Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, gelden audit- en logvereisten voor gekwalificeerde verleners van vertrouwensdiensten (QTSP’s), walletaanbieders en relying parties die actief zijn binnen het Europese digitale identiteitsecosysteem. Deze partijen moeten gedetailleerde logboeken van identiteitstransacties, uitwisselingen van attestaties en trust service-operaties vastleggen, beschermen en bewaren. De vereisten zijn bedoeld om verantwoordingsplicht te waarborgen, toezicht door regelgevende instanties mogelijk te maken en incidentonderzoeken te ondersteunen in de gehele digitale identiteitsketen. Dit artikel behandelt de belangrijkste vragen die organisaties moeten beantwoorden om compliant te blijven.
Welke soorten gebeurtenissen moeten worden gelogd onder eIDAS 2.0?
Onder eIDAS 2.0 moeten organisaties elke gebeurtenis loggen die de integriteit, beveiliging of geldigheid van een trust service of identiteitstransactie beïnvloedt. Dit omvat de uitgifte en intrekking van gekwalificeerde certificaten, het aanmaken en valideren van elektronische handtekeningen en zegels, walletinteracties met persoonlijke identificatiegegevens (PID) en elektronische attestaties van attributen, en elke toegang tot of uitwisseling van identiteitsattestaties via het EUDI-wallet-ecosysteem.
Meer specifiek omvatten de soorten gebeurtenissen die doorgaans binnen de reikwijdte vallen:
- Uitgifte, schorsing en intrekking van gekwalificeerde certificaten
- Authenticatiegebeurtenissen en uitkomsten van identiteitsverificatie
- Presentatie en verificatie van attestaties via EUDI-wallets
- Aanmaak en validatie van elektronische handtekeningen
- Toegang tot vertrouwensregisters en nationale trusted lists
- Beveiligingsincidenten, anomalieën en inbreuknotificaties
- Wijzigingen in systeemconfiguratie of toegangsrechten
Het onderliggende principe is uitgebreide traceerbaarheid. Elke betekenisvolle handeling binnen een trust service of identiteitstransactie moet een verifieerbaar spoor achterlaten, zodat regelgevers, auditors en toezichthoudende instanties kunnen reconstrueren wat er is gebeurd, wanneer en door wie. Voor organisaties die EUDI-wallets beheren of optreden als relying party, betekent dit dat niet alleen interne systeemgebeurtenissen worden gelogd, maar ook de interacties die plaatsvinden wanneer gebruikers attestaties presenteren om toegang te krijgen tot diensten.
Wie is verantwoordelijk voor auditlogging onder eIDAS 2.0?
De verantwoordelijkheid voor auditlogging onder eIDAS 2.0 ligt bij meerdere partijen, afhankelijk van hun rol in het ecosysteem. QTSP’s dragen de zwaarste verplichtingen, maar walletaanbieders, relying parties en publieke sectororganisaties die attestaties uitgeven of accepteren, hebben allemaal gedefinieerde logverantwoordelijkheden onder de verordening en de uitvoeringshandelingen.
Voor QTSP’s is de verplichting direct en goed vastgelegd. Zij moeten gedetailleerde operationele logboeken bijhouden als onderdeel van hun conformiteitsvereisten, die worden beoordeeld door geaccrediteerde conformiteitsbeoordelingsinstanties. Toezichthoudende instanties beoordelen deze logboeken vervolgens als onderdeel van doorlopend toezicht en periodieke audits.
Walletaanbieders zijn verantwoordelijk voor het loggen van gebeurtenissen met betrekking tot de integriteit van de wallet solution, uitgifte van attestaties en gebruikersinteracties op het niveau van de wallet instance. Dit omvat het vastleggen van wanneer attestaties worden toegevoegd, gepresenteerd of ingetrokken binnen de walletomgeving.
Relying parties, dat wil zeggen de organisaties die identiteitsattributen van gebruikers opvragen en verifiëren, dragen ook logverplichtingen. Wanneer een relying party identiteitsgegevens uit een EUDI-wallet ontvangt en verwerkt, moeten zij die transactie vastleggen op een manier die verantwoordingsplicht ondersteunt en, waar van toepassing, naleving van andere regelgevende kaders zoals AML- of KYC-verplichtingen mogelijk maakt. Een leverancier die walletdata technisch namens een relying party verwerkt, wordt daardoor niet automatisch zelf relying party. De logverplichting ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Als jouw organisatie de digitale identiteitsketen raakt onder eIDAS 2.0, of dat nu als uitgever, relying party of dienstverlener is, heb je waarschijnlijk auditlogverplichtingen. Inzicht in jouw specifieke rol is de eerste stap naar het opbouwen van een conforme loginfrastructuur.
