De European Digital Identity Wallet is belangrijk voor de toekomst van digitale identiteit, omdat elke EU-burger en -inwoner hiermee op een veilige, gestandaardiseerde manier kan aantonen wie zij zijn en geverifieerde gegevens online kan delen. Het verschuift de controle over identiteitsgegevens van gecentraliseerde platforms naar individuen, waardoor digitale interacties sneller en betrouwbaarder worden. De onderstaande secties beantwoorden de meest gestelde vragen van organisaties over hoe de EUDI-wallet werkt, wat dit betekent voor hun sector en wanneer zij klaar moeten zijn.
Hoe verandert de EUDI-wallet de manier waarop identiteitsgegevens worden gedeeld?
De EUDI-wallet verandert het delen van identiteitsgegevens door geverifieerde attestaties rechtstreeks in handen te geven van het individu, die vervolgens bepaalt wat er wordt gedeeld, met wie en wanneer. Organisaties ontvangen cryptografisch ondertekende attributen rechtstreeks vanuit de wallet van de gebruiker, zonder tussenkomst van een centrale database of handmatige formulieren. Dit maakt de uitwisseling sneller, privacyvriendelijker en tamper-evident.
De meeste digitale identiteitsprocessen zijn vandaag gebaseerd op een van twee benaderingen: gebruikers maken nieuwe accounts aan en voeren hun gegevens telkens opnieuw in, of organisaties raadplegen een centrale identiteitsprovider. Beide benaderingen brengen wrijving, privacyrisico’s en nalevingslasten met zich mee. De EUDI-wallet vervangt dit door een model waarbij identiteitsgegevens eenmalig worden geverifieerd, veilig worden opgeslagen in de wallet unit van de gebruiker en opnieuw worden gebruikt bij elke dienst die wallet-gebaseerde attestaties accepteert.
De praktische verschuiving is aanzienlijk. Een gebruiker hoeft niet langer een kopie van een paspoort te uploaden naar een bank, zijn adres opnieuw te verifiëren bij een zorgverlener, of zijn beroepskwalificaties aan te tonen bij een nieuwe werkgever. Hij presenteert de relevante attestatie vanuit zijn wallet, de ontvangende organisatie verifieert deze en het proces is binnen enkele seconden voltooid. Er worden geen gegevens onnodig opgeslagen en er zit geen derde partij tussen de uitwisseling.
Welke soorten gegevens kunnen worden opgeslagen in de EUDI-wallet?
De EUDI-wallet kan een breed scala aan verifieerbare attestaties opslaan, van door de overheid uitgegeven identiteitsdocumenten tot beroepskwalificaties en sectorspecifieke attesten. Het startpunt is de Persoonsidentificatiegegevens (PID), die de kernidentiteitsattributen omvatten zoals naam, geboortedatum en nationaliteit. Daarnaast ondersteunt de wallet een groeiend aantal gebruiksscenario’s via aanvullende attestaties.
Voorbeelden van gegevens die de EUDI-wallet is ontworpen om te ondersteunen, zijn:
- Nationale identiteitsdocumenten en paspoorten
- Rijbewijzen en voertuigregistratiedocumenten
- Onderwijsdiploma’s en beroepskwalificaties
- Europese ziekteverzekeringskaarten en medische recepten
- Belasting- en socialezekerheidsinformatie
- Leeftijdsverificatie en andere attribuutspecifieke bewijzen
- Organisatorische attestaties voor bedrijfsvertegenwoordigers
Wat dit bruikbaar maakt in de praktijk, is het concept van selective disclosure. Een gebruiker die moet bewijzen dat hij ouder is dan 18 jaar, hoeft zijn volledige geboortedatum of andere persoonlijke gegevens niet te delen. Hij presenteert simpelweg het relevante attribuut. Deze privacy-by-design-aanpak is ingebouwd in de walletarchitectuur en sluit aan bij de AVG-beginselen rond dataminimalisatie. Daarbij geldt dat goedkeuring van gegevensdeling in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens.
Welke sectoren worden het meest beïnvloed door de uitrol van de EUDI-wallet?
De sectoren die het meest worden beïnvloed door de uitrol van de EUDI-wallet zijn degene die momenteel afhankelijk zijn van handmatige identiteitsverificatie, herhaalde KYC-controles of papiergebaseerde gegevensuitwisseling. Financiële dienstverlening, overheid, gezondheidszorg en onderwijs zijn de primaire gebieden waar de impact het meest direct en verreikend zal zijn.
