Genotificeerde eID-stelsels onder eIDAS 2.0 zijn nationale elektronische identificatiesystemen die EU-lidstaten formeel hebben geregistreerd bij de Europese Commissie op grond van Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. Zodra een stelsel is genotificeerd en gepubliceerd in het Publicatieblad van de EU, zijn andere lidstaten wettelijk verplicht dit te erkennen voor grensoverschrijdende toegang tot overheidsdiensten. Dit artikel beschrijft hoe het notificatieproces werkt, welke betrouwbaarheidsniveaus van toepassing zijn en wat organisaties concreet moeten doen om compliant te blijven.
Hoe werkt het eID-notificatieproces onder eIDAS 2.0?
Het eID-notificatieproces vereist dat EU-lidstaten hun nationale elektronische identificatiestelsels formeel registreren bij de Europese Commissie. Zodra een stelsel is genotificeerd en gepubliceerd in het Publicatieblad van de EU, zijn andere lidstaten wettelijk verplicht dit te erkennen voor grensoverschrijdende toegang tot overheidsdiensten. Die wederzijdse erkenning is de kern van het systeem.
Het proces omvat meerdere stappen. Een lidstaat dient gedetailleerde technische en beveiligingsdocumentatie over zijn eID-stelsel in bij de Commissie. Het stelsel ondergaat vervolgens een collegiale toetsing door andere lidstaten om te verifiëren dat het voldoet aan de vereiste normen. Pas nadat deze toetsing met succes is afgerond, ontvangt het stelsel de officiële notificatiestatus.
Een belangrijke wijziging onder eIDAS 2.0 is dat de erkenningsverplichtingen breder van toepassing zijn. Waar de oorspronkelijke eIDAS-verordening zich voornamelijk richtte op publieke diensten, breidt het bijgewerkte kader de erkenningsverplichtingen ook uit naar de private sector. Banken, verzekeraars en andere private organisaties in relevante gereguleerde sectoren die diensten aanbieden waarvoor sterke identiteitsverificatie wettelijk of contractueel vereist is, moeten genotificeerde eID-stelsels van andere lidstaten accepteren. Dit volgt uit artikel 5f van Verordening (EU) 2024/1183.
Daarnaast verplicht eIDAS 2.0 elke lidstaat om burgers, ingezetenen en bedrijven toegang te bieden tot een EUDI-wallet. Deze wallets kunnen rechtstreeks worden uitgegeven door overheden of door private entiteiten die officiële erkenning hebben ontvangen. Dit vertegenwoordigt een aanzienlijke uitbreiding van het eID-ecosysteem voorbij het traditionele model van overheid-tot-overheid-erkenning.
Welke betrouwbaarheidsniveaus gelden voor genotificeerde eID-stelsels?
Genotificeerde eID-stelsels onder eIDAS 2.0 worden ingedeeld in drie betrouwbaarheidsniveaus: laag, substantieel en hoog. Deze niveaus geven aan hoe zeker een relying party kan zijn dat de persoon die een digitale identiteit presenteert daadwerkelijk is wie hij of zij beweert te zijn. Hoe hoger het betrouwbaarheidsniveau, hoe strenger de vereisten voor identiteitsvaststelling en authenticatie.
- Laag: Biedt beperkt vertrouwen in de opgegeven identiteit. Geschikt voor diensten met een lager risico waarbij de gevolgen van een onjuiste identiteitsvaststelling minimaal zijn.
- Substantieel: Biedt aanzienlijk vertrouwen dat de identiteit authentiek is. Vereist sterkere identiteitsverificatie en ten minste enkelvoudige authenticatie. De meeste grensoverschrijdende overheidsdiensten hanteren dit niveau als uitgangspunt.
- Hoog: Biedt het hoogste niveau van vertrouwen. Vereist fysieke of gelijkwaardige identiteitsvaststelling en meervoudige authenticatie. Dit niveau is vereist voor gevoelige diensten zoals toegang tot medische dossiers, het aanvragen van gereguleerde financiële producten of interactie met overheidssystemen die kritieke persoonsgegevens bevatten.
Lidstaten zijn alleen verplicht genotificeerde stelsels van andere landen te erkennen op hetzelfde betrouwbaarheidsniveau of hoger dan wat hun eigen dienst vereist. Als een dienst substantieel betrouwbaarheidsniveau vereist, moet elk genotificeerd stelsel dat ten minste aan dat niveau voldoet worden geaccepteerd. Dit creëert een consistent, interoperabel kader over grenzen heen zonder elke dienst te dwingen elke identiteitsmethode te accepteren.
Voor organisaties in gereguleerde sectoren is het essentieel te bepalen welk betrouwbaarheidsniveau van toepassing is op hun specifieke gebruiksscenario. Een verkeerde inschatting kan leiden tot onnodige drempels voor gebruikers of onvoldoende identiteitsverificatie die compliancerisico’s met zich meebrengt.
