eIDAS 2.0 en betalingsverkeer

Digitale identiteit met eIDAS 2.0 en betalingsverkeer

De herziene EU-verordening eIDAS 2.0 regelt zogeheten ‘Electronic Identification and Trust Services’ (elektronische identificatie en vertrouwensdiensten). Met eIDAS 2.0 wordt o.a. de ‘European Digital Identity Wallet’ (EUDIW) aangekondigd. Deze digitale kaarthouder kan door gebruikers – burgers en bedrijven – gebruikt worden voor (online) identificatie en is een aanvulling op andere (fysieke) identificatiemiddelen, zoals een paspoort. De gebruiker kan zich er op een universele, betrouwbare en veilige manier digitaal mee identificeren. De EUDIW wordt voornamelijk geïntroduceerd voor online gebruik, maar kan desgewenst ook aan een fysieke balie worden gebruikt. De verordening, en meer specifiek de EUDIW, heeft ook gevolgen voor het Europese betalingsverkeer.

De (herziene) verordening werd op 20 mei 2024 van kracht. Er zijn drie belangrijke mijlpalen:

1. De Europese Commissie ontwikkelt zogenoemde implementing acts (IAs). Dit zijn uniforme normen, specificaties en procedures voor de technische functies die van toepassing zijn op alle EUDIWs. Dit draagt bij aan interoperabiliteit en acceptatie van de wallets door heel Europa. De eerste verzameling IAs is op 4 december 2024 gepubliceerd en treedt vanaf 24 december 2024 in werking. Hieronder leggen we uit wat het belang hiervan is voor de ontwikkeling van de EUDIW.
2. Iedere lidstaat moet tenminste één nationale EUDIW aanbieden binnen 24 maanden nadat de eerste verzameling IAs in werking treedt. Dit betekent dat uiterlijk op 24 december 2026 iedere inwoner in Europa een EUDIW (vrijwillig) ter beschikking moet hebben.
3. Zogeheten vertrouwende partijen – natuurlijke of rechtspersonen die vertrouwen op elektronische identificaties – en wettelijk of contractueel verplicht sterke gebruikersauthenticatie voor online-identificatie toepassen, zijn verplicht om de EUDIW binnen 36 maanden na publicatie van de eerste reeks IAs, dus uiterlijk 24 december 2027.
   NB: Onder relying parties vallen o.a. banken, betaal- en elektronischgeldinstellingen, en andere financiële instellingen.

Bij de Rijksoverheid is ook veel informatie over eIDAS 2.0 en over de EUDIW beschikbaar. Tevens heeft de AFM in maart 2025 een rapport gepubliceerd over de impact van de wallet op de financiële sector.

Impact van eIDAS 2.0 op het Europese betalingsverkeer

Banken en betaal- en elektronischgeldinstellingen (samen ook bekend als ‘betaaldienstverleners’, PSPs of Payment Service Providers) moeten uiterlijk eind december 2027 alle erkende EUDIWs accepteren. Terwijl de wettekst van de eIDAS 2.0 verordening en de eerste verzameling IAs afgerond zijn, blijft een sluitende interpretatie van de reikwijdte van acceptatie van de EUDIW en de impact op payments onduidelijk. De wetgeving spreekt bijvoorbeeld over ‘sterke gebruikersauthenticatie’, terwijl we in het betalingsverkeer ‘sterke klantauthenticatie’ (SCA) kennen. Bovendien moet de wallet geaccepteerd worden wanneer sprake is van online-identificatie, een term die niet verder is uitgewerkt in wetgeving.

Vanwege de onduidelijk heeft Betaalvereniging Nederland de taskforce TFeIDAS opgericht om samen met een aantal leden de impact van de EUDIW op betaalprocessen te beoordelen. Dit heeft geleid tot het opstellen van een industry view, waarover hieronder meer.

Industry view: The EU Digital Identity Wallet in payments: Interpretation of legislators’ intention and feasibility assessment

Ondersteuning aan leden van de Betaalvereniging

Betaalvereniging Nederland heeft samen met de TFeIDAS en met ondersteuning van INNOPAY een industry view opgesteld. Het rapport biedt leden en stakeholders van de Betaalvereniging een leidraad bij het interpreteren van eIDAS 2.0. Het gaat onder andere in op de beoogde reikwijdte van acceptatie van een EUDIW bij betalingen, zoals vereist door eIDAS 2.0. Het is belangrijk om te benoemen dat het rappport geen juridische interpretatie is!

