eIDAS 2.0 με απλά λόγια: τι σημαίνει για την επιχείρησή σας

Μέχρι το 2026, τα κράτη μέλη της ΕΕ πρέπει να παρέχουν σε πολίτες και επιχειρήσεις πρόσβαση σε ένα wallet ψηφιακής ταυτότητας. Οργανισμοί που εκδίδουν ή επαληθεύουν έγγραφα σχετικά με την ταυτότητα (από επιμελητήρια έως τράπεζες, ασφαλιστές και πλατφόρμες προμηθειών) θα εργάζονται όλο και περισσότερο με επαληθεύσιμα διαπιστευτήρια αντί για PDF και email.

Όσοι υιοθετούν την τεχνολογία νωρίς αποκτούν διαρθρωτικό πλεονέκτημα: ταχύτερη ένταξη, χαμηλότερο κίνδυνο απάτης, αυτοματοποιημένους ελέγχους συμμόρφωσης και ετοιμότητα για υποχρεωτικούς κανονισμούς πριν τεθούν σε ισχύ. Οι οργανισμοί που περιμένουν θα αντιμετωπίσουν ένα συμπιεσμένο χρονοδιάγραμμα μετάβασης με υψηλότερο κόστος και διαταραχή.

Ο πρώτος κανονισμός eIDAS, ο Regulation (EU) No 910/2014, έκανε δύο πράγματα. Κατέστησε τα εθνικά συστήματα ηλεκτρονικής ταυτοποίησης αναγνωρίσιμα διασυνοριακά, ώστε μια σύνδεση που εκδόθηκε σε ένα κράτος μέλος να μπορεί να ανοίξει μια δημόσια υπηρεσία σε άλλο. Έδωσε επίσης σε υπηρεσίες εμπιστοσύνης όπως οι ηλεκτρονικές υπογραφές, οι σφραγίδες και οι χρονοσφραγίδες μια νομική βάση που ίσχυε παντού στην Ένωση.

Στην πράξη το πρώτο σκέλος ουσιαστικά δεν υλοποιήθηκε ποτέ. Η κοινοποίηση ενός εθνικού συστήματος ήταν προαιρετική, οπότε στις αρχές της δεκαετίας του 2020 μεγάλο μέρος των Ευρωπαίων δεν είχε καθόλου κοινοποιημένη ηλεκτρονική ταυτότητα, ενώ τα συστήματα που υπήρχαν σπάνια λειτουργούσαν εκτός της χώρας τους. Τίποτα δεν υποχρέωνε ούτε τους ιδιωτικούς οργανισμούς να τα αποδέχονται, με αποτέλεσμα τράπεζες, εταιρείες τηλεπικοινωνιών και πλατφόρμες να φτιάχνουν δικούς τους ελέγχους ταυτότητας.

Ο eIDAS 2.0, ο Regulation (EU) 2024/1183, διατηρεί τις υπηρεσίες εμπιστοσύνης και ξαναχτίζει το σκέλος της ταυτότητας γύρω από τον κάτοχο. Κάθε κράτος μέλος οφείλει πλέον να προσφέρει πορτοφόλι αντί απλώς να έχει τη δυνατότητα να κοινοποιήσει ένα σύστημα, μια καθορισμένη ομάδα ιδιωτικών οργανισμών οφείλει να το αποδέχεται, και τα επαληθευμένα στοιχεία για ένα πρόσωπο ή μια εταιρεία γίνονται υπηρεσία εμπιστοσύνης από μόνα τους. Ο κάτοχος αποφασίζει τι κοινοποιείται σε κάθε συναλλαγή, και αυτή ακριβώς η μετατόπιση κάνει τα υπόλοιπα να λειτουργούν.

Για μια επιχείρηση η πρακτική διαφορά είναι η κατεύθυνση της πορείας. Στο παλιό πλαίσιο επιλέγατε εσείς αν θα υποστηρίξετε την ηλεκτρονική ταυτότητα, και συνήθως καταλήγατε ότι δεν άξιζε τον κόπο. Στο νέο η υποδομή έρχεται ούτως ή άλλως, οι αντισυμβαλλόμενοί σας την αποκτούν δωρεάν, και το ερώτημα γίνεται πόσο γρήγορα μπορείτε να την αξιοποιήσετε.

