eIDAS 2.0 forklaret: hvad det betyder for din virksomhed

Senest i 2026 skal EU's medlemsstater give borgere og virksomheder adgang til en digital identity wallet. Organisationer, der udsteder eller verificerer identitetsrelaterede dokumenter (fra handelskamre til banker, forsikringsselskaber og indkøbsplatforme) vil i stigende grad arbejde med verifiable credentials i stedet for PDF'er og e-mail.

Organisationer, der er tidligt ude, opnår en strukturel fordel: hurtigere onboarding, lavere risiko for svindel, automatiserede compliance-tjek og parathed til obligatoriske reguleringer, før de træder i kraft. Organisationer, der venter, vil stå over for en presset overgangsperiode med højere omkostninger og forstyrrelser.

Den første eIDAS-forordning, Regulation (EU) No 910/2014, gjorde to ting. Den gjorde nationale elektroniske identitetsordninger genkendelige på tværs af grænser, så et login udstedt i én medlemsstat kunne åbne en offentlig tjeneste i en anden. Den gav også tillidstjenester som elektroniske signaturer, segl og tidsstempler et retligt grundlag, der gjaldt i hele Unionen.

I praksis kom den første halvdel aldrig rigtig i hus. Det var frivilligt at anmelde en national ordning, så i begyndelsen af 2020'erne havde en stor del af europæerne slet ingen anmeldt elektronisk identitet, og de ordninger, der fandtes, virkede sjældent uden for deres eget land. Intet forpligtede private organisationer til at acceptere dem, og det efterlod banker, teleselskaber og platforme med selv at bygge deres egne identitetskontroller.

eIDAS 2.0, Regulation (EU) 2024/1183, bevarer tillidstjenesterne og bygger identitetsdelen op omkring indehaveren. Hver medlemsstat skal nu tilbyde en tegnebog i stedet for blot at måtte anmelde en ordning, en afgrænset gruppe private organisationer skal acceptere den, og verificerede fakta om en person eller en virksomhed bliver en tillidstjeneste i sig selv. Indehaveren bestemmer, hvad der deles i hver transaktion, og det er det skift, der får resten til at fungere.

For en virksomhed er den praktiske forskel retningen. Under de gamle rammer valgte I selv, om I ville understøtte elektronisk identitet, og konkluderede som regel, at det ikke var indsatsen værd. Under de nye kommer infrastrukturen alligevel, jeres modparter får den gratis, og spørgsmålet bliver, hvor hurtigt I kan tage den i brug.

eIDAS 2.0 gælder på to niveauer. Medlemsstaterne skal opbygge og drive infrastrukturen til European Digital Identity Wallet og stille den til rådighed for borgere og virksomheder. Organisationer, der udsteder eller verificerer identitetsrelaterede dokumenter, herunder handelskamre, banker, forsikringsselskaber, offentlige myndigheder og indkøbsplatforme, skal kunne udstede credentials til denne wallet eller acceptere credentials, der fremvises fra den.

Udrulningen følger en fast tidsplan. Senest i 2026 skal alle EU's medlemsstater give borgere og virksomheder adgang til en digital identity wallet. Forud for den dato forventes organisationer, der udsteder eller verificerer credentials, at have den tekniske kapacitet til at arbejde med wallet-baserede credentials, da efterspørgslen fra wallet-holdere opstår i samme øjeblik, som selve walleten bliver tilgængelig.

I praksis handler forberedelse om tre ting: at tilpasse credential-formater til de standarder, som wallet er bygget på (W3C Verifiable Credentials, mdoc, OpenID4VC), at oprette forbindelse til et tillidsregister, så udstedte credentials kan verificeres uden at kontakte issueren direkte, og at indføre en privacy-by-design-arkitektur, der opbevarer credentials i holderens egen wallet i stedet for i et fælles register og kun deler de attributter, en verifier har brug for. Organisationer, der starter tidligt, undgår den pressede overgangsperiode, de højere omkostninger og de forstyrrelser, der følger med at vente, til fristen nærmer sig.

Den største forpligtelse er tegnebogen selv. Senest den 24. december 2026 skal hver medlemsstat tilbyde mindst én European Digital Identity Wallet, gratis for fysiske personer, og sikre, at den virker for borgere, fastboende og virksomheder. Offentlige myndigheder skal acceptere den fra samme dato, i deres eget land og for indehavere fra enhver anden medlemsstat.

