De EUDI Wallet-verordening is juridisch verankerd in Verordening (EU) 2024/1183, die de oorspronkelijke eIDAS-verordening (EU) nr. 910/2014 wijzigt. Dit bijgewerkte kader, algemeen bekend als eIDAS 2.0, stelt de EUDI-wallet in als een verplicht aanbod voor alle EU-lidstaten en schept bindende verplichtingen voor zowel overheden als bedrijven in heel Europa. De onderstaande secties behandelen de belangrijkste juridische vragen die organisaties op dit moment stellen.
Welke EU-wetten en -verdragen vormen de rechtsgrondslag van de EUDI Wallet?
De EUDI-wallet is vastgesteld bij Verordening (EU) 2024/1183, die de oorspronkelijke eIDAS-verordening uit 2014 wijzigt. Deze verordening werd aangenomen door het Europees Parlement en de Raad op grond van artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), dat betrekking heeft op de interne markt. Ze is rechtstreeks van toepassing in alle EU-lidstaten zonder dat nationale uitvoering in afzonderlijke wetgeving vereist is.
Naast de kernverordening wordt het juridisch kader ondersteund door een groeiend aantal uitvoeringshandelingen van de Commissie. Deze hebben betrekking op specifieke technische en operationele aspecten, zoals persoonsidentificatiegegevens, certificering van wallet solutions, protocollen en interfaces, grensoverschrijdende identiteitsmatching en de registratie van relying parties. Samen vormen deze uitvoeringshandelingen het gedetailleerde regelboek dat organisaties moeten volgen bij het bouwen, inzetten of accepteren van de wallet.
Het Architecture and Reference Framework (ARF), ontwikkeld door de eIDAS Expert Group, biedt de technische specificaties die wettelijke vereisten vertalen naar praktische implementatierichtlijnen. Het ARF is zelf geen bindende rechtshandeling, maar het is de gezaghebbende technische referentie voor conforme wallet solutions. De uitvoeringshandelingen zijn juridisch bindend; het ARF bevat de technische uitwerking daarvan.
Hoe verschilt eIDAS 2.0 van de oorspronkelijke eIDAS-verordening?
De oorspronkelijke eIDAS-verordening, aangenomen in 2014, was gericht op wederzijdse erkenning van nationale elektronische identificatiestelsels door EU-lidstaten. Vanaf 2018 moesten aangemelde nationale eID-stelsels over EU-grenzen heen worden geaccepteerd. Deelname was echter vrijwillig voor lidstaten en de private sector was grotendeels uitgesloten. Dit leidde tot aanzienlijke fragmentatie in Europa, met een sterk ongelijke adoptie tussen landen.
eIDAS 2.0 brengt een aantal fundamentele wijzigingen aan:
- Verplichte verstrekking van wallets: Elke lidstaat moet nu een EUDI-wallet aanbieden aan alle burgers, inwoners en bedrijven, waarmee het vrijwillige karakter van het oorspronkelijke kader wordt opgeheven.
- Inclusie van de private sector: Gereguleerde private partijen in aangewezen sectoren zijn nu wettelijk verplicht de wallet te accepteren, niet alleen overheidsinstanties.
- Uitgebreide trust services: Nieuwe gekwalificeerde trust services zijn toegevoegd, waaronder elektronische grootboeken, elektronische archivering en apparaten voor het op afstand aanmaken van gekwalificeerde handtekeningen.
- Sterkere gebruikerscontrole: Gebruikers krijgen expliciete rechten op selective disclosure, wat betekent dat zij alleen de minimale gegevens kunnen delen die nodig zijn voor een bepaalde interactie.
- Interoperabiliteit by design: Een gemeenschappelijk technisch kader zorgt ervoor dat wallets van verschillende lidstaten naadloos over grenzen heen werken.
eIDAS 2.0 verschuift digitale identiteit van een gefragmenteerd, overheidsgebonden systeem naar een uniform, sectoroverschrijdend ecosysteem dat is gebouwd rond gebruikerssouvereiniteit en echte interoperabiliteit.
Welke verplichtingen legt de EUDI Wallet-verordening op aan lidstaten?