Hoe lang moeten auditlogs worden bewaard onder eIDAS 2.0?
eIDAS 2.0 schrijft geen enkele universele bewaarperiode voor alle auditlogs voor. De bewaarvereisten zijn afhankelijk van het type trust service, de aard van de gelogde gebeurtenis en eventuele sectorspecifieke regelgeving die naast eIDAS 2.0 van toepassing is. Voor gekwalificeerde trust services vereisen de verordening en de uitvoeringshandelingen over het algemeen dat records lang genoeg worden bewaard om juridische procedures en regulatoire onderzoeken te ondersteunen, wat in de praktijk vaak een minimum van meerdere jaren na het verstrijken van de relevante dienst of het certificaat betekent.
Voor gekwalificeerde elektronische handtekeningen en zegels is langetermijnbewaring bijzonder belangrijk. De waarde van een ondertekend document moet mogelijk jaren of zelfs decennia na de oorspronkelijke ondertekeningsgebeurtenis aantoonbaar zijn, wat betekent dat het bijbehorende auditspoor geldig en verifieerbaar moet blijven in de loop van de tijd. eIDAS 2.0 bevat daarom bepalingen voor gekwalificeerde bewaardiensten, die specifiek zijn ontworpen om de juridische geldigheid van handtekeningen en hun auditbewijs over langere perioden te handhaven.
Organisaties dienen ook rekening te houden met de bewaarvereisten van andere toepasselijke regelgeving. Financiële dienstverleners die onderworpen zijn aan AML-verplichtingen moeten bijvoorbeeld identiteitsverificatiegegevens vijf jaar of langer bewaren. Zorginstellingen hebben hun eigen sectorspecifieke regels. De praktische aanpak is om de langst toepasselijke bewaarverplichting over alle relevante kaders te identificeren en jouw loginfrastructuur dienovereenkomstig te ontwerpen.
Wat zijn de technische vereisten voor eIDAS 2.0-conforme auditlogs?
eIDAS 2.0-conforme auditlogs moeten tamper-evident en voorzien van een tijdstempel zijn, en gestructureerd zijn op een manier die onafhankelijke verificatie ondersteunt. De verordening en de uitvoeringshandelingen verwijzen naar specifieke technische normen voor trust services, en van auditlogs wordt verwacht dat zij aan die normen voldoen wat betreft integriteit, authenticiteit en toegankelijkheid voor toezichtscontrole.
Integriteit en tamper-evidentie
Auditlogs moeten worden beschermd tegen ongeautoriseerde wijziging. Dit betekent doorgaans het gebruik van cryptografische mechanismen, zoals digitale handtekeningen of hash-chaining, om ervoor te zorgen dat elke wijziging van een logboekinvoer detecteerbaar is. Een logboek dat zonder detectie kan worden gewijzigd, heeft geen waarde als bewijs, noch voor interne compliance noch voor regulatoir toezicht.
Gekwalificeerde tijdstempels
Gebeurtenissen moeten nauwkeurig en verifieerbaar van een tijdstempel worden voorzien. eIDAS 2.0 bevat specifieke bepalingen voor gekwalificeerde elektronische tijdstempels, die een datum en tijdstip aan gegevens koppelen via een vertrouwde bron. Voor auditloggingdoeleinden betekent dit dat de vastgelegde tijd van een gebeurtenis herleidbaar moet zijn tot een nauwkeurige en gecertificeerde tijdbron, en niet alleen tot een lokale systeemklok die gemanipuleerd of verkeerd geconfigureerd kan worden.
Naast deze twee kernvereisten moeten conforme auditlogs ook gestructureerd zijn om efficiënte bevraging en export mogelijk te maken. Toezichthoudende instanties en conformiteitsbeoordelingsinstanties moeten logboeken kunnen beoordelen zonder uitgebreide handmatige inspanning. Logboeken moeten daarom worden opgeslagen in formaten die geautomatiseerde analyse ondersteunen, en toegangscontroles moeten ervoor zorgen dat alleen geautoriseerde partijen ze kunnen ophalen of beoordelen.
Hoe verhouden eIDAS 2.0-auditvereisten zich tot de AVG?
eIDAS 2.0-auditvereisten en de AVG creëren een spanning die organisaties zorgvuldig moeten beheren. Auditlogs bevatten vaak persoonsgegevens, waaronder identiteitsattributen, transactiegegevens en authenticatiegebeurtenissen gekoppeld aan individuele gebruikers. De AVG vereist dat persoonsgegevens alleen worden verzameld voor gespecificeerde doeleinden, niet langer worden bewaard dan noodzakelijk en worden beschermd tegen ongeautoriseerde toegang. Deze principes zijn volledig van toepassing op auditlogs, ook wanneer die logs vereist zijn door eIDAS 2.0.
