eIDAS 2.0 a budoucnost digitální identity

Do roku 2026 musí členské státy EU poskytnout občanům a firmám přístup k peněžence digitální identity. Organizace, které vydávají nebo ověřují dokumenty související s identitou (od obchodních komor přes banky, pojišťovny až po platformy pro zadávání zakázek) budou stále více pracovat s ověřitelnými pověřeními místo PDF souborů a e-mailů.

Ti, kdo technologii zavedou brzy, získají strukturální výhodu: rychlejší onboarding, nižší riziko podvodů, automatizované kontroly compliance a připravenost na povinné předpisy ještě před jejich účinností. Organizace, které vyčkávají, budou čelit stlačenému přechodovému období s vyššími náklady a narušením provozu.

První nařízení eIDAS, Regulation (EU) No 910/2014, udělalo dvě věci. Umožnilo, aby byly národní systémy elektronické identity uznávány přes hranice, takže přihlášení vydané v jednom členském státě otevřelo veřejnou službu v jiném. Dalo také službám vytvářejícím důvěru, jako jsou elektronické podpisy, pečeti a časová razítka, právní základ platný v celé Unii.

V praxi první polovina nikdy pořádně nenastala. Oznámení národního systému bylo dobrovolné, takže na počátku dvacátých let neměla velká část Evropanů oznámenou elektronickou identitu vůbec a systémy, které existovaly, málokdy fungovaly mimo vlastní zemi. Ani soukromé organizace nic nenutilo je přijímat, takže si banky, telekomunikační operátoři a platformy stavěly vlastní kontroly totožnosti.

eIDAS 2.0, Regulation (EU) 2024/1183, zachovává služby vytvářející důvěru a přestavuje identitní polovinu kolem držitele. Každý členský stát nyní musí peněženku nabízet, nejen mít možnost systém oznámit, vymezená skupina soukromých organizací ji musí přijímat a ověřené údaje o osobě nebo společnosti se stávají samostatnou službou vytvářející důvěru. Držitel rozhoduje, co se v každé transakci sdílí, a právě tento posun umožňuje fungování všeho ostatního.

Pro firmu je praktický rozdíl ve směru vývoje. Podle starého rámce jste si vybírali, zda elektronickou identitu podpoříte, a obvykle jste došli k závěru, že to nestojí za námahu. Podle nového infrastruktura přijde tak jako tak, vaše protistrany ji dostanou zdarma a otázkou zůstává, jak rychle ji dokážete využít.

eIDAS 2.0 platí na dvou úrovních. Členské státy musí vybudovat a provozovat infrastrukturu evropské peněženky digitální identity a zpřístupnit ji občanům a firmám. Organizace, které vydávají nebo ověřují dokumenty související s identitou, včetně obchodních komor, bank, pojišťoven, vládních agentur a platforem pro zadávání zakázek, musí být schopny vydávat pověření do této peněženky nebo přijímat pověření z ní předložená.

Zavádění probíhá podle pevného harmonogramu. Do roku 2026 musí každý členský stát EU poskytnout občanům a firmám přístup k peněžence digitální identity. Před tímto termínem se očekává, že organizace, které vydávají nebo ověřují pověření, budou mít technickou způsobilost pracovat s pověřeními na bázi peněženky, protože poptávka ze strany držitelů peněženky vzniká ve chvíli, kdy je samotná peněženka dostupná.

V praxi příprava znamená tři věci: sladění formátů pověření se standardy, na kterých je peněženka postavena (W3C Verifiable Credentials, mdoc, OpenID4VC), připojení k registru důvěry, aby bylo možné vydaná pověření ověřit bez přímého kontaktování vydavatele, a přijetí architektury postavené na principu privacy-by-design, která uchovává pověření ve vlastní peněžence držitele, nikoli ve sdíleném registru, a sdílí jen ty atributy, které ověřovatel potřebuje. Organizace, které začnou včas, se vyhnou stlačenému přechodovému období, vyšším nákladům a narušení provozu, které přináší čekání až do doby, kdy se termín přiblíží.

Hlavní povinností je peněženka samotná. Do 24. prosince 2026 musí každý členský stát nabídnout alespoň jednu European Digital Identity Wallet, pro fyzické osoby bezplatně, a zajistit, aby fungovala pro občany, rezidenty i firmy. Veřejná správa ji musí přijímat od téhož data, ve vlastní zemi i u držitelů z kteréhokoli jiného členského státu.

