eIDAS-verordening (910/2014, gewijzigd door 2024/1183)

De eIDAS-verordening (Verordening (EU) nr. 910/2014) regelt de elektronische identificatie in de Europese Unie: de EHDS verwijst bijvoorbeeld naar de identificatiemiddelen die op grond van artikel 6 van deze verordening erkend zijn^[1]. Een betrouwbaarheidsniveau geeft aan hoeveel zekerheid een aanmeldmiddel biedt over de identiteit van de gebruiker; de niveaus zijn uitgewerkt in Uitvoeringsverordening 2015/1502, en het Belgische FAS-kader past ze zonder afwijking toe^[2]. De Belgische federale aanmelddienst (FAS) integreert de eIDAS-node en de wederzijds erkende, aangemelde stelsels en sleutels van andere lidstaten^[2]. In FAS heeft een op Europees niveau erkende sleutel het niveau hoog of substantieel^[3].

Volgens itsme keurde de Europese Commissie op 18 december 2019 de aanmelding van het Belgische stelsel FAS/itsme onder eIDAS goed^[4], op betrouwbaarheidsniveau hoog^[4].

Verordening (EU) 2024/1183 wijzigt de verordening en wordt eIDAS 2.0 genoemd; ze voegt de Europese portemonnee voor digitale identiteit (EUDI-wallet) toe^[5]. De verordening definieert die portemonnee als een elektronisch identificatiemiddel waarmee de gebruiker persoonsidentificatiegegevens en elektronische attesteringen van attributen veilig opslaat, beheert en valideert om ze aan vertrouwende partijen te verstrekken, en waarmee hij gekwalificeerd elektronisch kan ondertekenen^[5]. Hoe dit in de Belgische zorg landt, onder meer via de MyGov.be-app, staat op Authenticatie in de zorg.

De overwegingen (geen artikel) vragen daarnaast waarborgen voor de verwerking door vertrouwende partijen, in het bijzonder voor bijzondere categorieën van gegevens zoals gezondheidsgegevens^[5]. De overwegingen noemen de gezondheidssector als voorbeeld waar authenticatie in offlinemodus belangrijk is, onder meer om e-recepten op QR-codes te kunnen vertrouwen^[5].

Koppeling met de EHDS

De EHDS-verordening bouwt op eIDAS. Burgers mogen zich bij de toegangsdiensten identificeren met elk onder artikel 6 van eIDAS erkend identificatiemiddel^[1]. Toegangsdiensten voor gezondheidswerkers zijn enkel toegankelijk met een onder eIDAS erkend middel of een middel volgens de gemeenschappelijke specificaties van artikel 36^[1] (zie EHDS: primair gebruik (hoofdstuk II)). Uitvoeringsverordening (EU) 2026/2099 werkt de grensoverschrijdende uitwisseling via MyHealth@EU uit: een zorgverlener die op online verzoek van de patiënt zo'n uitwisseling vraagt, identificeert en authenticeert die patiënt met een eIDAS-middel van eerst minstens niveau substantieel en vanaf 26 maart 2030 niveau hoog^[6]. Volgens dezelfde uitvoeringsverordening moet vanaf 26 maart 2029 een gezondheidswerker of zorgaanbieder die een grensoverschrijdende uitwisseling vraagt, zorgattributen aanvaarden die als elektronische attestatie via een Europese portemonnee worden aangeboden^[6]. Het Belgische standpunt voor grensoverschrijdende identificatie is dat een zorgverlener of instelling zich authenticeert met een eIDAS-middel van niveau substantieel, met inbegrip van EUDI-wallets^[7].

Volgens overweging 3 van Uitvoeringsverordening (EU) 2024/2977 voert de Commissie de opdracht van art. 5 bis, lid 23 uit met vier uitvoeringsverordeningen (2024/2982, 2024/2979, 2024/2977 en 2024/2980)^[8]. De termijn van 24 maanden verwijst echter ook naar de handelingen van art. 5 quater, lid 6^[5]. Interpretatie: als de handelingen van eind 2024 de termijn starten, valt de termijn van 24 maanden rond eind december 2026 en die van 36 maanden rond eind december 2027; welke handelingen als referentie gelden, is niet bevestigd in een bron.

• Patiëntportalen: een ziekenhuis dat voor een patiëntportaal sterke authenticatie moet toepassen, kan onder de aanvaardingsplicht voor private vertrouwende partijen vallen^[5]; of en wanneer dat voor een zorginstelling geldt, hangt af van de uitvoeringshandelingen en de nationale invulling (interpretatie).
• Grensoverschrijdende zorg: volgens Uitvoeringsverordening 2026/2099 moeten zorgaanbieders vanaf 26 maart 2029 bij grensoverschrijdende uitwisseling zorgattributen via de portemonnee aanvaarden^[6].
• Gezondheidsgegevens: de overwegingen vragen extra waarborgen voor de verwerking van gezondheidsgegevens door vertrouwende partijen^[5].
• Nu: Belgische zorgtoepassingen bereiken eIDAS-sleutels via FAS, dat de eIDAS-node integreert^[2]; of de eHealth IDP sleutels van andere lidstaten aanbiedt, is niet gevonden (zie Authenticatie in de zorg).

Aanbeveling: neem de aanvaarding van de Europese portemonnee op in de planning van patiëntportalen en identiteitsbeheer, en volg de Belgische invulling van de termijnen op.

1. Starttermijn: de termijnen van 24 en 36 maanden lopen vanaf uitvoeringshandelingen^[5]; 2024/2977 hoort bij de handelingen van art. 5 bis, lid 23^[8], maar welke handeling de termijn effectief start en welke einddatum België hanteert, is niet gevonden.
2. Belgische portemonnee: MyGov.be wordt volgens de Ministerraad van 2023 de Belgische invulling van de Europese portemonnee^[9], maar een formele aanmelding is niet gevonden.
3. Toepassing op zorginstellingen: welke zorgactoren als private vertrouwende partij met plicht tot sterke authenticatie gelden, is niet uitgewerkt in de geraadpleegde bronnen.