De TFeIDAS trekt verschillende conclusies:

• Sterke gebruikersauthenticatie (strong user authentication, SUA) onder eIDAS 2.0 verwijst naar 'tweefactor-authenticatie' (2FA) die slechts een klein onderdeel is van de complexe Strong Customer Authentication (SCA) voor betaaldiensten onder PSD2. De EUDIW moet worden geaccepteerd als een 2FA-tool in online (betaal)processen waarbij SCA vereist is (volgens art. 97-1 van PSD2) en als er sprake is van online identificatie.
• Gelijktijdig voldoen aan (i) de beoogde acceptatie van de EUDIW die door eIDAS 2.0 wordt opgelegd en (ii) aan alle SCA-vereisten die zijn vastgelegd in PSD2 en in de Regulatory Technical Standards voor SCA (EU 2018/389), lijkt op dit moment voor PSP's onhaalbaar. Er is meer duidelijkheid en richting van de wetgever nodig om de toepasbaarheid van EUDIWs bij betalingen te bepalen.
• Naast bovengenoemde verplichting, bevat eIDAS 2.0 geen acceptatieverplichtingen voor PSPs van andere EUDIW-functies. Use cases bij betalingen met aanvullende normen of specificaties bovenop eIDAS 2.0 en de IAs, vallen niet onder de verplichte acceptatie. Bovendien zijn PSPs niet verplicht om zogeheten Electronic Attestation of Attributes (EAAs) uit te geven.

In het rapport worden bovenstaande conclusies uitgebreid behandeld.

Large Scale Pilots

De Europese Commissie is in april 2023 gestart met een viertal grootschalige pilots (Large Scale Pilots of LSPs) waarin publieke en private stakeholders in een periode van twee jaar gezamenlijk verschillende use cases voor de EUDIW onderzoeken. Hieronder staat een beschrijving van de LSPs.

Onlangs heeft de Europese Commissie twee nieuwe LSPs geselecteerd voor een tweede ronde, namelijk het WE BUILD Consortium ('Wallet Ecosystem for Business and payments Use cases on Identification, Legal representation and Data sharing') en APTITUDE. Deze grootschalige pilots bouwen voort op het werk van de vier eerdere grootschalige pilots.

Twee eerdere pilots zijn relevant voor de betaalsector:

• NOBID (Nordic-Baltic eID Wallet) is oorspronkelijk opgezet door de Noordse en Baltische landen maar is inmiddels uitgebreid naar de gehele EU. Deze pilot focust op betalingen en authenticatie van gebruikers binnen het bredere ecosysteem van digitale identificatie, met als doel een efficiënte en veilige digitale identificatie mogelijk te maken.
• EWC (European Wallet Consortium) richt zich op betalingen en financiële diensten. Dit project onderzoekt hoe een EUDIW kan worden gebruikt voor betalingsverkeer, financiële transacties en bankdiensten. Daarbij ligt de nadruk op sterke klantauthenticatie en de naleving van regelgeving zoals PSD2, PSD3 en anti-witwaswetgeving (AML).

Met de toevoeging van WE BUILD wordt de focus op betalingsverkeer en zakelijke toepassingen voor EUDIWs verder versterkt.

De grootschalige pilots zijn bedoeld om de specificaties van de EUDIW te testen in diverse praktijksituaties. WE BUILD richt zich op dertien use cases die betalingen en zakelijke interacties omvatten. De pilot start in september 2025 en heeft een looptijd van 24 maanden. Het wordt geleid door Nederlandse en Zweedse overheidsinstanties: het Ministerie van Economische Zaken en de Kamer van Koophandel in Nederland, en Bolagsverket in Zweden. Betaalvereniging Nederland neemt deel als business partner en richt zich specifiek op het onderdeel 'consumentenbetalingen' (consumer payments).

Contact over eIDAS 2.0 en betalingsverkeer

Heeft u vragen over digitale identificatie volgens eIDAS 2.0 in het betalingsverkeer? Vul dan dit contactformulier in: