De eIDAS 2.0-regelgevingstijdlijn stelt een reeks gefaseerde deadlines vast die EU-lidstaten tussen 2024 en 2027 moeten halen, waarbij de belangrijkste mijlpaal de verplichting is om de Europese Digitale Identiteitsportemonnee uiterlijk in 2026 beschikbaar te stellen aan alle burgers, inwoners en bedrijven. Deze deadlines gelden voor alle 27 EU-lidstaten, hoewel het tempo van implementatie in de praktijk verschilt. De onderstaande secties leggen uit wat elke deadline betekent, wie erdoor wordt geraakt en wat organisaties nu al moeten doen om voorop te blijven.

Wat zijn de belangrijkste eIDAS 2.0-implementatiedeadlines voor lidstaten?

De eIDAS 2.0-verordening trad in mei 2024 in werking, en vanaf dat moment werken lidstaten tegen een gestructureerde reeks implementatiedeadlines. De meest besproken deadline is 2026, waartegen elke EU-lidstaat een functionerende Europese Digitale Identiteitsportemonnee (EUDI Wallet) moet aanbieden aan elke burger, inwoner of onderneming die dat wil. Naast de portemonnee hebben lidstaten ook verplichtingen rond het notificeren van elektronische identificatiestelsels, het vaststellen van uitvoeringshandelingen en het waarborgen van grensoverschrijdende interoperabiliteit.

Hieronder volgt een overzicht van de belangrijkste mijlpalen in de eIDAS 2.0-tijdlijn:

• Mei 2024: eIDAS 2.0 trad officieel in werking na publicatie in het Publicatieblad van de EU.
• 2024 tot 2025: De Europese Commissie publiceerde een reeks uitvoeringsverordeningen over onderwerpen zoals walletcertificering, protocollen en interfaces, identiteitsmatching en vertrouwensdienstnormen.
• 2025: De grootschalige pilots, gestart in april 2023 met meer dan 350 entiteiten uit 26 lidstaten, sloten hun testfase af. Hun bevindingen hebben rechtstreeks bijgedragen aan de technische specificaties en het Architectuur- en Referentiekader (ARF) dat ten grondslag ligt aan de EUDI Wallet.
• 2026: Lidstaten moeten de EUDI Wallet beschikbaar stellen aan alle in aanmerking komende gebruikers. Dit is de centrale nalevingsdeadline voor de uitrol van de portemonnee.
• 2027: Bepaalde verplichtingen voor vertrouwende partijen, waaronder vereisten voor publieke en private diensten om de portemonnee te accepteren voor authenticatie, worden naar verwachting volledig van kracht.

Het is de moeite waard op te merken dat de door de Commissie gepubliceerde uitvoeringsverordeningen een breed scala aan technische en procedurele vereisten omvatten, van gekwalificeerde elektronische handtekeningen tot grensoverschrijdende identiteitsmatching. Lidstaten en organisaties die actief zijn in gereguleerde sectoren moeten niet alleen de walletdeadline bijhouden, maar ook de volledige reeks verplichtingen die voortvloeien uit de verordening.

Welke eIDAS 2.0-verplichtingen gelden het eerst en welke komen later?

De vroegste eIDAS 2.0-verplichtingen waren gericht op governance en technische voorbereiding in plaats van directe dienstverlening. In de periode direct na het in werking treden van de verordening moesten lidstaten deelnemen aan de ontwikkeling van het Architectuur- en Referentiekader, samenwerken met de European Digital Identity Cooperation Group (EDICG) en beginnen met het afstemmen van hun nationale elektronische identificatiestelsels op de nieuwe vereisten. Deze fundamentele stappen moesten plaatsvinden voordat er een portemonnee kon worden uitgegeven.

De verplichtingen die later komen, met name vanaf 2026, zijn zichtbaarder voor eindgebruikers en organisaties. Zodra de portemonnees actief zijn, zullen vertrouwende partijen in zowel de publieke als private sector verplicht zijn deze te accepteren voor bepaalde vormen van authenticatie en identificatie. Financiële dienstverleners, zorgaanbieders en overheidsinstanties behoren tot de sectoren die het meest direct worden getroffen door deze latere verplichtingen.