Το eIDAS 2.0 εφαρμόζεται σε δύο επίπεδα. Τα κράτη μέλη πρέπει να δημιουργήσουν και να λειτουργήσουν την υποδομή του European Digital Identity Wallet και να τη διαθέσουν σε πολίτες και επιχειρήσεις. Οργανισμοί που εκδίδουν ή επαληθεύουν έγγραφα σχετικά με την ταυτότητα, όπως εμπορικά επιμελητήρια, τράπεζες, ασφαλιστικές εταιρείες, κρατικοί φορείς και πλατφόρμες προμηθειών, πρέπει να μπορούν να εκδίδουν διαπιστευτήρια σε αυτό το wallet ή να αποδέχονται διαπιστευτήρια που παρουσιάζονται από αυτό.

Η εφαρμογή ακολουθεί ένα καθορισμένο χρονοδιάγραμμα. Έως το 2026, κάθε κράτος μέλος της ΕΕ πρέπει να παρέχει σε πολίτες και επιχειρήσεις πρόσβαση σε ψηφιακό wallet ταυτότητας. Πριν από αυτή την ημερομηνία, οι οργανισμοί που εκδίδουν ή επαληθεύουν διαπιστευτήρια αναμένεται να διαθέτουν την τεχνική ικανότητα να εργάζονται με διαπιστευτήρια βασισμένα σε wallet, καθώς η ζήτηση από τους κατόχους wallet εμφανίζεται τη στιγμή που το ίδιο το wallet καθίσταται διαθέσιμο.

Στην πράξη, η προετοιμασία σημαίνει τρία πράγματα: ευθυγράμμιση των μορφών διαπιστευτηρίων με τα πρότυπα πάνω στα οποία είναι χτισμένο το πορτοφόλι (W3C Verifiable Credentials, mdoc, OpenID4VC), σύνδεση με μητρώο εμπιστοσύνης ώστε τα εκδοθέντα διαπιστευτήρια να μπορούν να επαληθευτούν χωρίς απευθείας επικοινωνία με τον εκδότη, και υιοθέτηση αρχιτεκτονικής απορρήτου εκ σχεδιασμού που διατηρεί τα διαπιστευτήρια στο πορτοφόλι του ίδιου του κατόχου και όχι σε κοινόχρηστο μητρώο, και μοιράζεται μόνο τα χαρακτηριστικά που χρειάζεται ένας επαληθευτής. Οι οργανισμοί που ξεκινούν νωρίς αποφεύγουν το συμπιεσμένο χρονοδιάγραμμα μετάβασης, το υψηλότερο κόστος και τη διατάραξη που συνοδεύουν την αναμονή μέχρι να πλησιάσει η προθεσμία.

Η κύρια υποχρέωση είναι το ίδιο το πορτοφόλι. Έως τις 24 Δεκεμβρίου 2026 κάθε κράτος μέλος πρέπει να προσφέρει τουλάχιστον ένα European Digital Identity Wallet, δωρεάν για τα φυσικά πρόσωπα, και να διασφαλίσει ότι λειτουργεί για πολίτες, κατοίκους και επιχειρήσεις. Οι δημόσιες διοικήσεις πρέπει να το αποδέχονται από την ίδια ημερομηνία, στη χώρα τους και για κατόχους από οποιοδήποτε άλλο κράτος μέλος.

Πίσω από το πορτοφόλι υπάρχει ένας μηχανισμός που έχει εξίσου μεγάλη σημασία για μια επιχείρηση και τραβά πολύ λιγότερη προσοχή. Τα κράτη μέλη πρέπει να διασφαλίσουν ότι τα δεδομένα ταυτοποίησης προσώπων μπορούν να εκδίδονται στο πορτοφόλι και ότι αυθεντικές πηγές όπως τα εμπορικά μητρώα, τα μητρώα εκπαίδευσης και οι επαγγελματικοί φορείς μπορούν να παρέχουν τα δεδομένα τους ηλεκτρονικά. Πρέπει επίσης να πιστοποιούν λύσεις πορτοφολιού και να δημοσιεύουν ποιες είναι εγκεκριμένες.

