eIDAS 2.0 is de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en een uniform digitaal identiteitskader creëert voor alle EU-lidstaten. Het kader introduceert de EUDI-wallet als centraal instrument en breidt de reikwijdte uit naar gereguleerde private sectoren. De onderstaande secties beantwoorden de belangrijkste vragen over wat deze verordening juridisch bepaalt, hoe het technisch werkt en wat jouw organisatie concreet moet doen.
Hoe verschilt eIDAS 2.0 van de oorspronkelijke eIDAS-verordening?
Verordening (EU) nr. 910/2014, van kracht sinds 2014, stelde EU-lidstaten in staat elkaars nationale elektronische ID-systemen te notificeren en te erkennen. Elk genotificeerd stelsel moest vanaf 2018 in de hele EU worden geaccepteerd. Er was echter geen verplichting voor elk land om een nationaal elektronisch ID te creëren of dit compatibel te maken met andere systemen. Dit leidde tot aanzienlijke lacunes en inconsistenties tussen lidstaten.
Verordening (EU) 2024/1183 wijzigt de oorspronkelijke verordening op drie wezenlijke punten. Ten eerste maakt het deelname verplicht in plaats van optioneel: elke lidstaat is nu verplicht een digitale identiteitsoplossing aan te bieden aan zijn burgers en ondernemingen. Ten tweede breidt het de reikwijdte uit naar gereguleerde private sectoren, zodat ook bepaalde private organisaties die online diensten aanbieden onder het kader vallen. Ten derde introduceert het de EUDI-wallet als het centrale instrument van het kader.
Omdat eIDAS 2.0 een EU-verordening is, werkt het rechtstreeks in alle lidstaten. Er is geen nationale omzetting nodig, wel nationale uitvoering voor onderdelen die lidstaten handelingsruimte laten, zoals de aanwijzing van wallet providers en bevoegde autoriteiten. Het doel is een consistente, interoperabele en door de gebruiker beheerde digitale identiteitservaring in de gehele Europese Unie.
Wat is de EUDI-wallet?
De EUDI-wallet is een veilige digitale applicatie waarmee EU-burgers, inwoners en ondernemingen attestaties kunnen opslaan, beheren en presenteren. Gebruikers kunnen bewijzen wie ze zijn, specifieke kenmerken zoals leeftijd of nationaliteit delen, en documenten digitaal ondertekenen, allemaal vanuit één wallet instance die ze volledig zelf beheren.
Het is nuttig om drie begrippen uit elkaar te houden. De wallet solution is het gecertificeerde product van de wallet provider. De wallet instance is de app zoals geïnstalleerd op het toestel van een individuele gebruiker. De wallet unit is de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de sleutels zich bevinden. Privésleutels van een PID en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
De wallet is ontworpen met selective disclosure als kernprincipe. Gebruikers bepalen precies welke attributen ze delen en met wie. Als een dienst alleen hoeft te verifiëren dat iemand ouder is dan 18, kan de wallet dat bevestigen zonder een volledige geboortedatum of andere persoonsgegevens te onthullen. Dit is een aanzienlijke verbetering ten opzichte van traditionele identiteitscontroles waarbij doorgaans meer gegevens worden gedeeld dan strikt noodzakelijk.
Wallets kunnen worden aangeboden door nationale overheden of door private bedrijven die officiële erkenning hebben ontvangen. De Europese Commissie heeft ook een referentie-implementatie gepubliceerd als open-source software, waarmee lidstaten en ontwikkelaars een technische basis hebben om op voort te bouwen.
De vier oorspronkelijke Large Scale Pilots liepen van april 2023 tot 2025. Het consortium POTENTIAL richtte zich onder meer op overheidsdiensten, het openen van een bankrekening, SIM-registratie, het mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. DC4EU testte toepassingen in onderwijs en sociale zekerheid. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. NOBID concentreerde zich op betalingen. Een tweede pilotgolf is in 2025 gestart, met onder andere WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
Welke organisaties zijn verplicht de EUDI-wallet te accepteren?
Onder eIDAS 2.0 geldt een acceptatieplicht voor zowel publieke instanties als een specifieke groep gereguleerde private organisaties. Overheidsinstanties en publieke dienstverleners in alle lidstaten moeten genotificeerde EUDI-wallets accepteren als geldig identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is, vanaf 24 december 2026. Voor gereguleerde private partijen treedt de acceptatieplicht op grond van artikel 5f van de verordening in werking op 24 december 2027, en wel binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
De acceptatieplicht geldt nadrukkelijk niet voor alle bedrijven. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten de reikwijdte van artikel 5f.
