Moet jouw organisatie straks wallets accepteren?

Ja, als je organisatie voor online identificatie sterke authenticatie moet gebruiken en geen micro- of kleine onderneming is. Dan moet je vanaf 24 december 2027 ook de Europese digitale identiteitswallet (EUDI Wallet) accepteren, als een gebruiker daarom vraagt. Hieronder hoe we tot die datum komen, en wat je nu kunt doen.

Twee deadlines

Voor wie de acceptatieplicht geldt

Artikel 5f lid 2 van eIDAS 2.0 legt de plicht op aan private partijen die voor online identificatie sterke authenticatie moeten gebruiken, omdat de wet of een contract dat vraagt. De verordening noemt onder meer transport, energie, bankdiensten, financiële diensten, sociale zekerheid, gezondheid, drinkwater, postdiensten, digitale infrastructuur, onderwijs en telecommunicatie.

Drie dingen om op te letten:

• Het is een acceptatieplicht, geen gebruiksplicht. Je accepteert de wallet als de gebruiker daar zelf om vraagt. Je bestaande inlog- of identificatiemethode mag blijven.
• Micro- en kleine ondernemingen zijn uitgezonderd. De verordening verwijst daarvoor naar de Europese mkb-definitie.
• Je moet je registreren. Een organisatie die op een wallet wil vertrouwen, registreert zich in de lidstaat waar ze gevestigd is (artikel 5b lid 1).

Waarom 24 december 2027, en niet november

De termijnen in de verordening tellen niet vanaf een vaste datum, maar vanaf de inwerkingtreding van de uitvoeringshandelingen voor de wallet. Lidstaten krijgen daarna 24 maanden om een wallet aan te bieden (artikel 5a lid 1), private partijen 36 maanden om hem te accepteren (artikel 5f lid 2).

De eerste vijf uitvoeringsverordeningen (2024/2977, 2979, 2980, 2981 en 2982) zijn vastgesteld op 28 november 2024, gepubliceerd op 4 december 2024 en in werking getreden op 24 december 2024. Plus 24 maanden is 24 december 2026, plus 36 maanden is 24 december 2027.

Sommige bronnen noemen november 2027. De verordening gaf de Commissie tot 21 november 2024 om de uitvoeringshandelingen vast te stellen; wie vanaf die datum rekent, komt op november uit. Voor de termijn telt de inwerkingtreding, en die was 24 december 2024.

Waar Nederland staat

Het kabinet schreef de Tweede Kamer in mei 2025 dat de invoering van de wallet in Nederland meer tijd kost dan de 24 maanden uit de verordening. In december 2025 herhaalde het dat, met de toevoeging dat gebruikers bij de overheid DigiD en eHerkenning kunnen blijven gebruiken. Een nieuwe datum voor de publieke Nederlandse wallet noemt het kabinet in die brieven niet. In de openbare broncode van de NL Wallet schrijft het ministerie van BZK dat de app naar verwachting in 2027 publiek beschikbaar komt.

Zo lezen wij artikel 5f: de acceptatieplicht voor private partijen volgt rechtstreeks uit de verordening en telt vanaf de uitvoeringshandelingen, niet vanaf de Nederlandse lancering. Een Nederlandse vertraging verschuift die datum dus niet vanzelf, en de plicht geldt voor wallets die volgens de verordening zijn uitgegeven, ook in andere lidstaten.

Wanneer je niets hoeft te doen

• Je bent een micro- of kleine onderneming.
• Je identificeert gebruikers online niet met sterke authenticatie, en geen wet of contract verplicht je daartoe.

Dan geldt de plicht niet. Je mag wallets vrijwillig accepteren, maar het hoeft niet.

Wat je nu kunt doen

1. Stel vast of je onder artikel 5f lid 2 valt: gebruik je sterke authenticatie omdat een wet of contract dat vraagt?
2. Kies hoe je de wallet aansluit, zelf of via een connector of verifier van een leverancier. In de vergelijking Wallet-infrastructuur zie je per leverancier welke protocollen hij ondersteunt, zoals OpenID4VP en OpenID4VCI.
3. Houd rekening met de registratie als relying party in Nederland. Hoe die registratie werkt, staat nog niet in de bronnen die wij hebben gelezen.

Welke wallets er voor eindgebruikers zijn, zie je bij Identity wallets.