwerkelijk doen met de EUDI-wallet?
Bedrijven kunnen de EUDI-wallet gebruiken om geverifieerde identiteitsattributen van gebruikers op te vragen, hun identiteit te bevestigen en digitaal ondertekende attestaties te accepteren, zonder dat de gebruiker documenten hoeft te uploaden of informatie opnieuw hoeft in te voeren die elders al is verstrekt. Dit maakt de wallet tot een praktisch hulpmiddel voor klantverificatie, onboarding en compliance.
De wallet stelt gebruikers in staat een breed scala aan geverifieerde documenten en attestaties op te slaan en te delen. Vanuit bedrijfsperspectief opent dit een aantal concrete toepassingsmogelijkheden:
- Klant-onboarding: Identiteit verifiëren tijdens het aanmaken van een account of registratie, zonder handmatige documentcontroles
- Leeftijds- en geschiktheidsverificatie: Bevestigen dat een gebruiker aan een specifieke vereiste voldoet, zoals het zijn van 18 jaar of ouder, zonder onnodige persoonsgegevens te ontvangen. Dit kan via selective disclosure van bijvoorbeeld het attribuut “ouder dan 18”, zonder dat de volledige geboortedatum wordt gedeeld.
- KYC- en AML-compliance: Cryptografisch ondertekende identiteitsattestaties accepteren om te voldoen aan regelgevingsverplichtingen in financiële dienstverlening
- Contractondertekening: Gekwalificeerde digitale handtekeningen koppelen aan een geverifieerde identiteit voor juridisch bindende overeenkomsten
- Toegang tot gereguleerde diensten: Beroepskwalificaties, verblijfsstatus of andere attributen bevestigen die vereist zijn voor toegang tot bepaalde producten of diensten
Wat dit onderscheidt van traditionele identiteitscontroles is het principe van selective disclosure. Gebruikers delen alleen de specifieke attributen die een bedrijf nodig heeft. Een bedrijf dat vraagt om bewijs van leeftijd ontvangt bevestiging van dat feit, niet een volledige kopie van een paspoort of rijbewijs. Dit vermindert de gegevensaansprakelijkheid voor bedrijven en geeft klanten meer controle over hun persoonlijke informatie.
Hoe werkt verificatie via de EUDI-wallet in de praktijk?
Wanneer een bedrijf een klant wil verifiëren via de EUDI-wallet, stuurt het een verzoek om specifieke identiteitsattributen. De klant ontvangt dit verzoek in zijn wallet instance, bekijkt wat er wordt gevraagd en kiest ervoor om het goed te keuren of te weigeren. Bij goedkeuring geeft de wallet alleen de gevraagde gegevens vrij, cryptografisch ondertekend en tamper-evident, rechtstreeks aan het bedrijf.
Dit proces werkt omdat de wallet attestaties bevat die zijn uitgegeven door vertrouwde autoriteiten, zoals overheidsinstanties of officieel erkende instellingen. Elke attestatie bevat een digitale handtekening van de uitgever. Een volledige verificatie omvat echter meer dan het controleren van die handtekening. Een relying party voert in principe drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.
Vanuit technisch oogpunt werken bedrijven samen met het EUDI-wallet-ecosysteem via gestandaardiseerde protocollen die zijn vastgelegd in het Architecture and Reference Framework (ARF). De credentialformaten die binnen het ecosysteem worden gebruikt zijn mdoc en SD-JWT VC. Voor online presentatie is het relevante protocol OID4VP. Grootschalige pilotprogramma’s hebben deze specificaties getest in praktijkscenario’s in uiteenlopende sectoren.
Voor bedrijven betekent dit dat integratie vereist dat je aansluit op dit gestandaardiseerde framework. Dit zorgt voor consistentie over grenzen heen: een bedrijf dat actief is in meerdere EU-landen kan vertrouwen op hetzelfde verificatieproces, ongeacht waar de klant gevestigd is.
