Wat is het eIDAS 2.0-vertrouwenskader en hoe werkt het?

Het eIDAS 2.0-vertrouwenskader is de bijgewerkte Europese juridische en technische infrastructuur die bepaalt hoe digitale identiteiten en trust services worden geverifieerd, uitgegeven en geaccepteerd door EU-lidstaten. Het is vastgelegd in Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. De verordening breidt de reikwijdte aanzienlijk uit met de Europese Digitale Identiteitswallet, strengere regels voor gekwalificeerde verleners van trust services en verplichte acceptatie in een breder scala aan sectoren. Dit artikel behandelt de belangrijkste vragen die organisaties stellen bij de voorbereiding op wat eIDAS 2.0 in de praktijk betekent.

Uit welke onderdelen bestaat het eIDAS 2.0-vertrouwenskader?

Het eIDAS 2.0-vertrouwenskader bestaat uit drie kerncomponenten: elektronische identificatie (eID), trust services en de EUDI-wallet. Samen bepalen deze elementen hoe identiteiten worden vastgesteld, hoe digitale transacties worden geauthenticeerd en hoe attestaties veilig worden gedeeld over grenzen en sectoren heen binnen de EU.

Elektronische identificatie omvat de middelen waarmee personen en organisaties aantonen wie zij zijn in digitale omgevingen. Onder eIDAS 2.0 is elke EU-lidstaat verplicht een EUDI-wallet uit te geven aan burgers, inwoners en bedrijven die er een willen. Daarmee ontstaat een gemeenschappelijke basis die onder de oorspronkelijke verordening niet bestond.

Trust services vormen de tweede pijler. Deze omvatten gekwalificeerde elektronische handtekeningen, zegels, tijdstempels, diensten voor aangetekende bezorging en certificaten voor websiteauthenticatie. Elk type dienst heeft vastgestelde betrouwbaarheidsniveaus en moet worden geleverd door erkende verleners van trust services die onder nationaal toezicht opereren.

De EUDI-wallet is de derde en nieuwste component. Het is een beveiligde omgeving waarin gebruikers geverifieerde identiteitsattributen en attestaties kunnen opslaan en via selective disclosure alleen kunnen delen wat nodig is voor een bepaalde interactie. De wallet is ontworpen om te werken voor zowel publieke als private diensten in de hele EU.

Hoe verschilt eIDAS 2.0 van de oorspronkelijke eIDAS-verordening?

De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, stelde een kader vast voor grensoverschrijdende erkenning van nationale elektronische identiteitsregelingen en definieerde regels voor trust services. Verordening (EU) 2024/1183, in werking getreden op 20 mei 2024, wijzigt die verordening door digitale identiteit universeel beschikbaar te maken, verplicht te stellen voor sleutelsectoren en toegankelijk te maken voor zowel publieke als private dienstverleners.

Een aantal belangrijke verschillen valt op:

• Universele beschikbaarheid: Onder de oorspronkelijke eIDAS konden lidstaten kiezen of ze een nationaal eID-stelsel wilden opzetten. Onder eIDAS 2.0 moet elke lidstaat een EUDI-wallet aanbieden aan elke burger, inwoner of onderneming die er een wil.
• Inclusie van de private sector: De oorspronkelijke verordening richtte zich voornamelijk op publieke diensten. eIDAS 2.0 breidt verplichtingen uit naar gereguleerde private partijen in sectoren zoals banken, telecom, zorg en energie, en naar zeer grote onlineplatforms.
• Gebruikerscontrole: De EUDI-wallet introduceert selective disclosure, wat betekent dat gebruikers alleen de specifieke attributen kunnen delen die nodig zijn voor een transactie, zonder een volledig identiteitsdocument te onthullen.
• Interoperabiliteit: eIDAS 2.0 introduceert een gemeenschappelijk Architecture and Reference Framework (ARF) om ervoor te zorgen dat wallets en attestaties consistent werken in alle lidstaten.
• Uitgebreide trust services: Er zijn nieuwe categorieën van gekwalificeerde trust services toegevoegd, waaronder elektronische attestering van attributen (QEAA), waarmee geverifieerde professionele of persoonlijke attestaties digitaal kunnen worden opgeslagen en gedeeld.

Het praktische effect is dat eIDAS 2.0 verschuift van een gefragmenteerd, opt-in model naar een consistente, verplichte infrastructuur voor digitale identiteit in heel Europa.

Welke rol spelen gekwalificeerde verleners van trust services onder eIDAS 2.0?

Gekwalificeerde verleners van trust services (QTSP’s) zijn de organisaties die gemachtigd zijn om de hoogst betrouwbare digitale trust services uit te geven en te beheren onder het eIDAS-kader. Onder eIDAS 2.0 breidt hun rol aanzienlijk uit omdat de verordening nieuwe categorieën van gekwalificeerde diensten introduceert, waaronder de elektronische attestering van attributen (QEAA), die centraal staat in de werking van de EUDI-wallet.

