De EU Digital Identity Wallet (EUDI Wallet), ingesteld door Verordening (EU) 2024/1183 (eIDAS 2.0), is een door de overheid afgegeven digitale identiteitsoplossing waarmee burgers en organisaties zich in de gehele Europese Unie kunnen authenticeren en geverifieerde attributen kunnen delen. Voor compliance officers, IT-beslissers en organisaties in overheidsdiensten, de juridische sector en andere gereguleerde sectoren stelt deze verordening concrete en juridisch afdwingbare eisen aan authenticatie-infrastructuur, privacybescherming en cybersecurity.
Wat eIDAS 2.0 van organisaties vereist
Verordening (EU) 2024/1183 legt niet alleen lidstaten maar ook specifieke categorieën private dienstverleners een acceptatieplicht op voor de EUDI Wallet als authenticatiemiddel bij diensten waarvoor sterke authenticatie vereist is.
De verordening wijst expliciet sectoren aan die de wallet moeten accepteren: overheidsdiensten, banken en betaalinstellingen onder de herziene betaaldienstenrichtlijn, telecombedrijven, gezondheidszorginstellingen en grote platforms die onder de Digital Services Act vallen. De verplichting is gefaseerd: lidstaten moeten uiterlijk 24 maanden na de inwerkingtreding zorgen voor een werkende nationale wallet-app, en dienstverleners krijgen aansluitend een implementatietermijn. Organisaties die nu al digitale authenticatie-infrastructuur bouwen of vernieuwen, kunnen dit moment niet negeren.
Een belangrijk onderscheid ten opzichte van de originele eIDAS-verordening (910/2014) is dat eIDAS 2.0 voor het eerst een rechtstreekse verplichting voor de private sector introduceert. Onder de oude verordening was wederzijdse erkenning van eID-middelen vrijwillig voor private partijen; dat is nu structureel veranderd.
| Aspect | eIDAS (910/2014) | eIDAS 2.0 (2024/1183) |
|---|---|---|
| Acceptatieplicht private sector | Vrijwillig | Verplicht voor aangewezen sectoren |
| Digitale identiteitsoplossing | Nationaal eID-schema | EUDI Wallet per lidstaat |
| Attributen delen | Beperkt, geen gestandaardiseerde aanpak | Selective disclosure via ARF-standaarden |
| Relatie met NIS-2 | Geen expliciete koppeling | Vertrouwensdiensten vallen ook onder NIS-2 |
Integratie in soevereine authenticatie-infrastructuur
Overheden en juridische dienstverleners kunnen de EUDI Wallet koppelen aan hun eigen identity- en access management (IAM)-omgeving, mits die koppeling zorgvuldig is opgezet om jurisdictierisico’s te vermijden.
Het Architecture and Reference Framework (ARF) van de EUDI Wallet, gepubliceerd door de Europese Commissie en doorlopend bijgewerkt door de betrokken technische werkgroepen, beschrijft hoe zogenoemde “relying parties” de wallet kunnen raadplegen via OpenID4VP (OpenID for Verifiable Presentations). Dit protocol maakt het mogelijk dat een overheids- of rechtbankportaal een burgerattribuut opvraagt, zonder dat een centrale identiteitsprovider die transactie ziet. De koppeling verloopt peer-to-peer tussen de wallet van de gebruiker en het systeem van de relying party.
Voor juridische dienstverleners en rechtbanken die al werken met een gesloten PKI-omgeving of een on-premise LDAP-directory, is de voorkeursstrategie om de EUDI Wallet te positioneren als een aanvullend authenticatiemiddel naast bestaande middelen, niet als volledige vervanging. Een soevereine Nextcloud-omgeving of een selfhosted identity provider (bijvoorbeeld Keycloak op eigen servers) kan fungeren als brug tussen de EUDI Wallet en interne systemen, zonder dat authenticatiedata via buitenlandse cloudinfrastructuur loopt.
Privacy by design: selective disclosure en de AVG
De EUDI Wallet biedt twee technische mechanismen die privacybescherming operationeel maken: selective disclosure en zero-knowledge proofs. Een DPO moet beide kennen om de AVG-conformiteit van een wallet-implementatie te beoordelen.
Selective disclosure, geïmplementeerd via het SD-JWT-formaat en het ISO/IEC 18013-5 mdoc-formaat (beide vastgelegd in het ARF), stelt een gebruiker in staat slechts een subset van zijn credentials te tonen. Een advocaat hoeft voor toegang tot een beveiligd dossierportaal niet zijn volledige identiteitsdocument te presenteren, maar kan volstaan met het bewijs dat hij een geregistreerd lid is van de balie. Zero-knowledge proofs gaan een stap verder: de gebruiker bewijst een eigenschap (zoals meerderjarigheid) zonder het onderliggende attribuut (geboortedatum) prijs te geven.
