Wat is het Large Scale Pilot-programma voor eIDAS 2.0?

Het Large Scale Pilot (LSP)-programma voor eIDAS 2.0 is een reeks van vier grote door de EU gefinancierde pilotprojecten die in 2023 zijn gestart om de Europese Digitale Identiteitswallet te testen onder reële omstandigheden, vóór de officiële uitrol in de lidstaten. De pilots zijn ontworpen om de technische specificaties te valideren, praktische uitdagingen te identificeren en feedback te verzamelen van echte gebruikers en organisaties uit een breed scala aan sectoren. De onderstaande secties beantwoorden de meest gestelde vragen over hoe het programma werkte, wat er is getest en wat jouw organisatie uit de resultaten moet meenemen.

Welke pilots maken deel uit van het Large Scale Pilot-programma?

Het Large Scale Pilot-programma bestond uit vier consortia, elk gefinancierd vanuit het DIGITAL Europe Programme van de Europese Commissie. Samen bestreken ze een breed scala aan gebruiksscenario’s en brachten ze overheidsinstanties, private organisaties en technologieleveranciers uit de hele EU en daarbuiten samen.

De vier pilots waren:

• POTENTIAL: een groot consortium dat op de overheid gerichte gebruiksscenario’s testte, zoals toegang tot publieke diensten, het openen van bankrekeningen, SIM-registratie, gebruik van het mobiele rijbewijs, gekwalificeerd tekenen op afstand en e-recepten.
• EWC (EU Digital Identity Wallet Consortium): gericht op Digital Travel Credentials, betalingen en organisational digital identity, waaronder inchecken bij luchtvaartmaatschappijen en hotel check-in.
• DC4EU (Digital Credentials for Europe): testte de wallet voor onderwijs- en socialezekerheidstoepassingen, zoals het verifiëren van diploma’s, beroepskwalificaties en uitkeringsrechten.
• NOBID (Nordic-Baltic eID): een consortium van Noordse en Baltische landen, samen met Italië en Duitsland, met een specifieke focus op betalingstoepassingen.

Elk consortium opereerde onafhankelijk, maar droeg bij aan een gemeenschappelijk doel: de Europese Commissie voorzien van gestructureerde, op bewijs gebaseerde feedback over de Common Toolbox die aan alle toekomstige EUDI-wallets ten grondslag zal liggen. De eerste vier pilots liepen van april 2023 tot 2025 en zijn inmiddels afgerond. In 2025 startte een tweede pilotgolf, waaronder WE BUILD (gericht op business wallets en betalingen) en APTITUDE (gericht op reizen, ticketing, voertuigregistratie en betalingen).

Welke gebruiksscenario’s werden getest in de EUDI-wallet-pilots?

De EUDI-wallet-pilots testten een grote verscheidenheid aan praktische gebruiksscenario’s die zowel publieke als private sector interacties omvatten. Dit omvatte identiteitsverificatie voor publieke diensten, betalingen, het delen van onderwijsattestaties, beheer van reisdocumenten en toegang tot gezondheidszorg- en socialezekerheidssystemen.

Enkele van de meest concrete voorbeelden die werden getest:

• Een bankrekening openen met behulp van wallet-gebaseerde identiteitsverificatie
• Inchecken in een hotel of aan boord gaan van een vlucht met een Digital Travel Credential
• Een universitair diploma of beroepscertificaat tonen aan een werkgever via een attestatie
• Toegang tot grensoverschrijdende socialezekerheidsdiensten
• Binnenlandse en grensoverschrijdende betalingen gekoppeld aan een geverifieerde digitale identiteit
• Een SIM-kaart registreren of toegang krijgen tot overheidsportalen zonder fysiek document

Wat deze pilots inhoudelijk waardevol maakt, is dat ze de wallet testten als een complete gebruikerservaring, inclusief de werking van selective disclosure. Deelnemers ervoeren hoe het in de praktijk werkt om alleen de noodzakelijke gegevens te delen, zoals het bevestigen van leeftijd of nationaliteit zonder een volledige geboortedatum of thuisadres te onthullen. Selective disclosure is een kernfunctie van het wallet-architectuurontwerp, en de pilots genereerden direct bewijs van hoe dit functioneert in reële omstandigheden. Daarbij is van belang dat wallet-goedkeuring voor het delen van gegevens niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen persoonsgegevens.

Voor organisaties in financiële dienstverlening of gezondheidszorg zijn de pilotresultaten bijzonder relevant, omdat deze sectoren tot de eerste behoren waar wallet-gebaseerde identiteitsverificatie naar verwachting een compliance-vereiste wordt.

Hoe verbinden de Large Scale Pilots zich met de definitieve uitrol van eIDAS 2.0?

De Large Scale Pilots voedden rechtstreeks het implementatieproces van eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. De feedback en bevindingen van elke pilot informeerden het Architecture and Reference Framework (ARF), de technische blauwdruk waaraan alle EUDI-wallets moeten voldoen. Op deze manier waren de pilots geen afzonderlijke experimenten, maar een integraal onderdeel van het ontwikkelen van de definitieve standaard.

De Europese Commissie heeft ook een referentie-implementatie van de EUDI-wallet ontwikkeld, beschikbaar gesteld als open-sourcecode. Dit prototype werd getest en verfijnd aan de hand van inzichten die tijdens de pilots zijn verzameld. Lidstaten en private ontwikkelaars kunnen deze referentie-implementatie als basis gebruiken bij het bouwen van hun eigen wallet-oplossingen.

