De European Digital Identity Wallet (EUDI-wallet) is een gecertificeerde digitale toepassing waarmee EU-burgers, inwoners en bedrijven geverifieerde identiteitsattributen en attestaties kunnen opslaan, beheren en presenteren. De EUDI-wallet vormt het centrale instrument van Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en informeel bekend staat als eIDAS 2.0. Dit artikel beantwoordt de belangrijkste vragen over de EUDI-wallet en wat deze betekent voor jouw organisatie als relying party.
Hoe past de EUDI-wallet in het bredere eIDAS 2.0-kader?
De EUDI-wallet is het centrale instrument van Verordening (EU) 2024/1183. Terwijl de oorspronkelijke eIDAS-verordening uit 2014 een kader schiep voor de wederzijdse grensoverschrijdende erkenning van nationale elektronische identificatiestelsels, gaat eIDAS 2.0 verder door elke lidstaat te verplichten een wallet solution beschikbaar te stellen aan alle burgers, inwoners en bedrijven. De EUDI-wallet is de manier waarop die verplichting in de praktijk wordt uitgevoerd.
De oorspronkelijke verordening stelde lidstaten in staat hun nationale eID-stelsels aan te melden voor grensoverschrijdende erkenning. In de praktijk leidde dit tot aanzienlijke fragmentatie. Sommige landen bouwden sterke nationale eID-systemen; andere niet. Grensoverschrijdende erkenning bleef inconsistent, en gebruik door de private sector viel grotendeels buiten het kader.
eIDAS 2.0 verandert dit fundamenteel. Het introduceert een gemeenschappelijke standaard voor wallet solutions, een geharmoniseerd vertrouwenskader en een verplichting voor zowel publieke als bepaalde private diensten om de EUDI-wallet onder bepaalde voorwaarden te accepteren. De verordening werkt rechtstreeks in alle lidstaten. Waar nationale uitvoering nodig is, gaat het om nationale uitvoeringsmaatregelen.
Wat kan de EUDI-wallet daadwerkelijk?
De EUDI-wallet stelt gebruikers in staat om geverifieerde identiteitsattributen en attestaties veilig op te slaan, zichzelf te authenticeren bij onlinediensten en documenten elektronisch te ondertekenen, allemaal vanuit één wallet instance op hun toestel. Gebruikers bepalen zelf welke gegevens ze delen en met wie, zonder afhankelijk te zijn van wachtwoorden of platforms van derden.
In de praktijk ondersteunt de wallet een breed scala aan dagelijkse interacties. De grootschalige pilotprogramma’s die de EUDI-wallet hebben getest, onderzochten gebruiksscenario’s op meerdere gebieden. De vier Large Scale Pilots liepen van april 2023 tot 2025 en waren als volgt verdeeld:
- POTENTIAL: overheidsdiensten, bankrekening openen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten
- EWC: Digital Travel Credentials, betalingen en organisational digital identity
- DC4EU: onderwijs en sociale zekerheid
- NOBID: betalingen
Een van de kernfuncties van de wallet is selective disclosure. Gebruikers kunnen uitsluitend de specifieke attributen delen die nodig zijn voor een transactie, bijvoorbeeld bevestigen dat ze ouder zijn dan 18 zonder hun volledige geboortedatum te onthullen, of hun nationaliteit delen zonder hun thuisadres prijs te geven. Dit beperkt onnodige gegevensblootstelling en geeft gebruikers directe controle over hun persoonlijke informatie.
Technisch worden attestaties opgeslagen in de wallet unit, de wallet instance samen met de beveiligde cryptografische componenten waarin de privésleutels zich bevinden. Die sleutels kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
Wie is verplicht de EUDI-wallet te accepteren?
Onder eIDAS 2.0 zijn bepaalde categorieën publieke en private dienstverleners wettelijk verplicht de EUDI-wallet te accepteren als middel voor authenticatie en identiteitsverificatie. Voor publieke instanties geldt deze verplichting vanaf 24 december 2026, voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in de relevante sectoren gaat de acceptatieplicht op grond van artikel 5f van de verordening in op 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
De acceptatieplicht voor de private sector geldt voor organisaties in de volgende gereguleerde sectoren: banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten de verplichting van artikel 5f.
