De EUDI Wallet (European Digital Identity Wallet) is een door de EU gestandaardiseerd digitaal identiteitsinstrument waarmee burgers en medewerkers van organisaties hun identiteit, kwalificaties en attributen kunnen aantonen zonder tussenkomst van commerciële identiteitsaanbieders. De juridische basis is de eIDAS 2.0 Verordening (EU) 2024/1183, gepubliceerd in het Publicatieblad van de Europese Unie, die de oorspronkelijke eIDAS-verordening uit 2014 significant uitbreidt en moderniseert.
Voor compliance officers en IT-beslissers in overheid, rechtspraktijk en zorg betekent dit concreet: de komende jaren worden zij verplicht om walletgebaseerde authenticatie te kunnen accepteren, en worden zij tegelijkertijd in de positie gebracht om hun volledige IAM-architectuur te herontwerpen op basis van Europese soevereiniteitsuitgangspunten.
Wat de EUDI Wallet is en wat de ARF voorschrijft
De EUDI Wallet is geen app van één leverancier, maar een ecosysteem dat wordt gedefinieerd door het Architecture Reference Framework (ARF), dat de Europese Commissie samen met de lidstaten heeft gepubliceerd. De ARF beschrijft de technische en organisatorische vereisten waaraan walletimplementaties moeten voldoen: van de opslag van verifiable credentials tot de protocollen voor het uitwisselen van identiteitsbewijzen.
Praktisch houdt de ARF in dat wallets gebruik moeten maken van OpenID4VCI (OpenID for Verifiable Credential Issuance) voor het ophalen van attributen en OpenID4VP (OpenID for Verifiable Presentations) voor het presenteren van die attributen aan een dienstverlener. Dit zijn open standaarden van de OpenID Foundation en vormen de brug tussen de wallet en bestaande IAM-infrastructuur.
Belangrijk voor gereguleerde sectoren: de ARF schrijft selective disclosure voor. Een ziekenhuis dat alleen de BIG-registratie van een arts wil verifiëren, hoeft niet de volledige identiteitsdocumenten te ontvangen. Dit principe is niet alleen privacyvriendelijk, het is ook juridisch verankerd in de verordening zelf.
“The European Digital Identity Wallet will give all Europeans access to a personal digital wallet, enabling them to prove their identity and share digital documents, with full control over their own data.” — Ursula von der Leyen, Voorzitter Europese Commissie, State of the Union Address 2020
eIDAS 2.0-verplichtingen voor elektronische handtekeningen en zegels
Organisaties die al werken met elektronische handtekeningen of organisatiezegels, worden direct geraakt door eIDAS 2.0. De verordening introduceert drie niveaus van elektronische handtekeningen: eenvoudig (EA), geavanceerd (AEA) en gekwalificeerd (QES). Alleen de QES heeft volledige rechtskracht in alle EU-lidstaten en vereist een certificaat van een Qualified Trust Service Provider (QTSP).
Voor rechtskantoren, notarissen en overheidsinstanties betekent dit dat contracten, besluiten en andere rechtsgeldige documenten die digitaal worden ondertekend, gebruik moeten maken van een door een QTSP uitgegeven certificaat. Het inzetten van een handtekeningoplossing die uitsluitend steunt op de infrastructuur van Microsoft of DocuSign voldoet niet aan de eis van een gekwalificeerde handtekening, tenzij die aanbieders zelf als QTSP zijn gecertificeerd voor de betreffende dienst.
In Nederland houdt de Rijksinspectie Digitale Infrastructuur (RDI) toezicht op QTSP’s en beheert de Nederlandse Trusted List. Organisaties dienen bij aanbesteding of inkoop van trust services expliciet te controleren of een aanbieder op deze lijst staat.
“Trust services under eIDAS provide a legally robust foundation, but organisations must actively choose qualified providers to ensure cross-border legal effect and liability coverage.” — ENISA, Europees Agentschap voor Cyberbeveiliging, ENISA eIDAS Guideline for Trust Service Providers
Verhouding tot SAML, OAuth 2.0 en OpenID Connect
De EUDI Wallet vervangt bestaande IAM-standaarden niet, maar bouwt er op voort. De meeste organisaties gebruiken vandaag SAML 2.0 voor federatieve aanmelding bij on-premise applicaties en OAuth 2.0 samen met OpenID Connect (OIDC) voor moderne webapplicaties. OpenID4VP en OpenID4VCI zijn extensies op OIDC en zijn daarmee in principe compatibel met bestaande infrastructuur, mits de identity provider (IdP) wordt bijgewerkt.
