eIDAS 2 — de Europese portemonnee voor digitale identiteit

eIDAS 2 verplicht elke lidstaat om burgers en bedrijven een Europese portemonnee voor digitale identiteit aan te bieden: een app waarin identiteitsgegevens en officiële attesten worden bewaard en selectief kunnen worden gedeeld. Waar de oorspronkelijke eIDAS-verordening uit 2014 vooral de wederzijdse erkenning van nationale inlogmiddelen regelde, schrijft eIDAS 2 een concreet product voor en verplicht zij bepaalde partijen om dat te accepteren. Voor ondernemers heeft dat twee kanten: de wallet gebruiken om in te loggen, te ondertekenen en bedrijfsgegevens aan te tonen, en — voor sommige bedrijven — hem verplicht accepteren van klanten.

Waarvoor is dit bedoeld

Eén Europees identiteitsmiddel dat in elke lidstaat werkt, zodat inloggen, ondertekenen en het aantonen van gegevens als leeftijd, diploma of bevoegdheid niet langer per land en per dienst verschillend geregeld is. De wallet moet ook zorgen dat een dienstverlener niet meer gegevens te zien krijgt dan voor de transactie nodig is.

Voor wie

Drie groepen. Lidstaten, die ten minste één wallet moeten verstrekken. Publieke instanties, die de wallet moeten accepteren wanneer zij elektronische identificatie eisen voor een onlinedienst (art. 5 septies, lid 1). En bepaalde private vertrouwende partijen, die hem eveneens moeten accepteren. Daarnaast raakt de verordening iedereen die identiteitsgegevens uit de wallet wil uitvragen: die moet zich als vertrouwende partij registreren.

Wat er niet onder valt

Micro-ondernemingen en kleine ondernemingen in de zin van Aanbeveling 2003/361/EG zijn uitdrukkelijk uitgezonderd van de acceptatieplicht voor private partijen. Voor burgers is het gebruik van de wallet vrijwillig: zij kunnen er niet toe worden verplicht, en de acceptatieplicht geldt alleen wanneer de gebruiker er zelf om vraagt.

Wat je moet doen

Voor het overgrote deel van het Nederlandse mkb: niets verplicht. Wie wél onder de acceptatieplicht valt, moet zijn inlog- en authenticatieproces zo inrichten dat een wallet als identificatiemiddel wordt aanvaard, en moet zich als vertrouwende partij laten registreren in de lidstaat van vestiging, met opgave van vestiging, contactgegevens, het beoogde gebruik en de gegevens die worden opgevraagd.

Wie moet de wallet accepteren

Private vertrouwende partijen — micro- en kleine ondernemingen uitgezonderd — die op grond van Unierecht of nationaal recht sterke gebruikersauthenticatie moeten toepassen voor online identificatie, of daartoe contractueel verplicht zijn, onder meer in de sectoren vervoer, energie, bankwezen, financiële dienstverlening, sociale zekerheid, gezondheidszorg, drinkwatervoorziening, postdiensten, digitale infrastructuur, onderwijs en telecommunicatie (art. 5 septies, lid 2). De plicht geldt alleen op vrijwillig verzoek van de gebruiker.

Zeer grote onlineplatforms

Aanbieders van zeer grote onlineplatforms in de zin van de digitaledienstenverordening (EU) 2022/2065 moeten het gebruik van de wallet voor gebruikersauthenticatie faciliteren wanneer de gebruiker daarom vraagt, beperkt tot de gegevens die daarvoor strikt nodig zijn (art. 5 septies, lid 3).

Termijn voor de lidstaten

Elke lidstaat verstrekt ten minste één Europese portemonnee voor digitale identiteit binnen 24 maanden na de inwerkingtreding van de uitvoeringshandelingen die in artikel 5 bis, lid 23 en artikel 5 quater, lid 6 worden genoemd (art. 5 bis, lid 1). Die uitvoeringshandelingen — Uitvoeringsverordeningen (EU) 2024/2977 tot en met 2024/2982 van 28 november 2024 — zijn op 4 december 2024 bekendgemaakt en traden in werking op de twintigste dag daarna. Dat brengt de deadline op eind december 2026.

Termijn voor de acceptatieplicht

Voor de private vertrouwende partijen geldt een termijn van 36 maanden na de inwerkingtreding van diezelfde uitvoeringshandelingen, dus eind december 2027.

Wat de wallet kan

Identiteitsgegevens tonen, elektronische attestaties van attributen bewaren en delen — denk aan een diploma, een rijbewijs, een vergunning of een inschrijving in een handelsregister — en gekwalificeerde elektronische handtekeningen en zegels zetten. De wallet moet gegevens selectief kunnen delen: alleen het gevraagde kenmerk in plaats van het hele document.

Grenzen aan wat een dienstverlener mag vragen

Een vertrouwende partij mag niet meer gegevens opvragen dan voor het opgegeven doel nodig is, moet wijzigingen in haar registratie doorgeven, moet zich aan de gebruiker kenbaar maken, en mag het gebruik van een pseudoniem niet weigeren waar identificatie niet wettelijk is voorgeschreven (art. 5 ter).

Certificering

Wallets moeten worden gecertificeerd. Uitvoeringsverordening (EU) 2024/2981 stelt de certificeringsregels vast; die sluiten aan op het kader van de Cybersecurity Act en het EUCC-schema.

Wat er verder verandert

Naast de wallet breidt eIDAS 2 het bestaande stelsel van gekwalificeerde vertrouwensdiensten uit, onder meer met elektronische attestaties van attributen en elektronische archivering, en scherpt zij de eisen aan bestaande diensten als handtekeningen, zegels en tijdstempels aan.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op vertrouwensdiensten onder eIDAS en ligt daarmee voor de hand als toezichthouder onder eIDAS 2. De Nederlandse uitvoeringswetgeving en de aanwijzing van de walletverstrekker zijn nog niet vastgesteld.

Boete

De verordening laat de sancties aan de lidstaten. Zolang er geen Nederlandse uitvoeringswet is, ligt het sanctieregime voor walletverstrekkers en vertrouwende partijen hier niet vast.