Voor een DPO zijn drie AVG-toetspunten relevant. Ten eerste: vragen relying parties niet meer attributen op dan strikt noodzakelijk (dataminimalisatie, artikel 5 AVG)? Ten tweede: is er een rechtsgeldige verwerkingsgrondslag voor de ontvangen persoonsgegevens? Ten derde: kwalificeert de wallet-aanbieder als verwerker of als verwerkingsverantwoordelijke, en zijn de contractuele verplichtingen (verwerkersovereenkomst of gezamenlijke verantwoordelijkheid) correct geregeld?
De eIDAS Expert Group, het adviesorgaan van de Europese Commissie voor de implementatie van eIDAS 2.0, stelt hierover: “The EUDI Wallet must respect the principle of data minimisation: users should only share what is strictly necessary for a given transaction, and relying parties must not request more attributes than they need.”
Statistisch gegeven: Volgens ENISA had in 2023 meer dan 40% van de significante cyberincidenten in de EU betrekking op identiteits- en toegangsbeheer als aanvalsvector (ENISA Threat Landscape 2023, www.enisa.europa.eu). Dit onderstreept waarom robuuste, privacyvriendelijke authenticatie geen luxe is maar een beveiligingsnecessiteit.
De relatie tussen eIDAS 2.0 en NIS-2
De twee verordeningen overlappen doelbewust: eIDAS 2.0 regelt de identiteitslaag, NIS-2 Richtlijn 2022/2555 regelt de beveiligingslaag voor digitale infrastructuur, inclusief vertrouwensdiensten.
Aanbieders van gekwalificeerde vertrouwensdiensten (QTSP’s) onder eIDAS 2.0, zoals certificeringsinstanties die wallet-certificaten uitgeven, vallen tevens onder de NIS-2-definitie van “essentiële entiteiten”. Dat betekent dat zij verplicht zijn tot het melden van significante incidenten aan de bevoegde autoriteit, het uitvoeren van risicoanalyses en het treffen van passende beveiligingsmaatregelen. ETSI TC ESI (Technical Committee Electronic Signatures and Infrastructures) stelt de technische normen op die QTSP’s moeten volgen, waaronder EN 319 401 voor algemene beveiligingseisen en de reeks EN 319 411 voor certificatiebeleid.
ENISA formuleert dit als volgt: “Trust service providers operating under eIDAS must align their security practices with NIS-2 requirements, as both frameworks share the objective of a high common level of cybersecurity across the Union.”
Voor IT-beslissers in gereguleerde sectoren betekent dit concreet dat de keuze voor een wallet-integratiepartner of een QTSP niet alleen een technische maar ook een compliancekeuze is: een aanbieder die niet NIS-2-conform is, brengt de organisatie zelf in risico.
De kwantumdreiging en PQC-eisen voor walletcertificaten
De cryptografische grondslagen van de EUDI Wallet, momenteel gebaseerd op RSA, ECDSA en vergelijkbare algoritmen, zijn kwetsbaar zodra cryptografisch relevante kwantumcomputers beschikbaar komen.
In augustus 2024 publiceerde NIST de eerste drie definitieve post-quantum cryptografiestandaarden: FIPS 203 (ML-KEM, gebaseerd op CRYSTALS-Kyber), FIPS 204 (ML-DSA, gebaseerd op CRYSTALS-Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+). Deze standaarden vormen de referentie voor de PQC-transitie in digitale identiteitssystemen wereldwijd (NIST, augustus 2024, www.nist.gov).
ETSI TC ESI en de eIDAS Expert Group werken aan specificaties die vereisen dat wallet-certificaten en de bijbehorende PKI-infrastructuur migreren naar PQC-algoritmen. Het ARF voor de EUDI Wallet voorziet in een crypto-agile architectuur: de wallet moet in staat zijn nieuwe algoritmen te ondersteunen zonder dat de gehele infrastructuur opnieuw opgebouwd moet worden. Voor organisaties die nu investeren in wallet-compatibele IAM-systemen is het essentieel dat de gekozen oplossingen crypto-agility als basisvereiste hanteren.
Vendor lock-in en jurisdictierisico’s bij niet-EU-cloudimplementaties
De technische architectuur van de EUDI Wallet is open en gebaseerd op open standaarden, maar de implementatielaag, de servers waarop relying-party-backends draaien, de certificeringsinfrastructuur en eventuele attribut-providers, kan wél afhankelijk zijn van buitenlandse cloudproviders.
Wanneer een overheidsorganisatie of juridisch dienstverlener de wallet-integratie uitbesteedt aan een leverancier die gebruikmaakt van AWS, Microsoft Azure of Google Cloud, dan vallen de verwerkte authenticatiegegevens potentieel onder de US CLOUD Act. Die wet stelt Amerikaanse overheidsinstanties in staat bij Amerikaanse bedrijven gegevens op te vragen die buiten de VS zijn opgeslagen, ook als de betreffende servers in Europa staan. Dit is structureel onverenigbaar met de doelstelling van eIDAS 2.0, namelijk het verankeren van Europese digitale soevereiniteit.
