Wat is de eIDAS 2.0 implementatieroadmap voor 2026?

De eIDAS 2.0-implementatieroadmap voor 2026 draait om één kernverplichting: EU-lidstaten moeten de Europese Digitale Identiteitswallet vóór 24 december 2026 beschikbaar stellen aan alle burgers, ingezetenen en bedrijven. Voor organisaties die actief zijn in gereguleerde sectoren betekent dit dat het voorbereidingsvenster nu een directe prioriteit is. Dit artikel behandelt de belangrijkste mijlpalen, getroffen sectoren, technische vereisten en praktische stappen die organisaties nu moeten nemen.

Wat zijn de belangrijkste eIDAS 2.0-mijlpalen die organisaties vóór 2026 moeten halen?

De meest cruciale eIDAS 2.0-mijlpaal is de wettelijke verplichting voor alle EU-lidstaten om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel te hebben voor burgers, ingezetenen en bedrijven. Naast de uitgifte van de wallet zijn publieke instanties verplicht genotificeerde wallets vanaf die datum te accepteren als geldig identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in aangewezen sectoren geldt op grond van artikel 5f van Verordening (EU) 2024/1183 een eigen acceptatieplicht die ingaat op 24 december 2027, voor situaties waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.

Om te begrijpen hoe we hier zijn gekomen, is de bredere tijdlijn relevant. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en trad op 20 mei 2024 in werking. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor wallet-uitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 werd CIR (EU) 2025/848 aangenomen over de registratie van wallet-relying parties. Daarvóór liepen van april 2023 tot 2025 vier grootschalige pilotprogramma’s waarbij meer dan 350 entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne betrokken waren. Deze pilots testten de wallet in realistische scenario’s. De inzichten uit deze pilots hebben de technische standaarden en het Architecture and Reference Framework (ARF) mede gevormd waarop organisaties zich nu moeten afstemmen.

Belangrijke mijlpalen die organisaties in de gaten moeten houden:

• 24 december 2026: beschikbaarheid van de EUDI-wallet vanuit lidstaten voor alle in aanmerking komende burgers, ingezetenen en bedrijven, plus verplichte acceptatie door publieke instanties voor onlinediensten waarvoor elektronische identificatie vereist is
• 24 december 2027: verplichte acceptatie van de EUDI-wallet door gereguleerde private partijen in aangewezen sectoren op grond van artikel 5f, in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is
• Juli 2027: de Anti-Money Laundering Regulation (AMLR) wordt van toepassing, met gevolgen voor identiteitsverificatie in financiële dienstverlening
• Afstemming op de definitieve technische specificaties gepubliceerd door de European Digital Identity Cooperation Group (EDICG)
• Naleving van bijgewerkte vertrouwensdienstenvereisten onder eIDAS 2.0, inclusief gekwalificeerde elektronische handtekeningen en zegels

Welke sectoren worden het meest getroffen door de eIDAS 2.0-vereisten?

De sectoren die het meest worden getroffen door eIDAS 2.0 zijn financiële diensten, overheid, gezondheidszorg, telecommunicatie, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU. Dit zijn de gebieden waar identiteitsverificatie zowel wettelijk verplicht als operationeel cruciaal is, en waar de EUDI-wallet de meest ingrijpende veranderingen in bestaande processen introduceert. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn op grond van de toepasselijke criteria uitgezonderd van de acceptatieplicht. Voor VLOP’s geldt een afzonderlijke bepaling van artikel 5f: de verplichting treedt in werking waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.

In de financiële dienstverlening heeft de wallet directe invloed op klantacceptatie, Know Your Customer (KYC)-processen en sterke klantauthenticatie onder PSD2. Banken en verzekeraars die momenteel vertrouwen op handmatige of gefragmenteerde identiteitscontroles zullen wallet-gebaseerde verificatie moeten integreren in hun digitale klantreizen. Daarbij is het relevant dat de AMLR vanaf juli 2027 van toepassing wordt en aanvullende eisen stelt aan identiteitsverificatie, onder andere via genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. Dit betreft een aanvullende verplichting naast de acceptatieplicht uit eIDAS 2.0. Hergebruik van KYC-gegevens wordt bovendien bepaald door AML-regelgeving en sectorale regels, niet door eIDAS 2.0.

Voor overheidsdiensten stelt de wallet burgers in staat om veilig grensoverschrijdend toegang te krijgen tot publieke diensten, van het indienen van belastingaangiften tot het aanvragen van vergunningen, zonder aparte aanmeldgegevens voor elke dienst.

In de gezondheidszorg en farmaceutische sector kunnen attestaties die via de wallet worden uitgegeven de patiëntidentificatie, toestemmingsbeheer en grensoverschrijdende gegevensdeling stroomlijnen. Daarbij geldt dat voor gezondheidsgegevens naast een eIDAS-grondslag ook een toepasselijke grond uit artikel 9, lid 2, van de AVG vereist is.

