Hoe eIDAS 2.0 de identiteitsverificatie in de hele EU zal hervormen.

Het aftellen is al begonnen. eIDAS 2.0 is op 20 mei 2024 in werking getreden en de kernregelgeving voor de implementatie van de Wallet is in december 2024 van kracht geworden. Tegen december 2027 moeten veel particuliere diensten die al gebruikmaken van sterke gebruikersauthenticatie, en alle zeer grote online platforms, Wallet-aanmeldingen op verzoek van de gebruiker accepteren. Voor compliance-, product- en risicoteams is dit geen optionele wijziging. Het is een nieuwe operationele basis voor onboarding, authenticatie en elektronische handtekeningen over de grenzen heen.

Wat is de eIDAS 2.0-verordening?

eIDAS eIDAS staat voor Electronic Identification, Authentication, and Trust Services (elektronische identificatie, authenticatie en vertrouwensdiensten). De eIDAS 2.0-verordening werd ingevoerd om interoperabiliteitsproblemen aan te pakken die verband houden met eID's die zijn uitgegeven onder de eerdere eIDAS-verordening. Deze nieuwe verordening beoogt de technische standaarden te harmoniseren die van toepassing zijn op de uitgifte, het gebruik en de authenticatie van eID's en innovatieve vertrouwensdiensten.

De bijgewerkte eIDAS-verordening schept het kader voor digitale interacties tussen gebruikers en bedrijven om ervoor te zorgen dat deze zakelijke transacties veiliger, sneller en gemakkelijker blijven, niet alleen binnen de nationale grenzen, maar ook in andere EU-lidstaten.

De eIDAS-verordening stelt regels vast voor twee pijlers. De eerste is elektronische identificatie (eID), waarmee gebruikers online bewijzen wie ze zijn. En ten tweede zijn er vertrouwensdiensten die het volgende omvatten: e-handtekeningen, elektronische zegels, elektronische tijdstempels, elektronische aangetekende bezorgdiensten en gekwalificeerde website-authenticatiecertificaten.

Het betreft de verordening die de interoperabiliteit van eID's en vertrouwensdiensten in de Europese Unie bevordert. Dit betekent dat aangemelde eID's die in één EU-land zijn uitgegeven, geldig zijn in alle 27 EU-lidstaten. De verordening waarborgt tevens dat vertrouwensdiensten die onder dit kader worden aangeboden, rechtsgeldig zijn voor de rechtbanken in de hele EU.

Het eIDAS-traject: van voorstel tot implementatie

De eIDAS-regelgeving, die in 2012 werd voorgesteld, heeft verschillende updates en veranderingen ondergaan. Dit is het resultaat van een continu proces van discussies, evaluaties en pilotprojecten, gericht op het bereiken van de doelstellingen van het EU-beleid "Weg naar het digitale decennium" en de verklaring over "Digitale rechten en beginselen". De weg naar het digitale decennium streeft ernaar dat 80% van de EU-burgers in 2030 een digitale identiteit gebruikt en dat 100% van de burgers er toegang toe heeft. Hieronder volgen enkele belangrijke momenten in de ontwikkeling van de eIDAS-regelgeving:

Deze mijlpalen hebben van de "eIDAS-verordening" een wereldwijde leider gemaakt, die de discussies over digitaal vertrouwen ver buiten de Europese grenzen beïnvloedt.

Hoe eIDAS 2.0 identiteitsverificatie in de hele EU mogelijk maakt

Vóór eIDAS waren vertrouwensdiensten en elektronische identiteitsbewijzen (eID's) gefragmenteerd binnen de EU, wat de grensoverschrijdende dienstverlening vertraagde en belemmerde. Door het ontbreken van uniforme standaarden voor elektronische identificatie was hergebruik buiten het eigen land lastig. Er was behoefte aan een gemeenschappelijk kader om de uitgifte, het gebruik en de acceptatie van identificatie- en vertrouwensdiensten over de digitale grenzen van de EU heen te harmoniseren. De Europese Commissie erkende de noodzaak en het nut hiervan en stelde in 2012 een wettelijk kader voor, dat later in 2016 de eIDAS-verordening werd.

Hoe eIDAS 2.0 verschilt van eIDAS 1.0

eIDAS 2.0 brengt een aantal belangrijke wijzigingen met zich mee die relevant zijn voor compliance- en productteams.

Verplichte EU-digitale identiteitsportefeuilles (EUDI-portefeuilles): Elke lidstaat moet uiterlijk eind 2026 ten minste één gecertificeerde wallet beschikbaar stellen. Lidstaten moeten de voor gebruikers toegankelijke softwarecomponenten van de Wallet-app openbaar maken onder een open-source licentie, met beperkte uitzonderingen voor de openbare veiligheid. Uitgifte en gebruik van EU Digitale Identiteit Portemonnees moeten gratis beschikbaar zijn voor natuurlijke personen.

