Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, werkt offline identiteitsverificatie via een proximity-flow waarbij de EUDI-wallet cryptografisch ondertekende attestaties rechtstreeks presenteert aan het apparaat van een verifier via kortebereiktechnologieën zoals Bluetooth Low Energy (BLE) of NFC, zonder dat een internetverbinding vereist is. Deze aanpak is uitgewerkt in het Architecture and Reference Framework (ARF), dat beschrijft hoe EUDI-wallets technisch moeten functioneren in alle EU-lidstaten. De onderstaande secties leggen uit hoe dit in de praktijk werkt, welke standaarden hierbij betrokken zijn en wat organisaties moeten doen om dit te ondersteunen.
Hoe verifieert de EUDI-wallet identiteit zonder internetverbinding?
De EUDI-wallet presenteert offline digitaal ondertekende attestaties die op het apparaat van de gebruiker zijn opgeslagen rechtstreeks aan een verifier via proximity-protocollen. De verifier controleert de handtekening van de uitgever aan de hand van de publieke sleutel uit een lokaal gecachede nationale trusted list, zonder dat er in realtime contact hoeft te worden opgenomen met een onlinedienst. Dit maakt verificatie snel en functioneel in omgevingen waar connectiviteit beperkt of niet beschikbaar is.
In de praktijk start de wallethouder een proximity-flow door de EUDI-wallet-app te openen en een specifieke attestatie te delen, zoals een mobiel rijbewijs of een nationaal identiteitsattribuut, met een nabijgelegen leesapparaat. De overdracht vindt plaats via BLE of NFC, die beide zonder internet werken. Het ontvangende apparaat controleert de integriteit van de attestatie aan de hand van de publieke sleutel van de uitgever en stelt vast of de attestatie tamper-evident is gebleven sinds deze werd uitgegeven.
Volledig offline verificatie kent echter beperkingen. De handtekening van de uitgever kan worden gecontroleerd aan de hand van een lokaal gecachede nationale trusted list volgens ETSI TS 119 612. De intrekkingsstatus vereist echter statusinformatie van de uitgever die vooraf gesynchroniseerd moet zijn. De validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait, vereist eveneens toegang tot externe informatie. Alleen de eerste controle kan volledig offline plaatsvinden.
Dit ontwerp weerspiegelt een bewuste architectuurkeuze. Omdat de EUDI-wallet bedoeld is om te werken in alledaagse fysieke omgevingen, zoals bij een grensovergang, een apotheekbalie of een controle langs de weg, zou uitsluitend vertrouwen op online verificatie het onpraktisch maken. De proximity-flow zorgt ervoor dat de wallet functioneel blijft, zelfs in gebieden met slechte connectiviteit of in situaties waar realtime serveroproepen niet haalbaar zijn, mits de verifier zijn gecachede gegevens actueel houdt.
Welke standaarden en protocollen liggen ten grondslag aan eIDAS 2.0 offline verificatie?
eIDAS 2.0 offline verificatie steunt op een combinatie van technische standaarden die bepalen hoe attestaties worden gestructureerd, overgedragen en geverifieerd in proximity-omgevingen. De kernstandaarden zijn ISO/IEC 18013-5 voor proximity-presentatie van mdoc-attestaties en OID4VP als uitwisselingsprotocol voor presentatie. Deze standaarden zorgen ervoor dat wallets en verifiers van verschillende leveranciers en lidstaten betrouwbaar kunnen samenwerken.
ISO/IEC 18013-5 is bijzonder belangrijk voor offline scenario’s. Het definieert het datamodel en communicatieprotocol voor het presenteren van identiteitsdocumenten via BLE en NFC, en specificeert hoe de verifier de attestatie authenticeert zonder een live verbinding met de uitgever. Deze standaard werd oorspronkelijk ontwikkeld voor mobiele rijbewijzen en is binnen het EUDI-wallet-framework breder overgenomen als referentie voor offline proximity-flows. Voor online presentatie van mdoc-attestaties is ISO/IEC TS 18013-7 de relevante standaard.
Het ARF, ontwikkeld door de eIDAS Expert Group, brengt deze standaarden samen in een coherente technische blauwdruk. Het definieert welke protocollen worden gehanteerd, hoe nationale trusted lists moeten worden gestructureerd zodat publieke sleutels kunnen worden opgehaald of gecached, en hoe wallets attestatie-presentatie moeten afhandelen in zowel online als offline modi. Daarnaast beschrijft het High Assurance Interoperability Profile (HAIP) aanvullende interoperabiliteitsvereisten voor hoogwaardige toepassingen. Organisaties die verifier-infrastructuur bouwen, moeten zich afstemmen op het ARF om technische interoperabiliteit binnen de EU te waarborgen. De juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen, niet uit het ARF zelf.
Wat is het verschil tussen online en offline identiteitsverificatie in eIDAS 2.0?