Telecombedrijven worden getroffen door SIM-registratievereisten, terwijl onderwijsinstellingen digitale academische attestaties moeten uitgeven en accepteren die compatibel zijn met het wallet-ecosysteem. De wallet kan gegevens over beroepskwalificaties dragen, maar de juridische erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG en niet uit de wallet zelf.

Hoe past de EUDI-wallet in de implementatietijdlijn van eIDAS 2.0?

De EUDI-wallet is het centrale uitvoeringsmechanisme van eIDAS 2.0. Lidstaten zijn op grond van Verordening (EU) 2024/1183 verplicht de wallet uiterlijk op 24 december 2026 aan te bieden. Publieke instanties moeten de wallet vanaf diezelfde datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Gereguleerde private partijen in aangewezen sectoren moeten op grond van artikel 5f klaar zijn om de wallet te accepteren vóór 24 december 2027.

De wallet stelt gebruikers in staat attestaties op te slaan, zoals een personal identification data-set (PID), rijbewijsgegevens, beroepskwalificaties en gezondheidsgegevens, en alleen de specifieke informatie te delen die vereist is voor een bepaalde interactie. Dit principe van selective disclosure is centraal in de privacy-by-design-aanpak van de verordening. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Goedkeuring van een dataverzoek in de wallet is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.

De vier grootschalige pilotprogramma’s die van april 2023 tot 2025 liepen, waren specifiek ontworpen om de gereedheid van de wallet te testen in verschillende sectoren. Het NOBID-consortium richtte zich op betalingen. POTENTIAL testte overheidsdiensten, het openen van bankrekeningen, SIM-registratie, het mobiele rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC onderzocht Digital Travel Credentials, betalingen en organisational digital identity. DC4EU richtte zich op onderwijs en sociale zekerheid. De feedback uit deze pilots is verwerkt in de technische specificaties waarop organisaties zich nu moeten afstemmen. In 2025 startte een tweede pilotgolf, met onder andere WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.

Welke technische standaarden moeten organisaties implementeren om te voldoen aan eIDAS 2.0?

Organisaties moeten zich afstemmen op het Architecture and Reference Framework (ARF) dat is ontwikkeld door de European Digital Identity Cooperation Group. Het ARF geeft de technische uitwerking van de wallet-architectuur. De juridisch bindende vereisten volgen uit Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen. In de praktijk betekent afstemming op het ARF ondersteuning van specifieke protocollen voor het uitgeven, presenteren en verifiëren van digitale attestaties.

De belangrijkste technische vereisten zijn:

1. Attestatieformaten: Ondersteuning voor mdoc (conform ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie) en SD-JWT VC als gestandaardiseerde formaten die compatibel zijn met de EUDI-wallet
2. Uitwisselingsprotocollen: OID4VCI voor uitgifte van attestaties en OID4VP voor presentatie, conform het High Assurance Interoperability Profile (HAIP)
3. Afstemming op vertrouwensdiensten: Integratie met gekwalificeerde vertrouwensdiensten, inclusief gekwalificeerde elektronische handtekeningen (QES) en gekwalificeerde elektronische zegels (QESeal), zoals gedefinieerd onder eIDAS 2.0. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant bij gekwalificeerd tekenen of bij het uitgeven van gekwalificeerde attestaties (QEAA)
4. Selective disclosure: Technische mogelijkheid om alleen de minimaal noodzakelijke gegevens van een walletgebruiker op te vragen en te ontvangen, binnen de geregistreerde attributenscope
5. Registratie als relying party: Op grond van CIR (EU) 2025/848 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use worden de attributen en attestaties geregistreerd die worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd
6. Interoperabiliteit: Systemen moeten kunnen communiceren met wallets uitgegeven door verschillende lidstaten, op basis van de gemeenschappelijke technische standaarden uit het ARF. Een relying party kiest geen walletprovider, maar moet iedere relevante genotificeerde wallet kunnen accepteren
7. Verificatie: Correcte verificatie omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists (conform ETSI TS 119 612); controle van de intrekkingsstatus via statusinformatie van de uitgever; en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden

Organisaties die het ARF nog niet hebben beoordeeld of hun huidige infrastructuur nog niet hebben getoetst aan deze vereisten, moeten dit als een onmiddellijke prioriteit beschouwen. De technische documentatie en richtlijnen die beschikbaar zijn van de Europese Commissie en nationale toezichthoudende instanties vormen de gezaghebbende bron voor deze specificaties.

Hoe moeten organisaties hun eIDAS 2.0-voorbereiding nu structureren?

Organisaties moeten hun eIDAS 2.0-voorbereiding structureren rond drie parallelle werkstromen: regulatoire beoordeling, technische gereedheid en organisatorische verandering. Beginnen met een duidelijk beeld van welke verplichtingen van toepassing zijn op jouw specifieke sector en gebruiksscenario’s is de meest effectieve eerste stap, gevolgd door een gapanalyse van jouw huidige identiteitsinfrastructuur.

