Wat zijn de belangrijkste wijzigingen die eIDAS 2.0 introduceert?

eIDAS 2.0 introduceert een ingrijpende herziening van Verordening (EU) 910/2014, met als meest opvallende wijziging de verplichting voor elke EU-lidstaat om burgers, inwoners en bedrijven te voorzien van een EUDI-wallet. Waar de oorspronkelijke verordening zich voornamelijk richtte op wederzijdse erkenning van nationale eID-stelsels, breidt Verordening (EU) 2024/1183 de verplichtingen uit naar de private sector, introduceert het nieuwe vertrouwensdiensten en stelt het één interoperabele digitale identiteitsstandaard vast voor heel Europa. De onderstaande secties lopen elk van de belangrijkste wijzigingen in detail door.

Hoe verschilt eIDAS 2.0 van de oorspronkelijke eIDAS-verordening?

De oorspronkelijke eIDAS-verordening, Verordening (EU) 910/2014, is van kracht sinds 2016 en creëerde een kader waarbinnen EU-lidstaten elkaars nationale elektronische ID-stelsels wederzijds konden erkennen. Verordening (EU) 2024/1183 wijzigt dit kader ingrijpend: deelname wordt verplicht, de regels worden uitgebreid naar private dienstverleners en de EUDI-wallet wordt geïntroduceerd als universeel instrument voor elke EU-burger, inwoner en bedrijf.

Onder de oorspronkelijke verordening konden lidstaten zelf kiezen of zij hun nationale eID-stelsel wilden aanmelden voor grensoverschrijdende erkenning. Dit leidde tot ongelijke adoptie en grote verschillen in de manier waarop digitale identiteit van land tot land werkte. Sommige landen hadden volwassen, veelgebruikte eID-systemen; andere hadden nauwelijks iets geregeld. Het resultaat was een versnipperd landschap dat grensoverschrijdende digitale diensten onnodig ingewikkeld maakte.

eIDAS 2.0 pakt dit direct aan. Lidstaten zijn nu wettelijk verplicht een EUDI-wallet beschikbaar te stellen aan alle burgers, inwoners en bedrijven. Private organisaties die diensten aanbieden in bepaalde categorieën zijn eveneens verplicht deze wallets te accepteren, maar uitsluitend in de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De verordening verschuift van een optioneel kader naar een bindende infrastructuurverplichting, wat een fundamentele verandering is in zowel reikwijdte als ambitie.

Wat is de EUDI-wallet en wat doet deze?

De EUDI-wallet is een veilige digitale applicatie waarmee EU-burgers, inwoners en bedrijven geverifieerde identiteitsgegevens en attestaties kunnen opslaan, beheren en delen. Gebruikers kunnen hiermee online en in persoon hun identiteit bewijzen, alleen de specifieke informatie delen die nodig is voor een bepaalde interactie via selective disclosure, en documenten elektronisch ondertekenen, allemaal vanuit één wallet instance op hun toestel.

De wallet kan een breed scala aan attestaties bevatten, waaronder nationale identiteitsgegevens, rijbewijzen, academische kwalificaties, beroepscertificaten en gezondheidsdocumenten. Wanneer een gebruiker toegang wil tot een dienst, kan hij of zij via selective disclosure alleen de relevante attributen delen, bijvoorbeeld leeftijd of nationaliteit, zonder aanvullende persoonlijke informatie prijs te geven. Dit is een van de kernfuncties van de wallet-architectuur zoals vastgelegd in het Architecture and Reference Framework.

In de praktijk is de wallet ontworpen om herhaalde identiteitscontroles te vereenvoudigen. Bij iedere interactie keurt de gebruiker een presentatie uit de wallet goed, zodat geverifieerde identiteitsgegevens kunnen worden gedeeld zonder dat de volledige verificatieprocedure opnieuw doorlopen hoeft te worden. De vier Large Scale Pilots, die liepen van april 2023 tot 2025, testten precies deze scenario’s. Het POTENTIAL-consortium testte onder meer het openen van bankrekeningen, toegang tot overheidsdiensten, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC richtte zich op Digital Travel Credentials, betalingen en organisational digital identity. NOBID testte betalingen en DC4EU richtte zich op onderwijs en sociale zekerheid. In 2025 startte een tweede pilotgolf, met WE BUILD gericht op business wallets en betalingen, en APTITUDE gericht op reizen, ticketing, voertuigregistratie en betalingen.