De sleutel tot het beheersen van deze spanning is gegevensminimalisatie en doelbinding. Auditlogs moeten vastleggen wat noodzakelijk is voor verantwoordingsplicht en compliance, zonder meer persoonsgegevens te registreren dan het logdoel vereist. Een loginvoer die bevestigt dat een attestatie met succes is geverifieerd, hoeft bijvoorbeeld niet de volledige inhoud van de attestatie te bevatten, maar alleen een referentie of hash waarmee de gebeurtenis kan worden getraceerd zonder onnodige persoonlijke informatie bloot te stellen.
Organisaties moeten ook duidelijke bewaarbeleidsregels opstellen die aan beide kaders voldoen. Een log die bewaard wordt voor eIDAS 2.0-compliancedoeleinden moet alsnog worden verwijderd of geanonimiseerd zodra de bewaarperiode verstrijkt, in overeenstemming met het opslagbeperkingsprincipe van de AVG. Dit vanaf het begin in jouw loginfrastructuur inbouwen, in plaats van het als een bijzaak te behandelen, bespaart aanzienlijke inspanning tijdens audits en regulatoire beoordelingen.
Gebruikers hebben rechten onder de AVG, waaronder het recht op toegang tot informatie over hoe hun gegevens worden verwerkt. Als auditlogs persoonsgegevens over een specifiek individu bevatten, kunnen die gegevens onderworpen zijn aan een inzageverzoek. Organisaties moeten processen hebben om dit scenario af te handelen zonder de integriteit van het auditspoor zelf in gevaar te brengen. Goedkeuring van een dataverzoek in de EUDI-wallet is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Wat gebeurt er als een organisatie niet voldoet aan de eIDAS 2.0-auditverplichtingen?
Het niet voldoen aan de audit- en logverplichtingen van eIDAS 2.0 kan leiden tot verlies van gekwalificeerde status, toezichtsancties en mogelijke juridische aansprakelijkheid. Voor QTSP’s kan niet-naleving van logvereisten die tijdens een conformiteitsbeoordeling worden vastgesteld, leiden tot schorsing of verwijdering van de EU Trusted List, wat in feite betekent dat het vermogen om gekwalificeerde trust services op de EU-markt aan te bieden verloren gaat.
Voor walletaanbieders en relying parties zijn de gevolgen afhankelijk van de aard van de tekortkoming en het toezichtkader in de betreffende lidstaat. Toezichthoudende instanties hebben de bevoegdheid om te onderzoeken, corrigerende maatregelen op te leggen en in ernstige gevallen zaken door te verwijzen voor verdere handhavingsacties. Organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg kunnen cumulatieve gevolgen ondervinden als een auditlogfout ook een schending vormt van sectorspecifieke verplichtingen, bijvoorbeeld onder AML- of gegevensbeschermingsregels.
Naast regulatoire sancties creëren ontoereikende auditlogs praktisch risico. Bij een beveiligingsincident of betwiste transactie laat een onvolledig of gewijzigd auditspoor een organisatie niet in staat om aan te tonen wat er daadwerkelijk is gebeurd. Dit verzwakt haar positie in elk onderzoek of juridische procedure en kan het vertrouwen bij klanten, partners en regelgevers ondermijnen.
Organisaties die actief zijn in de digitale identiteitsruimte vertrouwen sterk op vertrouwen. Een compliancefout die openbaar wordt, met name een fout die de integriteit van identiteitsgegevens betreft, kan blijvende schade aanrichten aan klant- en partnerrelaties.
Hoe ondersteunt de ID Connector eIDAS 2.0-audit en -logcompliance
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die hun auditloginfrastructuur willen aansluiten op de eIDAS 2.0-vereisten biedt de ID Connector concrete technische functionaliteit die direct aansluit op de verplichtingen die in dit artikel zijn beschreven.
De Connector ondersteunt:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, conform ETSI TS 119 612, zodat elke gepresenteerde attestatie herleidbaar is tot een erkende uitgever
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, zodat ingetrokken attestaties niet stilzwijgend worden geaccepteerd
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope conform CIR (EU) 2025/848 van 6 mei 2025, zodat een relying party uitsluitend de attributen opvraagt die zijn geregistreerd bij de bevoegde nationale autoriteit
- Gestructureerde vastlegging van verificatietransacties die auditklaar bewijs oplevert voor toezichtscontroles en conformiteitsbeoordelingen
Deze functionaliteit is relevant voor relying parties in financiële dienstverlening, gezondheidszorg en de publieke sector, sectoren waar de combinatie van eIDAS 2.0-logverplichtingen en sectorspecifieke kaders zoals AML, KYC en gegevensbescherming de hoogste eisen stelt aan de aantoonbaarheid van elke identiteitstransactie. Wil je precies weten wat de ID Connector voor jouw situatie doet, neem dan contact op met ons team voor een concreet gesprek over jouw integratie.