Hoe verhouden genotificeerde eID-stelsels zich tot de EUDI-wallet?
Genotificeerde eID-stelsels en de EUDI-wallet zijn nauw met elkaar verbonden maar vervullen verschillende functies. Genotificeerde eID-stelsels zijn de nationale identiteitssystemen die landen registreren onder eIDAS 2.0. De EUDI-wallet is een nieuw type digitaal hulpmiddel dat voortbouwt op deze nationale identiteiten en ze samenbrengt in één door de gebruiker beheerde app die in de hele EU werkt.
In de praktijk gebruikt de EUDI-wallet geverifieerde identiteitsgegevens van genotificeerde nationale eID-stelsels als basis. Wanneer een burger zijn wallet instelt, is zijn identiteit verankerd aan zijn nationale eID, die al is geverifieerd op een erkend betrouwbaarheidsniveau. De wallet stelt hem vervolgens in staat niet alleen zijn kernidentiteit op te slaan en te delen, maar ook aanvullende attestaties zoals beroepskwalificaties, rijbewijzen of gezondheidsinformatie. Het is daarbij van belang te onderscheiden dat de wallet instance de app is zoals geïnstalleerd op het toestel van de gebruiker, terwijl de wallet unit de wallet instance omvat samen met de beveiligde cryptografische componenten waarin de sleutels zich bevinden. Privésleutels van PID en attestaties kunnen het beveiligde middel niet verlaten.
Het belangrijkste verschil zit in gebruikerscontrole en selective disclosure. Traditionele genotificeerde eID-stelsels werken doorgaans als authenticatiemiddelen: je bewijst wie je bent om toegang te krijgen tot een dienst. De EUDI-wallet stelt gebruikers in staat specifieke attributen selectief te onthullen zonder alles prijs te geven. Een gebruiker kan bijvoorbeeld bewijzen dat hij ouder is dan 18 zonder zijn geboortedatum te delen, of zijn nationaliteit bevestigen zonder zijn volledige identiteitsdocument te onthullen.
Vanuit organisatorisch perspectief zal het accepteren van de EUDI-wallet in de praktijk neerkomen op het accepteren van een genotificeerde eID op hoog betrouwbaarheidsniveau. De wallet is ontworpen om te voldoen aan de hoogste normen van het eIDAS-kader, waardoor deze geschikt is voor zelfs de meest gevoelige grensoverschrijdende transacties. Lidstaten zijn wettelijk verplicht om uiterlijk op 24 december 2026 gecertificeerde wallets beschikbaar te stellen aan alle burgers, inwoners en bedrijven. Publieke instanties moeten de EUDI-wallet vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs en digitale diensten geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027. Micro- en kleine ondernemingen, dat wil zeggen organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van deze private acceptatieplicht uitgezonderd.
Welke sectoren worden het meest beïnvloed door de vereisten voor genotificeerde eID-stelsels?
De sectoren die het meest worden beïnvloed zijn die sectoren die afhankelijk zijn van sterke identiteitsverificatie voor toegang tot diensten, naleving van regelgeving of de uitvoering van juridisch bindende transacties. Dit omvat financiële dienstverlening, overheid, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten, maar de impact strekt zich uit tot elke organisatie die grensoverschrijdend actief is in de EU of gevoelige persoonsgegevens verwerkt.
In de financiële dienstverlening zijn de vereisten bijzonder significant. Banken, verzekeraars en betaaldienstverleners moeten al voldoen aan KYC-, AML- en PSD2-regelgeving. eIDAS 2.0 voegt een nieuwe laag toe door deze organisaties te verplichten genotificeerde eID-stelsels te accepteren, en op grond van artikel 5f uiterlijk op 24 december 2027 ook de EUDI-wallet, voor klantacceptatie en authenticatie in contexten waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Daarbij geldt dat hergebruik van KYC mede wordt bepaald door AML-regelgeving en sectorale regels, waaronder de AML-verordening die naar verwachting vanaf juli 2027 van toepassing wordt. Op wallet gebaseerde identiteitsverificatie kan complianceprocessen stroomlijnen door herbruikbare, cryptografisch ondertekende attestaties mogelijk te maken, maar de toepasselijke AML-kaders bepalen in hoeverre eerder uitgevoerde verificaties daadwerkelijk kunnen worden hergebruikt.
Voor overheidsorganisaties zijn de verplichtingen direct: overheidsdiensten die identiteitsverificatie vereisen, moeten genotificeerde eID-stelsels van andere lidstaten accepteren op het juiste betrouwbaarheidsniveau, en moeten de EUDI-wallet accepteren vanaf 24 december 2026. De uitgebreide reikwijdte en de nu geldende deadlines maken tijdige voorbereiding noodzakelijk.
