Blog

In minuten geregeld, in 2040 nog te bewijzen: wat eIDAS 2 betekent voor de financiële en verzekeringssector

TL;DR. Vanaf december 2027 moeten banken en verzekeraars de Europese Digitale Identiteitswallet aanvaarden, overal waar sterke klantauthenticatie wettelijk al verplicht is. Als je dat behandelt als een compliance-klusje, kost het je geld. Pak je het goed aan, dan verdwijnt het grootste deel van je onboarding-frictie, en los je meteen een bewijsprobleem op waarvan je niet eens wist dat je het had.

Maak kennis met Marie. Ze is 48, heeft net samen met haar partner een appartement gekocht, en komt op een dinsdagavond eindelijk toe aan het regelen van een levensverzekering.

Ze vindt jouw website, de offerte bevalt haar en ze start de aanvraag. Twintig minuten later heeft ze haar identiteitskaart drie keer gefotografeerd omdat de eerste twee pogingen wazig waren, een bewijs van adres gezocht dat niemand nog op papier krijgt sinds 2019, en is ze beland op een scherm dat belooft dat iemand haar dossier binnen twee werkdagen bekijkt.

Marie sluit het tabblad. Marie komt niet meer terug.

Onthoud dat beeld, want over ongeveer zestien maanden ziet die dinsdagavond er helemaal anders uit. De reden is een regelgeving met een naam die weinig belooft.

Wat eIDAS eigenlijk is

eIDAS staat voor electronic IDentification, Authentication and trust Services. Het origineel dateert van 2014 en zit stil aan de basis van dingen die je nu al gebruikt, zoals itsme en je eID-kaart. De herziening van 2024, Verordening (EU) 2024/1183, voegt één groot nieuw element toe: de Europese Digitale Identiteitswallet, een app uitgegeven door je eigen lidstaat die de geverifieerde identiteit van een burger bewaart en dingen over die persoon kan bevestigen. Elke lidstaat heeft zijn eigen nationale wallet naar voren geschoven: de myGov-app van BOSA in België, France Identité in Frankrijk, en DigiD in Nederland. Alle drie zijn vandaag al live voor overheidsdiensten, en de gecertificeerde walletversies zitten in pilot in aanloop naar de deadline van december 2026.

De scope is de moeite om even scherp te stellen, want eIDAS wordt vaak voor een veel groter beest aangezien. Kort gezegd regelt eIDAS drie dingen:

1. hoe je vaststelt wie iemand is
2. hoe die persoon ondertekent of verzegelt
3. hoe dat bewijs de tijd doorstaat.

Identiteit, handtekening, bewijs. In finance en insurance staan die drie net aan het begin, in het midden en aan het einde van bijna elk proces dat je draait.

Een Belgische wallet werkt trouwens ook in Spanje. Geen bilaterale erkenningsonderhandelingen, geen apart traject voor de klant die vorig jaar vanuit Lissabon hierheen verhuisde.

Nog één eigenschap is de moeite waard: de wallet ondersteunt selectieve openbaarmaking. Dat betekent dat een klant kan bewijzen dat hij ouder is dan 18 zonder zijn geboortedatum door te geven. Je vraagt minder, dus je bewaart minder, en data die je nooit hebt verzameld hoef je ook nooit te beveiligen, te verantwoorden of als lek te melden.

eIDAS 2 deadlines 

Elke lidstaat moet tegen eind 2026 een wallet aanbieden, en overheidsinstanties moeten die vanaf diezelfde datum aanvaarden. Gereguleerde private sectoren, banken en financiële diensten inbegrepen, moeten de wallet aanvaarden tegen december 2027, overal waar sterke klantauthenticatie of -identificatie al wettelijk verplicht is onder Europese of nationale regelgeving. Voor banken is dat ondubbelzinnig, want PSD2 verplicht sterke klantauthenticatie al. Voor verzekeraars hangt het af van het traject, dus de eerste nuttige oefening is uitzoeken welke van jouw flows die verplichting eigenlijk dragen.