Een praktische voorbereidingsaanpak ziet er als volgt uit:

• Breng jouw verplichtingen in kaart: Identificeer welke eIDAS 2.0-vereisten van toepassing zijn op jouw organisatie op basis van sector, type dienst en de categorieën gebruikers die je bedient. Controleer of de uitzondering voor micro- en kleine ondernemingen op jouw organisatie van toepassing is
• Beoordeel jouw huidige infrastructuur: Toets jouw bestaande processen voor identiteitsverificatie, authenticatie en ondertekening aan de ARF-vereisten en de relevante uitvoeringshandelingen
• Regel jouw registratie als relying party: Op grond van CIR (EU) 2025/848 moet je geregistreerd zijn bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat je walletdata kunt opvragen. Bepaal per dienst welke attributen en attestaties je nodig hebt en leg deze vast in jouw registratie
• Betrek het ecosysteem: Maak verbinding met vertrouwensdienstenproviders, wallet-uitgevers en technologiepartners die al eIDAS 2.0-compatibele oplossingen bouwen
• Prioriteer gebruikerservaring: De wallet is ontworpen om wrijving voor gebruikers te verminderen door selective disclosure mogelijk te maken. Jouw implementatie moet dat weerspiegelen in de attributen die je opvraagt en de manier waarop je verificatie inricht
• Plan voor herbruikbaarheid: Ontwerp jouw identiteitsprocessen zo dat geverifieerde attestaties opnieuw kunnen worden gebruikt bij verschillende interacties, waardoor de last voor zowel gebruikers als jouw compliance-team wordt verminderd

Organisaties die de voorbereiding uitstellen, lopen niet alleen het risico op niet-naleving van regelgeving, maar ook op concurrentienadeel. Organisaties die vroeg in actie komen, profiteren van snellere klantacceptatie, lagere kosten voor identiteitsverificatie en groter gebruikersvertrouwen.

Wat gebeurt er als organisaties de eIDAS 2.0-nalevingsdeadlines missen?

Organisaties die niet voldoen aan de nalevingsdeadlines van eIDAS 2.0 riskeren handhavingsmaatregelen van nationale toezichthoudende instanties en de onmogelijkheid om bepaalde gereguleerde digitale diensten aan te bieden. Daarnaast riskeren niet-conforme organisaties te worden uitgesloten van grensoverschrijdende digitale dienstenmarkten waar wallet-gebaseerde identiteit de standaard wordt.

Het handhavingslandschap verschilt per lidstaat, aangezien de toezichthoudende autoriteit van elk land verantwoordelijk is voor het toezicht op de naleving binnen zijn jurisdictie. Verordening (EU) 2024/1183 werkt als EU-verordening rechtstreeks en creëert een consistente basisset van verplichtingen in de hele EU. Er is geen mogelijkheid om vereisten te omzeilen op basis van de lidstaat waar je actief bent.

Vanuit bedrijfsperspectief reiken de risico’s verder dan regulatoire sancties. Naarmate de EUDI-wallet de standaard wordt voor digitale identiteit in heel Europa, zullen organisaties die niet wallet-compatibel zijn wrijving ondervinden bij het aannemen van gebruikers, het voltooien van transacties en het deelnemen aan grensoverschrijdende digitale diensten. Concurrenten die wallet-acceptatie eerder hebben geïntegreerd, zullen een meetbaar voordeel hebben in conversieratio’s en gebruikersvertrouwen.

Naleving is geen eenmalige gebeurtenis. eIDAS 2.0 introduceert doorlopende verplichtingen rond het beheer van vertrouwensdiensten, de levenscyclus van attestaties en toezichtrapportage. Organisaties moeten naleving inbouwen in hun operationele processen in plaats van het te behandelen als een project met een vaste einddatum.

Hoe helpt TrustTech bij de implementatie van eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

De ID Connector ondersteunt concreet:

• Verificatie van uitgevershandtekeningen tegen nationale trusted lists conform ETSI TS 119 612, via de EU List of Trusted Lists
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope per relying party, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata binnen jouw platform, waardoor herhaalde verificatie voor terugkerende gebruikers wordt beperkt
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde vertrouwensdienstverlener

De ID Connector is relevant voor financiële dienstverleners die wallet-gebaseerde KYC willen integreren, zorginstellingen en farmaceutische organisaties die grensoverschrijdende patiëntidentificatie inrichten, en overheidsinstanties die zich voorbereiden op het accepteren van EUDI-wallets per 24 december 2026.

Als jouw organisatie bezig is met de eIDAS 2.0-voorbereiding en wil begrijpen hoe implementatie er in de praktijk uitziet, neem dan contact op met TrustTech om jouw specifieke situatie en vervolgstappen te bespreken.