Wat is eIDAS 2.0?

Waar staat eIDAS voor?

eIDAS staat voor electronic IDentification, Authentication and trust Services. De oorspronkelijke eIDAS-verordening (EU 910/2014) stelde het juridisch kader vast voor de wederzijdse erkenning van elektronische identificatiestelsels tussen EU-lidstaten, samen met vertrouwensdiensten zoals elektronische handtekeningen, zegels en tijdstempels.

eIDAS 2.0 (Verordening (EU) 2024/1183) is de herziening die de oorspronkelijke verordening wijzigt. Zij is aangenomen om de beperkingen van eIDAS 1.0 aan te pakken — met name de lage grensoverschrijdende adoptie van nationale eID-stelsels en het ontbreken van een door burgers beheerde digitale identiteitswallet. De herziening introduceert de Europese Digitale Identiteitswallet, nieuwe categorieën vertrouwensdiensten en strengere eisen voor interoperabiliteit binnen de EU.

Wat is een Europese Digitale Identiteitswallet?

De Europese Digitale Identiteitswallet (EUDIW) is een mobiele applicatie waarmee burgers en ingezetenen digitale credentials kunnen opslaan, beheren en presenteren — waaronder nationale identiteitsdocumenten, rijbewijzen, diploma's, beroepskwalificaties en gezondheidscertificaten. De wallet geeft het individu de regie over zijn gegevens via selectieve openbaarmaking: gebruikers bepalen precies welke attributen zij delen bij elke interactie.

Belangrijkste kenmerken van de Europese Digitale Identiteitswallet:

• Verplichte beschikbaarheid — elke EU-lidstaat moet vanaf 2026 ten minste één wallet aanbieden aan zijn burgers en ingezetenen
• Gratis — wallets moeten gratis zijn voor natuurlijke personen
• Grensoverschrijdende interoperabiliteit — een wallet die in een lidstaat is uitgegeven, moet worden erkend en geaccepteerd in de hele EU
• Selectieve openbaarmaking — gebruikers kunnen specifieke attributen bewijzen (bijv. ouder dan 18 zijn) zonder hun volledige identiteit of geboortedatum prijs te geven
• Architecture and Reference Framework — de technische specificaties zijn gebaseerd op het ARF dat is ontwikkeld door de eIDAS Expert Group, wat zorgt voor een consistente implementatie tussen lidstaten
• Hoog beveiligingsniveau — wallets moeten voldoen aan het “hoge” beveiligingsniveau zoals gedefinieerd onder eIDAS, met robuuste identiteitsbewijzen en authenticatie

De wallet is ontworpen om te werken voor zowel online als offline scenario's — van het inloggen op overheidsportalen en het openen van bankrekeningen tot het presenteren van een rijbewijs bij een controle langs de weg of het bewijzen van beroepskwalificaties aan een nieuwe werkgever in een ander land.

Wat zijn Verifiable Credentials?

Verifiable Credentials zijn manipulatiebestendige, cryptografisch ondertekende digitale verklaringen die zijn uitgegeven door een vertrouwde partij. Ze kunnen vrijwel alles vertegenwoordigen — een universitair diploma, een adresbewijs, een beroepslicentie, een leeftijdsverklaring of een bedrijfsregistratiecertificaat. Wat ze “verifieerbaar” maakt, is dat elke vertrouwende partij onafhankelijk het cryptografisch bewijs van authenticiteit en integriteit kan controleren zonder contact te hoeven opnemen met de oorspronkelijke uitgever.

Het Verifiable Credentials-model kent drie rollen:

• Uitgever — een vertrouwde entiteit (universiteit, overheid, werkgever) die de credential aanmaakt en ondertekent
• Houder — het individu of de organisatie die de credential in zijn wallet bewaart en bepaalt wanneer en aan wie deze wordt gepresenteerd
• Verifieerder — de partij die de credential opvraagt en controleert (bijv. een grensbeambte, bank of online dienst)

Verifiable Credentials zijn gebaseerd op W3C-standaarden (het Verifiable Credentials Data Model) en vormen een kernbouwsteen van zowel eIDAS 2.0 als SSI (Auto-soberane Identiteit). Onder eIDAS 2.0 biedt de nieuwe vertrouwensdienst QEAA (Gekwalificeerde Elektronische Attestatie van Attributen) een juridisch erkende vorm van Verifiable Credentials met hoge betrouwbaarheid, uitgegeven door QTSP's.

Wat is Auto-soberane Identiteit?

SSI (Auto-soberane Identiteit) is een model waarbij individuen hun digitale identiteit bezitten en beheren zonder afhankelijk te zijn van een centrale autoriteit. In plaats van te vertrouwen op een platform, overheidsdatabase of identity provider om toegang tot persoonlijke gegevens te bemiddelen, plaatst SSI het individu centraal bij elke identiteitsinteractie.