Δύο από αυτά τα παραδοτέα είναι εκείνα από τα οποία εξαρτάται καθημερινά ένα βασιζόμενο μέρος. Πρέπει να υπάρχει τρόπος να ελέγχεται, δωρεάν, ότι ένα πορτοφόλι που παρουσιάζει ένα διαπιστευτήριο είναι γνήσιο και εξακολουθεί να ισχύει. Και πρέπει να υπάρχει εθνικό μητρώο βασιζόμενων μερών, όπου εγγράφεται ο δικός σας οργανισμός προτού του επιτραπεί να ζητήσει οτιδήποτε από ένα πορτοφόλι.

Η πρόοδος είναι άνιση, οπότε παρακολουθείτε το δικό σας κράτος μέλος και όχι τον ευρωπαϊκό μέσο όρο. Η ημερομηνία είναι ίδια παντού, αλλά ποια αρχή διαχειρίζεται το μητρώο βασιζόμενων μερών, πόσο διαρκεί η εγγραφή και ποιες αυθεντικές πηγές συνδέονται πρώτες είναι εθνικές αποφάσεις. Αυτές καθορίζουν πότε μπορείτε πραγματικά να ξεκινήσετε.

Οι υπηρεσίες εμπιστοσύνης είναι το κομμάτι του eIDAS που οι περισσότερες επιχειρήσεις ήδη αγγίζουν χωρίς να το ονομάζουν. Είναι αυτό που δίνει σε ένα ηλεκτρονικό έγγραφο ή μήνυμα νομική βαρύτητα: υπογραφή, σφράγιση, χρονοσήμανση, συστημένη ηλεκτρονική παράδοση και πλέον βεβαίωση στοιχείων για ένα πρόσωπο ή έναν οργανισμό.

Η λέξη που μετράει είναι εγκεκριμένη. Μια εγκεκριμένη υπηρεσία προέρχεται από πάροχο που εποπτεύεται και δημοσιεύεται σε εθνικό κατάλογο εμπιστοσύνης, και συνοδεύεται από νομικό τεκμήριο σε κάθε κράτος μέλος. Ένα δικαστήριο ξεκινά από την παραδοχή ότι η υπογραφή, η σφραγίδα ή η χρονοσφραγίδα είναι αυτό που δηλώνει, και όποιος το αμφισβητεί φέρει το βάρος της απόδειξης. Μια υπηρεσία που δεν είναι εγκεκριμένη μπορεί κάλλιστα να αποτελεί καλή απόδειξη, αλλά πρέπει να το αποδείξετε εσείς.

Οι υπηρεσίες εμπιστοσύνης και το πορτοφόλι είναι δύο όψεις της ίδιας εικόνας. Το πορτοφόλι είναι ο τρόπος με τον οποίο ένα διαπιστευτήριο φτάνει στο άλλο μέρος και ο κάτοχος επιλέγει τι θα αποκαλύψει, ενώ οι υπηρεσίες εμπιστοσύνης είναι αυτές που κάνουν το περιεχόμενο να αντέχει στη συνέχεια. Οι περισσότεροι οργανισμοί καταλήγουν να χρησιμοποιούν αρκετές ταυτόχρονα: μια σφραγίδα σε όσα εκδίδουν, μια βεβαίωση για τα στοιχεία που μπορούν να εγγυηθούν και μια υπογραφή όπου πρέπει να δεσμευτεί ένα πρόσωπο.

Από τις 24 Δεκεμβρίου 2027, η αποδοχή του European Digital Identity Wallet παύει να είναι προαιρετική για μεγάλο μέρος του ιδιωτικού τομέα. Η υποχρέωση ακολουθεί την απαίτηση ισχυρής ταυτοποίησης χρήστη, οπότε κρίνει ο τρόπος με τον οποίο ταυτοποιείτε ανθρώπους, όχι η ονομασία του κλάδου σας.