Elke relying party die walletdata wil opvragen, moet zich bovendien vooraf registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Dit is bijzonder relevant voor organisaties in de financiële dienstverlening, waar vereisten voor sterke cliëntauthenticatie onder PSD2 al een duidelijke overlap creëren met de acceptatieverplichtingen voor de EUDI-wallet. Zorgaanbieders, telecomaanbieders en overheidsdienstplatforms vallen ook rechtstreeks binnen de reikwijdte. Organisaties in deze sectoren dienen de acceptatie van de EUDI-wallet in hun digitale infrastructuur in te bouwen als wettelijke vereiste.
Hoe verschilt de EUDI-wallet van bestaande nationale eID-systemen?
De EUDI-wallet is een nieuw type identiteitsinfrastructuur dat authenticatie, attestatieopslag en elektronische handtekeningen combineert in één interoperabel hulpmiddel dat werkt in alle EU-lidstaten, ongeacht welk land de wallet solution heeft uitgegeven.
Bestaande nationale eID-systemen, zoals het Duitse eID, het Nederlandse DigiD of het Oostenrijkse ID Austria, waren primair ontworpen voor binnenlands gebruik. Ze variëren aanzienlijk in technisch ontwerp, betrouwbaarheidsniveaus en grensoverschrijdende compatibiliteit. Hoewel eIDAS 1.0 een mechanisme voor wederzijdse erkenning creëerde, bleef het grensoverschrijdende gebruik in de praktijk beperkt en inconsistent.
De EUDI-wallet pakt dit aan door een gemeenschappelijke architectuur vast te stellen via het Architecture and Reference Framework (ARF), dat de technische specificaties definieert die alle wallet solutions moeten volgen. Dit betekent dat een wallet instance uitgegeven door één lidstaat moet kunnen werken wanneer een gebruiker toegang krijgt tot een dienst in een andere lidstaat. De wallet gaat ook verder dan authenticatie: ze kan attestaties bevatten zoals QEAA’s, PuB-EAA’s en non-qualified EAA’s, waaronder diploma’s, professionele vergunningen en gezondheidsdocumenten. Nationale eID-systemen bieden die mogelijkheid doorgaans niet.
Een ander belangrijk verschil is de rol van de private sector. Nationale eID-systemen waren grotendeels ontworpen voor overheidsdiensten. De EUDI-wallet is expliciet ontworpen voor zowel publiek als privaat gebruik, en de verordening verplicht bepaalde private sectoren deze te accepteren.
Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren voor identificatie of authenticatie. Een QTSP wordt relevant wanneer het gaat om gekwalificeerde attestaties of gekwalificeerd elektronisch ondertekenen.
Wanneer wordt de EUDI-wallet beschikbaar en wat is de uitrolplanning?
Lidstaten zijn wettelijk verplicht de EUDI-wallet uiterlijk op 24 december 2026 beschikbaar te stellen aan alle burgers, inwoners en bedrijven. De uitrol is actief bezig, waarbij lidstaten zich in verschillende implementatiefasen bevinden, afhankelijk van hun bestaande digitale identiteitsinfrastructuur en nationale gereedheid. De deadline van 24 december 2026 betreft notificatie en uitgifte. Volledige functionele interoperabiliteit in de gehele EU op die datum is een afzonderlijk vraagstuk dat afhankelijk is van de voortgang per lidstaat.
De basis voor de wallet is gelegd via een gestructureerd voorbereidingsproces dat zich in meerdere fasen ontvouwde:
- Verordening in werking getreden (20 mei 2024): Verordening (EU) 2024/1183 trad in werking, waarmee de juridische basis voor de EUDI-wallet werd vastgesteld en de termijnen voor walletuitgifte en acceptatie werden bepaald.
- Eerste uitvoeringshandelingen aangenomen (eind 2024): De eerste vijf kernuitvoeringshandelingen werden aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze starten de relevante 24-maandentermijn voor walletuitgifte.
- Tweede golf uitvoeringshandelingen gepubliceerd (2025): Een tweede reeks uitvoeringshandelingen werd gepubliceerd, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 werd CIR (EU) 2025/848 gepubliceerd over de registratie van wallet-relying parties.
- Grootschalige pilots (april 2023 tot 2025): Vier grote pilotconsortia met meer dan 350 organisaties uit 26 lidstaten, Noorwegen, IJsland en Oekraïne testten de wallet in praktijkscenario’s en leverden feedback op het Architecture and Reference Framework. Deze pilots zijn afgerond. In 2025 startte een tweede pilotgolf, waaronder WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
- Referentie-implementatie uitgebracht: De Europese Commissie publiceerde een open-source referentie-implementatie van de EUDI-wallet, waarmee lidstaten en private ontwikkelaars een getest uitgangspunt kregen om op voort te bouwen.