Twee dingen maken die datum minder comfortabel dan ze lijkt. De antiwitwasverordening (AMLR) is van toepassing vanaf 10 juli 2027, vijf maanden eerder, en is strenger dan ze op het eerste gezicht lijkt. Voor het op afstand verifiëren van een klant verwijst artikel 22 uitsluitend naar eIDAS-identificatiemiddelen. Dat betekent: één identiteitsstack, twee regelgevingen, één budgetjaar.

Het tweede punt is vrolijker. Omdat overheidsinstanties de wallet een vol jaar eerder moeten aanvaarden dan jij, hebben je klanten hun wallet al gebruikt om belastingen in te dienen en vergunningen te verlengen, lang voor ze de wallet op jouw portaal gebruiken. De adoptiecurve, normaal het duurste onderdeel van elk identiteitsproject, wordt door iemand anders betaald.

Dat laat je ruwweg zestien maanden om te ontwerpen, te bouwen, te testen en je te registreren als vertrouwende partij.. 

Maar we hebben toch al itsme

Terechte vraag, en itsme gaat nergens heen: het is een gekwalificeerde vertrouwensdienstverlener en wordt verwacht in te pluggen op het wallet-ecosysteem in plaats van ermee te concurreren. Maar itsme dekt een moment, niet de hele keten. Het authenticeert de gebruiker en kan ondertekenen. Het geeft geen geverifieerde attributen uit die onboarding meteen mogelijk maken, het zegt niets over wat er nadien met het document gebeurt, en itsme aanvaarden is juridisch niet hetzelfde als de wallet aanvaarden. Als jouw eIDAS 2-plan vandaag bestaat uit de zin “we hebben itsme”, dan is de interessante vraag welke stukken ontbreken.

Maries dinsdagavond, de versie van 2028

Terug naar Marie, en we spoelen vooruit naar 2028.

Ze vindt jouw website, de offerte bevalt haar en ze start de aanvraag. Je portaal toont een QR-code. Ze scant hem met haar wallet, keurt de aanvraag goed op haar telefoon, en haar identiteit komt in jouw systemen terecht, geverifieerd door de staat zelf. Geen kaartlezer, geen foto’s, geen energiefactuur, geen rijbewijs. Leeftijd, adres en de attributen die je nodig hebt voor risicoacceptatie komen binnen als geverifieerde claims in plaats van als velden die zij typte en jij stilletjes hoopt dat ze kloppen.

Dat is een kleine verandering in bewoording met een groot gevolg voor je data. Vandaag stelt de klant iets, en verifieer jij het. Vanaf hier bevestigt de uitgever het cryptografisch, en jij neemt het over. Wat in je systemen terechtkomt is niet gewoon sneller, het is beter dan wat je vandaag verzamelt, en het is al toe te schrijven aan een bron die niet jouw callcenter is.

Omdat er niets meer overblijft voor iemand om manueel te bekijken, krijgt Marie een beslissing binnen dezelfde sessie. Ze ondertekent de polis met een gekwalificeerde elektronische handtekening, gegenereerd door de wallet, zonder jouw traject ooit te verlaten.

Die laatste stap weegt zwaarder dan hij op het eerste gezicht lijkt. Een gekwalificeerde elektronische handtekening (QES) draagt dezelfde juridische waarde als een handgeschreven handtekening, in alle 27 lidstaten. Die gelijkwaardigheid is wat je positie verandert in een geschil. Geavanceerde handtekeningen (AES), waar de meeste verzekeraars vandaag staan, kunnen hun rechtsgeldigheid niet verliezen enkel en alleen omdat ze elektronisch zijn, maar de betrouwbaarheid ervan wordt door een rechter beoordeeld, en het werk om die betrouwbaarheid aan te tonen komt bij de partij die zich op de handtekening beroept. Dat is meestal jouw taak. Bij een gekwalificeerde handtekening is er niets aan te tonen.