Het belangrijkste verschil tussen online en offline identiteitsverificatie in eIDAS 2.0 is hoe en wanneer de verifier de geldigheid van de attestatie controleert. Bij een online-flow kan de verifier in realtime de systemen van de uitgever raadplegen om te bevestigen dat een attestatie nog geldig is en niet is ingetrokken, en kan de wallet unit attestation worden gevalideerd. Bij een offline-flow is de verifier afhankelijk van de cryptografische handtekening die in de attestatie is ingebed en van intrekkingsinformatie die vooraf gecached was.
Online verificatie biedt meer dynamische zekerheid. De verifier krijgt een live bevestiging van de attestatiestatus, wat vooral waardevol is bij transacties met een hoog risico, zoals het openen van een bankrekening of het initiëren van een betaling. De EUDI-wallet ondersteunt dit via OID4VP over HTTPS, waarbij de wallet in realtime attestaties presenteert aan een webgebaseerde verifier. Voor mdoc-attestaties online is ISO/IEC TS 18013-7 de relevante standaard.
Offline verificatie geeft prioriteit aan beschikbaarheid boven realtime statuscontroles. Het is beter geschikt voor fysieke interacties waarbij een snelle controle nodig is en waarbij het risicoprofiel van de transactie beheersbaar is zonder live intrekkingsgegevens. Beide flows gebruiken hetzelfde onderliggende attestatieformaat en cryptografische mechanismen, wat betekent dat een enkele attestatie die aan een wallet unit is uitgegeven, in beide contexten kan worden gebruikt, afhankelijk van de situatie. Verifiers moeten zich bewust zijn van de beperkingen van offline verificatie en hun acceptatiebeleid daarop afstemmen.
Hoe wordt intrekking van attestaties afgehandeld wanneer er geen internetverbinding is?
Intrekking van attestaties in offline scenario’s wordt afgehandeld via mechanismen die vooraf aan verifiers worden gedistribueerd of in de attestatie zijn ingebed. De meest gebruikelijke benaderingen zijn Status List-attestaties en kortlevende attestaties, die beide een verifier in staat stellen te beoordelen of een attestatie nog geldig is zonder op het moment van verificatie contact op te nemen met de uitgever.
Een Status List is een compacte, ondertekende gegevensstructuur die door de uitgever wordt gepubliceerd en attestatie-identificatoren koppelt aan hun huidige intrekkingsstatus. Verifiers kunnen deze lijst periodiek downloaden en cachen, en deze vervolgens lokaal raadplegen tijdens een offline interactie. Zolang de gecachede lijst redelijk actueel is, kan de verifier een weloverwogen beslissing nemen over het al dan niet accepteren van een attestatie. Hoe oud de gecachede informatie maximaal mag zijn, is een beleidskeuze die de verifier zelf moet maken op basis van het risicoprofiel van de transactie.
Kortlevende attestaties hanteren een andere aanpak. In plaats van te vertrouwen op intrekkingslijsten geeft de uitgever attestaties uit met een zeer korte geldigheidsperiode, vaak gemeten in uren of dagen. Als een attestatie moet worden ingetrokken, geeft de uitgever deze eenvoudigweg niet opnieuw uit. Deze aanpak is eenvoudiger te implementeren en vermijdt de noodzaak voor verifiers om intrekkingsgegevens te beheren, maar vereist wel dat de wallet unit regelmatig attestaties vernieuwt, wat periodieke connectiviteit vereist.
De juiste aanpak hangt af van de use case en de acceptabele risicotolerantie. Voor frequent voorkomende, lager-risico interacties werken kortlevende attestaties goed. Voor attestaties die zelden worden uitgegeven en voor langere perioden worden bewaard, geeft een statuslijstbenadering verifiers meer informatie bij offline controles. In beide gevallen geldt dat de intrekkingscontrole offline nooit dezelfde zekerheid biedt als een realtime raadpleging.
Welke use cases vereisen offline identiteitsverificatie onder eIDAS 2.0?
Verschillende alledaagse scenario’s vereisen offline identiteitsverificatie omdat ze plaatsvinden in fysieke omgevingen waar internettoegang niet gegarandeerd kan worden. De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Zij identificeerden een reeks use cases waarbij proximity-flows essentieel zijn om de wallet praktisch en breed inzetbaar te maken.
- Controles van mobiele rijbewijzen: Een bestuurder die zijn rijbewijs langs de weg toont aan een politieagent of autoverhuurbedrijf heeft een snelle, betrouwbare controle nodig die werkt zonder dataverbinding. Dit scenario werd onderzocht in de POTENTIAL-pilot.
- Presentatie van reisdocumenten: Het tonen van identiteits- of reisattestaties bij de beveiliging op luchthavens of bij grenscontroles werd gepiloteerd binnen EWC. Digital Travel Credentials bevonden zich nog in de pilotfase en zijn niet als algemeen operationele EUDI-walletfunctionaliteit beschikbaar.
- Verstrekking van recepten: Een patiënt die een digitaal recept toont aan een apotheekbalie, waarbij de apotheker de attestatie snel moet verifiëren in een fysieke omgeving. Dit scenario maakte deel uit van de POTENTIAL-pilot.
