eIDAS 2.0 trad in werking op 20 mei 2024, toen de herziene verordening werd gepubliceerd in het Publicatieblad van de Europese Unie. Lidstaten hebben tot 2026 de tijd om Europese Digitale Identiteitsportemonnees (EUDI Wallets) beschikbaar te stellen aan hun burgers, inwoners en bedrijven. Voor de meeste organisaties betekent dit dat het voorbereidingsvenster al open is en de klok tikt.

De verordening werkt niet alleen een paar technische regels bij. Ze hervormt fundamenteel hoe digitale identiteit in heel Europa werkt, wie daarvoor verantwoordelijk is en welke sectoren deze moeten accepteren. Dit artikel bespreekt de belangrijkste vragen die organisaties op dit moment stellen.

Wat is er veranderd ten opzichte van de oorspronkelijke eIDAS-verordening?

De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, creëerde een kader waarmee EU-lidstaten elkaars nationale elektronische ID-systemen konden notificeren en erkennen. Sinds 2018 moest elk genotificeerd stelsel door de hele EU worden geaccepteerd. Deelname was echter vrijwillig. Er was geen verplichting voor elk land om een eID te creëren en geen vereiste voor private organisaties om deze te accepteren. Het resultaat was een gefragmenteerd landschap met aanzienlijke verschillen tussen lidstaten.

eIDAS 2.0 pakt deze tekortkomingen direct aan. De belangrijkste wijzigingen zijn:

• Universele beschikbaarheid: Elke lidstaat moet nu een Europese Digitale Identiteitsportemonnee aanbieden aan alle burgers, inwoners en bedrijven die dat willen.
• Inclusie van de private sector: Voor het eerst strekt de verordening zich uit tot private organisaties. Grote onlineplatforms en dienstverleners in bepaalde sectoren zijn verplicht de EUDI Wallet te accepteren.
• Gebruikerscontrole en privacy: Gebruikers van de portemonnee bepalen precies welke gegevens ze delen en met wie. Alleen de minimaal noodzakelijke informatie wordt vrijgegeven, waardoor het risico op persoonlijke profilering afneemt.
• Uitgebreide vertrouwensdiensten: Nieuwe gekwalificeerde vertrouwensdiensten zijn toegevoegd, waaronder elektronische archivering, elektronische grootboeken en ondertekening op afstand, waardoor de reikwijdte van wat onder de verordening valt wordt vergroot.
• Interoperabiliteit by design: Het Architecture and Reference Framework (ARF) stelt gemeenschappelijke technische standaarden vast zodat portemonnees grensoverschrijdend en sectoroverschrijdend werken zonder extra integratiewerkzaamheden.

Kortom, eIDAS 2.0 maakt de overgang van een vrijwillig, op de overheid gericht kader naar een verplichte, sectoroverschrijdende digitale identiteitsinfrastructuur. De EUDI Wallet is de meest zichtbare uitdrukking van deze verschuiving.

Wat zijn de belangrijkste implementatiedeadlines van eIDAS 2.0?

De implementatietijdlijn van eIDAS 2.0 verloopt in fasen. De verordening trad in werking op 20 mei 2024. Lidstaten hebben vervolgens 24 maanden, wat neerkomt op een deadline van medio 2026, om EUDI Wallets uit te geven aan hun burgers en bedrijven. Bepaalde uitvoeringsverordeningen en technische specificaties worden parallel afgerond, met grootschalige pilotprojecten die tot 2025 lopen om de gereedheid in de praktijk te testen.

De belangrijkste data om in gedachten te houden zijn:

1. 20 mei 2024: eIDAS 2.0 trad in werking na publicatie in het Publicatieblad van de EU.
2. 2025: Grootschalige pilotprojecten afgerond, met feedback over de werking van de portemonnee, interoperabiliteit en beveiliging bij meer dan 350 deelnemende entiteiten uit 26 lidstaten.
3. Medio 2026: Lidstaten moeten EUDI Wallets beschikbaar stellen aan alle burgers, inwoners en bedrijven. Dit is de primaire nalevingsdeadline waarop organisaties zich in 2026 voorbereiden.
4. Doorlopend: Uitvoeringsverordeningen met specifieke technische en procedurele vereisten worden voortdurend vastgesteld. Organisaties moeten deze volgen zodra ze worden gepubliceerd.

