eIDAS 2.0 uitleg: digitale identiteit voor bedrijven

Uiterlijk eind 2026 moeten EU-lidstaten burgers en bedrijven toegang bieden tot een digitale identiteitswallet. Organisaties die identiteitsgerelateerde documenten uitgeven of verifiëren (van kamers van koophandel tot banken, verzekeraars en inkoopplatforms) zullen steeds vaker met verifieerbare credentials werken in plaats van met pdf's en e-mail.

Wie vroeg instapt, bouwt een structureel voordeel op: snellere onboarding, minder frauderisico, geautomatiseerde compliancecontroles en gereedheid voor verplichte regelgeving nog voordat die van kracht wordt. Organisaties die wachten, krijgen te maken met een samengeperste overgangsperiode, met hogere kosten en meer verstoring.

De eerste eIDAS-verordening, Regulation (EU) No 910/2014, deed twee dingen. Zij maakte nationale elektronische identiteitsstelsels grensoverschrijdend herkenbaar, zodat een login uit de ene lidstaat toegang kon geven tot een overheidsdienst in een andere. Daarnaast gaf zij vertrouwensdiensten zoals elektronische handtekeningen, zegels en tijdstempels een juridische basis die in de hele Unie gold.

In de praktijk kwam de eerste helft nooit echt van de grond. Het aanmelden van een nationaal stelsel was vrijwillig, waardoor begin jaren twintig een groot deel van de Europeanen helemaal geen aangemelde elektronische identiteit had, en de stelsels die er wel waren zelden buiten het eigen land werkten. Niets verplichtte private organisaties om ze te accepteren, waardoor banken, telecomaanbieders en platformen hun eigen identiteitscontroles bleven bouwen.

eIDAS 2.0, Regulation (EU) 2024/1183, behoudt de vertrouwensdiensten en bouwt de identiteitshelft opnieuw op rond de houder. Elke lidstaat moet nu een wallet aanbieden in plaats van alleen de mogelijkheid te hebben een stelsel aan te melden, een afgebakende groep private organisaties moet die wallet accepteren, en geverifieerde feiten over een persoon of een bedrijf worden een volwaardige vertrouwensdienst. De houder bepaalt wat er bij elke transactie wordt gedeeld, en juist die verschuiving maakt de rest mogelijk.

Voor een bedrijf zit het praktische verschil in de richting van de beweging. Onder het oude kader koos u zelf of u elektronische identiteit ondersteunde, en meestal was de conclusie dat het de moeite niet waard was. Onder het nieuwe kader komt de infrastructuur er hoe dan ook, krijgen uw tegenpartijen die gratis, en wordt de vraag hoe snel u er gebruik van kunt maken.

eIDAS 2.0 werkt op twee niveaus. Lidstaten moeten de infrastructuur van de European Digital Identity Wallet bouwen, beheren en beschikbaar stellen aan burgers en bedrijven. Organisaties die identiteitsgerelateerde documenten uitgeven of verifiëren, zoals kamers van koophandel, banken, verzekeraars, overheidsinstanties en inkoopplatforms, moeten credentials kunnen uitgeven naar die wallet of credentials kunnen accepteren die daaruit worden gepresenteerd.

De uitrol volgt een vaste tijdlijn. Uiterlijk eind 2026 moet elke EU-lidstaat burgers en bedrijven toegang bieden tot een digitale identiteitswallet. Organisaties die credentials uitgeven of verifiëren, wordt geadviseerd om ruim voor die datum de technische capaciteit te hebben om met wallet-gebaseerde credentials te werken, omdat de vraag van wallethouders ontstaat zodra de wallet zelf beschikbaar is.

In de praktijk komt voorbereiden neer op drie zaken: credentialformaten afstemmen op de standaarden waarop de wallet is gebouwd (W3C Verifiable Credentials, mdoc, OpenID4VC), aansluiten op een vertrouwensregister zodat uitgegeven credentials geverifieerd kunnen worden zonder rechtstreeks contact met de uitgever, en een privacy-by-design-architectuur hanteren die credentials in de eigen wallet van de houder bewaart in plaats van in een gedeeld register, en alleen de attributen deelt die een verifier nodig heeft. Organisaties die vroeg beginnen, ontlopen de samengeperste overgangsperiode, hogere kosten en verstoring die ontstaan als men wacht tot de deadline dichtbij is.

De belangrijkste verplichting is de wallet zelf. Uiterlijk 24 december 2026 moet elke lidstaat ten minste een European Digital Identity Wallet aanbieden, kosteloos voor natuurlijke personen, en ervoor zorgen dat die werkt voor burgers, inwoners en bedrijven. Overheidsdiensten moeten hem vanaf diezelfde datum accepteren, in eigen land en voor houders uit elke andere lidstaat.

