Gecorrigeerd op 20 oktober 2026: een eerdere versie van dit artikel stelde dat IR 2026/798 ook de inschrijving voor de EU-leeftijdsverificatie-app regelt, dat de uitgeversmetadata van een wallet het inschrijvingspad moeten verklaren en een onboarding-tijdstempel moeten bevatten, en dat de OpenEUDI SDK en de managed verifier van eIDAS Pro die metadata beschikbaar stellen en controleren. Niets daarvan staat in de verordening: ze somt de normen voor identiteitsvaststelling (clausules uit ETSI TS 119 461) op voor één specifiek pad van remote onboarding op de EUDI Wallet. We hebben die beweringen verwijderd. De EUDI Wallet-verificatie van eIDAS Pro is in productie nog niet live.
De verordening die niemand leest
Op 8 april 2026 publiceerde de Europese Commissie Uitvoeringsverordening (EU) 2026/798 in het Publicatieblad. Ze werd op 7 april vastgesteld en trad op 28 april 2026 in werking. Het is een van de stillere publicaties in de huidige uitrol van eIDAS 2, maar ze raakt een belangrijke stap: hoe een burger wordt ingeschreven op een EU Digital Identity Wallet — de stap die voorafgaat aan elke downstream-verificatie waarop je vertrouwt.
Als je handelaar, verifier of ontwikkelaar bent en van plan bent om in productie te vertrouwen op EUDI Wallet-attestaties, is het nuttig te weten hoe de identiteit achter een wallet is vastgesteld. IR 2026/798 geeft een deel van dat antwoord.
Dit artikel is een uitleg in gewone taal. Voor de juridische brontekst zie de EUR-Lex-vermelding.
Wat de verordening behandelt
IR 2026/798 is een uitvoeringshandeling op grond van artikel 5a, lid 24, van de gewijzigde eIDAS-verordening (EU) 2024/1183. In gewone taal: ze legt de referentienormen en specificaties vast voor hoe gebruikers op afstand worden ingeschreven op een EUDI Wallet.
Er zijn twee belangrijke afbakeningen.
Ten eerste gaat het strikt om remote onboarding — de flow waarbij een burger zich inschrijft vanaf het eigen apparaat, zonder een fysiek loket te bezoeken.
Ten tweede geldt ze voor een specifieke combinatie: elektronische identificatiemiddelen op betrouwbaarheidsniveau "substantieel" gecombineerd met aanvullende remote-onboardingprocedures die samen betrouwbaarheidsniveau "hoog" bereiken. Deze zin doet veel werk, dus we ontleden hem.
De handeling zelf is kort. Artikel 1 verwijst naar een bijlage, en die bijlage somt de clausules van ETSI TS 119 461 V2.1.1 (de Europese norm voor identiteitsvaststelling) op waaraan de conformiteit wordt getoetst, met aanpassingen. Die aanpassingen zijn gericht aan de aanbieder van persoonsidentificatiegegevens (PID) en aan de dienst voor identiteitsvaststelling waarop die aanbieder steunt.
Betrouwbaarheidsniveaus in één pagina
eIDAS definieert drie betrouwbaarheidsniveaus (Levels of Assurance, LoA) voor elektronische identificatiemiddelen: laag, substantieel en hoog. Het onderscheid gaat over hoe zeker de uitgever ervan kan zijn dat de persoon die het eID toont, ook daadwerkelijk is wie die beweert te zijn.
- Laag — beperkte mate van vertrouwen. Typisch voorbeeld: online geregistreerde gebruikersnaam en wachtwoord zonder documentcontrole.
- Substantieel — substantiële mate van vertrouwen. Typisch voorbeeld: een nationaal eID gebaseerd op documentverificatie plus een liveness-selfie.
- Hoog — hoogste mate van vertrouwen, beschouwd als gelijkwaardig aan identificatie van aangezicht tot aangezicht. Typisch voorbeeld: inschrijving in persoon bij een overheidsloket met fysieke documentinspectie.
De EUDI Wallet moet werken op LoA hoog. Veel bestaande identificatiemiddelen zitten echter op LoA substantieel. Hoe kom je van het ene naar het andere zonder iedereen te verplichten een overheidsloket te bezoeken?
IR 2026/798 legt de normen voor die route vast.
