De EUDI-wallet kan een breed scala aan digitale documenten opslaan, van door de overheid uitgegeven identiteitsbewijzen tot sectorspecifieke attestaties zoals diploma’s, rijbewijzen, recepten en reisdocumenten. Welke documenttypen worden ondersteund, volgt uit Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, en de bijbehorende uitvoeringshandelingen, aangevuld met de technische specificaties in het Architecture and Reference Framework (ARF). Dit artikel beantwoordt de belangrijkste vragen die organisaties hebben over EUDI-wallet-documenten en wat zij nu concreet moeten doen.
Welke documenten worden officieel ondersteund in de EUDI-wallet?
Elke EUDI-wallet bevat in de kern een Person Identification Data (PID)-attestatie: het digitale equivalent van een nationaal identiteitsdocument, uitgegeven door of namens een overheidsinstantie. Daarnaast ondersteunt de wallet elektronische attestaties van attributen (EAA’s) en gekwalificeerde elektronische attestaties van attributen (QEAA’s), waarmee sectorspecifieke gegevens verifieerbaar in de wallet kunnen worden opgeslagen.
De vier Large Scale Pilots die van april 2023 tot 2025 liepen, testten elf gebruiksscenario’s die de breedte van ondersteunde attestatietypen illustreren:
- Nationale digitale identiteit (PID)
- Mobiel rijbewijs
- Onderwijsattestaties zoals diploma’s en certificaten
- Reisdocumenten inclusief paspoortgegevens en visa
- Europese Zorgverzekeringspas (EHIC)
- Sociale zekerheidsdocumenten en toegang tot uitkeringen
- Bewijs van SIM-kaartregistratie
- Organisatie-identiteitsattestaties (bewijs van vertegenwoordiging van een bedrijf)
- Betalingsautorisatieattestaties
- Medische recepten
- Documenten voor toegang tot overheidsdiensten
De wallet is gebouwd als een open ecosysteem. Nieuwe attestatietypen kunnen worden toegevoegd naarmate uitvoeringshandelingen worden aangenomen en organisaties als geaccrediteerde uitgevers worden erkend.
Wat is het verschil tussen een PID, QEAA, PuB-EAA en non-qualified EAA?
Binnen het EUDI-wallet-kader worden attestaties ingedeeld op basis van vertrouwensniveau en de aard van de uitgevende partij. Het is belangrijk deze categorieën scherp te onderscheiden, omdat ze verschillende juridische en technische gevolgen hebben voor zowel uitgevers als relying parties.
Een PID (Person Identification Data) is de fundamentele identiteitsattestatie, uitgegeven door of namens een overheidsinstantie. De PID vormt de basis van de digitale identiteit van de gebruiker in de wallet.
Een QEAA (Qualified Electronic Attestation of Attributes) wordt uitgegeven door een Qualified Trust Service Provider (QTSP) die onder toezicht staat op grond van Verordening (EU) 2024/1183. Een QEAA biedt een hoog niveau van juridische en technische zekerheid en heeft specifieke rechtsgevolgen op grond van de verordening.
Een PuB-EAA (Public Body Electronic Attestation of Attributes) wordt uitgegeven door een overheidsinstantie of onder haar verantwoordelijkheid. Deze categorie staat juridisch los van de non-qualified EAA en heeft een eigen positie in het vertrouwenskader.
Een non-qualified EAA (Electronic Attestation of Attributes) is een bredere categorie die verifieerbare attestaties omvat die worden uitgegeven door erkende partijen zonder de strikte gekwalificeerde status van een QEAA of de publieke grondslag van een PuB-EAA.
Voor organisaties die beslissen welk type attestatie ze willen uitgeven of accepteren, is dit onderscheid direct relevant. Een bank die klantonderzoek uitvoert, zal doorgaans een PID of QEAA vereisen vanwege de hogere zekerheidseisen. Een platform dat een professionele certificering verifieert, kan in veel gevallen volstaan met een non-qualified EAA. Inzicht in deze categorieën is nodig om een verantwoord acceptatiebeleid te ontwerpen en de eigen uitgiftestrategie te bepalen.
Kunnen sectorspecifieke attestaties zoals diploma’s of recepten worden opgeslagen?
Ja. Sectorspecifieke attestaties zoals diploma’s, recepten, beroepsvergunningen en verzekeringskaarten kunnen in de EUDI-wallet worden opgeslagen als EAA’s, PuB-EAA’s of QEAA’s, afhankelijk van wie de uitgevende partij is en welk vertrouwensniveau van toepassing is. De relevante autoriteit in elke sector geeft de attestatie uit, waarna de gebruiker deze selectief kan delen via selective disclosure.