Welke sectoren profiteren het meest van EUDI-wallet-verificatie?
De sectoren die het meest waarschijnlijk zullen profiteren van op de EUDI-wallet gebaseerde klantverificatie zijn die sectoren die al de zwaarste identiteits- en compliancevereisten kennen: financiële dienstverlening, gezondheidszorg, overheid en farmacie. Deze sectoren dragen aanzienlijke regelgevingsverplichtingen op het gebied van het kennen van hun klanten, en de wallet biedt een manier om aan die verplichtingen efficiënter te voldoen.
Financiële dienstverlening en bankieren
Banken, verzekeraars en fintechs opereren onder strikte KYC- en AML-vereisten. Tegenwoordig vereist het onboarden van een nieuwe klant vaak het uploaden van identiteitsdocumenten, wachten op handmatige beoordeling en soms een bezoek aan een kantoor. Met digitale identiteit in de financiële sector kan de EUDI-wallet dit vervangen door één enkele, geverifieerde gegevensuitwisseling. De klant deelt zijn bevestigde identiteitsattributen, het bedrijf ontvangt cryptografisch bewijs en onboarding kan in minuten worden afgerond. Daarbij geldt dat hergebruik van KYC-gegevens ook wordt bepaald door AML-regelgeving en sectorale regels, waaronder de AML-verordening die in juli 2027 van toepassing wordt.
Gezondheidszorg en farmacie
In de gezondheidszorg zijn het verifiëren van de identiteit van patiënten en het bevestigen van professionele credentials beide cruciaal. De EUDI-wallet ondersteunt toepassingen zoals het ophalen van recepten bij apotheken, het raadplegen van persoonlijke gezondheidsgegevens en het bevestigen dat een zorgprofessional over de juiste kwalificaties beschikt. Voor zorgaanbieders vermindert dit de administratieve last, terwijl een hoog niveau van zekerheid wordt gehandhaafd. Omdat gezondheidsgegevens bijzondere persoonsgegevens zijn, moet een relying party in deze sector naast een AVG-grondslag uit artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG kunnen aanwijzen.
Overheid en publieke diensten
Publieke organisaties hebben onder eIDAS 2.0 een duidelijk mandaat om EUDI-wallets te accepteren voor toegang tot digitale diensten. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor overheidsdiensten stelt de wallet burgers in staat vergunningen aan te vragen, informatie over sociale zekerheid te raadplegen of zich te registreren voor diensten zonder telkens opnieuw te hoeven bewijzen wie zij zijn.
Wat zijn de wettelijke vereisten voor bedrijven die de EUDI-wallet willen gebruiken?
Bedrijven die identiteitsgegevens willen opvragen via EUDI-wallets moeten zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging. Dit registratieproces is geregeld in CIR (EU) 2025/848, dat op 6 mei 2025 is vastgesteld. Een relying party registreert per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Organisaties mogen alleen vragen om de minimale informatie die nodig is voor het opgegeven doel.
Naast registratie moeten bedrijven ook voldoen aan de AVG bij het verwerken van persoonsgegevens die via de wallet zijn ontvangen. De twee kaders werken samen: eIDAS 2.0 regelt het identiteitsverificatieproces zelf, terwijl de AVG regelt wat er met de gegevens gebeurt nadat ze zijn ontvangen. Goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting als grondslag doorgaans relevant. Bedrijven hebben duidelijk beleid voor gegevensbewaring, rechtmatige verwerkingsgronden en passende beveiligingsmaatregelen nodig.
Iedere EU-lidstaat moet uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals bankieren en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs en andere sectoren waarvoor sterke gebruikersauthenticatie wettelijk of contractueel vereist is, geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027. Micro- en kleine ondernemingen zijn van deze acceptatieplicht uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro. Voor organisaties die wel binnen het toepassingsbereik vallen, wordt acceptatie van de wallet een complianceverplichting. Organisaties die het voorbereiden van hun systemen uitstellen, lopen zowel regelgevingsrisico als een slechte klantervaring naarmate de adoptie van de wallet groeit.