Bag tegnebogen ligger et maskineri, der betyder mindst lige så meget for en virksomhed, og som får langt mindre opmærksomhed. Medlemsstaterne skal sikre, at personidentifikationsdata kan udstedes til tegnebogen, og at autentiske kilder som selskabsregistre, uddannelsesregistre og faglige organer kan levere deres data elektronisk. De skal også certificere tegnebogsløsninger og offentliggøre, hvilke der er godkendt.

To af disse leverancer er dem, en relying party er afhængig af fra dag til dag. Der skal være en måde at kontrollere gratis, at en tegnebog, der fremviser et bevis, er ægte og stadig gyldig. Og der skal være et nationalt register over relying parties, og det er der, jeres egen organisation registrerer sig, før I overhovedet må bede en tegnebog om noget.

Fremdriften er ujævn, så hold øje med jeres egen medlemsstat frem for det europæiske gennemsnit. Datoen er den samme overalt, men hvilken myndighed der driver registret over relying parties, hvor lang tid registreringen tager, og hvilke autentiske kilder der kobles på først, er nationale beslutninger. Det er dem, der afgør, hvornår I reelt kan komme i gang.

Tillidstjenester er den del af eIDAS, som de fleste virksomheder allerede berører uden at sætte navn på den. De er det, der giver et elektronisk dokument eller en elektronisk meddelelse juridisk vægt: underskrift, segl, tidsstempling, registreret levering og nu også attestering af fakta om en person eller en organisation.

Ordet, der betyder noget, er kvalificeret. En kvalificeret tjeneste kommer fra en udbyder, der er under tilsyn og offentliggjort på en national tillidsliste, og den bærer en retlig formodning i alle medlemsstater. En domstol går ud fra, at signaturen, seglet eller tidsstemplet er det, det giver sig ud for at være, og den, der bestrider det, har bevisbyrden. En tjeneste, der ikke er kvalificeret, kan stadig være udmærket bevis, men så skal I selv bevise det.

Tillidstjenester og tegnebogen er to halvdele af det samme billede. Tegnebogen er den måde, et bevis når frem til modparten på, og den måde indehaveren vælger, hvad der skal vises, mens tillidstjenesterne er det, der gør indholdet holdbart bagefter. De fleste organisationer ender med at bruge flere på én gang: et segl på det, de udsteder, en attestering af de fakta, de kan stå inde for, og en signatur overalt, hvor en person skal forpligte sig.

Fra den 24. december 2027 er det ikke længere frivilligt for en stor del af den private sektor at acceptere European Digital Identity Wallet. Pligten følger kravet om stærk brugerautentifikation, så det er måden, I identificerer folk på, der afgør det, ikke hvad branchen hedder.

Reglen er lettest at forstå gennem eksempler. En bank foretager allerede en stærk kontrol, når nogen åbner en konto eller bekræfter en betaling, så tegnebogen skal blive en af de måder, den kontrol kan opfyldes på. Et teleselskab, der verificerer en identitet, før et abonnement aktiveres, en energileverandør, der skifter en kontrakt, og et sundhedsforsikringsselskab, der registrerer et nyt medlem, står alle i samme situation.

Det samme gælder langt ud over de oplagte regulerede navne. Et universitet, der indskriver studerende, en transportvirksomhed, der udsteder et medarbejderkort, en social sikringsmyndighed, der udbetaler ydelser, og en meget stor onlineplatform, der logger brugere ind, falder alle ind under forpligtelsen, så snart de autentificerer nogen. Hvis I allerede i dag sender folk gennem en formel identitetskontrol online, så gå ud fra, at I er omfattet, og arbejd videre derfra.

To begrænsninger er værd at huske. Forpligtelsen udløses af brugeren, der beder om at bruge sin tegnebog i stedet for at få den påtvunget, og den dækker identifikationstrinnet og ikke hele relationen. Den er heller ikke en ret til at bede om mere: I må kun bede om de data, jeres registrering som relying party dækker, hvilket i de fleste tilfælde er mindre, end et scannet dokument ville have givet jer.

Den offentlige forvaltning kommer først. Når wallets er tilgængelige, hvilket skal ske senest den 24. december 2026, skal den acceptere dem alle de steder, hvor den allerede kræver elektronisk identifikation, i eget land og for borgere fra andre medlemsstater.

