Voordat bedrijven de EUDI-wallet accepteren, moeten zij zich registreren als relying party onder Verordening (EU) 2024/1183 (eIDAS 2.0), voldoen aan vastgestelde technische integratienormen en gegevensbeschermingsmaatregelen treffen die in overeenstemming zijn met de AVG en de specifieke vereisten van het EUDI-wallet-framework. Deze verplichtingen gelden voor elke organisatie die op wallet gebaseerde attestaties wil accepteren voor identiteitsverificatie of het delen van attributen. De onderstaande secties behandelen elk nalevingsgebied in praktisch detail.
Welke regelgeving is van toepassing op de acceptatie van de EUDI-wallet door bedrijven?
De acceptatie van de EUDI-wallet wordt primair geregeld door eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt. Naast eIDAS 2.0 moeten bedrijven voldoen aan de AVG bij de verwerking van persoonsgegevens die zijn verkregen uit wallet-attestaties. Samen bepalen deze twee kaders de wettelijke basis voor het accepteren, verifiëren en opslaan van identiteitsgegevens die via de EUDI-wallet worden gepresenteerd.
eIDAS 2.0 introduceert een nieuwe categorie genaamd relying parties: organisaties die attestaties opvragen en verifiëren bij wallethouders. Elk bedrijf dat de EUDI-wallet wil accepteren, moet zich formeel registreren als relying party bij de bevoegde nationale autoriteit. Deze registratieplicht volgt uit CIR (EU) 2025/848 en is een juridische voorwaarde voordat walletdata kan worden opgevraagd. De registratie legt verantwoordelijkheid vast en zorgt ervoor dat alleen geregistreerde organisaties op wallet gebaseerde identiteitsgegevens van gebruikers kunnen opvragen.
Belangrijk daarbij is dat een relying party per intended use registreert welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Naast registratie stelt eIDAS 2.0 regels vast over welke attributen bedrijven mogen opvragen, hoe die verzoeken moeten worden opgesteld en welke vertrouwensniveaus van toepassing zijn op verschillende gebruikssituaties. De verordening verplicht relying parties ook om alleen de minimaal noodzakelijke gegevens op te vragen voor hun specifieke doel, een principe dat direct aansluit bij de vereisten van gegevensminimalisatie onder de AVG.
Sectorspecifieke regelgeving voegt verdere lagen toe. Financiële instellingen moeten de naleving van de EUDI-wallet afstemmen op AML-richtlijnen en KYC-verplichtingen. Zorginstellingen worden geconfronteerd met aanvullende vereisten op grond van regelgeving inzake gezondheidsgegevens. Inzicht in welke regelgevingskaders van toepassing zijn op jouw sector is dan ook een essentieel startpunt voordat enig technisch werk begint.
Aan welke technische vereisten moeten bedrijven voldoen om de EUDI-wallet te accepteren?
Om de EUDI-wallet te accepteren, moeten bedrijven integreren met de technische infrastructuur van de wallet via gestandaardiseerde protocollen die zijn uitgewerkt in het Architecture and Reference Framework (ARF). Dit omvat ondersteuning voor OID4VP voor presentatie van attestaties en voor de credentialformaten mdoc en SD-JWT VC. Voor mdoc geldt ISO/IEC 18013-5 bij proximity-presentatie en ISO/IEC TS 18013-7 bij online presentatie. Deze standaarden zorgen voor interoperabiliteit tussen alle wallet-implementaties die door EU-lidstaten worden uitgegeven. Waar van toepassing is ook het High Assurance Interoperability Profile (HAIP) relevant.