In de financiële dienstverlening vereenvoudigt de wallet de onboarding van klanten, verlaagt het de kosten van KYC- en AML-naleving en maakt het herbruikbare identiteit mogelijk bij banken, verzekeringen en beleggingsdiensten. Klanten die al geverifieerd zijn via hun bank, kunnen die identiteit hergebruiken bij een andere financiële instelling. Daarbij blijft hergebruik van KYC mede afhankelijk van AML-regelgeving en sectorale regels, die niet door eIDAS 2.0 worden geregeld.
Bij overheidsdiensten creëert de wallet één vertrouwde interface voor burgers om grensoverschrijdend toegang te krijgen tot publieke diensten. Dit is met name relevant voor EU-inwoners die in een andere lidstaat wonen of werken en momenteel aanzienlijke wrijving ondervinden bij het omgaan met buitenlandse overheden.
In de gezondheidszorg maakt de wallet veilig delen van patiëntgegevens, recepten en verzekeringsgegevens tussen zorgverleners mogelijk, waardoor de administratieve last wordt verminderd en de continuïteit van zorg wordt verbeterd. Voor gezondheidsgegevens geldt daarbij dat naast een AVG-grondslag onder artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist is. Farmaceutische bedrijven en organisaties voor klinisch onderzoek profiteren ook van geverifieerde identiteit in gereguleerde workflows.
Andere sectoren, waaronder werving, onderwijs en beroepslicenties, zullen ook aanzienlijk worden beïnvloed. De wallet biedt een vertrouwde infrastructuur voor het op grote schaal delen en verifiëren van kwalificaties. Erkenning van beroepskwalificaties zelf volgt echter uit Richtlijn 2005/36/EG. De wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
Hoe verhoudt de EUDI-wallet zich tot eIDAS 2.0?
De EUDI-wallet is het centrale instrument van eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. eIDAS 2.0 biedt het juridische kader en de EUDI-wallet is de praktische uitwerking van dat kader op het niveau van burgers en organisaties. Zonder dit kader zou er geen juridische basis zijn voor de grensoverschrijdende erkenning van de wallet in de EU-lidstaten.
De oorspronkelijke eIDAS-verordening, aangenomen in 2014, stelde regels vast voor elektronische handtekeningen, zegels en grensoverschrijdende erkenning van nationale eID-stelsels. Hoewel het een belangrijke stap was, was de adoptie ongelijkmatig en hebben veel burgers er nooit rechtstreeks mee te maken gehad. Verordening (EU) 2024/1183 trad op 20 mei 2024 in werking en breidt de reikwijdte aanzienlijk uit. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 werd CIR (EU) 2025/848 aangenomen, met regels over de registratie van wallet-relying parties.
eIDAS 2.0 introduceert ook nieuwe concepten waarvan de wallet afhankelijk is, waaronder Gekwalificeerde Elektronische Attesten van Attributen (QEAAs) en PuB-EAA’s, de hoogwaardige attestaties die via de wallet kunnen worden opgeslagen en gepresenteerd. Het definieert ook de rol van vertrouwensdienstverleners, de technische normen waaraan wallet-implementaties moeten voldoen en de verplichtingen voor relying parties, dat wil zeggen organisaties die wallet-gebaseerde identiteit accepteren.
Voor organisaties die al werken met eIDAS-conforme processen, zoals gekwalificeerde elektronische handtekeningen of bestaande eID-integraties, is de overgang naar het wallet-ecosysteem een logische volgende stap. Begrijpen hoe het juridische kader en de technische uitwerking met elkaar verbonden zijn, is essentieel voor elke organisatie die haar implementatieaanpak plant.
Wat betekent de EUDI-wallet voor organisaties die identiteiten verifiëren?
Voor organisaties die identiteiten verifiëren, betekent de EUDI-wallet een fundamentele verschuiving in de manier waarop zij identiteitsgegevens ontvangen en verwerken. Zij worden relying parties die cryptografisch ondertekende attestaties uit de wallet accepteren. Dit verlaagt de kosten, verbetert de nauwkeurigheid en verschuift de aansprakelijkheid voor de juistheid van de gegevens naar de vertrouwde uitgever van de attestatie.
Verificatie van een wallet-presentatie omvat meer dan het controleren van een cryptografische handtekening. Een relying party voert drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list volgens ETSI TS 119 612, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Daarnaast moet een relying party zich onder CIR (EU) 2025/848 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
De praktische implicaties voor relying parties zijn aanzienlijk:
- Onboarding verloopt sneller. Gebruikers presenteren geverifieerde attestaties rechtstreeks vanuit hun wallet, waardoor de noodzaak voor het uploaden van documenten, handmatige beoordeling en heen-en-weer communicatie vervalt.