De wallet solution is open-source opgezet, wat betekent dat lidstaten en private aanbieders hun eigen implementaties kunnen bouwen, zolang deze voldoen aan de technische specificaties zoals vastgelegd in het Architecture and Reference Framework. Controleer nationale walletimplementaties altijd vlak voor publicatie, omdat de status per land snel verandert.

Welke sectoren en organisaties worden beïnvloed door eIDAS 2.0?

eIDAS 2.0 heeft gevolgen voor een breed scala aan sectoren, waarbij de zwaarste verplichtingen rusten op organisaties die digitale diensten aanbieden waarvoor identiteitsverificatie vereist is. Overheidsinstanties in alle EU-lidstaten vallen rechtstreeks onder de werkingssfeer. Daarnaast geldt er een acceptatieplicht voor gereguleerde private partijen in specifieke sectoren, maar alleen in de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.

Op grond van artikel 5f van de verordening zijn bepaalde categorieën dienstverleners verplicht de EUDI-wallet te accepteren voor gebruikersauthenticatie. Organisaties in deze categorieën zullen de acceptatie van de wallet moeten integreren in hun onboardingprocessen, authenticatiesystemen en compliancekaders. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

De sectoren waarvoor de acceptatieplicht geldt, zijn:

• Financiële dienstverlening en bankwezen, waar op de wallet gebaseerde identiteitsverificatie bestaande KYC- en AML-processen kan aanvullen, zij het dat hergebruik van KYC mede wordt bepaald door AML-regelgeving en sectorale regels
• Overheid en openbaar bestuur, die zowel wallets moeten uitgeven als accepteren voor toegang tot publieke diensten
• Gezondheidszorg, waar geverifieerde identiteit essentieel is voor patiëntendossiers, recepten en beroepskwalificaties
• Telecommunicatie, met name voor SIM-registratie en contractbeheer
• Onderwijs, voor de uitgifte en verificatie van academische kwalificaties over landsgrenzen heen
• Energie, transport, sociale zekerheid, drinkwater, post en digitale infrastructuur
• Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU, waarvoor de verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens

Organisaties in financiële dienstverlening en de overheid behoren tot degenen die de meest directe en concrete verplichtingen hebben. Elke organisatie die in een digitale context met identiteitsgegevens werkt en binnen een van de bovengenoemde categorieën valt, doet er verstandig aan nu al haar gereedheid te beoordelen. Daarbij geldt ook dat een relying party zich onder CIR (EU) 2025/848 moet registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.

Welke nieuwe vertrouwensdiensten introduceert eIDAS 2.0?

eIDAS 2.0 breidt de lijst van gekwalificeerde vertrouwensdiensten die onder het EU-recht worden erkend uit. Naast de bestaande diensten zoals elektronische handtekeningen, zegels, tijdstempels en authenticatiecertificaten voor websites, introduceert Verordening (EU) 2024/1183 verschillende nieuwe categorieën die weerspiegelen hoe digitale interacties zich hebben ontwikkeld.

De nieuwe en uitgebreide vertrouwensdiensten omvatten:

1. Elektronische attesteringen van attributen (EAA): Een nieuw type dienst waarmee vertrouwde partijen geverifieerde claims over een persoon of organisatie kunnen uitgeven, zoals beroepskwalificaties of leeftijd, in een machineleesbaar en cryptografisch verifieerbaar formaat. Deze attestaties kunnen worden opgeslagen in de EUDI-wallet. Maak daarbij onderscheid tussen gekwalificeerde attestaties (QEAA), door publieke autoriteiten uitgegeven attestaties (PuB-EAA) en niet-gekwalificeerde EAA’s: deze drie categorieën hebben verschillende juridische status en worden niet door de verordening gelijkgesteld.
2. Gekwalificeerde elektronische attesteringen van attributen (QEAA): Een versie van EAA met een hogere betrouwbaarheid, uitgegeven door gekwalificeerde verleners van vertrouwensdiensten, met een grotere juridische waarde in alle EU-lidstaten.
3. Elektronische archiveringsservices: Gekwalificeerde diensten voor de langetermijnbewaring van elektronische documenten en handtekeningen, waarbij hun juridische geldigheid in de loop van de tijd wordt gewaarborgd.
4. Elektronische grootboekdiensten: Een nieuwe categorie voor het vastleggen van gegevens op een tamper-evident en verifieerbare wijze, relevant voor toepassingen met betrekking tot audittrails en gegevensherkomst.
5. Apparaten voor het op afstand aanmaken van gekwalificeerde handtekeningen (QSCD’s): Beheer van infrastructuur voor ondertekening op afstand als gekwalificeerde vertrouwensdienst, waardoor juridisch geldige elektronische handtekeningen mogelijk zijn zonder dat de gebruiker fysieke hardware in bezit hoeft te hebben. Remote signing bestond al onder de oorspronkelijke eIDAS-verordening; eIDAS 2.0 verankert het beheer van deze infrastructuur als afzonderlijke gekwalificeerde vertrouwensdienst.