In de gezondheidszorg is patiëntidentiteitsverificatie cruciaal voor gegevensbeveiliging, toestemmingsbeheer en grensoverschrijdende zorg. eIDAS 2.0 stelt zorgverleners in staat patiëntidentiteiten te verifiëren met behulp van vertrouwde nationale eID-stelsels. Voor zorgaanbieders die onder de private acceptatieplicht vallen, geldt de deadline van 24 december 2027. Bij de verwerking van gezondheidsgegevens is naast een AVG-grondslag onder artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG vereist.
Onderwijs- en onderzoeksorganisaties worden ook beïnvloed, met name die betrokken zijn bij grensoverschrijdende studenteninschrijving, verificatie van diploma’s of toegang tot gedeelde onderzoeksinfrastructuur. De EUDI-wallet kan geverifieerde academische attestaties bevatten, wat dit een praktisch hulpmiddel maakt voor deze sectoren. Erkenning van beroepskwalificaties volgt echter uit Richtlijn 2005/36/EG. De wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
Wat moeten organisaties doen om zich voor te bereiden op naleving van genotificeerde eID-stelsels?
Organisaties moeten beginnen met het in kaart brengen van hun huidige identiteitsverificatieprocessen aan de hand van de vereisten van eIDAS 2.0. Dit betekent identificeren welke diensten identiteitsverificatie vereisen, welk betrouwbaarheidsniveau voor elk van toepassing is en of bestaande systemen genotificeerde eID-stelsels van andere lidstaten kunnen accepteren.
Hier volgt een praktische volgorde om de voorbereiding te begeleiden:
- Auditeer de huidige identiteitsinfrastructuur: Breng in kaart welke identiteitsmethoden je momenteel accepteert, aan welke betrouwbaarheidsniveaus deze voldoen en waar hiaten bestaan in grensoverschrijdende erkenning.
- Identificeer de toepasselijke betrouwbaarheidsniveaus: Bepaal voor elke dienst of transactietype of laag, substantieel of hoog betrouwbaarheidsniveau vereist is op grond van toepasselijke regelgeving en je eigen risicobeoordeling.
- Beoordeel de gereedheid voor de EUDI-wallet en registreer je als relying party: Plan voor wallet-integratie als een kernvereiste. Publieke instanties moeten de EUDI-wallet accepteren vanaf 24 december 2026. Voor gereguleerde private partijen in de relevante sectoren geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027. Onder CIR (EU) 2025/848 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie leg je per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
- Actualiseer juridische en compliancekaders: Herzie gebruiksvoorwaarden, privacybeleid en gegevensverwerkingsovereenkomsten om het gebruik van genotificeerde eID-stelsels en op wallet gebaseerde attestaties te weerspiegelen. Houd daarbij rekening met het onderscheid tussen goedkeuring van gegevensdeling in de wallet en toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
- Maak kennis met technische normen: Maak technische teams vertrouwd met het Architecture and Reference Framework (ARF), de uitwisselingsprotocollen OID4VCI en OID4VP, de credentialformaten mdoc en SD-JWT VC, en de uitvoeringshandelingen gepubliceerd onder eIDAS 2.0. Verificatie van walletpresentaties omvat meer dan het controleren van een cryptografische handtekening: het gaat ook om controle van de intrekkingsstatus via statusinformatie van de uitgever en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
Een praktisch voordeel van het nieuwe kader is dat het herbruikbare identiteitsverificatie mogelijk maakt. Zodra een gebruiker is geverifieerd op een voldoende betrouwbaarheidsniveau, kan die verificatie worden hergebruikt voor meerdere diensten en organisaties, waardoor drempels en kosten voor alle betrokkenen worden verminderd. De mate waarin eerder uitgevoerde verificaties kunnen worden hergebruikt, wordt mede bepaald door sectorale regelgeving zoals AML-kaders. Organisaties die hun systemen vanaf het begin zo bouwen dat ze van hergebruik profiteren, zijn beter gepositioneerd dan organisaties die elke interactie behandelen als een op zichzelf staande verificatiegebeurtenis.
Gezien het tempo van de regelgevingsontwikkeling en het aantal uitvoeringshandelingen dat al is gepubliceerd onder eIDAS 2.0, vereist het bijblijven voortdurende aandacht. Organisaties die regelgevingsbronnen nauwlettend volgen zijn beter uitgerust om zich aan te passen naarmate het kader zich blijft ontwikkelen.
Hoe ondersteunt de ID Connector van TrustTech naleving van genotificeerde eID-stelsels
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die direct aansluiten op de vereisten van eIDAS 2.0:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde intended use onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata voor meerdere diensten binnen de geregistreerde scope
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES tot stand komt bij die QTSP
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die tijdig moeten voldoen aan de acceptatieverplichtingen onder eIDAS 2.0. Neem contact op met TrustTech om te bespreken welke integratie past bij de identiteitsinfrastructuur van jouw organisatie.