- Nalevingslasten nemen af. KYC- en andere regelgevingscontroles kunnen worden voldaan met behulp van attestaties die al zijn geverifieerd door een gekwalificeerde uitgever, waardoor duplicatie en kosten worden verminderd. Hergebruik van KYC blijft mede afhankelijk van AML-regelgeving.
- Dataminimalisatie wordt de standaard. Organisaties ontvangen alleen de specifieke attributen die zij nodig hebben, wat de AVG-naleving vereenvoudigt en het risico van onnodige gegevensopslag vermindert.
- Grensoverschrijdende acceptatie wordt eenvoudiger. Attestaties die zijn uitgegeven in een EU-lidstaat worden erkend in de hele EU, waardoor de complexiteit van het verifiëren van buitenlandse identiteitsdocumenten wordt verminderd.
- Audittrails worden robuuster. Cryptografische verificatie creëert een duidelijk, tamper-evident overzicht van wat er is gedeeld, door wie en wanneer.
Organisaties die momenteel zwaar investeren in infrastructuur voor identiteitsverificatie, zullen hun systemen moeten aanpassen om wallet-gebaseerde attestaties te accepteren. Dit vereist integratiewerkzaamheden, beleidswijzigingen en in sommige gevallen aanpassingen aan bestaande nalevingskaders. Hoe eerder organisaties dit proces beginnen, hoe minder ingrijpend de overgang zal zijn.
Wanneer zal de EUDI-wallet beschikbaar zijn in de hele EU?
Uiterlijk op 24 december 2026 moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties en publieke dienstverleners zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen geldt een acceptatieplicht die ingaat op 24 december 2027. Het gaat om banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Deze verplichting volgt uit artikel 5f van de verordening en is van toepassing binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: zij moeten de wallet accepteren waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van de acceptatieplicht uitgezonderd.
De uitrol verloopt in fasen. Het Architecture and Reference Framework (ARF), ontwikkeld door de European Digital Identity Cooperation Group, biedt de technische specificaties waaraan nationale wallet-implementaties moeten voldoen. De uitvoeringshandelingen zijn juridisch bindend; de ARF bevat de technische uitwerking daarvan. De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en testten praktijkscenario’s in uiteenlopende sectoren. Het consortium EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. POTENTIAL testte overheidsdiensten, het openen van bankrekeningen, SIM-registratie, een mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. NOBID concentreerde zich op betalingen en DC4EU op onderwijs en sociale zekerheid. De bevindingen zijn teruggekoppeld naar het specificatieproces. In 2025 startte een tweede pilotgolf, met onder andere de consortia WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
De deadline van 24 december 2026 is een uiterste datum voor notificatie en uitgifte, geen garantie dat elke organisatie of lidstaat de wallet op precies dat moment volledig heeft uitgerold met volledige functionele interoperabiliteit in de hele EU. Zelfs wanneer wallets technisch beschikbaar zijn, hebben organisaties tijd nodig om te integreren, te testen en hun processen bij te werken. Gereguleerde private sectoren met een acceptatieplicht per 24 december 2027 staan onder de meeste druk om tijdig te handelen.
Voor organisaties die nog niet zijn begonnen met plannen, is de deadline van 24 december 2026 voor walletuitgifte en publieke acceptatie geen verre horizon. De vraag is niet langer óf er voorbereidingen getroffen moeten worden, maar hoe snel er actie moet worden ondernomen. Meer gedetailleerde informatie over tijdlijnen, technische vereisten en sectorspecifieke verplichtingen is beschikbaar via de resources van TrustTech.
Hoe helpt TrustTech organisaties zich voor te bereiden op de EUDI-wallet
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt concreet de volgende technische taken die voor relying parties relevant zijn bij het accepteren van wallet-presentaties:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via de statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken binnen de grenzen van de CIR (EU) 2025/848-registratie blijven
- Hergebruik van geverifieerde identiteitsdata binnen de organisatie, ter ondersteuning van efficiënte KYC- en nalevingsworkflows
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farma en overheid die wallet-gebaseerde identiteit willen integreren in bestaande nalevingsworkflows en voor de acceptatieplicht per 24 december 2027 klaar willen zijn. Als jouw organisatie klaar is om de volgende stap te zetten, neem dan contact op met TrustTech om te bespreken wat de ID Connector concreet voor jouw situatie kan betekenen.