In de praktijk betekent dit dat jouw systemen in staat moeten zijn tot het volgende:
- Het genereren en verzenden van conforme presentatieverzoeken aan wallethouders via OID4VP
- Het ontvangen en verifiëren van ondertekende attestatie-antwoorden in mdoc- of SD-JWT VC-formaat
- Het valideren van de handtekening van de uitgever tegen de relevante nationale trusted list, conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL)
- Het controleren van de intrekkingsstatus via statusinformatie van de uitgever
- Het verifiëren van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Het ondersteunen van zowel online als proximity-verificatiestromen waar relevant
- Het registreren van verificatiegebeurtenissen op een manier die auditverplichtingen ondersteunt
Het is belangrijk te begrijpen dat alleen de handtekeningverificatie tegen de trusted list volledig offline kan plaatsvinden. De controle van de intrekkingsstatus en de validatie van de wallet unit attestation vereisen contact met externe bronnen. Volledig offline verificatie is dus niet zonder meer mogelijk.
Bedrijven moeten er ook voor zorgen dat hun backendsystemen het model van selective disclosure kunnen verwerken dat de EUDI-wallet gebruikt. In plaats van een volledig identiteitsdocument te ontvangen, ontvangt jouw systeem alleen de specifieke attributen waarmee de gebruiker heeft ingestemd te delen, zoals leeftijdsbevestiging of nationaliteit. Jouw verificatielogica moet worden gebouwd om te werken met deze gedetailleerde, op attribuutniveau gebaseerde antwoorden.
Voor de meeste organisaties zal het voldoen aan deze technische vereisten inhouden dat er een aangepaste integratie wordt gebouwd of dat er wordt samengewerkt met een platform dat de relevante standaarden al ondersteunt. Beginnen met een duidelijke mapping van jouw bestaande identiteitsinfrastructuur ten opzichte van de ARF-vereisten zal aan het licht brengen waar hiaten bestaan en wat er moet veranderen.
Welke gegevensbeschermingsverplichtingen gelden bij het verifiëren van EUDI-wallet-attestaties?
Bij het verifiëren van EUDI-wallet-attestaties moeten bedrijven voldoen aan de AVG als verwerkingsverantwoordelijken. Dit betekent het vaststellen van een rechtmatige grondslag voor de verwerking van de ontvangen identiteitsgegevens, het strikt toepassen van gegevensminimalisatie, het informeren van gebruikers over hoe hun gegevens worden gebruikt, en het waarborgen dat geverifieerde attributen niet langer worden bewaard dan noodzakelijk voor het opgegeven doel.
Een belangrijk onderscheid: de goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Als relying party heb je een zelfstandige AVG-grondslag nodig voor de verwerking. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting als grondslag doorgaans relevant. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Het EUDI-wallet-framework versterkt de gegevensminimalisatieplicht door zijn ontwerp. Gebruikers bepalen wat zij delen en met wie. Als relying party moet jouw presentatieverzoek precies specificeren welke attributen je nodig hebt en waarom, passend binnen de geregistreerde scope. Het opvragen van meer gegevens dan jouw gebruikssituatie rechtvaardigt, is zowel een AVG-overtreding als een schending van de verplichtingen van relying parties onder eIDAS 2.0.
Bewaring is een bijzonder belangrijk aandachtsgebied. Veel organisaties slaan identiteitsverificatiegegevens standaard voor langere perioden op, maar onder het EUDI-wallet-model dien je alleen te bewaren wat werkelijk noodzakelijk is. Voor sommige gebruikssituaties hoef je mogelijk alleen te registreren dat een verificatie heeft plaatsgevonden en wat de uitkomst was, zonder de onderliggende attribuutgegevens op te slaan.
Bedrijven moeten ook hun privacyverklaringen en gegevensverwerkingsovereenkomsten bijwerken om de nieuwe verificatiemethode te weerspiegelen. Als je een externe dienstverlener inschakelt om wallet-verificatie namens jou af te handelen, is een gegevensverwerkingsovereenkomst op grond van artikel 28 AVG vereist. Het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) voordat je live gaat, wordt sterk aanbevolen, met name voor verwerkingscontexten met een hoog risico, zoals financiële dienstverlening of gezondheidszorg.
Hoe moeten bedrijven hun juridische en compliance-kaders bijwerken?