- Leeftijds- en identiteitsverificatie in de detailhandel: Het bevestigen van een specifiek attribuut, zoals leeftijd voor leeftijdsgebonden aankopen, via selective disclosure vanuit de wallet zonder onnodige persoonsgegevens te onthullen.
- Toegang tot sociale zekerheidsdiensten: Het presenteren van attestaties voor toegang tot uitkeringen of zorgrechten in persoon bij een overheidskantoor of zorginstelling. DC4EU onderzocht vergelijkbare scenario’s op het gebied van sociale zekerheid.
Wat deze scenario’s gemeen hebben, is dat ze een persoon betreffen die fysiek aanwezig is op een locatie waar de interactie snel moet worden afgerond en waar een mislukte internetverbinding onaanvaardbaar zou zijn. De zorgsector en overheidsdiensten zijn bijzonder afhankelijk van offline mogelijkheden, gezien de aard van hun persoonlijke dienstverlening.
Wat hebben organisaties nodig om eIDAS 2.0 offline verificatie te implementeren?
Het implementeren van eIDAS 2.0 offline verificatie vereist dat organisaties verifier-infrastructuur bouwen of integreren die proximity-protocollen ondersteunt, nationale trusted lists en publieke sleuteldistributie beheren, en hun attestatieformaten afstemmen op het ARF. Voordat een organisatie als relying party walletdata kan opvragen, moet zij zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Als minimum hebben organisaties die als verifier optreden het volgende nodig:
- Proximity-geschikte leesapparaten of apps die BLE- en NFC-communicatie ondersteunen en attestatieformaten kunnen interpreteren zoals gedefinieerd in ISO/IEC 18013-5 voor mdoc-attestaties.
- Lokaal gecachede nationale trusted lists waarmee de verifier uitgevershandtekeningen kan valideren zonder een live internetverbinding. Deze trusted lists volgen ETSI TS 119 612 en zijn via de EU List of Trusted Lists (LOTL) toegankelijk.
- Beheer van intrekkingsgegevens, via periodieke synchronisatie van statuslijsten of via een beleidsbeslissing over acceptabele geldigheidsvensters voor attestaties, afgestemd op het risicoprofiel van de transactie.
- Personeelstraining en procesintegratie, zodat de mensen die verifier-apparaten bedienen begrijpen hoe ze resultaten moeten interpreteren en randgevallen moeten afhandelen, zoals verlopen of niet-verifieerbare attestaties.
- Naleving van het ARF en relevante sectorspecifieke vereisten, met name als de organisatie actief is in een gereguleerde sector zoals financiën, gezondheidszorg of overheid.
Organisaties die ook attestaties uitgeven, zoals overheidsinstanties of zorgaanbieders, staan voor aanvullende vereisten op het gebied van attestatie-levenscyclusbeheer, waaronder hoe zij intrekkingsgegevens publiceren en ervoor zorgen dat hun attestaties compatibel zijn met wallets uit verschillende lidstaten. Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is vanaf 24 december 2026. Voor relevante gereguleerde private sectoren, waaronder banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten, geldt de acceptatieplicht onder artikel 5f van Verordening (EU) 2024/1183 vanaf 24 december 2027. Micro- en kleine ondernemingen, gedefinieerd als organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van deze private acceptatieplicht uitgezonderd. Financiële dienstverleners moeten overwegen hoe offline verificatie past in hun bestaande KYC- en AML-compliancekaders, waarbij hergebruik van geverifieerde identiteitsdata mede wordt bepaald door AML-regelgeving en sectorale regels.
Hoe ondersteunt de ID Connector offline identiteitsverificatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. Voor offline identiteitsverificatie ondersteunt de ID Connector de volgende technische taken:
- Verificatie van uitgevershandtekeningen tegen nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL), inclusief lokale caching voor gebruik in offline omgevingen.
- Controle van de intrekkingsstatus via gesynchroniseerde statuslijsten, zodat verifiers ook zonder live verbinding een actueel beeld hebben van de geldigheid van aangeboden attestaties.
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de bij de nationale autoriteit geregistreerde scope worden gesignaleerd.
- Ondersteuning van mdoc-attestaties via ISO/IEC 18013-5 voor proximity-presentatie en OID4VP als uitwisselingsprotocol.
De ID Connector is relevant voor financiële dienstverleners die offline verificatie willen integreren in KYC-processen, voor zorginstellingen en apotheken die digitale recepten of zorgattestaties in een fysieke omgeving willen verifiëren, en voor overheidsorganisaties die burgers in persoon bedienen. Een gekwalificeerde elektronische handtekening komt via een aangesloten qualified trust service provider tot stand; de ID Connector faciliteert de koppeling, maar geeft zelf geen gekwalificeerde handtekeningen uit.
Bekijk de digitale identiteitsoplossingen van TrustTech of lees meer over onze aanpak van implementatie. Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw situatie.