Wat is WRPAC en waarom elk online bedrijf er voor december 2026 een nodig heeft
De klok tikt. Over minder dan tien maanden gaat de infrastructuur van de EU Digital Identity Wallet (EUDI Wallet) Europabreed live. Als uw bedrijf de identiteit of leeftijd van EU-burgers verifieert, moet u WRPAC-certificaten begrijpen - en u nu al voorbereiden.
Wat is een WRPAC-certificaat?
WRPAC staat voor Wallet Relying Party Access Certificate. Zie het als de vergunning van uw bedrijf om identiteitsgegevens van EU-burgers op te vragen via hun digitale identiteitswallet.
Vanaf december 2026 zal iemand die zijn leeftijd wil aantonen om online alcohol te kopen, zijn identiteit wil verifiëren voor een financiële dienst, of zijn beroepskwalificaties wil bevestigen, dit doen via zijn nationale EUDI Wallet-app - niet meer door foto's van rijbewijs of paspoort te uploaden. En om die verificatie op te vragen, heeft uw bedrijf een geldig WRPAC-certificaat nodig.
Zonder WRPAC-certificering kunt u EU-burgers niet verifiëren via het officiële EUDI Wallet-systeem. Zo simpel is het.
De architectuur met twee certificaten
WRPAC is niet één enkel certificaat - het is eigenlijk een systeem met twee certificaten, ontworpen om beveiliging en transparantie in balans te brengen:
1. Toegangscertificaat (WRPAC)
Het toegangscertificaat is het cryptografische bewijsstuk waarmee uw bedrijf technisch met EUDI Wallets kan communiceren. Het wordt uitgegeven door een Qualified Trust Service Provider (QTSP) en bewijst dat u een geautoriseerde relying party bent.
Dit certificaat:
- maakt veilige communicatie met wallet-apps mogelijk
- authenticeert uw verzoeken bij de wallets van gebruikers
- moet periodiek worden vernieuwd (doorgaans jaarlijks)
- moet worden aangeschaft bij een gekwalificeerde QTSP
2. Registratiecertificaat
Het registratiecertificaat is uw registratiebewijs bij uw nationale toezichthoudende autoriteit. Het is de juridische basis die u überhaupt in aanmerking laat komen voor een toegangscertificaat.
Deze registratie:
- documenteert uw beoogde toepassingen en de gegevens die u opvraagt
- maakt uw identiteit en doel publiek transparant
- moet worden onderhouden in uw lidstaat van vestiging
- moet worden bijgewerkt zodra uw toepassing verandert
Belangrijk: u kunt geen toegangscertificaat krijgen zonder eerst de registratie te hebben afgerond. Beide zijn verplicht op grond van artikel 5b van de eIDAS-verordening (EU) 2024/1183.
Artikel 5b: wat elke relying party moet doen
Artikel 5b van de eIDAS 2.0-verordening bepaalt precies wat vereist is om relying party te worden. Dit is waar u zich aan verbindt:
Registratievereisten
Uw bedrijf moet zich registreren bij de autoriteit van uw lidstaat van vestiging en het volgende verklaren:
- Wie u bent: rechtsvorm, geregistreerd adres en officiële identiteit
- Wat u wilt: specifieke attributen die u van gebruikers zult opvragen (leeftijd, identiteit, beroepskwalificaties, enzovoort)
- Waarom u het nodig heeft: uw beoogde toepassingen en de rechtsgrond voor het opvragen van gegevens
Deze registratie is kostenefficiënt en evenredig met het risico - autoriteiten mogen dus geen onredelijke financiële of administratieve lasten opleggen enkel voor de registratie.
Doorlopende verplichtingen
Eenmaal geregistreerd, heeft u doorlopende verantwoordelijkheden:
- Wijzigingen onverwijld melden: als uw toepassing verandert of u nieuwe attributen wilt opvragen, moet u uw nationale autoriteit op de hoogte brengen
- Uzelf identificeren richting gebruikers: wanneer de wallet van een gebruiker uw verificatieverzoek toont, moet duidelijk zichtbaar zijn wie u bent en wat u opvraagt
- Pseudoniemen accepteren waar toegestaan: als uw toepassing wettelijk geen volledige identificatie vereist, moet u pseudonieme bewijsstukken accepteren
Publieke transparantie
Uw registratie is niet geheim. Nationale autoriteiten houden openbare registers van relying parties bij, zodat gebruikers en toezichthouders kunnen verifiëren dat u rechtmatig geregistreerd bent.
Deze transparantie is bewust zo ingericht - het bouwt vertrouwen op in het EUDI-ecosysteem en stelt gebruikers in staat te controleren dat de bedrijven die hun gegevens opvragen legitiem en onder toezicht staan.
