Wat is het eIDAS 2.0-walletecosysteem en wie beheert het?

Het eIDAS 2.0-walletecosysteem wordt bestuurd door een combinatie van de Europese Commissie, EU-lidstaten en een dedicated expertorgaan genaamd de European Digital Identity Cooperation Group (EDICG). Het bestuur is verdeeld over deze lagen: de Commissie stelt het wettelijk kader en de technische normen vast, lidstaten voeren hun wallet-oplossingen uit en notificeren deze, en de EDICG coördineert de afstemming over grenzen heen. Dit artikel behandelt de belangrijkste vragen die organisaties stellen wanneer ze proberen te begrijpen hoe het ecosysteem werkt en wat dit voor hen betekent.

Wie is verantwoordelijk voor het bestuur van het eIDAS 2.0-walletecosysteem?

Het bestuur van het eIDAS 2.0-walletecosysteem is een gedeelde verantwoordelijkheid. De Europese Commissie stelt het overkoepelende wettelijke kader vast op basis van Verordening (EU) 2024/1183, publiceert uitvoeringshandelingen en onderhoudt het Architecture and Reference Framework (ARF) dat bepaalt hoe wallets moeten worden gebouwd en beheerd. Lidstaten zijn verantwoordelijk voor het beschikbaar stellen van een EUDI-wallet aan hun burgers en bedrijven, en voor het notificeren van hun wallet-oplossingen aan de Commissie. De European Digital Identity Cooperation Group (EDICG), voorheen bekend als de eIDAS Expert Group, speelt een centrale coördinerende rol.

De EDICG is verantwoordelijk voor het uitwisselen van best practices, het adviseren van de Commissie over uitvoerings- en gedelegeerde handelingen, het ondersteunen van nationale toezichthoudende instanties en het helpen ontwikkelen van de technische toolbox die het gehele ecosysteem ondersteunt. In de praktijk betekent dit dat geen enkel land of instelling de leiding heeft. Het bestuur werkt via gestructureerde samenwerking, waarbij de Commissie de regels opstelt en de lidstaten verantwoordelijk zijn voor de uitvoering.

Toezichthoudende instanties op nationaal niveau houden toezicht op de naleving binnen hun rechtsgebied, inclusief de certificering van wallet-oplossingen en de registratie van relying parties. Deze meerlaagse structuur is bewust gekozen: ze zorgt voor verantwoording op zowel Europees als nationaal niveau, terwijl het ecosysteem interoperabel blijft over grenzen heen.

Wat zijn de belangrijkste componenten van het EUDI Wallet-ecosysteem?

Het EUDI Wallet-ecosysteem bestaat uit verschillende onderling verbonden componenten die samenwerken om veilige, grensoverschrijdende digitale identiteit mogelijk te maken. De kern wordt gevormd door de wallet zelf, de identiteitsgegevens die erin zijn opgeslagen, de partijen die deze gegevens uitgeven en de partijen die ze accepteren. Begrijpen hoe deze elementen samenhangen helpt organisaties te bepalen waar zij zich in het ecosysteem bevinden en welke verplichtingen op hen van toepassing zijn.

De belangrijkste componenten zijn:

• De EUDI-wallet: Een beveiligde wallet-oplossing die wordt aangeboden door een lidstaat of een erkende private aanbieder, waarmee gebruikers hun digitale identiteit en attestaties kunnen opslaan en delen. De wallet solution is het gecertificeerde product van de wallet provider; de wallet instance is de applicatie zoals geïnstalleerd op het toestel van de individuele gebruiker; de wallet unit omvat de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de sleutels zich bevinden.
• Persoonsidentificatiegegevens (PID): De kernidentiteitsattributen die door een lidstaat worden uitgegeven, zoals naam, geboortedatum en nationaliteit.
• Elektronische attesten van attributen (EAA): Aanvullende geverifieerde gegevens, zoals beroepskwalificaties, diploma’s of rijbewijzen, uitgegeven door bevoegde aanbieders. Binnen deze categorie bestaan gekwalificeerde elektronische attestaties (QEAA), door publieke instanties uitgegeven attestaties (PuB-EAA) en niet-gekwalificeerde EAA’s. QEAA en PuB-EAA zijn juridisch van elkaar te onderscheiden categorieën; PuB-EAA valt niet onder de niet-gekwalificeerde EAA’s.
• Relying parties: Organisaties die gegevens uit de wallet opvragen en accepteren om een dienst te verlenen, zoals een bank die identiteit verifieert of een overheidsportaal dat toegang verleent. Relying parties moeten zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 voordat zij walletdata kunnen opvragen.
• Vertrouwensdienstverleners: Organisaties die certificaten, handtekeningen en attestaties uitgeven die de vertrouwenslaag van het ecosysteem ondersteunen.
• Het Architecture and Reference Framework (ARF): Het technische blauwdruk dat bepaalt hoe alle componenten met elkaar samenwerken en interoperabiliteit tussen lidstaten waarborgt. De juridisch bindende vereisten volgen uit de verordening en uitvoeringshandelingen; het ARF bevat de technische uitwerking daarvan.