Deze aanvullingen weerspiegelen een bredere verschuiving naar een rijker en meer interoperabel vertrouwensecosysteem. Organisaties in de gezondheidszorg en andere gereguleerde sectoren zullen de attesteringsdiensten voor attributen bijzonder relevant vinden, omdat deze de veilige en overdraagbare uitwisseling van beroepskwalificaties en patiëntgegevens over organisatorische en nationale grenzen heen mogelijk maken. Erkenning van beroepskwalificaties volgt echter uit Richtlijn 2005/36/EG; de wallet kan de attestaties dragen, maar vormt niet zelf de juridische erkenningsgrondslag.

Wat zijn de compliancedeadlines die organisaties moeten kennen?

eIDAS 2.0 kent een gelaagde tijdlijn met meerdere mijlpalen. Verordening (EU) 2024/1183 trad in werking op 20 mei 2024, waarna eind 2024 de eerste vijf kernuitvoeringshandelingen werden aangenomen, met daarin technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor de wallets. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie, certificaten en gekwalificeerde vertrouwensdienstverleners (QTSP’s). Op 6 mei 2025 trad CIR (EU) 2025/848 in werking over de registratie van wallet-relying parties.

De eerstvolgende belangrijke mijlpaal is 24 december 2026: uiterlijk op die datum moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties zijn vanaf die datum verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Dit is een uiterste datum voor notificatie en uitgifte; volledige functionele interoperabiliteit in de hele EU is niet automatisch op die datum gegarandeerd. Voor private partijen is dit het moment waarop wallets daadwerkelijk beschikbaar komen en waarop acceptatie vóór de eigen deadline getest kan worden.

De acceptatieplicht voor gereguleerde private partijen gaat in op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie, en 36 maanden na de inwerkingtreding van de relevante uitvoeringshandelingen uit november 2024. Deze verplichting geldt op grond van artikel 5f van de verordening, en alleen in de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is.

Voor organisaties betekent de praktische compliancetijdlijn dat meerdere zaken parallel moeten plaatsvinden. Technische integratie met wallet-infrastructuur, registratie als relying party onder CIR (EU) 2025/848, juridische en contractuele updates om nieuwe gegevensdeling-afspraken te weerspiegelen, personeelstraining en updates van onboarding- en authenticatieprocessen vergen allemaal tijd. Organisaties die nu beginnen met hun beoordeling en voorbereiding staan aanzienlijk sterker dan organisaties die wachten tot de definitieve nationale uitvoeringen beschikbaar zijn.

Het is ook vermeldenswaard dat eIDAS 2.0 niet op zichzelf staat. Het nieuwe AML-raamwerk wordt in juli 2027 van toepassing en stuurt eveneens aan op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten, zij het als een afzonderlijk kader met eigen verplichtingen. Organisaties in gereguleerde sectoren moeten ervoor zorgen dat hun complianceaanpak alle relevante kaders gezamenlijk adresseert.

Hoe helpt TrustTech organisaties zich voor te bereiden op eIDAS 2.0

Navigeren door eIDAS 2.0 vereist dat je technologie, processen en compliancekaders afstemt op een verordening die de manier waarop digitale identiteit in heel Europa werkt, opnieuw vormgeeft. Dat is waar de ID Connector van TrustTech in beeld komt.

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. Concreet voert de ID Connector de volgende taken uit:

• Verificatie tegen nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat de handtekening van de uitgever van een attestatie betrouwbaar wordt gecontroleerd
• Controle van de intrekkingsstatus via de statusinformatie van de uitgever, als aanvulling op de handtekeningverificatie
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata, zodat geverifieerde gegevens kunnen worden gedeeld en geaccepteerd zonder de volledige verificatieprocedure opnieuw te doorlopen
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij identiteit is gekoppeld aan elke handtekening en een volledige audittrail beschikbaar is

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid: sectoren waar identiteitsverificatie wettelijk vereist is en waar de deadlines van 24 december 2026 en 24 december 2027 direct van toepassing zijn. Verken onze identiteitsoplossingen of neem contact op met ons team om te bespreken waar jouw organisatie staat en hoe de volgende stappen eruitzien.