Za peněženkou stojí aparát, který má pro firmu stejnou váhu a přitahuje mnohem méně pozornosti. Členské státy musí zajistit, aby bylo možné do peněženky vydat identifikační údaje osoby a aby autentické zdroje, jako jsou obchodní rejstříky, evidence vzdělávání a profesní komory, mohly své údaje poskytovat elektronicky. Musí také certifikovat řešení peněženek a zveřejňovat, která z nich jsou schválena.

Dva z těchto výstupů jsou tím, na čem spoléhající se strana denně závisí. Musí existovat způsob, jak bezplatně ověřit, že peněženka předkládající potvrzení je pravá a stále platná. A musí existovat národní registr spoléhajících se stran, do kterého se vaše organizace zapíše dříve, než smí peněženku o cokoli požádat.

Pokrok je nerovnoměrný, takže sledujte vlastní členský stát, nikoli evropský průměr. Datum je všude stejné, ale to, který úřad registr spoléhajících se stran vede, jak dlouho registrace trvá a které autentické zdroje se připojí jako první, jsou národní rozhodnutí. Právě ta určují, kdy můžete skutečně začít.

Služby vytvářející důvěru jsou tou částí eIDAS, které se většina firem už dotýká, aniž by ji pojmenovala. Jsou tím, co dává elektronickému dokumentu nebo zprávě právní váhu: podepisování, pečetění, časová razítka, doporučené doručování a nyní i potvrzování údajů o osobě nebo organizaci.

Podstatné je slovo kvalifikovaná. Kvalifikovaná služba pochází od poskytovatele, který podléhá dohledu a je uveden na národním důvěryhodném seznamu, a nese právní domněnku ve všech členských státech. Soud vychází z předpokladu, že podpis, pečeť nebo časové razítko jsou tím, za co se vydávají, a důkazní břemeno nese ten, kdo to zpochybňuje. Služba, která kvalifikovaná není, může být stále zcela dobrým důkazem, ale musíte to prokázat.

Služby vytvářející důvěru a peněženka jsou dvě poloviny téhož obrazu. Peněženka je způsob, jakým se potvrzení dostane k druhé straně a jakým si držitel volí, co odhalí, zatímco služby vytvářející důvěru zajišťují, že obsah později obstojí. Většina organizací nakonec používá několik naráz: pečeť na tom, co vydává, potvrzení pro údaje, za které může ručit, a podpis všude tam, kde se musí zavázat konkrétní člověk.

Od 24. prosince 2027 přestává být přijímání European Digital Identity Wallet pro velkou část soukromého sektoru dobrovolné. Povinnost jde za požadavkem silného ověření uživatele, takže rozhoduje způsob, jakým identifikujete lidi, ne název vašeho oboru.

Pravidlo se nejsnáze chápe na příkladech. Banka už dnes provádí silné ověření, když si někdo otevírá účet nebo potvrzuje platbu, takže peněženka se musí stát jedním ze způsobů, jak toto ověření splnit. Telekomunikační operátor ověřující totožnost před aktivací tarifu, dodavatel energie měnící smlouvu i zdravotní pojišťovna registrující nového pojištěnce jsou ve stejné situaci.

Totéž platí i daleko za hranicemi zjevně regulovaných odvětví. Univerzita zapisující studenty, dopravce vydávající zaměstnanecký průkaz, orgán sociálního zabezpečení vyplácející dávky i velmi velká online platforma přihlašující uživatele spadají do této povinnosti ve chvíli, kdy někoho autentizují. Pokud už dnes posíláte lidi přes formální kontrolu totožnosti online, předpokládejte, že do působnosti spadáte, a vyjděte z toho.

Stojí za to mít na paměti dvě omezení. Povinnost spouští uživatel, který sám požádá o použití své peněženky, místo aby mu byla vnucena, a týká se kroku identifikace, nikoli celého vztahu. Není to ani povolení ptát se na více: smíte žádat pouze údaje, na které se vztahuje vaše registrace spoléhající se strany, a to je ve většině případů méně, než by vám dal naskenovaný doklad.

Veřejná správa je na řadě první. Jakmile budou peněženky k dispozici, což musí nastat do 24. prosince 2026, musí je přijímat všude tam, kde už dnes vyžaduje elektronickou identifikaci, ve vlastní zemi i pro občany jiných členských států.