Onder eIDAS 2.0 zijn EU-lidstaten wettelijk verplicht om uiterlijk op 24 december 2026 ten minste één gecertificeerde EUDI-wallet operationeel te hebben voor iedere burger, inwoner of onderneming die daarom verzoekt. Deze verplichting geldt voor alle 27 lidstaten en moet worden nagekomen in overeenstemming met de technische en beveiligingsnormen die zijn vastgelegd in de uitvoeringshandelingen en het Architecture and Reference Framework.
Lidstaten kunnen ervoor kiezen wallets rechtstreeks via overheidsinstanties uit te geven of wallet solutions te erkennen die worden aangeboden door gecertificeerde private aanbieders. In beide gevallen moet de wallet solution voldoen aan de vereisten voor authenticatie op hoog betrouwbaarheidsniveau, gecertificeerde beveiliging en interoperabiliteit met wallets van andere lidstaten.
Naast het uitgeven van wallets zijn lidstaten verantwoordelijk voor:
- Het opzetten en onderhouden van nationale kennisgevings- en certificeringsprocessen voor wallet solutions.
- Ervoor zorgen dat authentieke bronnen, zoals burgerregisters of databases met beroepskwalificaties, zijn aangesloten op het wallet-ecosysteem zodat geverifieerde attestaties kunnen worden uitgegeven.
- Deelname aan collegiale toetsingsprocessen om ervoor te zorgen dat hun eID-stelsels aan de vereiste normen voldoen.
- Het indienen van jaarlijkse rapporten bij toezichthoudende instanties zoals vereist door de uitvoeringshandelingen.
Overheden zijn daarmee actieve infrastructuurleveranciers in het Europese digitale identiteitsecosysteem, geen passieve deelnemers. Organisaties die werken met klanten in de overheidssector dienen deze verplichtingen mee te nemen in hun planning en advieswerkzaamheden.
Welke sectoren en gebruiksgevallen zijn wettelijk verplicht de EUDI Wallet te accepteren?
eIDAS 2.0 verplicht bepaalde categorieën dienstverleners de EUDI-wallet te accepteren voor authenticatie en identiteitsverificatie. De verordening richt zich op sectoren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is, of waar toegang tot diensten zo wijdverspreid is dat acceptatie van de wallet essentieel is voor praktisch gebruik.
Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, vanaf 24 december 2026. Voor gereguleerde private partijen in aangewezen sectoren geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie, en 36 maanden na de inwerkingtreding van de relevante uitvoeringshandelingen uit eind 2024. Micro- en kleine ondernemingen zijn uitgezonderd van de private acceptatieplicht: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro. De sectoren die onder deze verplichting vallen, zijn:
- Bankieren en financiële diensten: Online bankieren, het openen van rekeningen en betalingsauthenticatie waarbij sterke cliëntauthenticatie vereist is.
- Telecommunicatie: SIM-registratie en identiteitsverificatie voor mobiele contracten.
- Overheidsdiensten: Elke overheidsinstantie die digitale diensten aanbiedt, waaronder belastingaangifte, toegang tot sociale zekerheid en aanvragen voor paspoorten of rijbewijzen.
- Gezondheidszorg: Toegang tot patiëntendossiers en grensoverschrijdende uitwisseling van gezondheidsgegevens.
- Energie, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur: Gereguleerde dienstverleners in deze sectoren vallen eveneens onder de acceptatieplicht voor de private sector.
- Zeer grote onlineplatforms: Platforms die zijn aangewezen onder de Digital Services Act met meer dan 45 miljoen maandelijkse actieve gebruikers in de EU moeten de wallet accepteren waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
Relying parties die walletdata willen opvragen, moeten zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
De eerste vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Daarin testten meer dan 350 entiteiten uit 26 lidstaten, Noorwegen, IJsland en Oekraïne een breed scala aan gebruiksgevallen. De bevindingen hebben de definitieve uitvoeringsvereisten rechtstreeks beïnvloed. Organisaties in de financiële dienstverlening en gezondheidszorg dienen bijzondere aandacht te besteden aan hoe de acceptatieplicht zich vertaalt in technische integratievereisten.
Hoe verhoudt de EUDI Wallet-verordening zich tot de AVG?