De pilotprogramma’s hebben dit in de praktijk getest. Het consortium DC4EU testte digitale diploma’s en sociale zekerheidsdocumenten. POTENTIAL testte onder meer e-recepten en mobiele rijbewijzen. De resultaten van deze pilots zijn openbaar en geven inzicht in de praktische werking van sectorspecifieke attestaties in wallet-omgevingen.
Voor organisaties in gereguleerde sectoren biedt dit concrete mogelijkheden. Een zorgverlener kan receptattestaties rechtstreeks in de wallet van een patiënt uitgeven. Een universiteit kan een verifieerbaar diploma uitgeven dat een student bij werkgevers of andere instellingen kan tonen. Een werkgever kan professionele kwalificaties direct verifiëren zonder contact op te nemen met de uitgevende instelling, al geldt daarbij dat alleen de handtekeningcontrole volledig offline kan plaatsvinden. De wallet draagt de gegevens, maar de juridische erkenning van beroepskwalificaties vereist een eigen grondslag, bijvoorbeeld op grond van Richtlijn 2005/36/EG.
Hoe wordt een organisatie uitgever van wallet-attestaties?
Om attestaties te kunnen uitgeven die door EUDI-wallets worden geaccepteerd, moet een organisatie voldoen aan de technische en regelgevende vereisten uit Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen, waaronder de specificaties in het ARF. De precieze vereisten hangen af van het type attestatie.
Organisaties die QEAA’s willen uitgeven, moeten erkend zijn als Qualified Trust Service Provider en staan onder toezicht van de bevoegde nationale toezichthouder. Organisaties die non-qualified EAA’s uitgeven, moeten voldoen aan de technische basisvereisten en vindbaar zijn via de relevante vertrouwensinfrastructuur zodat wallet-applicaties hun attestaties kunnen valideren. Het uitgeven van attestaties van attributen is zelf een trust service, en de bijbehorende verplichtingen, waaronder het beschikbaar stellen van intrekkingsstatus en het ondersteunen van heruitgifte bij een apparaatwisseling, gelden ongeacht het attestatietype.
In de praktijk omvat het worden van een uitgever de volgende stappen:
- Bepaal het attestatietype: Stel vast of je een PID, QEAA, PuB-EAA of non-qualified EAA uitgeeft, want elk type heeft andere nalevingsvereisten.
- Bestudeer de technische standaarden: Stem je systemen af op de specificaties in het ARF, inclusief de credentialformaten mdoc en SD-JWT VC, de uitwisselingsprotocollen OID4VCI voor uitgifte en OID4VP voor presentatie, en de cryptografische vereisten.
- Zorg voor opname in de vertrouwensinfrastructuur: Je organisatie en haar attestaties moeten vindbaar en verifieerbaar zijn via de nationale trusted lists en, waar van toepassing, de Lists of Trusted Entities (LoTE), zodat wallet-applicaties in de hele EU de attestaties kunnen valideren.
- Implementeer de uitgifte-infrastructuur: Bouw of integreer de backendtechnologie die nodig is om attestaties in een wallet-compatibel formaat uit te geven, cryptografisch te ondertekenen en te beheren.
- Test en valideer: Gebruik de beschikbare referentie-implementaties van de Europese Commissie om te valideren dat je attestaties correct werken in echte wallet-omgevingen.
Voor organisaties in de financiële dienstverlening of de publieke sector kan het traject ook coördinatie met nationale toezichthoudende autoriteiten vereisen. Het regelgevingslandschap is nog in ontwikkeling, maar de technische basis is aanwezig via de open-source referentie-implementaties van de Europese Commissie.
Worden EUDI-wallet-attestaties in alle EU-lidstaten geaccepteerd?
Attestaties die zijn uitgegeven in één EU-lidstaat en voldoen aan de vastgestelde technische en zekerheidsnormen, moeten op grond van Verordening (EU) 2024/1183 worden erkend in alle andere lidstaten. Grensoverschrijdende interoperabiliteit is een van de kerndoelstellingen van de verordening. Dit gaat verder dan het oorspronkelijke eIDAS-kader, dat wederzijdse erkenning van aangemelde nationale eID-stelsels vereiste maar in de praktijk veel hiaten liet.
