Een walletprovider is een organisatie die een wallet solution uitgeeft en beheert, en gebruikers een veilige applicatie biedt om hun attestaties en identiteitsgegevens op te slaan, te beheren en te delen. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en verplicht elke EU-lidstaat om een wallet beschikbaar te stellen aan zijn burgers, inwoners en bedrijven, hetzij door er zelf een te bouwen, hetzij door een private organisatie te certificeren. Dit artikel legt de rol van de walletprovider gedetailleerd uit, van wie er een kan worden tot wat het betekent voor jouw organisatie.
Wat doet een walletprovider eigenlijk?
Een walletprovider geeft een wallet solution uit en beheert deze, waarmee gebruikers geverifieerde attestaties kunnen opslaan, kunnen aantonen wie ze zijn en persoonlijke gegevens via selective disclosure kunnen delen met derden. De provider is verantwoordelijk voor de technische infrastructuur achter de wallet solution, de beveiliging van de daarin opgeslagen attestaties en de algehele gebruikerservaring bij het beheren van digitale identiteit.
In de praktijk betekent dit dat een walletprovider de wallet instance op het apparaat van een gebruiker bouwt en onderhoudt, deze verbindt met de vertrouwensinfrastructuur die attestaties verifieerbaar maakt, en ervoor zorgt dat deze werkt over verschillende diensten en grenzen heen. Gebruikers vertrouwen op de wallet voor zaken als het online openen van een bankrekening, toegang tot overheidsdiensten, het delen van een diploma of het tonen van een mobiel rijbewijs, zonder meer persoonlijke gegevens te verstrekken dan strikt noodzakelijk is.
De wallet solution slaat attestaties niet op een centrale server van de provider op. De gebruiker bewaart zijn eigen attestaties, en de walletprovider levert de veilige omgeving, de wallet unit, waarin die attestaties worden bewaard en gepresenteerd. Dit onderscheid is van groot belang voor privacy en gegevenssouvereiniteit.
Wie mag walletprovider worden onder Verordening (EU) 2024/1183?
Zowel overheidsinstanties als private organisaties kunnen walletprovider worden, mits zij voldoen aan de certificeringsvereisten van hun lidstaat en de technische standaarden naleven die zijn vastgelegd in het Architecture and Reference Framework. Een privébedrijf kan niet zomaar een wallet lanceren en deze een EUDI-wallet noemen; het moet officieel erkend worden door de bevoegde nationale autoriteit.
Lidstaten zijn verplicht om uiterlijk op 24 december 2026 ten minste één gecertificeerde wallet operationeel te hebben voor alle burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Lidstaten kunnen aan deze verplichting voldoen door een door de overheid beheerde wallet solution te bouwen of door één of meer private providers te certificeren. Dit opent de deur voor banken, telecombedrijven en technologiebedrijven om wallet solutions te beheren, zolang zij de vereiste conformiteitsbeoordelingen en beveiligingscertificeringen doorstaan.
Het certificeringsproces is bedoeld om een consistent basisniveau van vertrouwen in de hele EU te waarborgen. Een wallet solution die in één lidstaat is gecertificeerd, moet in alle andere lidstaten worden erkend en geaccepteerd. Deze interoperabiliteitsvereiste stelt aanzienlijke technische en compliancevereisten aan elke organisatie die walletprovider wil worden.
Wat is het verschil tussen een walletprovider en een identiteitsprovider?
Een walletprovider geeft gebruikers een veilige omgeving om attestaties te bewaren en te presenteren, terwijl een identiteitsprovider gebruikers authenticeert en identiteitsverklaringen uitgeeft. Het belangrijkste onderscheid is dat een walletprovider niet noodzakelijkerwijs verifieert wie je bent; hij biedt de infrastructuur om attestaties te bewaren en te gebruiken die al zijn geverifieerd en ondertekend door gezaghebbende uitgevers.