De EUDI Wallet-verordening en de Algemene Verordening Gegevensbescherming (AVG) zijn ontworpen om naast elkaar te werken. De EUDI Wallet-verordening wijzigt de AVG niet; zij functioneert binnen het AVG-kader en versterkt een aantal kernbeginselen ervan, met name gegevensminimalisatie en doelbinding.
Een van de belangrijkste kenmerken van de wallet vanuit het oogpunt van gegevensbescherming is selective disclosure. Gebruikers kunnen ervoor kiezen alleen de specifieke attributen te delen die nodig zijn voor een bepaalde interactie, zoals bevestigen dat zij ouder zijn dan 18 zonder hun exacte geboortedatum te onthullen. Dit sluit rechtstreeks aan op het AVG-beginsel van gegevensminimalisatie en vermindert het risico op onnodige persoonlijke profilering.
De verordening geeft gebruikers ook expliciete controle over welke relying parties toegang kunnen krijgen tot hun gegevens en voor welk doel. Dit sluit aan bij de AVG-vereisten rond transparantie en het recht om verwerking te beperken.
Belangrijk is dat goedkeuring van een dataverzoek in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag volstaan. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Voor organisaties die optreden als relying party, vrijwaart het accepteren van de wallet hen niet van hun AVG-verplichtingen. Zij blijven verantwoordelijk voor rechtmatige verwerking, beleid inzake gegevensbewaring en het beantwoorden van verzoeken om rechten van betrokkenen. De wallet biedt een privacyvriendelijker mechanisme voor de identiteitsverificatiestap van een transactie, maar vervangt de AVG-verantwoordelijkheid van de relying party niet.
Wanneer moeten organisaties wettelijk voldoen aan de EUDI Wallet?
De tijdlijn voor naleving kent twee afzonderlijke momenten. Op 24 december 2026 moeten lidstaten de EUDI-wallet beschikbaar stellen aan burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in de aangewezen sectoren geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027, twaalf maanden later en 36 maanden na de inwerkingtreding van de relevante uitvoeringshandelingen uit eind 2024.
Naleving is geen eenmalige deadline, maar een doorlopende reeks vereisten die zijn gekoppeld aan specifieke uitvoeringshandelingen. Sommige verplichtingen, zoals registratie als relying party onder CIR (EU) 2025/848 of integratie van wallet-compatibele authenticatiestromen, vereisen een aanzienlijke doorlooptijd. Organisaties die wachten tot de uiterste termijnen lopen het risico onvoorbereid te zijn wanneer toezichthouders en auditors beginnen met nalevingscontroles.
De eerste vijf kernuitvoeringshandelingen werden eind 2024 aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels. Op 6 mei 2025 trad CIR (EU) 2025/848 over de registratie van wallet-relying parties in werking. In 2025 volgde een tweede golf uitvoeringshandelingen over onder meer gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde trust service providers. Het regelgevingslandschap is daarmee aanzienlijk duidelijker geworden, en organisaties beschikken nu over voldoende informatie om te beginnen met concrete implementatieplanning.
Voor de meeste bedrijven in gereguleerde sectoren is de vraag niet langer óf ze zich moeten voorbereiden, maar op welke termijn ze moeten handelen. Praktische implementatiebronnen kunnen teams helpen begrijpen welke stappen ze moeten nemen en in welke volgorde.
Hoe helpt TrustTech bij de EUDI Wallet-verordening
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet doet de ID Connector het volgende:
- Verificatie van de handtekening van de uitgever van attestaties tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, volgens ETSI TS 119 612.
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, zodat ingetrokken attestaties worden herkend.
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet instance op een gecertificeerde wallet solution draait.
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848.
- Hergebruik van geverifieerde identiteitsdata voor vervolgprocessen binnen de relying party, zonder dat de wallet opnieuw hoeft te worden bevraagd.
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde trust service provider, waarbij de QES tot stand komt bij de QTSP en niet bij TrustTech.
De ID Connector is relevant voor organisaties in de financiële dienstverlening, de gezondheidszorg, de farmasector en de overheid die voor 24 december 2026 of 24 december 2027 moeten voldoen aan de acceptatieplicht. Neem contact op met TrustTech om te bespreken welke integratie past bij jouw wallet-gebruiksgevallen en registratieverplichtingen.