Bedrijven moeten hun juridische en compliance-kaders bijwerken door de acceptatie van de EUDI-wallet formeel op te nemen in hun bestaande identiteitsgovernancedocumentatie, relevante beleidsregels bij te werken en duidelijke interne verantwoordelijkheid toe te wijzen voor doorlopende naleving. Dit is geen eenmalig technisch project, maar een voortdurende compliancefunctie die ingebed moet worden in de manier waarop jouw organisatie digitale identiteit beheert.
Een gestructureerde aanpak voor het bijwerken van jouw compliance-kader omvat doorgaans de volgende stappen:
- Registreer je als relying party bij de bevoegde nationale autoriteit in jouw lidstaat, volgens het registratieproces dat is vastgelegd in CIR (EU) 2025/848, inclusief de specificatie van de intended uses en de bijbehorende attributenscope.
- Werk jouw identiteits- en toegangsbeheerbeleid bij om de EUDI-wallet op te nemen als geaccepteerde verificatiemethode, naast jouw bestaande methoden.
- Herzie jouw gegevensverwerkingsregisters op grond van artikel 30 AVG om wallet-gebaseerde verificatie te documenteren als een nieuwe verwerkingsactiviteit, inclusief de juridische grondslag per gebruikssituatie.
- Voer een DPIA uit als jouw gebruikssituatie betrekking heeft op gevoelige gegevenscategorieën of grootschalige verwerking van identiteitsattributen.
- Werk contractuele documentatie bij met leveranciers en partners die betrokken zijn bij het verificatieproces, inclusief een verwerkersovereenkomst op grond van artikel 28 AVG waar van toepassing.
- Train relevante teams, waaronder compliance-, juridische, IT- en klantgerichte medewerkers, over hoe de wallet werkt en welke verplichtingen deze met zich meebrengt.
Het is ook de moeite waard om jouw procedures voor incidentrespons en melding van datalekken te herzien. Als later blijkt dat bij een verificatiegebeurtenis frauduleuze attestaties zijn gebruikt, heeft jouw organisatie een duidelijk proces nodig voor het reageren, het informeren van de relevante autoriteiten en het documenteren van het incident. Door dit nu in jouw bestaande kaders op te nemen, voorkom je later hiaten.
Welke sectoren worden geconfronteerd met de strengste nalevingsdeadlines voor de EUDI-wallet?
Banken en financiële dienstverlening, overheid en gezondheidszorg zijn de sectoren die worden geconfronteerd met de meest directe en stringente nalevingsverplichtingen voor de EUDI-wallet. Onder eIDAS 2.0 moeten publieke instanties genotificeerde EUDI-wallets vanaf 24 december 2026 accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, waaronder banken, zorgaanbieders, telecombedrijven, energieleveranciers en andere sectoren die vallen onder artikel 5f van de verordening, geldt de acceptatieplicht vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze acceptatieplicht uitgezonderd.
Voor financiële instellingen creëert de samenloop van EUDI-wallet-naleving met AML-, KYC-, PSD2- en Strong Customer Authentication-vereisten een complex nalevingslandschap. De wallet kan sommige van deze verplichtingen vereenvoudigen door cryptografisch verifieerbare identiteitsattestaties te leveren, maar de mate waarin KYC-verplichtingen via wallet-attestaties kunnen worden ingevuld, wordt mede bepaald door AML-regelgeving en sectorale regels. Alleen als de integratie vanaf het begin correct is opgebouwd, kunnen deze voordelen worden benut.
Overheidsorganisaties zijn zowel uitgevers als verificateurs in het EUDI-wallet-ecosysteem. Publieke sectorinstanties moeten de wallet accepteren voor toegang tot digitale overheidsdiensten en zijn in veel gevallen ook verantwoordelijk voor het uitgeven van officiële attestaties in de wallets van burgers. Deze dubbele rol betekent dat hun nalevingsverplichtingen breder zijn dan die van de meeste private sectororganisaties.