De constructie "substantieel plus aanvullende procedures is gelijk aan hoog"
De verordening regelt de volgende combinatie: een gebruiker die al een identificatiemiddel op LoA substantieel heeft, kan worden ingeschreven op een wallet op LoA hoog, mits er aanvullende procedures voor identiteitsvaststelling op afstand bovenop de bestaande authenticatie op substantieel niveau komen. De combinatie moet, als geheel genomen, voldoen aan de LoA hoog-vereisten die zijn vastgelegd in Uitvoeringsverordening (EU) 2015/1502 — de fundamentele LoA-definities uit het oorspronkelijke eIDAS-kader.
Tot de clausules van ETSI TS 119 461 die de bijlage opsomt, behoren:
- Identiteitsvaststelling door authenticatie met een elektronisch identificatiemiddel.
- Identiteitsvaststelling op afstand met een identiteitsdocument, zowel begeleid (met een operator, bijvoorbeeld via video) als onbegeleid (geautomatiseerd).
- Aanvullende identiteitsvaststelling die een met een eID bewezen identiteit van het niveau "Baseline" naar het niveau "Extended" van de norm tilt.
Daarnaast legt de bijlage de PID-aanbieder en zijn dienst voor identiteitsvaststelling operationele eisen op: risicobeoordeling, practice statements, melding van incidenten, bedrijfscontinuïteit en gegevensbescherming door ontwerp bij biometrische gegevens.
Waarom dit belangrijk is voor verifiers
IR 2026/798 legt verifiers geen verplichtingen op. De eisen gelden voor PID-aanbieders en diensten voor identiteitsvaststelling, en de conformiteit wordt getoetst aan de opgesomde ETSI-clausules. Wanneer je backend een PID van een EUDI Wallet ontvangt, controleer je de handtekening van de uitgever tegen de vertrouwenslijsten; de verordening is een van de redenen waarom je op de identiteitsvaststelling van die uitgever kunt vertrouwen, ook bij gebruikers die zich op afstand hebben ingeschreven.
Voor de mechaniek op protocolniveau van een wallet-presentatie, zie onze technische diepgaande analyse van hoe eIDAS-verificatie werkt en OpenID4VP begrijpen.
De open vragen
Twee zaken laat de verordening bewust open.
Exacte technische procedures. De verordening verwijst naar clausules van een ETSI-norm in plaats van de procedures zelf te beschrijven. Hoe elke PID-aanbieder in de praktijk aan die clausules voldoet, zal per land verschillen.
Grensoverschrijdende erkenning van remote inschrijving. Als een Franse wallet, ingeschreven via het substantieel-plus-aanvullend-pad van het Franse nationale eID, wordt gepresenteerd aan een Duitse verifier, wordt deze dan erkend als LoA hoog? Het antwoord zou ja moeten zijn onder de regels voor grensoverschrijdende erkenning, maar de operationele details — of het compliance-team van een Duitse verifier het Franse pad accepteert — hangen af van hoe de nationale toezichthouder van elk land de verordening interpreteert.
We volgen de komende maanden hoe lidstaten op deze punten convergeren of divergeren. Als je in meerdere EU-landen verkoopt en hierover serieus moet nadenken, is ons artikel over grensoverschrijdende verificatie onder eIDAS de bijbehorende leesstof.
Wat handelaren vandaag moeten doen
Niets dringends. IR 2026/798 is wetgeving op infrastructuurniveau — ze regelt wat PID-aanbieders en diensten voor identiteitsvaststelling doen, niet wat verifiers doen. Je integratiewerk verandert niet.
Wat het wel betekent, is dat de normen voor remote onboarding op de wallet op LoA hoog nu wettelijk vastliggen, en dat lidstaten hun onboardingflows daarop kunnen bouwen. Voor een overzicht van waar elk land staat in die opbouw, zie onze rolloutstatus van april 2026.
EUDI Wallets accepteren is een apart spoor: registratie als vertrouwende partij en een toegangscertificaat (WRPAC). Zie Wat is WRPAC en waarom elk bedrijf er tegen december 2026 een nodig heeft en onze handleiding voor registratie als vertrouwende partij.
De EUDI Wallet-verificatie van eIDAS Pro is gebouwd, maar in productie nog niet live, omdat er nog nergens een WRPAC te krijgen is; verificatie met bank-eID is vandaag al beschikbaar. Zie onze managed plannen of de OpenEUDI SDK-snelstart.
Dit artikel delen
Help anderen meer te weten komen over eIDAS-verificatie