SSI is gebouwd op twee complementaire technologieën:

• DIDs (Decentralized Identifiers) — wereldwijd unieke identifiers die individuen zelf aanmaken en beheren, zonder dat een centrale registratie-autoriteit nodig is. DIDs kunnen worden gekoppeld aan cryptografische sleutels en service-endpoints, wat veilige peer-to-peer-communicatie mogelijk maakt.
• Verifiable Credentials — cryptografisch ondertekende digitale attestaties die in een wallet kunnen worden opgeslagen, selectief openbaar gemaakt en onafhankelijk geverifieerd (zie het bovenstaande gedeelte)

Het praktische resultaat is dat mensen claims kunnen bewijzen — zoals hun leeftijd, kwalificaties, staatsburgerschap of werkstatus — zonder meer informatie te onthullen dan nodig is. Dit principe van dataminimalisatie sluit direct aan op de AVG en staat centraal in de privacy-by-design-benadering.

eIDAS 2.0 verankert SSI-principes in EU-recht. De Europese Digitale Identiteitswallet is in feite een SSI-wallet met juridische status binnen de hele EU — die het gedecentraliseerde, gebruikersgestuurde model van SSI combineert met de rechtszekerheid en grensoverschrijdende erkenning van EU-regelgeving. Lees meer in onze blog over SSI en privacy.

Hoe verhoudt eIDAS 2.0 zich tot digitale productpaspoorten?

DPP's (digitale productpaspoorten) en eIDAS 2.0 hebben betrekking op verschillende domeinen — productinformatie en digitale identiteit — maar zij raken elkaar op een kritiek punt: vertrouwen. DPP-gegevens zijn slechts zo betrouwbaar als de identiteit van de marktdeelnemers en ketenpartners die ze hebben gecreëerd, geverifieerd en geattesteerd.

Het verband werkt op verschillende manieren:

• Vertrouwde identiteit voor marktdeelnemers — fabrikanten, importeurs en conformiteitsbeoordelingsinstanties hebben een verifieerbare, grensoverschrijdende identiteit nodig om prestatieverklaringen, conformiteitscertificaten en DPP-gegevensvermeldingen te ondertekenen
• Zakelijke credentials in wallets — eIDAS 2.0-wallets kunnen organisatorische credentials dragen zoals bedrijfsregistraties, LEI-attestaties, handelsvergunningen en sectorspecifieke autorisaties
• Gegevensintegriteit via gekwalificeerde vertrouwensdiensten — Gekwalificeerde Elektronische Zegels en Gekwalificeerde Tijdstempels uit eIDAS 2.0 kunnen waarborgen dat DPP-gegevens niet zijn gemanipuleerd en kunnen worden herleid tot een geverifieerde bron
• Verificatie van de toeleveringsketen — elke actor in een toeleveringsketen kan wallet-gebaseerde credentials gebruiken om zijn identiteit en autorisaties te bewijzen bij het aanleveren van gegevens aan een DPP

Regen Studio schreef het Trusted DPP-positiedocument voor FIDES en de Dutch Blockchain Coalition, waarin precies wordt verkend hoe eIDAS 2.0 en DPP-infrastructuur moeten convergeren om betrouwbare productgegevens-ecosystemen te creëren. De EDI Wallet-demo illustreert deze concepten in de praktijk.

Wanneer treedt eIDAS 2.0 in werking?

Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden. De uitrol volgt een gefaseerde tijdlijn, waarbij lidstaten, de Europese Commissie en de eIDAS Expert Group parallel werken aan technische specificaties, uitvoeringshandelingen en grootschalige pilots.

Belangrijke mijlpalen:

• 20 mei 2024 — Verordening (EU) 2024/1183 trad in werking
• 2026 — lidstaten moeten EU Digitale Identiteitswallets aanbieden aan hun burgers en ingezetenen
• Doorlopend — uitvoeringshandelingen worden ontwikkeld voor de technische specificaties van wallets, certificeringsschema's, vereisten voor vertrouwensdiensten en interoperabiliteitsprotocollen
• Doorlopend — de wallet-toolbox en het ARF (Architecture and Reference Framework) worden afgerond door de eIDAS Expert Group

Er zijn al vier LSP's (Large-Scale Pilots) bezig met het testen van wallet-implementaties in real-world use cases:

• POTENTIAL — identiteitsverificatie, reizen, betalingen en overheidsdiensten in 19 EU-landen
• DC4EU — onderwijscredentials en sociale zekerheid tussen lidstaten
• NOBID — Noord-Baltische use cases voor betalingen en identiteit
• EWC — reizen, organisatorische identiteit en betalingen

Deze pilots leveren cruciale praktijkfeedback die de uitvoeringshandelingen en technische architectuur vormgeeft. Organisaties die er klaar voor willen zijn, moeten nu beginnen met betrekken — de infrastructuur wordt gebouwd, en de ontwerpkeuzes die vandaag worden gemaakt, bepalen het ecosysteem voor de komende jaren.