Voor organisaties in gereguleerde sectoren is medio 2026 geen verre horizon. Het is de meest urgente nalevingsmijlpaal van het lopende jaar, en veel van de technische en operationele voorbereidingen moeten klaar zijn voordat portemonnees op grote schaal in gebruik worden genomen.

Welke sectoren worden als eerste door eIDAS 2.0 getroffen?

eIDAS 2.0 heeft gevolgen voor alle sectoren die afhankelijk zijn van digitale identiteitsverificatie, maar sommige hebben eerder en directere verplichtingen dan andere. Financiële dienstverlening, overheid, gezondheidszorg en telecommunicatie behoren tot de eerste sectoren die verplicht zijn EUDI Wallets te accepteren voor identiteitsverificatie en authenticatie. Zeer grote onlineplatforms die zijn aangewezen onder de Digital Services Act vallen ook binnen de reikwijdte.

De grootschalige pilotprojecten testten de portemonnee in elf praktijkscenario’s, waardoor duidelijk werd welke sectoren op de voorste linie staan:

• Financiële dienstverlening en bankieren: Het openen van bankrekeningen, sterke klantauthenticatie en KYC-processen zijn allemaal gedekt. Banken en betalingsdienstaanbieders moeten klaar zijn voor de portemonnee voor onboarding- en authenticatiestromen.
• Overheidsdiensten: Het aanvragen van paspoorten, rijbewijzen, toegang tot sociale zekerheid en het indienen van belastingaangiften behoren tot de geteste gebruiksscenario’s. Publieke organisaties hebben zowel een verplichting om portemonnees uit te geven als te accepteren.
• Gezondheidszorg: Patiëntidentificatie, receptverificatie en grensoverschrijdende uitwisseling van gezondheidsgegevens zijn belangrijke gebruiksscenario’s. Zorgorganisaties hebben specifieke vereisten rond de verwerking van gevoelige gegevens.
• Telecommunicatie: SIM-registratie en identiteitsverificatie voor mobiele contracten vallen expliciet binnen de reikwijdte, waardoor fraude en administratieve lasten voor operators worden verminderd.
• Onderwijs en sociale zekerheid: Academische diploma’s, beroepskwalificaties en sociale uitkeringen worden getest als in de portemonnee opgeslagen documenten die veilig grensoverschrijdend kunnen worden gedeeld.

Als uw organisatie actief is in financiële dienstverlening of een andere sector die momenteel afhankelijk is van identiteitsverificatie als onderdeel van het klanttraject, is eIDAS 2.0 direct relevant voor uw activiteiten.

Wat moeten organisaties doen vóór de deadline van 2026?

Organisaties moeten hun huidige identiteitsinfrastructuur beoordelen, begrijpen waar acceptatie van de EUDI Wallet verplicht is en beginnen met het integreren van de technische en nalevingswijzigingen voordat portemonnees op grote schaal worden uitgegeven. Wachten tot portemonnees live zijn, is te laat. Het voorbereidingswerk omvat technologie, compliance en governance.

In de praktijk betekent dit dat meerdere gebieden parallel worden doorgewerkt. Op technisch vlak moeten organisaties beoordelen of hun huidige onboarding- en authenticatiesystemen portemonnee-gebaseerde credentials kunnen accepteren. De EUDI Wallet maakt gebruik van verifieerbare credentials en gestandaardiseerde protocollen die zijn gedefinieerd in het Architecture and Reference Framework. Systemen die niet zijn ontworpen met deze standaarden in gedachten, zullen moeten worden bijgewerkt.

Op nalevingsgebied moeten organisaties in kaart brengen welke van hun bestaande processen worden beïnvloed. KYC, AML, sterke klantauthenticatie en leeftijdsverificatie zijn allemaal gebieden waar portemonnee-gebaseerde identiteit huidige methoden kan vervangen of aanvullen. Begrijpen welke uitvoeringsverordeningen van toepassing zijn op uw sector is een essentiële eerste stap.