Mikrovirksomheder og små virksomheder er undtaget fra accept-pligten. Meget store onlineplatforme udpeget efter Digital Services Act er omfattet alle steder, hvor de autentificerer brugere, selvom forordningen ikke fastsætter en særskilt dato for dem.

Står din organisation ikke på nogen af listerne, er det praktiske spørgsmål stadig det samme. Hver identitetskontrol, du foretager i dag, kan blive et bevis, der vises fra en wallet på få sekunder, med mindre svindel, ingen dokumenthåndtering og ingen data, du selv skal opbevare og beskytte.

European Digital Identity Wallet er bygget op omkring en person. Det er den rigtige form, når man skal bevise, hvem man har foran sig, og den forkerte form til de fleste processer mellem virksomheder, som i stedet handler om organisationen: hvilken juridisk enhed I har med at gøre, hvem der må handle på dens vegne, og hvor langt den beføjelse rækker.

eIDAS 2.0 giver allerede en organisation mulighed for at have beviser og modtage attesteringer om sig selv, så virksomhedsdata kan bevæge sig gennem en tegnebog allerede i dag. Det, forordningen ikke afklarer, er det administrative lag omkring det: fuldmagter, tegningsret, indberetninger og den dokumentudveksling mellem virksomheder og offentlige myndigheder, der stadig kører på portaler og e-mail.

Den 19. november 2025 foreslog Europa-Kommissionen en separat forordning for European Business Wallet, der dækker præcis det lag. Den er stadig undervejs i lovgivningsprocessen, så der er endnu ingen dato at planlægge efter, og ingen bør vente på en, før de handler.

Den nyttige forberedelse er ikke teknisk. Beslut nu, hvem i jeres organisation der ejer virksomhedens beviser, og hvem der kan forpligte virksomheden, for det er det, enhver tegnebog vil blive bedt om at udtrykke. Det tager som regel længere tid at blive enige internt, end det tager at bygge integrationen.

eIDAS 2.0 er underlagt tilsyn, ikke selverklæring. Hver medlemsstat udpeger et organ, der fører tilsyn med kvalificerede tillidstjenesteudbydere og kan inddrage den kvalificerede status, og et organ, der fører tilsyn med de tegnebogsudbydere, der opererer på dens område. Databeskyttelsesmyndighederne beholder deres egen rolle overalt, hvor personoplysninger indgår, hvilket på dette område er næsten overalt.

Registrering som relying party er den del, der berører almindelige virksomheder mest direkte. Fordi jeres registrering angiver, hvad I må bede en tegnebog om, er det synligt at bede om mere, det kan indberettes, og en tilsynsmyndighed kan reagere på det. Medlemsstaterne skal fastsætte sanktioner for overtrædelser af forordningen og gøre dem effektive, forholdsmæssige og afskrækkende, og beløbene fastsættes nationalt.

For de fleste organisationer er den første omkostning ved at være sent på den dog ikke en bøde. Det er en kunde, der kan bevise noget på få sekunder, men i stedet bliver bedt om at uploade en scanning, en konkurrent, der tager kunden ind samme eftermiddag, og et udbudsspørgsmål, I ikke kan svare godt på.

Den anden omkostning er tidsplanen. Alt på tjeklisten nedenfor har leveringstider, der måles i måneder snarere end uger, og det hele skal ske i samme tidsrum som for alle andre. At begynde tidligt handler mest om ikke at skulle konkurrere om knap opmærksomhed senere.

Credencos Business Wallet er designet fra bunden til at opfylde kravene i eIDAS 2.0. Den implementerer W3C Verifiable Credentials, OpenID4VC til udstedelse og fremvisning af credentials og validerer udstederes tillid op imod EU's eIDAS-tillidslister, hvilket sikrer, at hver eneste credential udstedt via Credenco har den standardbaserede tillid, som forordningen kræver.

Credentials opbevares i hver organisations egen wallet, ikke i et fælles register, og holdere deler kun de attributter, en verifier har brug for. Denne privacy-by-design-arkitektur er ikke tilføjet efterfølgende: den er et grundlæggende designprincip, der er direkte i overensstemmelse med både GDPR og eIDAS 2.0's krav til wallets.