Samen creëren deze componenten een systeem waarbij gebruikers via selective disclosure alleen de gegevens kunnen delen die zij kiezen, met geverifieerde partijen, op een manier die juridisch erkend is in de hele EU.

Wat is het verschil tussen een wallet provider en een attestaanbieder?

Een wallet provider bouwt en beheert de wallet solution zelf, de beveiligde container waarin gebruikers hun digitale identiteit opslaan en beheren. Een attestaanbieder geeft de geverifieerde attestaties uit die in de wallet worden opgeslagen. Dit zijn afzonderlijke rollen, en in veel gevallen worden ze door verschillende organisaties vervuld.

Wallet providers kunnen overheden of private bedrijven zijn, maar ze moeten officieel erkend en gecertificeerd zijn onder Verordening (EU) 2024/1183. Hun verantwoordelijkheid is ervoor te zorgen dat de wallet solution veilig, functioneel en in overeenstemming is met de technische specificaties van het ARF. Ze zijn niet per definitie verantwoordelijk voor de attestaties die de wallet bevat.

Attestaanbieders zijn verantwoordelijk voor het uitgeven van specifieke attestaties aan gebruikers. Een nationale overheid kan persoonsidentificatiegegevens uitgeven. Een universiteit kan een diploma uitgeven als QEAA. Een zorginstantie kan een recept of beroepslicentie uitgeven als EAA of PuB-EAA, afhankelijk van de uitgevende instantie en de toepasselijke kwalificatie. Elk van deze is een afzonderlijke attestatie, uitgegeven door een andere aanbieder, allemaal opgeslagen in dezelfde wallet unit.

Privésleutels van PID en attestaties verlaten het beveiligde middel niet. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven door de oorspronkelijke aanbieder, in plaats van simpelweg gekopieerd naar een nieuwe wallet instance.

Deze scheiding van rollen zorgt ervoor dat de wallet zelf een neutrale, door de gebruiker beheerde container blijft, terwijl het vertrouwen en de geldigheid van elke attestatie afhangen van de uitgevende instantie, niet van de wallet provider.

Hoe wordt vertrouwen tot stand gebracht tussen partijen in het ecosysteem?

Vertrouwen in het eIDAS 2.0-ecosysteem wordt tot stand gebracht via een combinatie van certificering, registratie en cryptografische verificatie. Elke partij in het ecosysteem, wallet providers, attestuitgevers en relying parties, moet geregistreerd of gecertificeerd zijn onder het kader voordat ze kunnen deelnemen. Dit creëert een verifieerbare vertrouwensketen die niet afhankelijk is van één centrale autoriteit.

Wanneer een gebruiker een attestatie uit zijn wallet presenteert aan een relying party, voert de relying party drie afzonderlijke controles uit. Ten eerste verifieert zij de handtekening van de uitgever aan de hand van de relevante nationale trusted list volgens ETSI TS 119 612, die via de EU List of Trusted Lists (LOTL) raadpleegbaar is. Ten tweede controleert zij de intrekkingsstatus via de statusinformatie van de uitgever. Ten derde verifieert zij de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden; de tweede en derde vereisen contact met externe bronnen.

De nationale trusted lists spelen hier een sleutelrol. Deze lijsten publiceren welke wallet providers, vertrouwensdienstverleners en attestuitgevers officieel erkend zijn. Relying parties raadplegen deze lijsten om te bevestigen dat ze met een legitieme bron te maken hebben voordat ze gegevens accepteren. Nationale registers van relying parties zijn een afzonderlijk instrument en moeten niet worden verward met trusted lists.

Voor organisaties die actief zijn in gereguleerde sectoren zoals financiën, gezondheidszorg of overheid is deze vertrouwensinfrastructuur bijzonder relevant. Identiteitsgegevens die via de wallet worden ontvangen, hebben een betrouwbaarheidsniveau dat juridisch erkend is in de hele EU. Dit kan herhaalde verificatie verminderen en ondersteunt naleving van sectorale regelgeving. Het hergebruik van KYC-data wordt mede bepaald door AML-regelgeving en sectorale regels naast eIDAS 2.0. Organisaties die willen begrijpen hoe dit op hun sector van toepassing is, kunnen meer context vinden bij digitale identiteit in financiële dienstverlening.

Welke organisaties zijn verplicht de EUDI-wallet te accepteren?

Verordening (EU) 2024/1183 verplicht bepaalde categorieën organisaties de EUDI-wallet te accepteren als identificatiemiddel. Voor publieke instanties geldt deze verplichting vanaf 24 december 2026: zij moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen geldt artikel 5f van de verordening vanaf 24 december 2027, namelijk binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.

De acceptatieplicht voor private partijen onder artikel 5f geldt voor organisaties in de volgende sectoren: banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Het is geen algemene verplichting voor alle bedrijven, maar een gerichte plicht voor specifieke sectoren en situaties. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten de acceptatieplicht.