Huidige status: waar staan we in februari 2026
Zo ziet de situatie er vandaag uit:
Wat klaar is
- Standaarden zijn afgerond: de ETSI TS 119 475-standaard voor WRPAC werd in oktober 2025 gepubliceerd en definieert de technische specificaties voor toegangscertificaten
- Het juridische kader is van kracht: verordening (EU) 2024/1183 (eIDAS 2.0) is sinds mei 2024 van kracht, met artikel 5b volledig toepasselijk
- De tijdlijn staat vast: de deadline van december 2026 voor de beschikbaarheid van de EUDI Wallet is bevestigd
Wat nog niet klaar is
- Geen operationele registratie-infrastructuur: sinds februari 2026 heeft geen enkele EU-lidstaat een productief registratiesysteem voor relying parties uitgerold
- QTSP's bereiden zich voor: Qualified Trust Service Providers maken zich klaar om WRPAC-certificaten uit te geven, maar kunnen dat pas doen zodra RP-registraties live zijn
- Verwachte tijdlijn: de sectorconsensus gaat ervan uit dat de RP-registratie-infrastructuur medio 2026 opent, waardoor bedrijven ongeveer 6 maanden hebben om zich te registreren voor de lancering in december
De compliancelast: wat DIY WRPAC-registratie inhoudt
Als u overweegt zelf een WRPAC aan te vragen, is dit waar u zich aan verbindt:
1. Registratieproces als relying party
- Navigeren door het registratieportaal van uw eigen land (elke lidstaat heeft een eigen systeem)
- Documentatie voorbereiden die rechtsvorm en beoogd gebruik aantoont
- Verklaringen indienen over de gegevensattributen die u zult opvragen
- Registratiekosten betalen (bedragen verschillen per land)
- Wachten op goedkeuring van de autoriteit (termijnen nog onbekend)
2. WRPAC-certificaataanschaf
- Een Qualified Trust Service Provider selecteren
- Het registratiecertificaat overleggen als bewijs van geschiktheid
- De identiteitsverificatie en onboarding van de QTSP doorlopen
- Toegangscertificaten aanschaffen en vernieuwen (prijzen nog niet openbaar)
- De certificaatlevenscyclus en vernieuwingsschema's beheren
3. Trust list-integratie
Hier wordt het complex. U moet:
- Integreren met trust lists van alle 27 EU-lidstaten
- Wallet-implementaties van 27+ nationale systemen ondersteunen
- Ondersteuning bouwen voor meerdere bewijsformaten (SD-JWT VC, mdoc)
- Het OpenID4VP-protocol correct implementeren
- Compatibiliteit onderhouden terwijl standaarden zich verder ontwikkelen
4. Doorlopend compliancebeheer
- Wijzigingen in uw toepassing volgen en melden aan de nationale autoriteit
- Het registratiecertificaat actueel houden
- Toegangscertificaten tijdig vernieuwen
- Op de hoogte blijven van updates van technische standaarden
- Reageren op vragen of audits van toezichthouders
Geschatte inspanning: dit intern opzetten kan 6-12 maanden ontwikkeltijd, toegewijd compliancepersoneel en doorlopende operationele overhead vergen.
Wie heeft dit nodig?
Als uw bedrijf een van het volgende doet met EU-burgers, heeft u tegen december 2026 WRPAC-certificering nodig:
- Leeftijdsverificatie voor alcohol, tabak, kansspelen, volwassen content
- Identiteitsverificatie voor financiële diensten (KYC/AML)
- Verificatie van beroepskwalificaties voor werving of vergunningverlening
- Adresverificatie voor verzending of wettelijke naleving
- Verificatie van onderwijsdiploma's voor toelating of tewerkstelling
Kortom: als u EU-burgers digitaal verifieert, heeft u WRPAC-compliance nodig.
Waarom nu voorbereiden: het pleidooi voor vroeg handelen
Misschien denkt u: "Het is pas februari 2026. December is nog maanden weg. Waarom haasten?"
Dit is waarom vroege voorbereiding ertoe doet:
1. Onzekerheid over de registratie-infrastructuur
Niemand weet precies wanneer de registratieportalen van de lidstaten zullen openen. Als ze in juni lanceren en u wacht tot november, riskeert u:
- Verwerkingsvertragingen
- Achterstanden in aanvragen
- Capaciteitsbeperkingen bij autoriteiten
- Technische problemen met nieuwe systemen
2. Bouwen en testen tijdens Demo-modus
Slimme bedrijven integreren EUDI Wallet-verificatie vandaag al in DEMO- en MOCK-modus. Wanneer december 2026 aanbreekt, hoeven zij alleen nog maar over te schakelen naar productie. Bedrijven die wachten, krijgen te maken met compliancedruk en technische integratie tegelijkertijd - een recept voor gemiste deadlines.