Verbeterde gebruikerscontrole: Met eIDAS 2.0 kunnen gebruikers hun gegevens beheren door te kiezen welke kenmerken wel en niet aan verzoekende partijen mogen worden bekendgemaakt (bijvoorbeeld: verificatie van 18 jaar en ouder zonder geboortedatum en andere identiteitsgegevens te onthullen). Aanbieders van wallets mogen walletgegevens niet combineren met andere diensten, tenzij de gebruiker hierom vraagt.

Nieuwe en uitgebreide trustdiensten: De lijst omvat nu elektronische attestaties van kenmerken. Er is gekwalificeerde elektronische archivering aan toegevoegd en elektronische grootboeken worden erkend. De gekwalificeerde vertrouwensdienst voor het beheer van apparaten voor het op afstand creëren van gekwalificeerde handtekeningen of zegels wordt verduidelijkt. Dit breidt de rechtmatige digitale interacties uit tot meer dan alleen handtekeningen.

Verplichte acceptatie van de EUDI-wallet voor publieke en private diensten: Overheidsdiensten moeten aangemelde eID's accepteren en de EUDI-portemonneeIn de private sector moeten alle bedrijven, met uitzondering van micro- en kleine ondernemingen die al gebruikmaken van sterke gebruikersauthenticatie, waaronder banken, energiebedrijven, zorginstellingen, onderwijsinstellingen en telecombedrijven, de Wallet ook accepteren op verzoek van een gebruiker binnen 36 maanden na de inwerkingtreding van de Wallet-wetgeving (d.w.z. vóór december 2027). Zeer grote online platforms moeten op dezelfde basis Wallet-aanmelding ondersteunen.

Nieuwe verplichtingen voor partijen die zich op een dergelijk beroep richten: Als uw service al gebruikmaakt van sterke klantauthenticatieU dient zich te registreren als een partij die de wallet beheert. U moet uw rechtspersoon, het beoogde gebruik van de gegevens en uw technische contactgegevens opgeven. U moet ook pseudoniemen van walletgebruikers ondersteunen wanneer identificatie wettelijk niet vereist is.

Beveiliging en toezicht: De update sluit aan bij de bredere EU-cyberregelgeving en voegt specifieke procedures toe voor datalekken bij wallets. De certificering en het toezicht op aanbieders van vertrouwensdiensten worden aangescherpt. Walletsoftware en ecosystemen moeten voldoen aan technische normen die zijn vastgelegd in uitvoeringsbesluiten en certificeringsschema's.

Hoe profiteren bedrijven van de eIDAS 2.0-verordening?

De financiële sector, de gezondheidszorg, professionele dienstverlening en e-commerce zijn meer dan ooit afhankelijk van een betrouwbare digitale identiteit. Mensen in nakomingIedereen met een technische of zakelijke rol weet dat regelgeving de operationele efficiëntie kan maken of breken. Maar hoe beïnvloedt eIDAS bedrijven nu precies?

Grensoverschrijdende onboarding wordt eenvoudiger.

Bedrijven kunnen klanten nu authenticeren met behulp van aangemelde eID's en wallet-gegevens. Dat maakt snellere processen mogelijk. due diligence ' Dit vermindert de handmatige controle van identiteitsdocumenten. Hierdoor kan een financiële dienstverlener in Duitsland op afstand en probleemloos een potentiële klant uit Nederland registreren.

Gekwalificeerde elektronische handtekeningen hebben volledige rechtskracht.

Een gekwalificeerde elektronische handtekening heeft in de hele EU dezelfde rechtskracht als een handgeschreven handtekening. Dat biedt rechtszekerheid voor overeenkomsten op afstand.

Dataminimalisatie door ontwerp

Met wallets kunnen gebruikers alleen de vereiste gegevens verstrekken. Houders van wallets kunnen er bijvoorbeeld voor kiezen om selectieve gegevens te delen, zoals een leeftijd boven de 18, woonplaats of een beroepslicentie. Voor bedrijven vermindert dit de gegevensverzameling en verlaagt het de kans op datalekken. Dit is echter afhankelijk van de technologie die door de IDV-suite van een bedrijf wordt gebruikt en of deze selectieve openbaarmaking ondersteunt.

Hoe bereidt u uw bedrijf voor op het eIDAS-ecosysteem?

Organisaties die de eIDAS-regelgeving voorblijven, zijn beter in staat zich aan te passen aan digitale trends en naadloze, veilige en conforme diensten te leveren in de financiële sector, de gezondheidszorg, de overheid en daarbuiten. In de volgende paragrafen geven we een aantal praktische stappen om ervoor te zorgen dat uw organisatie klaar is voor de impact van de eIDAS-regelgeving.