De verordening verplicht lidstaten wallet-attestaties te accepteren die aan de gestelde eisen voldoen. De gemeenschappelijke technische standaarden, gedeelde vertrouwensinfrastructuur via nationale trusted lists en de EU List of Trusted Lists (LOTL), en de uniforme architectuur maken grensoverschrijdende acceptatie structureel mogelijk. Tegelijkertijd is 24 december 2026 een uiterste datum voor notificatie en uitgifte, geen voorspelde lanceringsdatum waarop volledige functionele interoperabiliteit overal in de EU automatisch bestaat. Praktische interoperabiliteit vereist dat organisaties in elk land de juiste acceptatie-infrastructuur implementeren.
Een ziekenhuis in Duitsland moet bijvoorbeeld technisch in staat zijn om de Europese Zorgverzekeringspas-attestatie van een Nederlandse patiënt te lezen en te verifiëren. Verificatie omvat daarbij meer dan één cryptografische controle. Een volledige controle bestaat uit drie stappen: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste stap kan volledig offline plaatsvinden.
De tweede pilotgolf, gestart in 2025 met onder andere WE BUILD en APTITUDE, richt zich mede op het verder testen en verfijnen van deze grensoverschrijdende functionaliteit.
Wat moeten organisaties nu doen om zich voor te bereiden op de integratie van EUDI-wallet-attestaties?
Organisaties moeten nu beginnen met het in kaart brengen welke EUDI-wallet-attestaties relevant zijn voor hun sector, hun huidige technische infrastructuur beoordelen en hiaten in naleving en integratiegereedheid identificeren.
Op grond van Verordening (EU) 2024/1183 geldt dat lidstaten uiterlijk op 24 december 2026 gecertificeerde wallets beschikbaar moeten stellen aan burgers, inwoners en bedrijven, en dat publieke instanties genotificeerde wallets moeten accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, waaronder banken, zorgaanbieders, telecomaanbieders, energiebedrijven, transportbedrijven, onderwijsinstellingen, aanbieders van sociale zekerheid, drinkwaterbedrijven, postdiensten, aanbieders van digitale infrastructuur en digitale diensten, geldt de acceptatieplicht op grond van artikel 5f binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is, vanaf 24 december 2027. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt artikel 5f op grond van een afzonderlijke bepaling: de verplichting geldt waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de private acceptatieplicht uitgezonderd.
Daarnaast geldt op grond van CIR (EU) 2025/848 van 6 mei 2025 dat een relying party zich moet registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata namens een klant verwerkt, wordt daardoor niet zelf de relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Concrete stappen die nu genomen kunnen worden:
- Bepaal je rol: Word je een attestatie-uitgever, een relying party die attestaties accepteert, of beide? Elke rol heeft andere technische en regelgevende vereisten.
- Bestudeer het Architecture and Reference Framework: Maak je technische teams vertrouwd met het ARF om gegevensformaten, vertrouwensmodellen en integratievereisten te begrijpen.
- Beoordeel je identiteitsinfrastructuur: Stel vast of je huidige onboarding-, verificatie- en authenticatiesystemen verbinding kunnen maken met wallet-gebaseerde attestaties.
- Gebruik de uitkomsten van de pilotprogramma’s: De Large Scale Pilots hebben gedetailleerde bevindingen opgeleverd over het gebruik van wallets in de praktijk. Deze inzichten zijn openbaar beschikbaar en direct relevant voor de planning.
- Ontwerp voor selective disclosure: Stel je gegevensverzoeken zo in dat je uitsluitend de attributen opvraagt die strikt noodzakelijk zijn voor de betreffende dienst, in lijn met de privacy-by-design-principes die in het wallet-kader zijn verankerd en met je verplichtingen onder de AVG.
Organisaties die wachten tot wallets volledig zijn uitgerold, zullen merken dat ze onder tijdsdruk moeten reageren. Eerder beginnen geeft ruimte om te testen, te itereren en interne kennis op te bouwen voordat de regelgevende deadlines aanbreken.
Hoe de ID Connector van TrustTech relying parties ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel ondersteunt de ID Connector concreet:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus van attestaties via de statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken binnen de grenzen blijven van de registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata voor onboarding en authenticatie
- Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die wallet-gebaseerde attestaties willen accepteren en hun acceptatie-infrastructuur op orde willen hebben vóór de deadlines van 24 december 2026 en 24 december 2027. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw situatie.