Voor organisaties die tot nu toe de ontwikkelingen van een afstand hebben gevolgd, biedt deze gefaseerde structuur juist een kans. De periode tussen nu en de volledige uitrol van de verplichtingen voor vertrouwende partijen is het juiste moment om technische gereedheid te beoordelen, nalevingskaders bij te werken en wallet-gebaseerde interacties in een gecontroleerde omgeving te testen.

Wat gebeurt er als een lidstaat een eIDAS 2.0-deadline mist?

Als een lidstaat een eIDAS 2.0-deadline niet haalt, kan de Europese Commissie een inbreukprocedure starten op grond van het EU-recht. Dit is het standaard handhavingsmechanisme voor EU-verordeningen en kan uiteindelijk resulteren in financiële sancties opgelegd door het Hof van Justitie van de Europese Unie. Naast de juridische gevolgen zou een lidstaat die de walletdeadline van 2026 mist ook praktische problemen ondervinden: zijn burgers en bedrijven zouden geen toegang hebben tot een instrument dat andere EU-lidstaten al gebruiken voor grensoverschrijdende diensten.

In de praktijk heeft de Commissie een voorkeur getoond voor gestructureerde samenwerking boven directe handhaving, met name wanneer technische complexiteit de oorzaak van vertraging is. De grootschalige pilots waren er juist op gericht het risico te verkleinen dat lidstaten onvoorbereid de deadline bereiken. De politieke en reputatiedruk om op tijd te leveren is echter aanzienlijk, en de deadline van 2026 is consequent bevestigd als een vaste doelstelling in plaats van een richtlijn.

Voor organisaties die actief zijn in meerdere EU-markten elimineert een vertraging van een lidstaat de verplichting tot voorbereiding niet. Als uw organisatie EUDI Wallets moet accepteren of erop moet vertrouwen als onderdeel van uw digitale diensten, kan uw interne gereedheid niet wachten totdat de traagste lidstaat heeft bijgetrokken.

Hoe beïnvloedt de eIDAS 2.0-tijdlijn organisaties die afhankelijk zijn van digitale identiteitsdiensten?

De eIDAS 2.0-nalevingsdeadline is niet alleen een overheidszaak. Organisaties die digitale identiteitsverificatie gebruiken als onderdeel van hun diensten — of het nu gaat om onboarding, authenticatie, contractondertekening of naleving van regelgeving — moeten de walletdeadline van 2026 als hun eigen deadline beschouwen. Zodra de EUDI Wallet actief is, zullen gebruikers verwachten deze te kunnen gebruiken. Organisaties die geen wallet-gebaseerde credentials kunnen accepteren, lopen het risico op wrijving, afhakers en mogelijke niet-naleving van sectorspecifieke vereisten.

De praktische gevolgen verschillen per sector. Financiële dienstverleners staan onder de meeste directe druk, gezien de samenhang van eIDAS 2.0 met AML-, KYC-, PSD2- en Strong Customer Authentication-vereisten. Zorg- en farmaceutische organisaties moeten zich voorbereiden op wallet-gebaseerde toestemmings- en identiteitsverificatieprocessen. Overheidsdienstverleners hebben zowel een mandaat om wallet-compatibele diensten aan te bieden als een kans om de kosten en wrijving van identiteitsintensieve processen te verminderen.

Organisaties moeten zichzelf nu drie vragen stellen. Ten eerste: welke van uw huidige identiteitsprocessen worden beïnvloed wanneer gebruikers EUDI Wallets gaan presenteren? Ten tweede: zijn uw systemen technisch in staat om walletcredentials te verifiëren en de gegevens die ze bevatten te verwerken? Ten derde: weerspiegelen uw nalevingskaders de nieuwe verplichtingen die eIDAS 2.0 oplegt aan vertrouwende partijen? De antwoorden op deze vragen zullen uw implementatieroadmap voor de komende 12 tot 18 maanden vormgeven.