Achter de wallet zit machinerie die voor een bedrijf net zo belangrijk is en veel minder aandacht krijgt. Lidstaten moeten ervoor zorgen dat persoonsidentificatiegegevens in de wallet kunnen worden uitgegeven, en dat authentieke bronnen zoals handelsregisters, onderwijsregisters en beroepsorganisaties hun gegevens elektronisch kunnen leveren. Ook moeten zij walletoplossingen certificeren en publiceren welke daarvan zijn goedgekeurd.

Twee van deze onderdelen zijn waar een vertrouwende partij dagelijks op leunt. Er moet een manier zijn om kosteloos te controleren of een wallet die een credential presenteert echt en nog geldig is. En er moet een nationaal register van vertrouwende partijen komen, waar uw eigen organisatie zich inschrijft voordat zij een wallet überhaupt iets mag vragen.

De voortgang verschilt sterk, dus kijk naar uw eigen lidstaat in plaats van naar het Europese gemiddelde. De datum is overal gelijk, maar welke autoriteit het register van vertrouwende partijen beheert, hoe lang inschrijving duurt en welke authentieke bronnen als eerste worden aangesloten zijn nationale keuzes. Juist die bepalen wanneer u daadwerkelijk kunt beginnen.

Vertrouwensdiensten zijn het deel van eIDAS waar de meeste bedrijven al mee werken zonder het zo te noemen. Zij zorgen ervoor dat een elektronisch document of bericht juridisch gewicht krijgt: ondertekenen, zegelen, tijdstempelen, aangetekende bezorging en nu ook het attesteren van feiten over een persoon of een organisatie.

Het woord dat telt is gekwalificeerd. Een gekwalificeerde dienst komt van een aanbieder die onder toezicht staat en op een nationale vertrouwenslijst is gepubliceerd, en zij geniet in elke lidstaat een wettelijk vermoeden. Een rechter gaat ervan uit dat de handtekening, het zegel of het tijdstempel is wat het zegt te zijn, en wie dat betwist draagt de bewijslast. Een niet-gekwalificeerde dienst kan nog steeds uitstekend bewijs opleveren, maar dan moet u dat zelf aantonen.

Vertrouwensdiensten en de wallet zijn twee helften van hetzelfde plaatje. De wallet bepaalt hoe een credential bij de andere partij komt en hoe de houder kiest wat hij laat zien, terwijl de vertrouwensdiensten ervoor zorgen dat de inhoud daarna standhoudt. De meeste organisaties gebruiken er uiteindelijk meerdere tegelijk: een zegel op wat zij uitgeven, een attestering voor de feiten waarvoor zij kunnen instaan, en een handtekening overal waar een persoon zich moet verbinden.

Vanaf 24 december 2027 is het accepteren van de European Digital Identity Wallet niet langer vrijblijvend voor een groot deel van het bedrijfsleven. De plicht volgt de eis van sterke gebruikersauthenticatie, dus bepaalt de manier waarop u mensen identificeert het, niet het etiket op uw sector.

De regel laat zich het makkelijkst lezen aan de hand van voorbeelden. Een bank voert al een sterke controle uit wanneer iemand een rekening opent of een betaling bevestigt, dus de wallet moet een van de manieren worden waarop aan die controle kan worden voldaan. Een telecomaanbieder die een identiteit verifieert voordat een abonnement wordt geactiveerd, een energieleverancier die een contract overzet en een zorgverzekeraar die een nieuw lid inschrijft verkeren allemaal in dezelfde positie.

Hetzelfde geldt ver buiten de voor de hand liggende gereguleerde namen. Een universiteit die studenten inschrijft, een vervoerder die een personeelspas uitgeeft, een socialezekerheidsinstantie die uitkeringen betaalt en een zeer groot onlineplatform dat gebruikers laat inloggen vallen allemaal onder de verplichting zodra zij iemand authenticeren. Stuurt u mensen nu al online door een formele identiteitscontrole, ga er dan van uit dat u binnen het bereik valt en werk van daaruit verder.

Twee begrenzingen zijn het onthouden waard. De verplichting wordt geactiveerd door de gebruiker, die zelf vraagt om zijn wallet te gebruiken in plaats van dat die wordt opgelegd, en zij geldt voor de identificatiestap en niet voor de hele relatie. Het is ook geen vrijbrief om meer te vragen: u mag alleen de gegevens opvragen die uw registratie als vertrouwende partij dekt, en dat is in de meeste gevallen minder dan een gescand document u zou hebben gegeven.