| Protocol | Toepassing | Rol in EUDI-ecosysteem | Soevereiniteitsrisico |
|---|---|---|---|
| SAML 2.0 | Federatieve SSO, legacy applicaties | Indirecte integratie via IdP-koppeling | Laag, indien IdP on-premise |
| OAuth 2.0 / OIDC | Moderne web- en mobiele apps | Basis voor OpenID4VP/VCI | Hoog bij gebruik van Azure AD / Google |
| OpenID4VCI | Uitgifte van verifiable credentials | Kern van EUDI Wallet-uitgifte | Laag bij EU-QTSP als issuer |
| OpenID4VP | Presentatie van credentials aan diensten | Kern van EUDI Wallet-verificatie | Laag bij on-premise verifier |
Nextcloud en soevereine werkplekintegratie
Nextcloud ondersteunt natively zowel SAML 2.0 als OIDC, wat het een geschikte basis maakt voor eIDAS 2.0-conforme werkplekken. De praktische stap is het tussenplaatsen van een zelfgehoste identity provider, in de meeste gevallen Keycloak (open source, geen vendor lock-in), die als OIDC-broker fungeert tussen de EUDI Wallet van de gebruiker en de Nextcloud-instantie.
Concreet werkt dit als volgt: de medewerker opent de wallet-app, presenteert via OpenID4VP de vereiste attributen aan Keycloak, en Keycloak geeft een OIDC-sessie af die Nextcloud vertrouwt. Het volledige traject verloopt zonder dat identiteitsdata de eigen infrastructuur verlaat of langs een Amerikaanse clouddienst gaat. Dit is precies het onderscheid met de situatie waarbij Microsoft Entra ID (voorheen Azure Active Directory) als identity provider fungeert: in dat geval zijn authenticatiedata onderhevig aan de US CLOUD Act.
Privacyimplicaties en soevereine IAM-architectuur
De EUDI Wallet is technisch ontworpen met privacybescherming als uitgangspunt, maar de implementatiekeuzes van een organisatie bepalen of die bescherming ook in de praktijk standhoudt.
Twee architectuurprincipes zijn daarbij doorslaggevend. Ten eerste: de wallet zelf bewaart credentials op het apparaat van de gebruiker en niet in een centrale cloud. Ten tweede: de ARF vereist unlinkability, wat betekent dat de wallet-provider technisch niet in staat mag zijn te reconstrueren bij welke diensten een gebruiker heeft ingelogd. Dit onderscheidt de EUDI Wallet fundamenteel van federated identity-modellen waarbij één grote aanbieder (Google, Microsoft) de volledige authenticatiegeschiedenis ziet.
Voor werknemers betekent dit een concrete verbetering: de werkgever ziet alleen de attributen die voor toegang nodig zijn, niet wanneer de werknemer zich elders authenticeert. Voor burgers die met overheidsdiensten communiceren, geldt hetzelfde principe: alleen de dienst die de verificatie uitvoert, ziet de gepresenteerde attributen, en alleen voor de duur van de transactie.
Volgens het ENISA Threat Landscape 2023 is identiteitsmisbruik en credential theft betrokken bij meer dan 80% van de datalekken in overheids- en financiële sectoren. Een gedecentraliseerde walletarchitectuur zonder centrale credential-database verkleint dit aanvalsoppervlak substantieel.
De Europese Commissie stelt als doelstelling dat tegen 2030 ten minste 80% van de EU-burgers toegang heeft tot een digitale identiteitsoplossing die voldoet aan eIDAS 2.0. Dat tempo wordt ondersteund door vier grootschalige pilotprogramma’s (Large Scale Pilots) waaraan meer dan 360 organisaties uit 26 EU-lidstaten deelnemen, gestart in 2023.
Nationale trust frameworks en de rol van QTSP’s
Een soevereine IAM-architectuur staat of valt met de keuze van vertrouwensdienstverleners. Onder eIDAS 2.0 zijn QTSP’s de enige aanbieders die juridisch aansprakelijk zijn voor de geldigheid van gekwalificeerde certificaten en handtekeningen. Zij worden geauditeerd door nationale toezichthouders en opgenomen in nationale Trusted Lists, die op Europees niveau worden geconsolideerd via de EU Trusted List van de Europese Commissie.
Het nationale trust framework bepaalt ook de betrouwbaarheidsniveaus (low, substantial, high) die lidstaten toekennen aan hun eID-middelen. Organisaties die toegang verlenen op basis van een EUDI Wallet-credential, moeten het betrouwbaarheidsniveau van dat credential afstemmen op het risiconiveau van de te beschermen bron. Voor toegang tot bijzondere persoonsgegevens of staatsgeheimen is het niveau “high” vereist, wat betekent dat de wallet-uitgifte gepaard moet gaan met een face-to-face verificatie of equivalent.