Voor zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f. De verplichting geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
De sectoren waarvoor de private acceptatieplicht geldt zijn:
- Banken en financiële dienstverlening, waaronder instellingen die rekeningopening of gereguleerde diensten aanbieden
- Telecomaanbieders die identiteitsverificatie vereisen voor SIM-registratie
- Zorgaanbieders die recepten of patiëntendossiers beheren
- Energie
- Transport- en mobiliteitsdiensten
- Onderwijsinstellingen die kwalificaties afgeven of verifiëren
- Sociale zekerheid
- Drinkwater
- Post
- Digitale infrastructuur en digitale diensten
- Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU
Elke organisatie die als relying party walletdata wil opvragen, moet zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging op grond van CIR (EU) 2025/848, voordat walletdata kan worden opgevraagd. Bij registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Voor organisaties in de financiële dienstverlening en gezondheidszorg is dit bijzonder relevant omdat identiteitsverificatie al een wettelijke vereiste is. eIDAS 2.0 wijzigt die bestaande verplichtingen niet, maar biedt een gestandaardiseerde, interoperabele methode om eraan te voldoen. Hergebruik van KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels, waaronder de AML-verordening die vanaf juli 2027 van toepassing wordt.
Wat zijn attestaties en hoe verhouden ze zich tot eIDAS 2.0?
Attestaties zijn digitale equivalenten van fysieke documenten of certificaten, zoals een rijbewijs, diploma of arbeidsverklaring. Ze zijn cryptografisch ondertekend door de uitgevende instantie, waardoor een relying party de authenticiteit ervan kan verifiëren zonder rechtstreeks contact op te nemen met de uitgever. De houder slaat ze op in zijn wallet unit en presenteert ze wanneer nodig.
eIDAS 2.0 maakt onderscheid tussen drie typen attestaties. Een QEAA (Qualified Electronic Attestation of Attributes) wordt uitgegeven door een gekwalificeerde vertrouwensdienstverlener en geniet de hoogste juridische status. Een PuB-EAA (Public Body Electronic Attestation of Attributes) wordt uitgegeven door of namens een publieke instantie op grond van Unierecht of nationaal recht. Een non-qualified EAA is een attestatie die niet aan de vereisten voor QEAA of PuB-EAA voldoet. PuB-EAA valt niet onder non-qualified EAA.
Voor credentialformaten werkt het EUDI-wallet-ecosysteem met mdoc (conform ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie) en SD-JWT VC. Voor uitgifte wordt OID4VCI gebruikt, voor presentatie OID4VP. Het High Assurance Interoperability Profile (HAIP) specificeert de minimale interoperabiliteitsvereisten voor het ecosysteem.
Wanneer een relying party een attestatie ontvangt, gaat verificatie verder dan het controleren van de cryptografische handtekening. Een volledige verificatie omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, samengebracht in de EU List of Trusted Lists (conform ETSI TS 119 612), controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Een attestatie kan daarom niet zonder contact met externe bronnen volledig worden geverifieerd.
Dit heeft een praktisch voordeel voor organisaties die moeten voldoen aan ken-uw-klant-vereisten of andere identiteitsgebaseerde regelgeving. Omdat attestaties cryptografisch gebonden zijn aan de wallet unit van de houder, zijn ze tamper-evident en bieden ze een sterkere fraudebestendigheid dan traditionele documentkopieën. Toch blijft de relying party verantwoordelijk voor een zelfstandige AVG-grondslag voor de verwerking van de ontvangen gegevens. Goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Bij wettelijke KYC-verplichtingen zal doorgaans een wettelijke verplichting de toepasselijke grondslag zijn. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Wanneer treedt eIDAS 2.0 in werking en wat zijn de belangrijkste deadlines?
Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden na publicatie in het Publicatieblad van de Europese Unie. Sindsdien zijn meerdere mijlpalen verstreken en liggen er concrete deadlines voor de komende jaren.
De belangrijkste mijlpalen waarvan organisaties op de hoogte moeten zijn:
- 20 mei 2024: Inwerkingtreding van Verordening (EU) 2024/1183. Dit was het startpunt voor alle vervolgtermijnen.