Het ENISA EUDI Wallet Certification Scheme, dat momenteel in ontwikkeling is op grond van de Cybersecurity Act (Verordening (EU) 2019/881), zal eisen stellen aan de beveiliging en de operationele omgeving van wallet-componenten. Of dat schema ook expliciete eisen stelt aan de jurisdictie van de onderliggende cloudinfrastructuur, is op het moment van schrijven nog niet definitief vastgesteld. Organisaties die het zekere voor het onzekere nemen, kiezen voor Europese of on-premise hosting van alle wallet-gerelateerde backend-componenten.
De Europese Commissie stelt als doelstelling dat in 2030 minstens 80% van de EU-burgers toegang heeft tot een digitale identiteitsoplossing die voldoet aan eIDAS 2.0 (Europese Commissie, Digital Compass 2030, commission.europa.eu). Dat doel is alleen haalbaar als ook de onderliggende infrastructuur duurzaam Europees en soeverein is ingericht.
Praktische stappen voor compliance officers en IT-beslissers
Organisaties in gereguleerde sectoren doen er verstandig aan de wallet-implementatie in drie lagen te benaderen. De eerste laag is juridisch: bepaal of uw organisatie onder de acceptatieplicht van Verordening (EU) 2024/1183 valt, en welke diensten dat concreet betreft. De tweede laag is technisch: inventariseer of uw huidige IAM-omgeving OpenID4VP ondersteunt, of uw certificateninfrastructuur PQC-transitiepaden heeft, en of alle betrokken servers binnen EU-jurisdictie vallen. De derde laag is organisatorisch: leg de rolverdeling vast tussen de wallet-aanbieder, uw organisatie als relying party, en eventuele verwerkers, inclusief de bijbehorende verwerkersovereenkomsten.
De combinatie van eIDAS 2.0, NIS-2 en de AVG creëert een samenhangend maar complex normenkader. Organisaties die deze drie kaders als afzonderlijke compliancetrajecten behandelen, lopen het risico op tegenstrijdige implementatiekeuzes. Een geïntegreerde aanpak, waarbij authenticatie, beveiliging en privacybescherming vanuit één architectuurvisie worden ontworpen, is zowel juridisch robuuster als operationeel efficiënter.
FAQ
Zijn alle organisaties verplicht de EUDI Wallet te accepteren?
Nee, niet alle organisaties. Verordening (EU) 2024/1183 verplicht specifieke categorieën van publieke en private dienstverleners, zoals overheden, banken, telecombedrijven en gezondheidszorginstellingen, om de EUDI Wallet te accepteren voor diensten waarvoor sterke authenticatie vereist is. Kleine ondernemingen buiten deze categorieën vallen niet automatisch onder de acceptatieplicht.
Wat is selective disclosure en hoe werkt dat in de EUDI Wallet?
Selective disclosure is een privacytechniek waarbij de houder van een digitale identiteit alleen specifieke attributen deelt, zonder de volledige credential prijs te geven. In de EUDI Wallet wordt dit mogelijk gemaakt via SD-JWT en mdoc-formaten zoals gedefinieerd in het ARF, zodat een gebruiker bijvoorbeeld alleen zijn leeftijdscategorie bewijst zonder zijn geboortedatum te tonen.
Hoe verhoudt de EUDI Wallet zich tot de AVG?
De EUDI Wallet is ontworpen met de AVG-beginselen als uitgangspunt: dataminimalisatie, doelbinding en privacy by design. Een DPO moet beoordelen of de relying party niet meer persoonsgegevens opvraagt dan strikt noodzakelijk, of de gegevensverwerking een rechtsgrondslag heeft, en of de wallet-aanbieder als verwerker of verwerkingsverantwoordelijke kwalificeert. Selective disclosure en zero-knowledge proofs helpen de gegevensdeling tot het minimum te beperken.
Wat betekent de kwantumdreiging concreet voor de beveiliging van de EUDI Wallet?
De cryptografische handtekeningen en certificaten die de EUDI Wallet nu gebruikt, zijn gebaseerd op algoritmen zoals RSA en ECDSA. Een krachtige kwantumcomputer kan deze in de toekomst breken via het algoritme van Shor. ETSI TC ESI en de eIDAS Expert Group werken aan specificaties voor post-quantum cryptografie op basis van de NIST PQC-standaarden (FIPS 203, 204 en 205), zodat walletcertificaten ook na de kwantumtransitie betrouwbaar blijven.
Wat is het risico als een wallet-implementatie draait op Amerikaanse cloudinfrastructuur?
Als de backend van een EUDI Wallet-implementatie draait op servers van een Amerikaanse cloudprovider, vallen de verwerkte gegevens potentieel onder de reikwijdte van de US CLOUD Act en de Patriot Act. Dit kan betekenen dat Amerikaanse autoriteiten zonder medeweten van de betrokkene toegang kunnen vorderen tot identiteitsgegevens, wat strijdig is met de AVG en de soevereiniteitsdoelstellingen van eIDAS 2.0. Organisaties in gereguleerde sectoren doen er verstandig aan te kiezen voor EU-gehoste of on-premise infrastructuur.