Vanuit een governance-perspectief moeten organisaties duidelijk eigenaarschap toewijzen voor eIDAS 2.0-gereedheid. Dit is niet puur een IT-project. Complianceteams, juridisch adviseurs, leiders van digitale transformatie en bedrijfseigenaren moeten allemaal betrokken zijn. De juiste implementatieaanpak combineert technische nauwkeurigheid met praktische bedrijfsafstemming.

Belangrijke acties vóór de deadline van 2026 zijn onder meer het herzien van huidige identiteitsverificatieworkflows, het identificeren van hiaten ten opzichte van de eIDAS 2.0-vereisten, het deelnemen aan portemonnee-pilots of referentie-implementaties waar mogelijk, en het waarborgen dat principes van gegevensminimalisatie zijn ingebouwd in nieuwe of bijgewerkte processen.

Wat gebeurt er als een organisatie de nalevingsdeadline van eIDAS 2.0 mist?

Het missen van de nalevingsdeadline van eIDAS 2.0 brengt reëel regelgevend en zakelijk risico met zich mee. Organisaties die verplicht zijn EUDI Wallets te accepteren maar dit nalaten, kunnen handhavingsmaatregelen ondervinden van nationale toezichthoudende autoriteiten, die verantwoordelijk zijn voor het toezicht op naleving binnen hun lidstaten. Naast formele sancties riskeren niet-conforme organisaties dat ze klanten niet kunnen bedienen die ervoor kiezen hun portemonnee als primair identificatiemiddel te gebruiken.

De zakelijke gevolgen reiken verder dan regelgevende boetes. Naarmate EUDI Wallets de standaardmanier worden voor burgers om hun identiteit online te bewijzen, zullen organisaties die ze niet kunnen accepteren wrijving in hun klanttrajecten creëren. Concurrenten die klaar zijn voor de portemonnee, bieden snellere en eenvoudigere onboarding. In sectoren zoals bankieren en financiële dienstverlening, waar klantervaring en conversiepercentages nauw verbonden zijn met de snelheid van identiteitsverificatie, heeft het achterlopen op eIDAS 2.0-gereedheid directe commerciële kosten.

Er is ook een reputatiedimensie. eIDAS 2.0 plaatst gebruikersprivacy en gegevenscontrole centraal. Organisaties die als traag worden beschouwd in het adopteren van privacyvriendelijke identiteitsmethoden, kunnen te maken krijgen met kritiek van zowel klanten als toezichthouders, met name naarmate het bewustzijn van digitale identiteitsrechten onder consumenten groeit.

Het eerlijke beeld is dat de organisaties die het grootste risico lopen, degenen zijn die eIDAS 2.0 nog steeds behandelen als een toekomstige zorg in plaats van een huidige prioriteit. De deadline is 2026. Dat is nu.

Hoe helpt TrustTech bij eIDAS 2.0-gereedheid

TrustTech is speciaal gebouwd om organisaties te helpen navigeren door precies het soort transitie dat eIDAS 2.0 vertegenwoordigt. Of u nu actief bent in financiële dienstverlening, overheid, gezondheidszorg of een andere gereguleerde sector, TrustTech biedt de infrastructuur en expertise om van waar u vandaag staat naar waar de verordening u vereist te zijn.

Specifiek helpt TrustTech organisaties met:

• Veilige digitale onboarding die vanaf dag één klaar is voor EUDI Wallet-credentials
• Herbruikbare compliance-controles zodat klanten eenmalig verifiëren en die verificatie overal wordt vertrouwd
• Gekwalificeerde digitale handtekeningen met identiteit gekoppeld aan elke handtekening en een volledig auditspoor
• Interoperabiliteit tussen organisaties gebouwd op Europese digitale identiteitsstandaarden
• Snellere time-to-production, met een bewezen staat van dienst van live gaan in minder dan vijf maanden

TrustTech bevindt zich tussen de partijen die met elkaar moeten communiceren, en verbindt identificatie, kwalificatie en ondertekening in één vertrouwd platform zonder eigenaar te zijn van een van de betrokken partijen. Dit maakt het voor organisaties praktisch om gefragmenteerde, herhaalde identiteitscontroles te vervangen door één schaalbaar proces dat voldoet aan de eIDAS 2.0-vereisten. Verken het TrustTech-platform om te zien hoe het past bij uw context, of neem contact op om uw eIDAS 2.0-gereedheid vandaag te bespreken.