Volgen alle EU-lidstaten hetzelfde eIDAS 2.0-schema?

In juridische zin wel. De eIDAS 2.0-verordening is van toepassing op alle 27 EU-lidstaten en de walletdeadline van 2026 is een gedeelde verplichting. In praktische zin bevinden lidstaten zich echter in zeer verschillende stadia van gereedheid. Sommige landen, zoals Denemarken met zijn AltID-initiatief, hebben snel gehandeld en werken al aan wallet-compatibele infrastructuur. Andere landen werken nog steeds aan de technische en governancestappen die nodig zijn om de deadline te halen.

Deze variatie is van belang voor organisaties die grensoverschrijdend actief zijn. Als u klanten bedient in meerdere EU-landen, kunt u niet uitgaan van een uniforme uitrol. Sommige gebruikers zullen eerder toegang hebben tot een functionerende EUDI Wallet dan anderen, en de kwaliteit en functies van nationale wallet-implementaties kunnen — in ieder geval aanvankelijk — verschillen. De interoperabiliteitsvereisten die in eIDAS 2.0 zijn ingebouwd, zijn bedoeld om dit in de loop van de tijd aan te pakken, maar de overgangsperiode vereist flexibiliteit.

Noorwegen, IJsland en Oekraïne namen ook deel aan de grootschalige pilots, wat de bredere relevantie van het EUDI Wallet-kader buiten de strikte EU-lidmaatschapsgrens weerspiegelt. Organisaties met activiteiten in deze landen moeten in de gaten houden hoe het kader daar wordt overgenomen, aangezien afstemming op EU-normen waarschijnlijk is, ook buiten het formele regelgevende toepassingsgebied.

De aanpak van digitale identiteitsgereedheid moet daarom rekening houden met deze geografische variatie. Het bouwen van systemen die in principe wallet-klaar zijn, in plaats van geoptimaliseerd voor één nationale implementatie, is de meest veerkrachtige strategie voor organisaties met grensoverschrijdende activiteiten.

Hoe helpt TrustTech organisaties de eIDAS 2.0-tijdlijn te navigeren

Het halen van de eIDAS 2.0-regelgevingstijdlijn vereist meer dan bewustzijn. Het vereist praktische actie: systemen bijwerken, nalevingskaders afstemmen en de technische infrastructuur bouwen om te werken met EUDI Wallets en verifieerbare credentials. TrustTech ondersteunt organisaties in elke fase van deze transitie.

Dit is wat TrustTech te bieden heeft:

1. Gereedheidsbeoordeling: TrustTech helpt u te identificeren welke van uw huidige identiteits- en nalevingsprocessen worden beïnvloed door eIDAS 2.0-verplichtingen en waar de hiaten liggen.
2. Technische implementatie: Van wallet-klare onboardingprocessen tot gekwalificeerde elektronische handtekeningen en grensoverschrijdende identiteitsmatching: TrustTech biedt de infrastructuur om elke stap van het identiteitsproces te verbinden.
3. Herbruikbare naleving: In plaats van identiteitscontroles bij elke interactie te herhalen, stelt TrustTech in staat geverifieerde identiteitsgegevens veilig te hergebruiken, waardoor wrijving voor gebruikers en kosten voor organisaties worden verminderd.
4. Sectorspecifieke expertise: Of u nu actief bent in overheidsdiensten, gezondheidszorg of financiële dienstverlening: TrustTech begrijpt de regelgevende context die specifiek is voor uw sector en bouwt oplossingen die daarbij passen.
5. Gebouwd voor EU-naleving: Elke oplossing die TrustTech levert, is standaard ontworpen om te voldoen aan eIDAS 2.0-normen, zodat u naleving niet achteraf hoeft in te passen.

De deadline van 2026 nadert snel, en organisaties die nu handelen zullen beter gepositioneerd zijn dan degenen die wachten. Als u wilt begrijpen wat de eIDAS 2.0-tijdlijn betekent voor uw organisatie specifiek, neem contact op met TrustTech en start vandaag nog het gesprek.