Wat is een vertrouwende partij in het EUDI Wallet-ecosysteem?

De rol is niet nieuw. Uw organisatie is al een vertrouwende partij elke keer dat zij een paspoort, een uittreksel of een diploma controleert. Wat verandert, is dat de controle niet langer een mens is die een document leest, maar een automatisch antwoord dat u binnen seconden kunt vertrouwen.

Vertrouwende partij is een rol, geen soort bedrijf. Dezelfde organisatie kan in het ene proces vertrouwende partij zijn en in het andere uitgever: een universiteit vraagt een student bij inschrijving om een identiteitsbewijs en reikt aan het eind een diploma uit. Wat u op een bepaald moment tot vertrouwende partij maakt, is simpelweg dat u degene bent die vraagt, controleert en beslist.

De belangrijke verschuiving zit in de vraag waar het bewijs vandaan komt. Vandaag draagt de persoon tegenover u de last om aan te tonen dat een document echt is, en draagt u de kosten van het beoordelen daarvan. Met een wallet is het bewijs ondertekend door de organisatie die het feit al heeft, waardoor de controle een berekening wordt in plaats van een inschatting.

Daarom is het de moeite waard de rol te begrijpen, ook als niets u nu al verplicht haar op te pakken. Zodra een klant binnen enkele seconden kan aantonen wie hij is, oogt elk proces dat nog om een upload en een handmatige beoordeling vraagt daarnaast traag.

Als uw dienst gegevens opvraagt, komt dat verzoek niet ongemerkt binnen. De wallet opent een scherm dat de vragende organisatie bij naam noemt, precies opsomt welke gegevens worden opgevraagd en het doel vermeldt dat die organisatie daarvoor heeft geregistreerd. Er wordt niets gedeeld totdat de persoon op akkoord tikt.

De naam op dat scherm typt u niet zelf in. Die komt uit het certificaat dat u bij uw registratie heeft gekregen, en daarom kan de wallet hem tonen als een gecontroleerd feit in plaats van een bewering. Een verzoek van een niet-geregistreerde partij levert dat scherm helemaal niet op.

De persoon kan weigeren, en kan dat elke keer opnieuw doen in plaats van eenmalig voorgoed. Wallets houden bovendien een overzicht bij van wat er is gedeeld en met wie, zodat de beslissing achteraf te bekijken is en niet in een mailbox verdwijnt. Toestemming is geen vinkje meer, maar iets dat de gebruiker daadwerkelijk kan inzien.

Voor uw organisatie is dat precies waar het om draait. De bekende fraude, een overtuigende pagina die om een kopie van een paspoort vraagt, werkt niet meer als mensen gewend zijn een geverifieerde naam te zien voordat zij iets delen. Vragen via de wallet zet u aan de vertrouwde kant van die gewoonte, en verzoeken die betrouwbaar ogen worden vaker afgerond.

In de praktijk is die lijst minder abstract dan hij klinkt. Hij raakt retailbanken, betaalinstellingen en verzekeraars, telecomaanbieders die abonnees aanmelden, energie- en waterbedrijven, luchtvaart- en spoorvervoerders, ziekenhuizen, apotheken en zorgverzekeraars, universiteiten en examenorganisaties, en de overheidsdiensten die al een nationale inlogvoorziening beheren. Vraagt uw onboarding vandaag om een identiteitsbewijs omdat een regel dat voorschrijft, dan valt u er vrijwel zeker onder.

De wallet accepteren betekent niet dat u vervangt wat u heeft. Het betekent dat u de wallet aanbiedt als een van de manieren waarop iemand zich kan identificeren daar waar u al om sterke identificatie vraagt, naast de methoden die u nu ondersteunt. Bestaande klanten houden hun route, en nieuwe krijgen een snellere.

De data zijn het noteren waard. Lidstaten geven hun wallets uit vanaf eind 2026, de regels over registratie als vertrouwende partij gelden vanaf december 2026, en de plicht om de wallet te accepteren komt eind 2027. Registratie hangt af van een nationale autoriteit en van interne besluiten over welke gegevens u nodig heeft, waardoor de kalender krapper is dan één datum in 2027 doet vermoeden.

Alle anderen mogen de wallet vrijwillig accepteren, en heel veel organisaties zullen dat doen. Zodra een klant al geverifieerde identiteits- en bedrijfsgegevens bij zich draagt, is hem vragen om in plaats daarvan een scan te uploaden een stap terug die hij zal opmerken.

Er is niet één Europese wallet-app. Elke lidstaat levert er minstens één, sommige zullen er meerdere hebben, en uw klanten komen binnen met de wallet die hun land heeft uitgegeven. Een organisatie met klanten in een handvol landen koppelt daarom niet met één tegenpartij, maar met een steeds veranderende groep.

De standaarden eronder zijn gedeeld, en dat is wat dit überhaupt mogelijk maakt. Wat verschilt, is alles eromheen: elke wallet heeft eigen vertrouwensankers, een eigen nationaal profiel, een eigen testomgeving en een eigen releasekalender. Een geslaagde test met de ene wallet zegt heel weinig over de volgende.

De eerste integratie is zelden de dure. De kosten zitten in de jaren daarna: updates van specificaties volgen, opnieuw testen als een nationale wallet een nieuwe versie uitbrengt, wijzigingen in vertrouwenslijsten bijhouden en certificaten geldig houden in elk land waar u gevestigd bent. Het is een onderhoudspost in de begroting, geen projectpost.

Een eenvoudige manier om dit in te schatten is twee dingen tellen: het aantal lidstaten waar uw klanten vandaan komen, en het aantal releases dat elk van die wallets per jaar waarschijnlijk uitbrengt. Vermenigvuldig ze en u heeft het aantal keren dat iemand in uw team moet stoppen waar hij mee bezig is. Dat getal, en niet de eerste bouw, is waar de keuze tussen zelf bouwen en inkopen echt om draait.