Wat is het verschil tussen eIDAS 2.0 en nationale digitale ID-programma’s?

eIDAS 2.0 en nationale digitale ID-programma’s zijn gerelateerd, maar niet hetzelfde. Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, legt gemeenschappelijke normen voor digitale identiteit vast die gelden voor alle EU-lidstaten. Nationale digitale ID-programma’s zijn landspecifieke systemen die overheden hebben gebouwd om hun eigen burgers te bedienen. Het wezenlijke verschil zit in de reikwijdte: eIDAS 2.0 creëert een gedeeld kader dat digitale identiteiten grensoverschrijdend laat werken, terwijl nationale programma’s doorgaans alleen binnen één land functioneren. Dit artikel beantwoordt de belangrijkste vragen die organisaties stellen nu beide lagen van digitale identiteit zich verder ontwikkelen.

Hoe verhoudt eIDAS 2.0 zich tot nationale digitale ID-programma’s?

eIDAS 2.0 functioneert als EU-breed regelgevingskader bovenop nationale digitale ID-programma’s. De verordening wijzigt Verordening (EU) nr. 910/2014 en werkt als EU-verordening rechtstreeks in alle lidstaten, zonder dat nationale uitvoering vereist is. Nationale programma’s blijven de basis voor identiteitsuitgifte, maar eIDAS 2.0 voegt een laag van interoperabiliteit, juridische erkenning en minimumvereisten toe die voor alle lidstaten gelden.

Een nationaal digitaal ID-programma is gebouwd door en voor een specifiek land. Het weerspiegelt het rechtssysteem, de technische keuzes en de bestuurlijke prioriteiten van dat land. eIDAS 2.0 is het geheel van regels dat ervoor zorgt dat deze nationale systemen met elkaar kunnen communiceren, dat burgers hun nationale identiteitsgegevens in andere EU-landen kunnen gebruiken, en dat organisaties die grensoverschrijdend opereren kunnen vertrouwen op een consistent betrouwbaarheidsniveau.

Het meest zichtbare resultaat van eIDAS 2.0 is de Europese Digitale Identiteitswallet, de EUDI-wallet. Elke EU-lidstaat is verplicht uiterlijk op 24 december 2026 een gecertificeerde EUDI-wallet beschikbaar te stellen aan burgers, inwoners en bedrijven. Deze wallet is gekoppeld aan nationale identiteitssystemen, maar voegt grensoverschrijdende functionaliteit, ondersteuning voor verifieerbare attestaties en sterkere privacycontroles toe. De EUDI-wallet vervangt nationale ID-programma’s niet. Het is een gestandaardiseerde interface die daarbovenop is gebouwd.

Wat vereist eIDAS 2.0 dat nationale programma’s niet vereisen?

eIDAS 2.0 introduceert verschillende vereisten die verder gaan dan wat de meeste nationale digitale ID-programma’s momenteel bieden. De meest ingrijpende is verplichte grensoverschrijdende erkenning: elke digitale identiteit die onder eIDAS 2.0 is uitgegeven, moet juridisch worden geaccepteerd door overheidsdiensten in alle EU-lidstaten. Nationale programma’s zijn doorgaans alleen geldig binnen het eigen land.

Naast grensoverschrijdende erkenning introduceert eIDAS 2.0 een aantal verplichtingen die nationale programma’s niet altijd adresseren:

• Beschikbaarheid van de wallet: Lidstaten moeten uiterlijk op 24 december 2026 een gratis EUDI-wallet beschikbaar stellen aan elke burger, inwoner en elk bedrijf. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is.
• Acceptatie door gereguleerde private sectoren: Bepaalde gereguleerde private partijen, waaronder banken en financiële dienstverleners, zorgaanbieders, telecombedrijven, energiebedrijven, vervoerders, onderwijsinstellingen, sociale zekerheidsinstanties, drinkwaterbedrijven, postdiensten, aanbieders van digitale infrastructuur en digitale diensten, moeten EUDI-wallet-attestaties accepteren voor authenticatie in contexten waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Deze verplichtingen vloeien voort uit artikel 5f van de verordening en gaan in op 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze acceptatieplicht uitgezonderd. Nationale programma’s leggen een dergelijke acceptatieplicht zelden op aan private partijen.
• Gekwalificeerde elektronische attesteringen van attributen (QEAAs): eIDAS 2.0 creëert een nieuwe categorie gecertificeerde digitale attestaties, zoals diploma’s, beroepsvergunningen en medische gegevens, die juridisch gewicht hebben in de hele EU. Onderscheid hierbij ook de categorie PuB-EAA, attestaties uitgegeven door of namens publieke instanties, die een eigen rechtspositie heeft naast QEAAs en non-qualified EAAs.
• Selective disclosure: Gebruikers moeten alleen de specifieke gegevens kunnen delen die een dienst nodig heeft, bijvoorbeeld bevestigen dat ze ouder zijn dan 18 zonder hun volledige geboortedatum te onthullen. Dit niveau van gegevensminimalisatie is niet altijd ingebouwd in nationale systemen.
• Interoperabiliteitsnormen: eIDAS 2.0 verplicht technische normen om ervoor te zorgen dat wallets en attestaties uit verschillende landen naadloos samenwerken. De technische uitwerking hiervan volgt uit het Architecture and Reference Framework en de bijbehorende uitvoeringshandelingen.