Wat zijn Gekwalificeerde Vertrouwensdiensten onder eIDAS 2.0?

Gekwalificeerde Vertrouwensdiensten zijn de juridisch erkende diensten met een hoog betrouwbaarheidsniveau die de basis vormen voor digitale transacties in de EU. Onder eIDAS 2.0 is de lijst van gekwalificeerde vertrouwensdiensten uitgebreid met nieuwe categorieën die het wallet-ecosysteem en moderne digitale workflows ondersteunen.

De volledige set Gekwalificeerde Vertrouwensdiensten onder eIDAS 2.0:

• QES (Gekwalificeerde Elektronische Handtekeningen) — het digitale equivalent van een handgeschreven handtekening, met de hoogste juridische status in de EU. Kan worden aangemaakt met de wallet.
• Gekwalificeerde Elektronische Zegels — gebruikt door organisaties (rechtspersonen) om de herkomst en integriteit van documenten en gegevens te garanderen
• Gekwalificeerde Tijdstempels — cryptografisch bewijs dat gegevens op een specifiek moment bestonden
• QWACs (Gekwalificeerde Websiteauthenticatiecertificaten) — certificaten die de identiteit van websites verifiëren en gebruikers zekerheid geven over wie een site beheert
• QEAA (Gekwalificeerde Elektronische Attestatie van Attributen) — nieuw in eIDAS 2.0. Juridisch erkende attestaties over attributen van een persoon of organisatie (kwalificaties, autorisaties, lidmaatschappen), uitgegeven door QTSP's en presenteerbaar via de wallet
• Elektronische Archivering — gekwalificeerde diensten voor langetermijnbewaring van elektronische documenten en gegevens, met behoud van integriteit door de tijd heen
• Elektronische Grootboeken — nieuw in eIDAS 2.0. Gekwalificeerde diensten voor het vastleggen van gegevens in een manipulatiebestendige, chronologisch geordende reeks

QTSP's (Gekwalificeerde Vertrouwensdienstverleners) moeten voldoen aan strenge beveiligings-, audit- en toezichtsvereisten die zijn vastgesteld door hun nationale toezichthouder. Zij ondergaan regelmatig conformiteitsbeoordelingen en staan op de EU Trusted List, waardoor hun status verifieerbaar is in alle lidstaten. De toevoeging van QEAA is bijzonder belangrijk — het biedt de juridische basis voor digitale credentials met hoge betrouwbaarheid in wallets en overbrugt de kloof tussen technische Verifiable Credentials en juridisch bindende attestaties.

Hoe kan Regen Studio helpen met eIDAS 2.0?

Regen Studio biedt onafhankelijk advies over eIDAS 2.0, digitale identiteit en het raakvlak met digitale productpaspoorten. Wij verkopen geen wallet-software, identiteitsplatforms of infrastructuur voor vertrouwensdiensten — ons advies wordt bepaald door uw behoeften, niet door een product dat wij moeten verkopen.

Onze expertise en track record op het gebied van digitale identiteit:

• EDI Wallet-demo — wij ontwierpen en bouwden de EDI Wallet-demonstratie (probeer hem live), die laat zien hoe Europese Digitale Identiteitswallets in de praktijk werken voor uitgifte, opslag en selectieve openbaarmaking van credentials
• Trusted DPP-positiedocument — wij leidden het Trusted DPP-positiedocument voor FIDES en de Dutch Blockchain Coalition, waarin wij in kaart brachten hoe eIDAS 2.0 en DPP-infrastructuur moeten convergeren
• SSI en privacy-by-design — diepgaande expertise in de architectuur van Auto-soberane Identiteit, privacy engineering en het praktisch ontwerp van verifiable-credential-ecosystemen (lees onze blog over SSI en privacy)
• Regelgevingsnavigatie — wij helpen organisaties te begrijpen wat eIDAS 2.0 betekent voor hun sector, de gereedheid te beoordelen en identiteitsarchitecturen te ontwerpen die aansluiten op de EU-vereisten

Of u nu een overheidsinstantie bent die zich voorbereidt op het uitgeven van wallet-credentials, een QTSP die zich aanpast aan eIDAS 2.0, een merk dat verkent hoe digitale identiteit uw DPP-strategie ondersteunt, of een brancheorganisatie die een sectorale aanpak coördineert — wij helpen u door het landschap te navigeren.