eIDAS 2.0 is de bijgewerkte Europese verordening inzake elektronische identificatie en vertrouwensdiensten, ontworpen om een uniform digitaal identiteitskader te creëren voor alle EU-lidstaten. Het bouwt voort op de oorspronkelijke eIDAS-verordening uit 2014, maar gaat veel verder door digitale identiteit toegankelijk te maken voor elke EU-burger, inwoner en onderneming via een gestandaardiseerde digitale portemonnee. De onderstaande secties beantwoorden de belangrijkste vragen over wat deze verordening betekent en wat uw organisatie moet doen.

Hoe verschilt eIDAS 2.0 van de oorspronkelijke eIDAS-verordening?

De oorspronkelijke eIDAS-verordening, van kracht sinds 2014, stelde EU-lidstaten in staat elkaars nationale elektronische ID-systemen te notificeren en te erkennen. Elk genotificeerd stelsel moest vanaf 2018 in de hele EU worden geaccepteerd. Er was echter geen verplichting voor elk land om een nationaal elektronisch ID te creëren of dit compatibel te maken met andere systemen. Dit leidde tot aanzienlijke lacunes en inconsistenties tussen lidstaten.

eIDAS 2.0 sluit die lacunes op drie belangrijke manieren. Ten eerste maakt het deelname verplicht in plaats van optioneel: elke lidstaat is nu verplicht een digitale identiteitsoplossing aan te bieden aan zijn burgers en ondernemingen. Ten tweede breidt het de reikwijdte uit naar de private sector, wat betekent dat ook private organisaties die online diensten aanbieden onder het kader vallen. Ten derde introduceert het een nieuw instrument als kern van de verordening: de Europese Digitale Identiteitsportemonnee.

Kortom, waar de oorspronkelijke verordening een fundament legde, bouwt eIDAS 2.0 daar een complete structuur op. Het doel is een consistente, interoperabele en door de gebruiker beheerde digitale identiteitservaring in de gehele Europese Unie.

Wat is de Europese Digitale Identiteitsportemonnee?

De Europese Digitale Identiteitsportemonnee, vaak aangeduid als de EUDI Wallet, is een veilige digitale applicatie waarmee EU-burgers, inwoners en ondernemingen identiteitsgegevens en documenten kunnen opslaan, beheren en delen. Gebruikers kunnen bewijzen wie ze zijn, specifieke kenmerken zoals leeftijd of nationaliteit delen, en documenten digitaal ondertekenen, allemaal vanuit één app die ze volledig zelf beheren.

De portemonnee is ontworpen met privacy als kern. Gebruikers bepalen precies welke informatie ze delen en met wie. Als een dienst alleen hoeft te verifiëren dat iemand ouder is dan 18, kan de portemonnee dat bevestigen zonder een volledige geboortedatum of andere persoonsgegevens te onthullen. Dit principe van selectieve openbaarmaking is een aanzienlijke verbetering ten opzichte van traditionele identiteitscontroles.

Portemonnees kunnen worden aangeboden door nationale overheden of door private bedrijven die officiële erkenning hebben ontvangen. De Europese Commissie heeft ook een referentie-implementatie gepubliceerd als open-source software, waarmee lidstaten en ontwikkelaars een technische basis hebben om op voort te bouwen. Grootschalige pilotprojecten waarbij meer dan 350 organisaties uit 26 lidstaten betrokken zijn, hebben de portemonnee getest in praktijkscenario’s, waaronder het openen van een bankrekening, toegang tot overheidsdiensten, het ophalen van recepten en het verifiëren van onderwijskwalificaties.

Welke organisaties zijn verplicht de EUDI Wallet te accepteren?

Onder eIDAS 2.0 zal een brede reeks zowel publieke als private organisaties verplicht zijn de EUDI Wallet te accepteren als geldig identificatiemiddel. Overheidsinstanties in alle lidstaten moeten deze accepteren voor digitale overheidsdiensten. Aan de private kant geldt de verplichting voor organisaties in sectoren waar identiteitsverificatie een centrale rol speelt.

De specifiek gedekte sectoren zijn:

• Financiële diensten, waaronder banken en instellingen die rekeningopening of gereguleerde diensten aanbieden
• Telecomaanbieders die identiteitsverificatie vereisen voor SIM-registratie
• Zorgaanbieders die recepten of patiëntendossiers beheren
• Transport- en mobiliteitsdiensten
• Onderwijsinstellingen die kwalificaties afgeven of verifiëren
• Elke dienst die momenteel sterke authenticatie vereist op grond van bestaand EU-recht

Voor organisaties in de financiële dienstverlening en gezondheidszorg is dit bijzonder relevant omdat identiteitsverificatie al een wettelijke vereiste is. eIDAS 2.0 vervangt die bestaande verplichtingen niet, maar biedt een gestandaardiseerde, interoperabele methode om eraan te voldoen.

Wat zijn verifieerbare credentials en hoe verhouden ze zich tot eIDAS 2.0?

Verifieerbare credentials zijn digitale equivalenten van fysieke documenten of certificaten, zoals een rijbewijs, diploma of arbeidsverklaring. Ze zijn cryptografisch ondertekend door de uitgevende instantie, wat betekent dat elke ontvanger de authenticiteit ervan kan verifiëren zonder rechtstreeks contact op te nemen met de uitgever. De houder slaat ze op in zijn digitale portemonnee en deelt ze wanneer nodig.

eIDAS 2.0 plaatst verifieerbare credentials als kern van de werking van de EUDI Wallet. Wanneer een burger zijn nationaal ID, beroepskwalificatie of zorgverzekeringspas in de portemonnee opslaat, worden deze uitgegeven als verifieerbare credentials door een vertrouwde instantie. Wanneer hij een van deze credentials presenteert aan een dienstverlener, kan die aanbieder de authenticiteit en integriteit ervan onmiddellijk verifiëren.