- Eind 2024: De eerste vijf kernuitvoeringshandelingen werden aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets.
- 2025: Een tweede golf uitvoeringshandelingen werd gepubliceerd, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners.
- 6 mei 2025: CIR (EU) 2025/848 over registratie van wallet-relying parties trad in werking.
- 24 december 2026: Iedere lidstaat moet minimaal één gecertificeerde EUDI-wallet operationeel hebben. Publieke instanties en publieke dienstverleners moeten genotificeerde wallets vanaf deze datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit is een deadline voor notificatie en uitgifte, geen garantie dat volledige functionele interoperabiliteit in de hele EU op dat moment bestaat.
- Juli 2027: De AML-verordening (AMLR) wordt van toepassing. Organisaties in de financiële sector moeten rekening houden met de wisselwerking tussen AMLR en de acceptatie van EUDI-wallet-attestaties voor KYC-doeleinden.
- 24 december 2027: De acceptatieplicht voor gereguleerde private partijen op grond van artikel 5f gaat in. Organisaties in de relevante sectoren moeten de EUDI-wallet accepteren binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
Voor organisaties die nog niet zijn begonnen met voorbereiden, is 2027 geen verre horizon. De technische en compliance-voorbereiding kost tijd, en wachten tot de wallet breed is geadopteerd voordat men begint met voorbereiden is een risico dat de meeste gereguleerde organisaties zich niet kunnen veroorloven.
Hoe moeten organisaties beginnen met voorbereiden op eIDAS 2.0?
Voorbereiden begint met begrijpen of en hoe jouw organisatie binnen de reikwijdte valt, gevolgd door het in kaart brengen van de kloof tussen je huidige identiteitsinfrastructuur en wat de verordening vereist. De meeste organisaties in gereguleerde sectoren zullen aanpassingen moeten doorvoeren in de manier waarop ze identiteiten verifiëren, attestaties beheren en digitale handtekeningen verwerken.
Een praktisch startpunt omvat drie aandachtsgebieden. Ten eerste, beoordeel je huidige identiteitsverificatie- en onboardingprocessen om te identificeren waar wallet-gebaseerde verificatie bestaande methoden kan of moet vervangen. Ten tweede, evalueer je compliance-kader om te begrijpen hoe eIDAS 2.0 samenhangt met verplichtingen die je al hebt op grond van de AVG, AML-regelgeving, KYC of sectorspecifieke regels. Ten derde, ga vroegtijdig in gesprek met je technologiepartners om te begrijpen welke integraties nodig zijn om EUDI-wallet-attestaties te accepteren en te verwerken, en zorg dat je registratieplicht onder CIR (EU) 2025/848 tijdig wordt ingevuld.
Een relying party heeft geen eigen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant wanneer je gekwalificeerde attestaties wilt uitgeven of gekwalificeerd tekenen wilt aanbieden. Walletgebruik is bovendien vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Jouw onboardingprocessen moeten daar rekening mee houden.
Organisaties in de overheid en sterk gereguleerde sectoren moeten ook de nationale uitvoeringstijdlijnen nauwlettend volgen, aangezien het tempo van de wallet-uitrol per land zal verschillen. Aansluiting bij brancheorganisaties of de lopende pilotconsortia die actief zijn in jouw sector kan vroegtijdig inzicht bieden in welke technische standaarden en gebruikersstromen als basis naar voren komen.
Voor meer praktische informatie bij het navigeren van digitale identiteitsregelgeving is de TrustTech-resourcebibliotheek een nuttig startpunt.
Hoe helpt TrustTech bij eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
In de praktijk ondersteunt de ID Connector de volgende technische taken:
- Verificatie van uitgevershandtekeningen tegen nationale trusted lists via de EU List of Trusted Lists
- Controle van intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, zodat vastgesteld wordt dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de toepasselijke AVG-grondslag en sectorale regels
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde vertrouwensdienstverlener
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar identiteitsverificatie al een wettelijke vereiste is en waar de acceptatieplicht onder artikel 5f of de publieke acceptatieplicht per 24 december 2026 direct van toepassing is.
Neem contact op met TrustTech om te bespreken waar jouw organisatie staat en welke integratiestappen als volgende aan de orde zijn.