Nationale programma’s voldoen mogelijk al aan sommige van deze vereisten, maar eIDAS 2.0 maakt ze juridisch bindend en past ze uniform toe in de hele EU.

Welke landen hebben al nationale digitale ID-programma’s?

De meeste EU-lidstaten beschikken al over een of andere vorm van nationale digitale identiteitsinfrastructuur, hoewel de volwassenheid en adoptieniveaus aanzienlijk variëren. Landen zoals Estland, Nederland, Duitsland, Oostenrijk, België en de Scandinavische landen hebben goed gevestigde nationale eID-systemen die al jaren in gebruik zijn. Deze landen zijn over het algemeen goed gepositioneerd om EUDI-wallet-oplossingen te bouwen bovenop hun bestaande infrastructuur. Controleer landspecifieke implementatiestatus altijd via actuele nationale bronnen, want deze informatie veroudert snel.

Estland wordt vaak aangehaald als een vergevorderd voorbeeld, waarbij het X-Road-gegevensuitwisselingsplatform en de nationale eID-kaart de ruggengraat vormen van een sterk gedigitaliseerde publieke sector. Nederland exploiteert DigiD voor burgers en eHerkenning voor bedrijven, beide veelvuldig gebruikt voor interacties met de overheid en gereguleerde sectoren. Oostenrijk heeft ID Austria, dat al eIDAS-conforme identiteitsverificatie ondersteunt.

Buiten de EU nemen landen als Noorwegen en IJsland deel aan eIDAS als onderdeel van de Europese Economische Ruimte. Het NOBID-consortium, dat Scandinavische en Baltische landen samen met Italië en Duitsland omvatte, testte het gebruik van de EUDI-wallet voor grensoverschrijdende betalingsautorisatie in de Large Scale Pilots die liepen van april 2023 tot 2025. Deze pilotfase is afgerond. In 2025 is een tweede pilotgolf gestart, waaronder de consortia WE BUILD en APTITUDE.

Landen met een minder volwassen nationale ID-infrastructuur staan voor een steilere weg naar eIDAS 2.0-conformiteit, maar de verordening biedt een gemeenschappelijke technische basis via het Architecture and Reference Framework en een open-source wallet-prototype waarop lidstaten kunnen voortbouwen. Voor organisaties die actief zijn in overheidsdiensten is inzicht in de nationale systemen die al aanwezig zijn in het eigen werkgebied een belangrijke eerste stap.

Kunnen organisaties zowel eIDAS 2.0- als nationale ID-attestaties accepteren?

Ja, en in de meeste gevallen zullen organisaties dit voor de voorzienbare toekomst moeten doen. eIDAS 2.0 en nationale digitale ID-programma’s zullen tijdens een overgangsperiode naast elkaar bestaan, en niet alle gebruikers zullen de EUDI-wallet direct hebben geadopteerd. Organisaties moeten hun identiteitsacceptatiebeleid zo ontwerpen dat beide lagen worden ondersteund.

Vanuit technisch oogpunt betekent dit het bouwen van systemen die meerdere typen attestaties kunnen verwerken: nationale eID-schema’s, EUDI-wallet-attestaties en mogelijk andere vertrouwde identiteitsbronnen afhankelijk van de sector en het gebruiksscenario. eIDAS 2.0 is ontworpen met interoperabiliteit als uitgangspunt, zodat attestaties die onder de verordening zijn uitgegeven een gemeenschappelijke technische basis delen. Dit maakt integratie voorspelbaarder dan het beheren van volledig afzonderlijke systemen, al vergt de praktische implementatie nog steeds zorgvuldige keuzes op het gebied van credentialformaten zoals mdoc en SD-JWT VC, en uitwisselingsprotocollen zoals OID4VP voor presentatie.