De verplichting is gestructureerd rondom het concept van relying parties. Elke organisatie die identiteitsverificatie vereist om een dienst te verlenen, of het nu gaat om internetbankieren, toegang tot overheidsuitkeringen of het registreren van een simkaart, is een potentiële relying party. Relying parties die binnen het verplichte toepassingsgebied vallen, moeten zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 voordat zij walletdata kunnen opvragen. Een relying party registreert per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.

Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

De vier Large Scale Pilots die van april 2023 tot 2025 liepen, testten de acceptatie van wallets in een reeks praktijkscenario’s. Het POTENTIAL-consortium richtte zich onder meer op:

1. Toegang tot digitale overheidsdiensten zoals belastingaangifte en paspoortaanvragen
2. Op afstand een bankrekening openen zonder herhaalde documentindiening
3. Een simkaart registreren met geverifieerde identiteit
4. Mobiel rijbewijs en gekwalificeerde handtekening op afstand
5. E-recepten in de gezondheidszorg

Het DC4EU-consortium piloteerde opleidingskwalificaties en sociale zekerheid. Het EWC-consortium richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. NOBID richtte zich op betalingen. Bij deze pilots waren meer dan 350 organisaties betrokken uit 26 lidstaten, Noorwegen, IJsland en Oekraïne. Digital Travel Credentials zijn gepiloteerd; gebruik bij grens- of luchthavencontrole is nog geen algemeen operationele EUDI-walletfunctionaliteit. Organisaties in overheidsdiensten en gezondheidszorg behoren tot degenen met de sterkste nalevingsdrijfveren.

Welke regels bepalen hoe het walletecosysteem moet functioneren?

Het walletecosysteem opereert onder een gedetailleerde set regels die zijn vastgelegd in Verordening (EU) 2024/1183 en een reeks uitvoeringshandelingen van de Commissie die elk belangrijk aspect van het kader behandelen. Deze uitvoeringshandelingen zijn juridisch bindend en hebben betrekking op alles van technische protocollen tot certificeringsvereisten en toezichtprocedures. Eind 2024 zijn de eerste vijf kernuitvoeringshandelingen aangenomen, waarmee de relevante 24-maandentermijn voor de wallets is gestart. Een tweede golf uitvoeringshandelingen volgde in 2025, waaronder CIR (EU) 2025/848 over de registratie van wallet-relying parties, die op 6 mei 2025 in werking trad.

Belangrijke gebieden die door deze regels worden gedekt, zijn onder meer:

• De formaten en vereisten voor persoonsidentificatiegegevens en elektronische attestaties van attributen, waaronder de credentialformaten mdoc en SD-JWT VC
• Protocollen en interfaces voor de communicatie van wallets met relying parties en uitgevers, waaronder OID4VCI voor uitgifte en OID4VP voor presentatie
• Certificeringsvereisten voor wallet-oplossingen en conformiteitsbeoordelingsinstanties
• Registratie en verplichtingen voor wallet-relying parties onder CIR (EU) 2025/848
• Procedures voor grensoverschrijdende identiteitsmatching
• Hoe beveiligingsincidenten moeten worden gemeld en beheerd
• Normen voor gekwalificeerde elektronische handtekeningen, zegels, tijdstempels en diensten voor aangetekende bezorging
• Jaarlijkse rapportageverplichtingen voor toezichthoudende instanties

Het ARF vertaalt deze wettelijke vereisten naar technische specificaties. Het is een levend document dat wordt bijgewerkt naarmate het ecosysteem volwassener wordt, en het vormt de basis waarop wallet providers en dienstverleners hun oplossingen bouwen. Het ARF is openbaar beschikbaar en open source, zodat lidstaten en private organisaties conforme implementaties kunnen ontwikkelen. De juridisch bindende vereisten volgen echter uit de verordening en uitvoeringshandelingen, niet uit het ARF zelf.

Voor organisaties die deze regels in de praktijk proberen te navigeren, is de eerste stap bepalen welke regels van toepassing zijn op de specifieke rol in het ecosysteem, of je nu een wallet provider, een attestuitgever of een relying party bent, en de nalevingsroutekaart rondom die verplichtingen op te bouwen. Organisaties kunnen relevante resources over digitale identiteitscompliancy verkennen om dat proces te ondersteunen.

ID Connector: walletacceptatie in de praktijk

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector de volgende technische taken die voor relying parties relevant zijn:

• Verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted lists en de EU List of Trusted Lists (LOTL)
• Controle van de intrekkingsstatus van attestaties via de statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata binnen de eigen dienstverlening, met inachtneming van de toepasselijke AVG-grondslag
• Gekwalificeerd tekenen via een aangesloten Qualified Trust Service Provider, waarbij de QES tot stand komt bij de QTSP en niet bij TrustTech

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die zich voorbereiden op de acceptatieverplichtingen van 24 december 2026 en 24 december 2027. Voor financiële instellingen ondersteunt de ID Connector identiteitsverificatie in onboardingprocessen. Voor zorginstellingen maakt de ID Connector het opvragen van geverifieerde beroepsattestaties en e-recepten mogelijk. Voor overheidsorganisaties biedt de ID Connector een integratiepunt voor wallet-gebaseerde toegang tot publieke diensten.

Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw situatie als relying party.