Zorgaanbieders worden geconfronteerd met strenge vereisten rond de verwerking van gezondheidsgerelateerde attributen, die vallen onder de bijzondere categorieën persoonsgegevens in de AVG. Elk gebruik van de EUDI-wallet voor het delen of verifiëren van gezondheidsgegevens vereist een toepasselijke grond uit artikel 9, lid 2, AVG en aanvullende waarborgen bovenop standaard identiteitsverificatie.
Organisaties in het onderwijs, de telecommunicatie, de energiesector en andere gereguleerde sectoren vallen eveneens onder de acceptatieplicht van 24 december 2027. Als jouw organisatie actief is in een van deze gebieden, is het zaak om jouw compliance-kader ruim vóór die datum gereed te hebben. De periode rondom 24 december 2026, wanneer wallets beschikbaar komen voor burgers en publieke instanties verplicht zijn deze te accepteren, biedt gereguleerde private partijen een waardevolle gelegenheid om acceptatie te testen voordat de eigen deadline ingaat.
Waar moeten bedrijven beginnen met hun EUDI-wallet-gereedheidsanalyse?
Bedrijven moeten hun EUDI-wallet-gereedheidsanalyse beginnen door hun huidige identiteitsverificatieprocessen in kaart te brengen ten opzichte van de vereisten van eIDAS 2.0 en de hiaten te identificeren. Dit betekent het bekijken van jouw bestaande onboardingstromen, authenticatiemethoden, gegevensverwerkingspraktijken en juridische documentatie om te begrijpen wat al aansluit bij de EUDI-wallet-vereisten en wat er moet veranderen.
Een praktische gereedheidsanalyse bestrijkt vier gebieden. Ten eerste jouw regelgevingspositie: heb je jouw verplichtingen als relying party geïdentificeerd, weet je welke attributen jouw gebruikssituaties vereisen en is de registratie onder CIR (EU) 2025/848 in scope? Ten tweede jouw technische infrastructuur: kunnen jouw systemen OID4VP, de relevante credentialformaten en de drie verificatiestappen ondersteunen die nodig zijn voor wallet-gebaseerde verificatie, of ligt er nog aanzienlijk ontwikkelwerk voor je? Ten derde jouw gegevensbeheer: zijn jouw AVG-documentatie, bewaarbeleid, juridische grondslagen per gebruikssituatie en DPIA’s actueel en geschikt voor gebruik in een walletcontext? Ten vierde jouw organisatorische gereedheid: begrijpen de juiste mensen in jouw organisatie wat eraan komt en wie verantwoordelijk is voor de nalevingsrespons?
Beginnen met een gapanalyse over deze vier dimensies geeft je een duidelijk beeld van waar je staat en wat jouw prioriteiten moeten zijn. Van daaruit kun je een realistisch stappenplan bouwen met tijdlijnen, resourcevereisten en meetbare mijlpalen. Organisaties die nu beginnen met hun analyse, hebben de tijd om doordachte beslissingen te nemen in plaats van reactieve.
Hoe ondersteunt de ID Connector van TrustTech de acceptatie van de EUDI-wallet?
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet voert de ID Connector de volgende technische taken uit die direct aansluiten op de nalevingsvereisten die in dit artikel zijn beschreven:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat presentatieverzoeken binnen de grenzen van de CIR (EU) 2025/848-registratie blijven
- Ondersteuning van OID4VP, mdoc en SD-JWT VC voor zowel online als proximity-verificatiestromen
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de geregistreerde intended uses
- Gekwalificeerd tekenen via een aangesloten qualified trust service provider
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector, die elk te maken hebben met overlappende regelgevingsvereisten bovenop eIDAS 2.0. Het platform is gebouwd op Europese digitale identiteitsstandaarden en is ontworpen om eIDAS 2.0-gereed te zijn, zodat jouw identiteitsinfrastructuur meeschaalt met jouw organisatie en zich aanpast naarmate het regelgevingslandschap verder wordt ingevuld door uitvoeringshandelingen en nationale uitvoering.
Als je wilt weten wat de ID Connector concreet voor jouw organisatie kan doen, neem dan contact op met TrustTech.