Dit heeft een praktisch voordeel dat verder gaat dan gemak. Omdat verifieerbare credentials cryptografisch gebonden zijn aan de houder van de portemonnee, zijn ze veel beter bestand tegen fraude dan traditionele documentkopieën of combinaties van gebruikersnaam en wachtwoord. Voor organisaties die moeten voldoen aan ken-uw-klant-vereisten of andere identiteitsgebaseerde regelgeving, kan het accepteren van verifieerbare credentials via de EUDI Wallet de naleving aanzienlijk vereenvoudigen.

Wanneer treedt eIDAS 2.0 in werking en wat zijn de belangrijkste deadlines?

eIDAS 2.0 is in 2024 in werking getreden na publicatie in het Publicatieblad van de Europese Unie. Lidstaten zijn wettelijk verplicht de EUDI Wallet uiterlijk in 2026 beschikbaar te stellen aan alle burgers, inwoners en ondernemingen. Dit betekent dat in 2026 de eerste nationale portemonnee-implementaties naar verwachting live en toegankelijk zijn.

De belangrijkste mijlpalen waarvan organisaties op de hoogte moeten zijn:

1. 2024: De bijgewerkte verordening trad in werking en technische specificaties werden afgerond via het Architecture and Reference Framework.
2. 2025: Grootschalige pilotprojecten werden afgerond, waarmee de Europese Commissie praktijkfeedback ontving om de uitrolvereisten te verfijnen.
3. 2026: Lidstaten moeten portemonnee-oplossingen beschikbaar hebben. Organisaties die onder de reikwijdte vallen, moeten in staat zijn de portemonnee te accepteren voor relevante diensten.
4. Doorlopend: Sectoren met specifieke verplichtingen zullen acceptatie moeten implementeren en op portemonnee gebaseerde processen moeten integreren in hun digitale diensten naarmate nationale uitrolprogramma’s vorderen.

Voor organisaties die nog niet zijn begonnen met voorbereiden, is 2026 geen verre horizon. De technische en compliance-voorbereiding kost tijd, en wachten tot de portemonnee breed is geadopteerd voordat men begint met voorbereiden is een risico dat de meeste gereguleerde organisaties zich niet kunnen veroorloven.

Hoe moeten organisaties beginnen met voorbereiden op eIDAS 2.0?

Voorbereiden op eIDAS 2.0 begint met begrijpen of en hoe uw organisatie binnen de reikwijdte valt, gevolgd door het in kaart brengen van de kloof tussen uw huidige identiteitsinfrastructuur en wat de verordening vereist. De meeste organisaties in gereguleerde sectoren zullen betekenisvolle veranderingen moeten doorvoeren in de manier waarop ze identiteiten verifiëren, credentials beheren en digitale handtekeningen verwerken.

Een praktisch startpunt omvat drie aandachtsgebieden. Ten eerste, beoordeel uw huidige identiteitsverificatie- en onboardingprocessen om te identificeren waar portemonnee-gebaseerde verificatie bestaande methoden kan of moet vervangen. Ten tweede, evalueer uw compliance-kader om te begrijpen hoe eIDAS 2.0 samenhangt met verplichtingen die u al heeft op grond van de AVG, AML, KYC of sectorspecifieke regels. Ten derde, ga vroegtijdig in gesprek met uw technologiepartners om te begrijpen welke integraties nodig zijn om EUDI Wallet-credentials te accepteren en te verwerken.

Organisaties in de overheid en sterk gereguleerde sectoren moeten ook de nationale implementatietijdlijnen nauwlettend volgen, aangezien het tempo van de portemonnee-uitrol per land zal verschillen. Aansluiting bij brancheorganisaties of pilotconsortia die actief zijn in uw sector kan vroegtijdig inzicht bieden in welke technische standaarden en gebruikersstromen als basis naar voren komen.

Voor meer praktische begeleiding en middelen bij het navigeren van digitale identiteitsregelgeving is de TrustTech-resourcebibliotheek een nuttig startpunt.

Hoe helpt TrustTech bij eIDAS 2.0

eIDAS 2.0 is niet alleen een compliance-oefening. Het is een verschuiving in de manier waarop digitale identiteit werkt in Europa, en organisaties die zich goed voorbereiden zullen profiteren van snellere onboarding, minder wrijving en meer vertrouwen bij hun klanten en partners.

Het platform van TrustTech is specifiek gebouwd om organisaties te helpen bij deze overgang. In de praktijk betekent dit:

• Veilige identiteitsverificatie en onboarding die by design klaar is voor eIDAS 2.0
• Herbruikbare compliance-flows die de noodzaak voor klanten om zich opnieuw te verifiëren via verschillende contactpunten verminderen
• Gekwalificeerde digitale handtekeningen die identiteitsgebonden en volledig auditeerbaar zijn
• Interoperabiliteit met de EUDI Wallet-infrastructuur naarmate nationale uitrolprogramma’s vorderen
• Ondersteuning voor gereguleerde sectoren waaronder financiën, overheid, gezondheidszorg en farmacie

Of uw organisatie nog maar net begint de implicaties van de verordening te begrijpen of al bezig is met implementatie, TrustTech kan u helpen de vereisten te vertalen naar een duidelijk en uitvoerbaar plan. Neem contact op met TrustTech om te bespreken waar uw organisatie staat en hoe de volgende stappen eruit zien.