3. Concurrentievoordeel
Op dag één klaar zijn betekent:
- geen serviceonderbreking wanneer EUDI-wallets lanceren
- uw compliancegereedheid actief communiceren naar klanten
- vroege adopters aantrekken die privacybeschermende verificatie verkiezen
- het vermijden van de tijdelijke oplossing "gebruik alstublieft onze oude identiteitsverificatie", die vertrouwen ondermijnt
Het alternatief: aggregatordiensten
Dit is de realiteit die veel bedrijven ontdekken: u hoeft geen eigen WRPAC te verkrijgen.
Artikel 5b(10) van de eIDAS-verordening staat expliciet toe dat intermediairs namens handelaren als relying party optreden. Diensten zoals eIDAS Pro nemen voor hun rekening:
- RP-registratie in Luxemburg (via passporting geldig in alle 27 EU-lidstaten)
- Aanschaf en vernieuwing van WRPAC-certificaten
- Trust list-integratie met alle nationale walletsystemen
- Doorlopende compliance en regulatoire rapportage
- Technische protocolimplementatie (OpenID4VP, SD-JWT VC, mdoc)
U roept een API aan. Zij beheren de compliance-infrastructuur. In de wallet van de gebruiker worden zowel de identiteit van de aggregator als de uwe getoond, wat volledige transparantie waarborgt.
Voor de meeste bedrijven is dit de slimmere weg. Bewaar uw ontwikkelcapaciteit voor uw kernproduct. Laat compliancespecialisten de regulatoire complexiteit afhandelen.
Tijdlijn tot december 2026
Zo zien de komende 10 maanden eruit:
Medio 2026 (verwacht):
- RP-registratie-infrastructuur opent in lidstaten
- QTSP's beginnen WRPAC-certificaten uit te geven aan geregistreerde RP's
- Vroege adopters ronden registratie af en ontvangen certificaten
December 2026:
- EUDI Wallets gaan EU-breed live
- Wallet-gebaseerde verificatie wordt beschikbaar
- Productieverificaties beginnen voor WRPAC-gecertificeerde relying parties
December 2027:
- Verplichte compliancedeadline voor gereguleerde sectoren
- Traditionele verificatiemethoden kunnen aan beperkingen onderhevig raken
- Volledige marktvolwassenheid wordt verwacht
Volgende stappen: twee wegen vooruit
Weg 1: gebruik een aggregator (de meeste bedrijven)
Als u zich wilt richten op uw bedrijf, niet op compliance-infrastructuur:
- Start vandaag met integreren in DEMO-modus
- Test uw flows met MOCK-modus
- Wees klaar voor productie in december 2026 met nul registratie-inspanning
Weg 2: verkrijg uw eigen WRPAC (ondernemingen)
Als u volledige controle en in-house compliance nodig heeft:
- Houd de opening van de registratie-infrastructuur in uw land in de gaten (verwacht medio 2026)
- Bereid documentatie voor voor RP-registratie nu al
- Selecteer een QTSP voor certificaataanschaf
- Bouw technische integratie met walletstandaarden
Of overweeg weg 3: adviesdiensten die documentatiepakketten en technische begeleiding bieden om uw eigen WRPAC-registratie te doorlopen terwijl u de controle behoudt.
Conclusie
WRPAC is geen optie - het is verplicht voor elk bedrijf dat vanaf december 2026 EU-burgers wil verifiëren via digitale identiteitswallets. De compliancevereisten onder artikel 5b zijn duidelijk, en de deadline staat vast.
De vraag is niet of u WRPAC-compliance nodig heeft. De vraag is hoe u dit gaat realiseren: zelf bouwen, een aggregator gebruiken, of adviesondersteuning inschakelen.
Wat zeker is: het moment om u voor te bereiden is nu. Wacht niet tot december om na te denken over compliance. Begin vandaag met bouwen en testen, zodat u klaar bent wanneer het tijdperk van de EUDI Wallet begint.
Klaar om te beginnen? eIDAS Pro biedt momenteel DEMO-modustoegang aan vroege adopters. Bouw uw integratie vandaag en wees klaar voor productieve WRPAC-verificaties in december 2026 - zonder registratielast voor uw team.
Begin nu met bouwen | Meer over het aggregatormodel
Gerelateerde artikelen
Het aggregatorvoordeel: waarom slimme bedrijven geen eigen WRPAC aanvragen
Artikel 5b(10) maakt het mogelijk dat intermediairs de WRPAC-compliance voor u regelen. Dit is waarom dat voor de meeste bedrijven de slimmere keuze is.
10 min leestijd
Nog geen enkel EU-land heeft een gepubliceerde WRPAC-aanbiederslijst — wat dat betekent voor uw deadline van december 2026
Eind mei 2026 zijn de officiële EU-vertrouwenslijsten nog niet gepubliceerd: het eIDAS Dashboard rapporteert WRPAC als niet-gepubliceerd en de aanbiederslijst wordt niet publiek aangeboden. Dit is waarom dat zo bedoeld is, en wat het verandert voor uw planning richting december 2026.
8 min leestijd
Dit artikel delen
Help anderen meer te weten komen over eIDAS-verificatie