Voor gereguleerde sectoren zoals financiële dienstverlening en gezondheidszorg kan het accepteren van eIDAS 2.0-attestaties naast nationale ID-schema’s de naleving vereenvoudigen. Een geverifieerde attestatie uit een EUDI-wallet kan bijdragen aan het voldoen aan Know Your Customer-vereisten, maar hergebruik van KYC-data wordt mede bepaald door AML-regelgeving en sectorale regels, niet door eIDAS zelf. Houd ook rekening met de AVG: goedkeuring van een dataverzoek in de wallet is niet automatisch een toestemmingsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Organisaties die nu investeren in flexibele identiteitsacceptatie-infrastructuur zijn beter gepositioneerd naarmate de adoptie van de wallet in heel Europa toeneemt.

Wat moeten organisaties doen om zich voor te bereiden op eIDAS 2.0?

Organisaties beginnen het beste met het in kaart brengen van hun huidige identiteitsprocessen ten opzichte van wat eIDAS 2.0 vereist. Dat betekent identificeren waar identiteitsverificatie vandaag plaatsvindt, welke betrouwbaarheidsniveaus nodig zijn, en waar grensoverschrijdende interacties of vereisten voor gereguleerde sectoren nieuwe verplichtingen onder de verordening activeren.

Een praktische voorbereidingsaanpak omvat verschillende stappen:

1. Beoordeel de huidige identiteitsinfrastructuur: Breng in kaart op welke nationale eID-schema’s je momenteel vertrouwt, welke betrouwbaarheidsniveaus ze bieden, en waar hiaten bestaan ten opzichte van eIDAS 2.0-vereisten.
2. Identificeer welke verplichtingen van toepassing zijn op jouw organisatie: Niet alle organisaties staan voor dezelfde vereisten. Grote onlineplatforms, banken, zorgverleners en overheidsdiensten hebben elk specifieke verplichtingen onder eIDAS 2.0 en gerelateerde regelgeving. De uitzondering voor micro- en kleine ondernemingen is relevant als jouw organisatie minder dan 50 medewerkers heeft en een jaaromzet of balanstotaal van maximaal €10 miljoen.
3. Maak kennis met de EUDI-wallet-architectuur: Maak technische teams vertrouwd met het Architecture and Reference Framework en het open-source wallet-prototype. Begrijp het onderscheid tussen wallet solution, wallet instance en wallet unit: dit zijn technisch en juridisch verschillende begrippen die elk een eigen rol spelen in certificering, uitgifte en verificatie.
4. Herzie gegevensminimalisatiepraktijken: eIDAS 2.0 legt sterke nadruk op selective disclosure en gebruikerscontrole. Stem gegevensverzamelingspraktijken nu af op deze principes. Houd daarbij ook rekening met de registratieplicht onder CIR (EU) 2025/848: als relying party registreer je per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
5. Plan voor herbruikbare identiteit: Ontwerp onboarding- en verificatieprocessen om geverifieerde attestaties te accepteren die gebruikers al elders hebben vastgesteld. Dit vermindert wrijving en positioneert de organisatie voor een toekomst waarin wallets breed worden ingezet.

Organisaties die eIDAS 2.0 puur als nalevingsoefening behandelen, missen doorgaans de bredere kans. De verordening schept de voorwaarden voor snellere, meer vertrouwde digitale interacties die zowel organisaties als hun gebruikers ten goede komen. Verken de beschikbare resources ter ondersteuning van jouw planningsproces naarmate de regelgevingstijdlijn zich verder ontwikkelt.

Hoe ondersteunt de ID Connector van TrustTech organisaties bij eIDAS 2.0 en nationale digitale identiteit

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

De ID Connector is gebouwd voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die te maken hebben met de verplichtingen uit eIDAS 2.0 en nationale identiteitskaders tegelijk.

Concreet ondersteunt de ID Connector:

• Verificatie van uitgeverhandtekeningen tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, zodat de herkomst van een attestatie betrouwbaar kan worden vastgesteld
• Controle van de intrekkingsstatus via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
• Acceptatie van zowel nationale eID-attestaties als EUDI-wallet-attestaties binnen één enkele integratie
• Hergebruik van geverifieerde identiteitsdata om herhaalde verificatie via contactpunten te verminderen
• Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, voor toepassingen waarbij een QES vereist is

Voor organisaties die nu de stap zetten naar eIDAS 2.0-conformiteit biedt de ID Connector een technisch fundament dat aansluit op de verplichtingen voor zowel de deadline van 24 december 2026 als die van 24 december 2027. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw specifieke situatie.