Een identiteitsprovider, in de traditionele zin, staat tussen een gebruiker en een dienst in en bevestigt dat de gebruiker is wie hij beweert te zijn, doorgaans via een inlogproces waarbij in real time een token of verklaring wordt afgegeven. Het walletmodel werkt anders: een vertrouwde autoriteit geeft eenmalig een attestatie uit via OID4VCI, de gebruiker slaat deze op in zijn wallet unit en kan deze vervolgens presenteren via OID4VP aan elke relying party, zonder dat de oorspronkelijke uitgever bij elke transactie betrokken hoeft te zijn.
In het EUDI-wallet-ecosysteem kan één organisatie beide rollen vervullen. Een overheidsinstantie kan een nationale identiteitsattestatie uitgeven en ook een wallet solution beheren. Maar conceptueel, en vaak ook in de praktijk, zijn dit afzonderlijke functies. De walletprovider beheert de wallet instance en de veilige presentatie van attestaties; de uitgever is de autoriteit die die attestaties heeft aangemaakt en ondertekend.
Welke verantwoordelijkheden heeft een walletprovider jegens gebruikers?
Een walletprovider is verantwoordelijk voor de beveiliging, privacy en betrouwbaarheid van de wallet solution. Dit omvat het beschermen van opgeslagen attestaties tegen ongeautoriseerde toegang, het waarborgen dat gebruikers volledige controle behouden over welke gegevens worden gedeeld en met wie, en het handhaven van de technische integriteit van de wallet unit zodat attestaties geldig en tamper-evident blijven.
Naast de technische verplichtingen hebben walletproviders duidelijke verantwoordelijkheden onder Verordening (EU) 2024/1183 en gerelateerde gegevensbeschermingsregels:
- Gegevensminimalisatie: De wallet solution moet zo zijn ontworpen dat gebruikers via selective disclosure alleen de specifieke attributen kunnen delen die een dienst nodig heeft, niet een volledig document of identiteitsrecord.
- Gebruikerscontrole: Gebruikers moeten kunnen zien welke attestaties zij bezitten, met welke partijen zij gegevens hebben gedeeld, en een dataverzoek per transactie kunnen goedkeuren of weigeren. Het transactieoverzicht in de wallet is een voorziening voor de gebruiker, geen loggingvoorziening voor de walletprovider of relying party.
- Transparantie: De provider moet duidelijk zijn over hoe de wallet solution werkt, welke gegevens worden verwerkt en onder welke omstandigheden.
- Beveiligingscertificering: De wallet solution moet voldoen aan de door de verordening vereiste betrouwbaarheidsniveaus en conformiteitsbeoordelingen doorstaan.
- Beschikbaarheid en continuïteit: Gebruikers zijn afhankelijk van de wallet voor toegang tot kritieke diensten, dus providers moeten ervoor zorgen dat de wallet instance beschikbaar en functioneel blijft.
Walletgebruik is vrijwillig. Artikel 5a van Verordening (EU) 2024/1183 beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Dit stelt eisen aan hoe walletproviders en dienstverleners hun aanbod inrichten: de wallet mag nooit de enige toegangsroute zijn tot een dienst waarvoor ook andere identificatiemiddelen wettelijk zijn toegestaan.
Hoe past een walletprovider in het bredere vertrouwensecosysteem?
Een walletprovider is een van de drie kernrollen in het EUDI-wallet-ecosysteem, naast uitgevers van attestaties en relying parties. De provider staat in het midden: hij ontvangt attestaties van uitgevers, bewaart deze veilig in de wallet unit van de gebruiker en stelt de gebruiker in staat deze te presenteren aan relying parties op een manier die cryptografisch verifieerbaar is.
Verificatie door een relying party omvat meer dan het controleren van een cryptografische handtekening. Een volledige verificatie bestaat uit drie afzonderlijke stappen: controle van de handtekening van de uitgever tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists, raadpleging van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste stap kan volledig offline plaatsvinden.
Dit ecosysteem werkt alleen wanneer alle drie de rollen opereren binnen een gedeeld vertrouwenskader. Uitgevers, zoals overheidsinstanties, universiteiten of zorginstellingen, moeten geregistreerd en erkend zijn. Relying parties moeten zich onder CIR (EU) 2025/848 van 6 mei 2025 registreren bij de bevoegde nationale autoriteit van hun lidstaat van vestiging voordat zij walletdata kunnen opvragen. De walletprovider verbindt deze partijen via gestandaardiseerde protocollen, waaronder OID4VCI voor uitgifte en OID4VP voor presentatie, en gecertificeerde infrastructuur.
De vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. POTENTIAL richtte zich op overheidsdiensten, het openen van een bankrekening, SIM-registratie, het mobiele rijbewijs, gekwalificeerd tekenen op afstand en e-recepten. EWC piloteerde Digital Travel Credentials, betalingen en organisational digital identity. NOBID focuste op betalingen en DC4EU op onderwijs en sociale zekerheid. De inzichten uit deze pilots dragen bij aan de definitieve technische specificaties waaraan alle wallet solutions moeten voldoen. Organisaties die actief zijn in de financiële dienstverlening of bij de overheid worden bijzonder geraakt, omdat deze sectoren tot de eersten behoren die op wallet gebaseerde interacties in hun diensten integreren.
Waar moeten organisaties op letten bij het kiezen van een walletprovider?
Bij het kiezen van een walletprovider moeten organisaties prioriteit geven aan de certificeringsstatus, interoperabiliteit, beveiligingsarchitectuur en het vermogen van de provider om integratie met bestaande systemen te ondersteunen. Een wallet solution die niet is gecertificeerd onder het kader van Verordening (EU) 2024/1183 wordt niet geaccepteerd door relying parties in de EU, wat certificering tot de basisvereiste maakt vóór al het andere.
Naast certificering zijn de volgende punten van belang bij het beoordelen van walletproviders:
- Certificering en erkenning: Is de wallet solution officieel erkend door een lidstaat? Voldoet deze aan de vereiste betrouwbaarheidsniveaus onder Verordening (EU) 2024/1183?
- Interoperabiliteit: Ondersteunt de wallet solution de technische standaarden in het Architecture and Reference Framework, waaronder de credentialformaten mdoc en SD-JWT VC, zodat deze werkt over grenzen heen en met verschillende uitgevers en relying parties?
- Beveiligingsmodel: Hoe beschermt de wallet unit attestaties? Privésleutels van PID en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties opnieuw uitgegeven. Begrijp hoe de provider dit proces inricht.
- Gebruikerservaring: Is de wallet instance gemakkelijk te gebruiken voor jouw eindgebruikers of klanten? Adoptie hangt sterk af van eenvoud en betrouwbaarheid.
- Integratie met bestaande systemen: Kan de wallet solution worden verbonden met jouw bestaande identiteitsinfrastructuur, onboardingprocessen of dienstverleningssystemen via gestandaardiseerde protocollen?
- Kennis van sectorale regelgeving: Begrijpt de provider de regelgevende en operationele context van jouw branche, of dat nu gezondheidszorg, financiën of een andere gereguleerde sector is? Voor private relying parties in gereguleerde sectoren geldt vanaf 24 december 2027 de acceptatieplicht onder artikel 5f van de verordening, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen.
Het kiezen van de juiste walletprovider is een strategische beslissing. De wallet solution waarmee jouw organisatie werkt, bepaalt hoe je de komende jaren deelneemt aan het Europese digitale identiteitsecosysteem en welke diensten je kunt aanbieden aan gebruikers die hun EUDI-wallet als identificatiemiddel inzetten.
Hoe de ID Connector van TrustTech aansluit op walletproviderschap
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector voert de drie verificatiestappen uit die nodig zijn voor een volledige walletpresentatie: validatie van de uitgevershandtekening tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope per intended use, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd. Voor relying parties die gekwalificeerd tekenen willen aanbieden, ondersteunt de ID Connector integratie met een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening via die QTSP tot stand komt.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid: sectoren die als eerste te maken krijgen met de acceptatieverplichtingen onder Verordening (EU) 2024/1183 en die geverifieerde identiteitsdata willen hergebruiken over meerdere diensten en processen.
Als jouw organisatie zich voorbereidt op de EUDI-wallet en wil weten wat de ID Connector concreet voor jouw integratie doet, neem dan contact op met TrustTech om jouw situatie en de volgende stappen te bespreken.