Verordening (EU) 2024/1183 trad in werking op 20 mei 2024. Eind 2024 werden de eerste vijf kernuitvoeringshandelingen aangenomen, waarmee de relevante 24-maandentermijn voor de wallets startte. Onder eIDAS 2.0 zijn alle lidstaten wettelijk verplicht om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel te hebben voor burgers, inwoners en bedrijven. Vanaf diezelfde datum moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg en telecom geldt op grond van artikel 5f een acceptatieplicht vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen, gedefinieerd als organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen, zijn van deze private acceptatieplicht uitgezonderd.

De overgang van pilot naar productie is al in volle gang, waarbij meerdere lidstaten toewerken naar nationale wallet-implementaties op basis van wat de pilots hebben aangetoond. Het verdient daarbij aandacht dat 24 december 2026 een deadline is voor notificatie en uitgifte, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat.

Wie kon deelnemen aan de Large Scale Pilots?

De Large Scale Pilots waren primair gestructureerd rondom consortiumleden, waaronder nationale overheden, publieke instanties, financiële instellingen, technologieleveranciers en andere organisaties die zich hadden aangemeld tijdens het initiële selectieproces. De eerste vier pilots zijn inmiddels afgerond. Aansluiten bij de oorspronkelijke consortia is niet meer mogelijk.

Organisaties die geen formeel consortiumlid waren, konden op de volgende manieren betrokken raken bij het pilotprogramma:

1. Als relying parties: Organisaties konden zich integreren met de pilots als dienstverleners die wallet-gebaseerde attestaties accepteerden, waarbij ze testten hoe de wallet werkte binnen hun eigen onboarding- of verificatieprocessen.
2. Als waarnemers en belanghebbenden: Veel pilotconsortia publiceerden rapporten, technische documentatie en open datasets die elke organisatie kan gebruiken om haar eigen planning te informeren.
3. Via nationale initiatieven: Sommige lidstaten voerden aanvullende nationale pilots of sandboxomgevingen uit waaraan organisaties rechtstreeks konden deelnemen.
4. Via de open-source referentie-implementatie: Ontwikkelaars en technologieteams konden toegang krijgen tot de open-sourcecode van de wallet van de Commissie en hun eigen implementaties bouwen op basis van de geteste specificaties.

Voor organisaties in de publieke sector of gereguleerde sectoren blijft het doornemen van de gepubliceerde pilotresultaten een concrete manier om je voor te bereiden op de formele uitrol. Daarnaast geldt dat een relying party zich op grond van CIR (EU) 2025/848 moet registreren bij de bevoegde nationale autoriteit voordat wallet-data kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.

Wat moeten organisaties meenemen uit de pilotresultaten?

De pilotresultaten bieden organisaties een vooruitblik op hoe het EUDI-wallet-ecosysteem er in de praktijk uit zal zien. De pilots maakten zichtbaar dat de wallet vereist dat organisaties opnieuw nadenken over hoe ze identiteitsgegevens verzamelen, verifiëren en opslaan, en hoe ze omgaan met gebruikers tijdens onboarding en authenticatie.

Belangrijke lessen uit het pilotprogramma:

• Interoperabiliteit is reëel, maar vereist voorbereiding: Grensoverschrijdende gebruiksscenario’s werkten, maar organisaties moeten hun systemen afstemmen op de ARF-specificaties om wallet-attestaties betrouwbaar te kunnen accepteren. Verificatie omvat daarbij minimaal drie afzonderlijke controles: de handtekening van de uitgever toetsen aan de relevante nationale trusted list, de intrekkingsstatus controleren via statusinformatie van de uitgever, en de wallet unit attestation valideren om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
• Gebruikerservaring bepaalt adoptie: Pilots toonden aan dat adoptie van de wallet sterk afhankelijk is van hoe eenvoudig de ervaring is. Wrijving in het proces leidt tot afhaken, ook wanneer de technologie correct werkt.
• Selective disclosure verandert gegevensverzamelingspraktijken: Organisaties moeten hun gegevensverzoeken beperken tot wat strikt noodzakelijk is. Dit vereist mogelijk updates van bestaande onboarding- en KYC-processen. Hergebruik van KYC-data wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.
• Sectorspecifieke vereisten variëren: Financiële dienstverlening, gezondheidszorg en onderwijs kennen elk verschillende typen attestaties en verificatiestandaarden. De pilots hebben deze verschillen zichtbaar gemaakt. Organisaties doen er goed aan de bevindingen die relevant zijn voor hun eigen sector door te nemen. Voor gezondheidsgegevens geldt bovendien dat naast een AVG-grondslag ook een toepasselijke uitzondering op grond van artikel 9, lid 2, AVG vereist is.

Organisaties die de pilotresultaten behandelen als planningsresource, zijn beter gepositioneerd wanneer wallet-gebaseerde identiteit een standaard onderdeel wordt van digitale interacties in heel Europa. Het doornemen van de gepubliceerde ARF-documentatie en consortiumrapporten is een concrete eerste stap die elk team nu al kan zetten.

Hoe de ID Connector van TrustTech aansluit op de EUDI-wallet

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die de stap willen zetten van pilotkennis naar productie-implementatie, ondersteunt de ID Connector de technische taken die bij wallet-acceptatie komen kijken.

Concreet voert de ID Connector de volgende taken uit:

• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
• Controle van de intrekkingsstatus via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope op grond van CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
• Hergebruik van geverifieerde identiteitsdata binnen de eigen onboarding- en authenticatieprocessen van de relying party
• Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, zodat gebruikers een QES kunnen plaatsen zonder dat TrustTech zelf als QTSP optreedt

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk te maken krijgen met de acceptatieverplichtingen onder eIDAS 2.0 en de bijbehorende registratieplicht voor relying parties. Wil je weten wat de ID Connector concreet betekent voor jouw implementatie? Neem contact op met TrustTech en laat ons je helpen de volgende stap te zetten.