De European
Business Wallet

eIDAS 2 is Verordening (EU) 2024/1183, van kracht sinds 20 mei 2024, die de oorspronkelijke eIDAS-verordening wijzigde en het Europese kader voor digitale identiteit vaststelde. Het bepaalt het vertrouwenskader waarop de Business Wallet zou steunen: gekwalificeerde trustdiensten, trustlijsten en de specificaties die wallets interoperabel maken binnen de Unie.

Geen bedrijf is verplicht een wallet te bezitten. De verplichtingen rusten op anderen: lidstaten moeten burgers en ingezetenen ten minste één EUDI Wallet aanbieden, en vertrouwende partijen in gereguleerde sectoren, bankwezen, telecom, energie, transport, gezondheid, moeten deze accepteren. Het voorstel voor de Business Wallet doorloopt nog de gewone wetgevingsprocedure, en het Parlement en de Raad kunnen het nog wijzigen. Er staat geen datum vast tot de definitieve tekst is aangenomen.

De EUDI Wallet is de persoonlijke wallet: ze draagt de identiteitsgegevens en attributen van een natuurlijke persoon. De Business Wallet zou die van de organisatie dragen. Het voorstel van de Commissie scheidt de twee bewust, door eIDAS zo te wijzigen dat verplichte uitgifte van de EUDI Wallet alleen betrekking heeft op natuurlijke personen. In de praktijk zouden ze in elkaar grijpen: de EUDI Wallet van een vertegenwoordiger bevat het mandaat dat bewijst dat deze mag optreden namens de organisatie waarvan de credentials in de Business Wallet zitten.

Een gekwalificeerde dienst voor elektronische aangetekende bezorging is een trustdienst onder eIDAS die gegevens tussen partijen overdraagt en bewijs van verzending, ontvangst en integriteit levert, met een gekwalificeerd tijdstempel. Het is de aangetekende post van de digitale interne markt, en het mechanisme waarmee een document dat naar of van een wallet wordt verzonden juridisch betrouwbaar wordt, en niet alleen overgedragen.

Begin met een inventarisatie: welke documenten vraagt uw organisatie van anderen, en welke moet ze zelf produceren? Dat zijn uw eerste credentials. Bepaal vervolgens de processen waarin u optreedt als vertrouwende partij, volg het Architecture and Reference Framework, en test met een walletaanbieder of in een van de grootschalige pilots. Organisaties die nu hun machtigingen en mandaten in kaart brengen, zijn degene die klaar zijn om ze te activeren.

De Commissie heeft twee cijfers genoemd: tot €150 miljard per jaar in haar persbericht, en ten minste €160 miljard per jaar op haar beleidspagina. Beide zijn schattingen van een gemodelleerd resultaat bij een aangenomen mate van gebruik, geen gegarandeerd resultaat. Zie de toelichting op de besparingsschattingen voor beide cijfers, de onderliggende aannames, en waarom de oorspronkelijke bronnen ze niet met elkaar in overeenstemming brengen.

Een trustdienstverlener wordt niet eenmalig gecertificeerd en dan met rust gelaten. Onder eIDAS betekent gekwalificeerd worden, de status die een dienst nodig heeft om binnen de hele Unie erkend te worden, het doorstaan van een conformiteitsbeoordeling door een geaccrediteerde conformiteitsbeoordelingsinstantie en vervolgens worden opgenomen in de trustlijst van de toezichthoudende lidstaat, het register dat een vertrouwende partij raadpleegt voordat zij een handtekening, zegel of tijdstempel vertrouwt. Elke lidstaat wijst een toezichthoudende instantie aan die een gekwalificeerde aanbieder op elk moment kan controleren en zijn status kan intrekken. Het is deze keten, controle, trustlijst, toezicht, niet een privaat certificaat, die het mogelijk zou maken dat de zegels en credentials van een business wallet overal in de Unie worden vertrouwd.