Het is ook vermeldenswaard dat walletgebruik vrijwillig is. Artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Een relying party mag toegang tot een dienst niet afhankelijk stellen van het gebruik van een EUDI-wallet.
Wat moeten bedrijven nu doen om zich voor te bereiden op EUDI-wallet-integratie?
Bedrijven moeten beginnen met het in kaart brengen van hun huidige identiteitsverificatieprocessen en identificeren waar op de EUDI-wallet gebaseerde verificatie bestaande stappen kan vervangen of verbeteren. Daarna is de prioriteit het begrijpen van de technische en juridische vereisten voor het worden van een relying party, en het dienovereenkomstig afstemmen van interne systemen, compliancekaders en leveranciersrelaties.
Een praktische voorbereidingsaanpak volgt een duidelijke volgorde:
- Beoordeel jouw huidige identiteitsstromen: Identificeer welke klanttrajecten identiteitsverificatie, attestatiecontroles of documentindiening omvatten
- Beoordeel jouw regelgevingsverplichtingen: Bepaal welke eIDAS 2.0-vereisten van toepassing zijn op jouw sector en type dienst, en of jouw organisatie binnen het toepassingsbereik van artikel 5f valt
- Begrijp het registratieproces voor relying parties: Ontdek wat vereist is in jouw lidstaat op grond van CIR (EU) 2025/848 om je te registreren als relying party, en begin vroeg met dat proces
- Evalueer jouw technische infrastructuur: Controleer of jouw huidige systemen kunnen aansluiten op de gestandaardiseerde walletprotocollen, inclusief OID4VP en de relevante credentialformaten, of dat integratiewerk nodig is
- Actualiseer jouw datagovernancebeleid: Zorg ervoor dat jouw AVG-compliancekader gegevens dekt die zijn ontvangen via op wallet gebaseerde verificatie, inclusief de benodigde verwerkingsgrondslag
- Maak gebruik van pilotinzichten: De vier grootschalige pilots die van april 2023 tot 2025 in de EU hebben gelopen, hebben praktische leerpunten opgeleverd over het gebruik van wallets in de praktijk. Het doornemen van hun resultaten kan jouw eigen implementatieplanning informeren
Organisaties die EUDI-wallet-integratie behandelen als een compliancevinkje zullen de bredere kans missen. Bedrijven die het strategisch benaderen als een manier om onboardingwrijving te verminderen, compliancekosten te verlagen en klantvertrouwen op te bouwen, zijn degenen die een echt rendement op de investering zullen zien. Verken de beschikbare resources om op de hoogte te blijven naarmate technische specificaties en nationale uitvoering zich verder ontwikkelen.
Hoe helpt TrustTech bedrijven zich voor te bereiden op EUDI-wallet-verificatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die direct aansluiten op de verificatievereisten uit dit artikel:
- Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever aan de hand van de relevante nationale trusted lists, conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om vast te stellen of een attestatie nog geldig is
- Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope: De ID Connector bewaakt dat verzoeken binnen de scope vallen die is geregistreerd onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde attributen kunnen worden hergebruikt binnen de klantlevenscyclus, zonder herhaalde walletpresentaties
- Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector maakt het mogelijk om gekwalificeerde elektronische handtekeningen te koppelen aan een geverifieerde identiteit, waarbij de QES tot stand komt via een gekwalificeerde vertrouwensdienstverlener
Of je nu de eerste stappen zet richting registratie als relying party of klaar bent om walletintegratie technisch te implementeren, de ID Connector biedt de infrastructuur om dat te doen. Neem contact op met TrustTech om te bespreken wat de ID Connector concreet kan betekenen voor jouw organisatie in financiële dienstverlening, gezondheidszorg, farmacie of overheid.