QTSP’s moeten worden vermeld op een nationale trusted list die wordt bijgehouden door een toezichthoudend orgaan in hun lidstaat, conform ETSI TS 119 612. Deze vermelding signaleert aan relying parties dat de aanbieder voldoet aan de strenge technische en organisatorische vereisten die in de verordening zijn vastgelegd. Voor organisaties die digitale handtekeningen of geverifieerde attestaties accepteren, is samenwerken met een QTSP vaak bepalend voor de vraag of een transactie juridische waarde heeft onder EU-recht.

Onder eIDAS 2.0 kunnen QTSP’s ook QEAA’s uitgeven: machineleesbare, cryptografisch verifieerbare attestaties die specifieke feiten over een persoon of organisatie bevestigen. Dit kan een beroepskwalificatie, een arbeidsrelatie of een regelgevingscertificering omvatten. Deze attestaties kunnen worden opgeslagen in een EUDI-wallet en worden gepresenteerd aan elke dienst die erom vraagt. Een relying party heeft voor walletacceptatie niet automatisch een QTSP nodig. Een QTSP komt in beeld wanneer gekwalificeerd tekenen of gekwalificeerde attestaties vereist zijn.

Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg is begrijpen welke trust services zij moeten afnemen of leveren een van de meest praktische nalevingsvragen die eIDAS 2.0 oproept.

Hoe past de EUDI-wallet in het eIDAS 2.0-vertrouwenskader?

De EUDI-wallet is de centrale gebruikersgerichte component van het eIDAS 2.0-vertrouwenskader. Het is een beveiligde mobiele applicatie waarmee personen geverifieerde identiteitsattributen en attestaties kunnen opslaan en via selective disclosure kunnen delen met publieke en private diensten in de hele EU. Lidstaten zijn op grond van de verordening verplicht wallets uiterlijk op 24 december 2026 beschikbaar te stellen aan alle burgers en inwoners die er een willen. Publieke instanties moeten genotificeerde wallets vanaf diezelfde datum accepteren voor onlinediensten waarvoor elektronische identificatie vereist is.

Binnen het vertrouwenskader fungeert de wallet als brug tussen identiteitsuitgevers en relying parties. Een identiteitsuitgever, zoals een overheidsinstantie of een QTSP, plaatst een geverifieerde attestatie in de wallet unit van de gebruiker. Een relying party, zoals een bank, ziekenhuis of online platform, kan die attestatie vervolgens opvragen en verifiëren aan de hand van drie afzonderlijke controles: de handtekening van de uitgever gecontroleerd tegen de relevante nationale trusted list, de intrekkingsstatus via statusinformatie van de uitgever, en de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.

De wallet handhaaft ook privacy by design. Gebruikers bepalen welke attributen zij delen en met wie. Als een dienst alleen hoeft te bevestigen dat een gebruiker ouder is dan 18, kan de wallet die bevestiging verstrekken zonder de volledige geboortedatum of andere persoonsgegevens te onthullen. Goedkeuring van een dataverzoek in de wallet is daarbij geen toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.

De eerste vier Large Scale Pilots, EWC, POTENTIAL, NOBID en DC4EU, liepen van april 2023 tot 2025 en hebben praktijkscenario’s getest. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. POTENTIAL testte overheidsdiensten, het openen van bankrekeningen, SIM-registratie, het mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. NOBID concentreerde zich op betalingen en DC4EU op onderwijs en sociale zekerheid. De inzichten uit deze pilots hebben bijgedragen aan de technische specificaties die de uitrol van de wallet in heel Europa bepalen. In 2025 is een tweede pilotgolf gestart, met onder andere WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.

Welke sectoren zijn verplicht eIDAS 2.0-attestaties te accepteren?

Onder eIDAS 2.0 zijn specifieke sectoren en soorten diensten verplicht EUDI-wallet-attestaties en andere gekwalificeerde elektronische identiteitsmiddelen te accepteren. De verordening maakt daarbij onderscheid tussen publieke instanties, die vanaf 24 december 2026 genotificeerde wallets moeten accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, en gereguleerde private partijen, voor wie de acceptatieplicht op grond van artikel 5f ingaat op 24 december 2027. Die verplichting geldt binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen niet onder artikel 5f.