- Walletuitgifte en publieke acceptatie (24 december 2026): Lidstaten zijn verplicht wallet solutions beschikbaar te stellen en publieke instanties moeten genotificeerde EUDI-wallets vanaf deze datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is.
- Acceptatieplicht private sector (24 december 2027): Gereguleerde private partijen in de relevante sectoren zijn verplicht de EUDI-wallet te accepteren binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is, op grond van artikel 5f van de verordening.
Voor organisaties is 24 december 2026 geen verre deadline. Het is het moment waarop wallets beschikbaar komen en waarop jouw organisatie de eigen integratie al kan testen voordat de private acceptatieplicht op 24 december 2027 ingaat. De voorbereiding zou nu al in volle gang moeten zijn.
Wat moeten organisaties nu doen om zich voor te bereiden op de EUDI-wallet?
Organisaties moeten beginnen met beoordelen of ze binnen de reikwijdte van verplichte EUDI-wallet-acceptatie vallen, en vervolgens de technische en compliance-wijzigingen in kaart brengen die nodig zijn om walletgebaseerde interacties te ondersteunen. Wachten op volledige nationale uitrollen voordat je actie onderneemt, vergroot het risico dat de eigen integratie achterblijft op de wettelijke deadlines.
De voorbereiding omvat meerdere parallelle werkstromen. Ten eerste moeten organisaties de regelgevende reikwijdte bepalen. Valt jouw dienst binnen de categorieën die verplicht zijn de EUDI-wallet te accepteren? Als je actief bent in financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid of een andere gereguleerde sector die identiteitsverificatie gebruikt, is het antwoord voor organisaties boven de drempel voor micro- en kleine ondernemingen vrijwel zeker ja.
Ten tweede moeten organisaties hun bestaande identiteitsinfrastructuur beoordelen. Kunnen jouw huidige systemen walletgebaseerde authenticatie en attestaties verwerken? De meeste verouderde identiteitssystemen zijn niet ontworpen met de EUDI-wallet-architectuur in gedachten, en integratiewerk kost tijd. Denk daarbij ook aan de registratieplicht onder CIR (EU) 2025/848: een relying party moet geregistreerd zijn bij de bevoegde nationale autoriteit voordat walletdata kan worden opgevraagd, inclusief de vastlegging van welke attributen en attestaties per intended use worden gevraagd.
Ten derde is er een zakelijke dimensie die verder gaat dan naleving. De EUDI-wallet maakt herbruikbare, geverifieerde identiteitsattributen mogelijk. Organisaties die dit omarmen, kunnen de wrijving bij onboarding verminderen en herhaalde identiteitscontroles elimineren. Daarbij gelden wel de grenzen van eIDAS 2.0: hergebruik van KYC-data wordt mede bepaald door AML-regelgeving en sectorale regels, en goedkeuring van een dataverzoek in de wallet is niet automatisch een AVG-toestemmingsgrond. Een relying party heeft een zelfstandige verwerkingsgrondslag nodig onder artikel 6 AVG, en voor gezondheidsgegevens ook een toepasselijke grond onder artikel 9, lid 2, AVG.
Hoe ondersteunt de ID Connector van TrustTech de integratie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken:
- Verificatie tegen trusted lists: de handtekening van de uitgever wordt gecontroleerd tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van intrekkingsstatus: de ID Connector controleert de statusinformatie van de uitgever om vast te stellen of een attestatie nog geldig is
- Validatie van de wallet unit attestation: de ID Connector stelt vast dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope: verzoeken worden afgestemd op de per intended use geregistreerde attributen en attestaties, conform CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata: geverifieerde attributen kunnen doorstromen naar onboarding-, compliance- en ondertekeningsprocessen zonder dat de gebruiker dezelfde gegevens opnieuw hoeft aan te leveren
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector ondersteunt QES-workflows via een gekwalificeerde vertrouwensdienstverlener, zodat gebruikers een gekwalificeerde elektronische handtekening kunnen plaatsen
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, sectoren waar de acceptatieplicht onder artikel 5f direct van toepassing is of waar walletgebaseerde identificatie aansluit op bestaande wettelijke vereisten voor sterke authenticatie.
Neem contact op met TrustTech om te bespreken wat de ID Connector concreet betekent voor de integratie binnen jouw organisatie.