Nederlandse QTSP’s die op de RDI Trusted List staan, kunnen worden ingezet voor de uitgifte van organisatiecertificaten (voor zegels en server-authenticatie) en persoonscertificaten (voor gekwalificeerde handtekeningen). Bij de integratie met Nextcloud of een vergelijkbare soevereine werkplekoplossing kunnen deze certificaten worden gebruikt voor documentondertekening direct vanuit de werkplek, zonder afhankelijkheid van externe cloud-handtekeningdiensten.
Van theorie naar implementatie: concrete stappen
Organisaties die willen beginnen met de transitie naar een eIDAS 2.0-conforme, soevereine IAM-architectuur, doorlopen doorgaans vier stappen. Eerst: inventariseer alle huidige authenticatiemethoden en identificeer welke afhankelijkheden er bestaan van niet-EU-identiteitsaanbieders. Tweede stap: selecteer een QTSP op de nationale Trusted List voor de uitgifte van organisatie- en persoonscertificaten. Derde stap: zet een zelfgehoste identity provider op (bij voorkeur Keycloak of een equivalent) en configureer OIDC-federatie met de doelplatformen, waaronder Nextcloud. Vierde stap: start een pilotproject met een afgebakende gebruikersgroep voor walletgebaseerde authenticatie via OpenID4VP, en toets de unlinkability en selective disclosure in de praktijk.
Deze aanpak sluit ook aan op de NIS-2-verplichting voor organisaties in essentiële en belangrijke sectoren om aantoonbaar risicobeheersmaatregelen te treffen voor toegangsbeheer en authenticatie. De keuze voor een Europese, gekwalificeerde identiteitsarchitectuur is daarmee zowel een GDPR- als een NIS-2-compliance maatregel in één.
FAQ
Is de EUDI Wallet verplicht voor alle Europese organisaties?
De EUDI Wallet is niet verplicht voor alle organisaties, maar eIDAS 2.0 verplicht EU-lidstaten om een wallet aan te bieden aan hun burgers. Organisaties in gereguleerde sectoren die elektronische identificatie of gekwalificeerde handtekeningen gebruiken, moeten walletgebaseerde authenticatie kunnen accepteren. Grote online platforms vallen onder een expliciete acceptatieplicht.
Kan een organisatie de EUDI Wallet integreren met een bestaande Nextcloud-omgeving?
Ja. Nextcloud ondersteunt SAML 2.0 en OpenID Connect, de protocollen waarop de EUDI Wallet-integratie via OpenID4VP en OpenID4VCI is gebaseerd. Met een zelfgehoste identity provider zoals Keycloak kan Nextcloud zo worden geconfigureerd dat de wallet als primaire authenticatiemethode fungeert, zonder afhankelijkheid van externe cloudidentiteitsdiensten.
Wat is het verschil tussen een QTSP en een gewone identiteitsaanbieder zoals Microsoft Entra?
Een QTSP is door een nationale toezichthouder geauditeerd en opgenomen in de EU Trusted List. QTSP’s zijn juridisch aansprakelijk voor de geldigheid van de door hen uitgegeven gekwalificeerde certificaten. Commerciële identiteitsaanbieders zoals Microsoft Entra bieden geen gekwalificeerde dienstverlening in de eIDAS-betekenis en creëren bovendien een jurisdictioneel risico door de toepasselijkheid van de US CLOUD Act op Microsoft-data.
Hoe beschermt de EUDI Wallet de privacy van werknemers en burgers?
De ARF schrijft voor dat de wallet selective disclosure ondersteunt: de gebruiker geeft alleen de attributen vrij die een dienst daadwerkelijk nodig heeft. Bovendien mag de wallet-provider technisch gezien niet kunnen zien bij welke diensten de gebruiker inlogt (unlinkability). In een soevereine IAM-architectuur worden identiteitsdata uitsluitend op het apparaat van de gebruiker of op een Europese on-premise server bewaard.
Welke Nederlandse instantie houdt toezicht op eIDAS 2.0 en QTSP’s?
In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder voor elektronische vertrouwensdiensten onder eIDAS. De RDI beheert de Nederlandse Trusted List en auditeert aanbieders die de QTSP-status willen verkrijgen. Organisaties kunnen de actuele lijst raadplegen via de website van de RDI.