Mikropodniky a malé podniky jsou z povinnosti přijímat peněženku vyňaty. Velmi velké online platformy určené podle Digital Services Act povinnosti podléhají všude tam, kde ověřují uživatele, i když pro ně nařízení nestanoví samostatné datum.

Pokud vaše organizace není ani na jednom ze seznamů, praktická otázka zůstává stejná. Každé ověření totožnosti, které dnes provádíte, se může změnit v potvrzení předložené z peněženky během pár sekund, s nižším rizikem podvodu, bez práce s dokumenty a bez dat, která musíte sami uchovávat a chránit.

European Digital Identity Wallet je postavena kolem osoby. To je správný tvar pro prokázání toho, kdo stojí před vámi, a nesprávný tvar pro většinu procesů mezi firmami, které se točí kolem organizace: o kterou právnickou osobu jde, kdo za ni smí jednat a jak daleko toto oprávnění sahá.

eIDAS 2.0 již umožňuje organizaci držet potvrzení a přijímat potvrzení o sobě samé, takže firemní údaje mohou peněženkou procházet už dnes. Co neřeší, je administrativní vrstva kolem toho: zmocnění, zástupčí oprávnění, úřední podání a výměna dokumentů mezi firmami a veřejnými orgány, která stále běží přes portály a e-mail.

Dne 19. listopadu 2025 navrhla Evropská komise samostatné nařízení o European Business Wallet, které má pokrýt přesně tuto vrstvu. Stále prochází legislativním procesem, takže zatím neexistuje datum, podle kterého by se dalo plánovat, a nikdo by na něj neměl s jednáním čekat.

Užitečná příprava není technická. Rozhodněte už teď, kdo ve vaší organizaci vlastní firemní potvrzení a kdo smí společnost zavazovat, protože právě to bude muset jakákoli peněženka vyjádřit. Vnitřní shoda obvykle trvá déle než samotné vybudování integrace.

eIDAS 2.0 podléhá dohledu, nikoli vlastnímu prohlášení. Každý členský stát určuje orgán, který dohlíží na kvalifikované poskytovatele služeb vytvářejících důvěru a může jim odebrat kvalifikovaný status, a orgán, který dohlíží na poskytovatele peněženek působící na jeho území. Úřady pro ochranu osobních údajů si ponechávají vlastní roli všude tam, kde jde o osobní údaje, což je v tomto tématu téměř všude.

Registrace spoléhající se strany je částí, která se běžných firem dotýká nejpříměji. Protože vaše registrace uvádí, na co smíte peněženku žádat, je žádost o více viditelná, oznamitelná a dohledový orgán proti ní může zasáhnout. Členské státy musí stanovit sankce za porušení nařízení a učinit je účinnými, přiměřenými a odrazujícími, přičemž částky se určují na národní úrovni.

Pro většinu organizací však prvním nákladem opoždění není pokuta. Je jím zákazník, který by něco dokázal během několika sekund, a přesto je požádán o nahrání skenu, konkurent, který téhož odpoledne tohoto zákazníka získá, a otázka ve výběrovém řízení, na kterou nedokážete dobře odpovědět.

Druhým nákladem je načasování. Vše z níže uvedeného kontrolního seznamu má dobu přípravy měřenou v měsících, nikoli týdnech, a vše se musí odehrát ve stejném okně jako u všech ostatních. Začít včas znamená především nesoupeřit později o nedostatkovou pozornost.

Business Wallet od Credenco je od základu navržena tak, aby splňovala požadavky eIDAS 2.0. Implementuje W3C Verifiable Credentials, OpenID4VC pro vydávání a předkládání pověření a ověřuje důvěryhodnost vydavatelů proti důvěryhodným seznamům eIDAS Evropské unie, což zajišťuje, že každé pověření vydané přes Credenco nese standardizovanou důvěru, kterou nařízení vyžaduje.

Pověření jsou uložena ve vlastní peněžence každé organizace, nikoli ve sdíleném registru, a držitelé zpřístupňují jen ty atributy, které ověřovatel potřebuje. Tato architektura postavená na principu privacy-by-design není dodatečnou úpravou: je to základní návrhový princip, který přímo odpovídá jak GDPR, tak požadavkům na peněženku podle eIDAS 2.0.