Kleine bedrijven kunnen zelf kiezen of ze EUDI-wallets willen gebruiken of niet, maar grotere bedrijven zijn verplicht deze te accepteren als hun klant daarom vraagt. Als een bedrijf ervoor kiest om gebruik te maken van gebruikersgegevens binnen het eIDAS-ecosysteem, wordt het een 'vertrouwende partij' genoemd en moet het de registratieprocedure voor vertrouwende partijen doorlopen.

Om zich als vertrouwende partij te registreren, moeten bedrijven gegevens verstrekken zoals het type rechtspersoon, het belastingnummer, het btw-nummer of het KvK-nummer, inclusief de reden en welke klantgegevens (leeftijd, naam, adres, enz.) ze van plan zijn te verzamelen. Hiervoor moeten bedrijven elke authenticatie- en onboardingprocedure in kaart brengen waar sterke authenticatie wettelijk of contractueel vereist is.

De volgende stap is het plannen van elektronische attestaties van kenmerken. Bepaal welke kenmerken u accepteert en hoe u deze verifieert. Bijvoorbeeld, als u een e-commerce Een bedrijf dat goederen verkoopt met een leeftijdsbeperking, in dit geval is de leeftijd het kenmerk dat u moet bevestigen. Bekijk uw strategie voor handtekeningen en hoe u gekwalificeerde handtekeningen zou accepteren voor contracten die een hoge mate van juridische zekerheid vereisen.

De volgende stap is het afstemmen van de eisen van de IDV-leverancier en de integratievereisten om de acceptatie van wallet- en vertrouwensdiensten operationeel te maken. Het EUDI Wallet Architecture and Reference Framework stelt dat vertrouwende partijen een interface met de EUDI Wallet moeten onderhouden om attestaties aan te vragen (zoals leeftijd, adres, naam, enz.) om de identiteit van een persoon vast te stellen, met wederzijdse authenticatie. Het framework vermeldt duidelijk dat elke dergelijke instantie/aanvraag door de vertrouwende partij moet worden geauthenticeerd. Dit vereist verder een interface voor de vereiste authenticatiemethoden.

Als u als vertrouwende partij de identiteit van een klant moet verifiëren, moet u vooraf een aantal zaken controleren:

• Wat zijn uw huidige vereisten/verplichtingen met betrekking tot identiteitsverificatie, die afhankelijk zijn van:
  • Bedrijfsbehoeften en wettelijke verplichtingen
  • Geografisch bereik van uw huidige/potentiële klantenbestand
  • Behoeften/voorkeuren van uw klanten met betrekking tot het gebruik van verschillende verificatiemethoden.
• Is uw huidige IDV-suite voldoende flexibel om diverse verificatiemethoden zoals biometrie te ondersteunen? documentverificatie, NFC Leest gegevens uit en maakt gebruik van Wallet API's?
• KYC- en AML-controles moeten gelijktijdig werken. Een uitgebreide IDV-oplossing kan onboarding op basis van wallets naadloos koppelen aan sancties, PEP's en andere beveiligingsmaatregelen. screening van negatieve media en voortdurende monitoring.

eIDAS 2.0 brengt digitale identiteit over van nationaal gebonden eID's naar een geharmoniseerd Europees kader. Compliance- en productteams die zich nu voorbereiden, kunnen zorgen voor een snellere onboarding, een lager frauderisico en een sterkere juridische zekerheid in de hele EU.

Hoe Shufti bedrijven helpt in een veranderende IDV-omgeving

Bereid uw onboarding voor op eIDAS 2.0, zonder dat u alles opnieuw hoeft op te bouwen.

Sjoefti helpt compliance- en productteams bij het operationaliseren van Wallet-compatibele identiteitsstromen met krachtige authenticatie via detectie van levendigheidDe oplossing biedt tevens een uitgebreide AML-screening (PEP, sancties, negatieve media) om de nalevingsprocessen in één interface te stroomlijnen.

Als uw bedrijf deel uitmaakt van het eIDAS-ecosysteem, kunt u Gebruikersreiss in kaart brengen, u registreren als vertrouwende partij en selectieve openbaarmakingskenmerken koppelen aan uw bestaande gegevens. Ken uw klant en continue monitoring, zodat u de hoeveelheid data minimaliseert, het risico op fraude verlaagt en de deadlines voor 2026/2027 haalt.

Neem contact op met de EU-compliance-specialisten van Shufti. om een ​​demo te bekijken die geschikt is voor Wallet.

Leer meer over Shufti's digitale identiteitsoplossingen en hoe we bedrijven helpen zich voor te bereiden op de toekomst van vertrouwen en compliance.