Hetzelfde patroon reikt veel verder dan levenspolissen: mandaten, begunstigingsclausules, schaderegelingsovereenkomsten, kredietovereenkomsten. Ook broker- en partneronboarding, waar een bedrijf zijn identiteit en het mandaat van de ondertekenaar bewijst in plaats van scans van zijn statuten te mailen en te hopen dat het mandaat nog geldig is. Dat laatste draait op de European Business Wallet, een apart spoor dat later komt dan de burgerwallet, dus plan het als fase twee, niet als dag één.

Twaalf jaar later: bewijswaarde aantonen

Nog een keer vooruitspoelen, deze keer naar 2040. Marie is overleden, de uitkering is aanzienlijk, en een familielid betwist wie de begunstigde was. Jouw juristen gaan de polis zoeken.

Ze vinden hem meteen. Hij staat precies waar hij hoort: een nette PDF in de documentenbibliotheek. En dat is het moment waarop iemand ontdekt dat een ondertekend document bewaren niet hetzelfde is als het kunnen bewijzen.

Handtekeningen leunen op certificaten, en certificaten verlopen. Een polis ondertekend in 2028 kan rusten op een certificaat dat in 2033 is vervallen. Om ze in 2040 te verdedigen, moet je nog steeds kunnen aantonen dat de handtekening geldig was op het moment van ondertekenen, en een PDF kan dat niet alleen, hoe netjes de metadata ook oogt.

eIDAS beantwoordt dit met twee diensten die makkelijk door elkaar worden gehaald en dat niet zouden mogen zijn. Gekwalificeerde bewaring houdt een handtekening verifieerbaar lang nadat het certificaat is verlopen, door het validatiebewijs opnieuw te timestampen voordat de cryptografie veroudert. Gekwalificeerde elektronische archivering, een van de vier vertrouwensdiensten die eIDAS 2 nieuw invoert, dekt het document zelf: alles wat in een gekwalificeerd archief zit, geniet een vermoeden van integriteit en herkomst voor de hele bewaartermijn. Een archiveringsdienst mag daarbij leunen op een bewaringsdienst voor het handtekeningdeel, en zo zijn de meeste gekwalificeerde providers ook opgebouwd.

Het praktische resultaat is het deel dat je moet onthouden. Op verzoek geeft een gekwalificeerd archief je juristen een rapport dat bevestigt dat het document intact is en komt van waar het beweert vandaan te komen, verzegeld door de provider. Dat is een heel ander gesprek dan een PDF voorleggen en beweren dat hij er onaangeroerd uitziet. Levensverzekeringen, pensioenen en hypotheken lopen twintig tot dertig jaar, dus dit is geen theoretisch randgeval. Het is vermoedelijk het grootste deel van je portefeuille.

Authenticeren, ondertekenen, bewaren. Eén transactie raakt alle drie, en twee van de drie goed doen voelt volkomen compliant aan, tot het jaar waarin iemand je vraagt het te bewijzen.

eIDAS 2-compliance: wat te doen vóór 2027

Er hoeft dit kwartaal niets herbouwd te worden. Wat je wel moet doen, is stoppen met flows bouwen die je straks weer moet afbreken.

Drie dingen die nu al de moeite zijn:

• Ontwerp nieuwe authenticatie- en ondertekenflows wallet-klaar, ook als er nog niemand naar vraagt
• Bepaal welke documentfamilies echt gekwalificeerde behandeling nodig hebben. Niet allemaal, en overengineering kost geld
• Ga na of je archief echt een archief is, of gewoon een goed georganiseerde map

De deadline komt hoe dan ook. De efficiëntiewinst die je eruit haalt, is optioneel.

Neem één flow die je vandaag al draait (een onboarding-flow, een ondertekenflow) en stel jezelf drie vragen:

1. Kun je die transactie end-to-end authenticeren?
2. Kun je ze ondertekenen op een manier die standhoudt in een geschil?
3. Kun je beide nog bewijzen, 20 jaar later?

Als je bij een van de drie twijfelt, heb je de hiaat gevonden die het zoeken waard is.

We lopen jouw flow en deze drie vragen samen door, in een uur tijd. Breng je flow mee, en we helpen je precies te begrijpen welk van de drie je mist, en wat nodig is om het te sluiten.