Overheden zijn als eerste aan de beurt. Zodra wallets beschikbaar zijn, en dat moet uiterlijk 24 december 2026 zijn, moeten zij die accepteren overal waar zij nu al om elektronische identificatie vragen, in eigen land en voor burgers uit andere lidstaten.

Micro- en kleine ondernemingen zijn vrijgesteld van de acceptatieplicht. Zeer grote onlineplatforms die onder de Digital Services Act zijn aangewezen, vallen er wel onder zodra zij gebruikers authenticeren, al legt de verordening hun geen aparte datum op.

Staat uw organisatie op geen van beide lijsten, dan blijft de praktische vraag dezelfde. Elke identiteitscontrole die u vandaag uitvoert, kan een credential worden die in seconden uit een wallet wordt gepresenteerd, met minder fraude, geen documentafhandeling en geen gegevens die u zelf moet bewaren en beschermen.

De European Digital Identity Wallet is opgebouwd rond een persoon. Dat is de juiste vorm om aan te tonen wie er tegenover u staat, en de verkeerde vorm voor de meeste processen tussen bedrijven, waarin het juist om de organisatie draait: met welke rechtspersoon u te maken heeft, wie namens haar mag handelen en hoe ver die bevoegdheid reikt.

eIDAS 2.0 staat nu al toe dat een organisatie credentials houdt en attesteringen over zichzelf ontvangt, dus bedrijfsgegevens kunnen vandaag al via een wallet bewegen. Wat daarmee niet is geregeld, is de administratieve laag eromheen: volmachten, vertegenwoordigingsbevoegdheden, deponeringen en de documentuitwisseling tussen bedrijven en overheidsinstanties die nog steeds via portalen en e-mail verloopt.

Op 19 november 2025 heeft de Europese Commissie een aparte verordening voorgesteld voor de European Business Wallet, precies voor die laag. Die doorloopt nog het wetgevingsproces, dus er is nog geen datum om op te plannen, en niemand zou daarop moeten wachten voordat hij in actie komt.

De nuttige voorbereiding is niet technisch. Bepaal nu wie in uw organisatie eigenaar is van bedrijfscredentials en wie het bedrijf mag binden, want dat is wat elke wallet straks moet uitdrukken. Intern overeenstemming bereiken kost meestal meer tijd dan het bouwen van de integratie.

eIDAS 2.0 kent toezicht, geen zelfverklaring. Elke lidstaat wijst een instantie aan die toezicht houdt op gekwalificeerde aanbieders van vertrouwensdiensten en de gekwalificeerde status kan intrekken, en een instantie die toezicht houdt op de walletaanbieders op haar grondgebied. Gegevensbeschermingsautoriteiten behouden hun eigen rol overal waar persoonsgegevens in het spel zijn, en dat is op dit terrein vrijwel overal.

Registratie als vertrouwende partij raakt gewone bedrijven het meest direct. Omdat uw registratie vastlegt wat u aan een wallet mag vragen, is meer vragen zichtbaar, meldbaar en iets waarop een toezichthouder kan ingrijpen. Lidstaten moeten sancties vaststellen voor overtredingen van de verordening en die doeltreffend, evenredig en afschrikkend maken, en de bedragen worden nationaal bepaald.

Voor de meeste organisaties is de eerste prijs van te laat zijn echter geen boete. Het is een klant die iets in seconden kan aantonen maar toch een scan moet uploaden, een concurrent die diezelfde middag de onboarding afrondt, en een inkoopvraag die u niet goed kunt beantwoorden.

De tweede kostenpost is timing. Alles op de checklist hieronder heeft een doorlooptijd van maanden in plaats van weken, en het moet allemaal in hetzelfde tijdvak gebeuren als bij iedereen. Vroeg beginnen gaat vooral over het vermijden van concurrentie om schaarse aandacht later.

De Business Wallet van Credenco is vanaf de basis ontworpen om aan de eisen van eIDAS 2.0 te voldoen. Hij implementeert W3C Verifiable Credentials, OpenID4VC voor uitgifte en presentatie van credentials, en toetst de betrouwbaarheid van uitgevers aan de eIDAS-vertrouwenslijsten van de EU, zodat elke via Credenco uitgegeven credential het op standaarden gebaseerde vertrouwen draagt dat de verordening vraagt.

Credentials worden bewaard in de eigen wallet van elke organisatie, niet in een gedeeld register, en houders delen alleen de attributen die een verifier nodig heeft. Deze privacy-by-design-architectuur is geen latere aanpassing: het is een kernprincipe dat direct aansluit op zowel de AVG als de wallet-eisen van eIDAS 2.0.