Voordat een relying party wallet-data kan opvragen, moet zij zich registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die wallet-data technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

De sectoren en soorten diensten die onder de acceptatieplicht vallen zijn onder meer:

1. Publieke diensten: Alle overheids- en overheidsadministratiediensten die identiteitsverificatie vereisen, moeten genotificeerde EUDI-wallets accepteren vanaf 24 december 2026.
2. Bank- en financiële diensten: Banken en financiële instellingen die klantacceptatie, KYC-controles en rekeningopeningen uitvoeren, zijn verplicht op wallet gebaseerde identiteit te accepteren vanaf 24 december 2027, op grond van artikel 5f.
3. Telecommunicatie: Mobiele operators die SIM-kaarten registreren, moeten digitale identiteitsattestaties accepteren vanaf 24 december 2027.
4. Gezondheidszorg: Zorgaanbieders die toegang hebben tot patiëntendossiers of gereguleerde diensten online aanbieden, vallen hieronder vanaf 24 december 2027.
5. Zeer grote onlineplatforms: Platforms die onder de Digital Services Act vallen met meer dan 45 miljoen maandelijkse gebruikers in de EU moeten EUDI-wallet-authenticatie accepteren op grond van artikel 5f, waar de gebruiker dat vrijwillig verzoekt en voor de minimaal noodzakelijke gegevens, vanaf 24 december 2027.
6. Overige gereguleerde sectoren: Ook energie, transport, onderwijs, sociale zekerheid, drinkwater, post en digitale infrastructuur vallen onder de acceptatieplicht voor gereguleerde private partijen vanaf 24 december 2027.

Voor organisaties in deze sectoren is de vraag niet óf ze eIDAS 2.0-attestaties moeten accepteren, maar hoe en wanneer ze die mogelijkheid in bestaande systemen moeten integreren. Organisaties die actief zijn in overheidsdiensten of gereguleerde sectoren moeten nu al hun technische gereedheid beoordelen.

Hoe kunnen organisaties zich voorbereiden op eIDAS 2.0-naleving?

Organisaties kunnen zich voorbereiden op eIDAS 2.0-naleving door eerst te begrijpen welke verplichtingen op hen van toepassing zijn, vervolgens tekortkomingen in hun huidige identiteits- en vertrouwensinfrastructuur te beoordelen en daarna de technische capaciteiten te bouwen of te integreren die nodig zijn om aan die vereisten te voldoen. De regelgevingstijdlijnen staan vast en implementatie kost tijd, dus vroeg beginnen is van belang.

Een praktische voorbereidingsaanpak omvat verschillende stappen:

1. Breng jouw verplichtingen in kaart: Bepaal of jouw organisatie een relying party, een verlener van trust services of beide is. Identificeer welke diensten je aanbiedt die onder verplichte acceptatievereisten vallen en of de uitzondering voor micro- en kleine ondernemingen op jou van toepassing is.
2. Audit bestaande identiteitsstromen: Bekijk hoe je momenteel identiteit verifieert, attestaties beheert en elektronische handtekeningen verwerkt. Identificeer waar huidige processen afhankelijk zijn van methoden die niet voldoen aan de betrouwbaarheidsniveaus van eIDAS 2.0.
3. Beoordeel interoperabiliteit: Controleer of jouw systemen kunnen communiceren met EUDI-wallet-attestaties en QEAA’s. Dit omvat het beoordelen van jouw API-infrastructuur en authenticatieprotocollen, waaronder OID4VP voor presentatie en OID4VCI voor uitgifte.
4. Regel jouw registratie als relying party: Op grond van CIR (EU) 2025/848 moet je je registreren bij de bevoegde nationale autoriteit voordat je wallet-data kunt opvragen. Leg daarbij per intended use vast welke attributen en attestaties je opvraagt.
5. Volg het Architecture and Reference Framework: Het ARF dat door de Europese Commissie is gepubliceerd, definieert de technische normen waaraan wallets en relying parties moeten voldoen. Het ARF bevat de technische uitwerking; de uitvoeringshandelingen zijn juridisch bindend. Houd rekening met nieuwe revisies van het ARF bij het opstellen van jouw technische routekaart.
6. Test vroeg: Neem deel aan de lopende pilotprogramma’s of sandboxomgevingen waar beschikbaar om jouw integratie te valideren voordat verplichte deadlines aanbreken.

Een goed geïmplementeerde digitale identiteitsinfrastructuur vermindert wrijving bij onboarding, verlaagt verificatiekosten en maakt herbruikbaar vertrouwen mogelijk bij elke klantinteractie. Je kunt verkennen hoe dit in de praktijk uitpakt door klantenvoorbeelden te bekijken van organisaties die al werken met digitale identiteitsinfrastructuur.

Hoe de ID Connector van TrustTech relying parties ondersteunt

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

• Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists (LOTL), zodat alleen attestaties van erkende uitgevers worden geaccepteerd
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope conform CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata binnen onboarding- en verificatiestromen, zonder dat de gebruiker telkens opnieuw hoeft te identificeren
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde verlener van trust services

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, de farmaceutische industrie en de publieke sector, waar de acceptatieplicht onder artikel 5f of de publieke acceptatieplicht per 24 december 2026 direct van toepassing is.

Neem contact op met TrustTech om te bespreken welke wallet-integratie past bij jouw dienstverlening en wat de volgende concrete stap is voor jouw organisatie.