Ο κανόνας γίνεται πιο εύκολα κατανοητός μέσα από παραδείγματα. Μια τράπεζα εκτελεί ήδη ισχυρό έλεγχο όταν κάποιος ανοίγει λογαριασμό ή επιβεβαιώνει μια πληρωμή, οπότε το πορτοφόλι πρέπει να γίνει ένας από τους τρόπους με τους οποίους μπορεί να ικανοποιηθεί αυτός ο έλεγχος. Μια εταιρεία τηλεπικοινωνιών που επαληθεύει ταυτότητα πριν ενεργοποιήσει μια συνδρομή, ένας προμηθευτής ενέργειας που αλλάζει ένα συμβόλαιο και ένας ασφαλιστικός φορέας υγείας που εγγράφει νέο μέλος βρίσκονται όλοι στην ίδια θέση.

Το ίδιο ισχύει πολύ πέρα από τα προφανή ρυθμιζόμενα ονόματα. Ένα πανεπιστήμιο που εγγράφει φοιτητές, ένας μεταφορέας που εκδίδει κάρτα προσωπικού, ένας φορέας κοινωνικής ασφάλισης που καταβάλλει παροχές και μια πολύ μεγάλη διαδικτυακή πλατφόρμα που συνδέει χρήστες εμπίπτουν όλοι στην υποχρέωση από τη στιγμή που ταυτοποιούν κάποιον. Αν ήδη περνάτε ανθρώπους από επίσημο έλεγχο ταυτότητας στο διαδίκτυο, θεωρήστε ότι εμπίπτετε και ξεκινήστε από εκεί.

Αξίζει να έχετε υπόψη δύο περιορισμούς. Την υποχρέωση την ενεργοποιεί ο χρήστης, ο οποίος ζητά να χρησιμοποιήσει το πορτοφόλι του αντί να του επιβάλλεται, και αυτή καλύπτει το βήμα της ταυτοποίησης και όχι ολόκληρη τη σχέση. Δεν αποτελεί επίσης άδεια να ζητάτε περισσότερα: μπορείτε να ζητήσετε μόνο τα δεδομένα που καλύπτει η εγγραφή σας ως βασιζόμενο μέρος, τα οποία στις περισσότερες περιπτώσεις είναι λιγότερα από όσα θα σας έδινε ένα σαρωμένο έγγραφο.

Η δημόσια διοίκηση προηγείται. Μόλις τα πορτοφόλια γίνουν διαθέσιμα, κάτι που πρέπει να συμβεί έως τις 24 Δεκεμβρίου 2026, οφείλει να τα δέχεται παντού όπου ήδη ζητά ηλεκτρονική ταυτοποίηση, στη χώρα της και για πολίτες άλλων κρατών μελών.

Οι πολύ μικρές και οι μικρές επιχειρήσεις εξαιρούνται από την υποχρέωση αποδοχής. Οι πολύ μεγάλες διαδικτυακές πλατφόρμες που ορίζονται βάσει του Digital Services Act εμπίπτουν σε αυτήν όπου ταυτοποιούν χρήστες, αν και ο κανονισμός δεν ορίζει ξεχωριστή ημερομηνία για αυτές.

Αν ο οργανισμός σας δεν βρίσκεται σε καμία από τις δύο λίστες, το πρακτικό ερώτημα παραμένει το ίδιο. Κάθε έλεγχος ταυτότητας που κάνετε σήμερα μπορεί να γίνει ένα διαπιστευτήριο που παρουσιάζεται από ένα πορτοφόλι μέσα σε δευτερόλεπτα, με λιγότερη απάτη, χωρίς διαχείριση εγγράφων και χωρίς δεδομένα που πρέπει να φυλάξετε και να προστατεύσετε εσείς.

Το European Digital Identity Wallet είναι σχεδιασμένο γύρω από ένα πρόσωπο. Αυτή είναι η σωστή μορφή για να αποδείξετε ποιος βρίσκεται απέναντί σας και λάθος μορφή για τις περισσότερες διεπιχειρησιακές διαδικασίες, οι οποίες αφορούν τον οργανισμό: με ποια νομική οντότητα συναλλάσσεστε, ποιος μπορεί να ενεργεί για λογαριασμό της και μέχρι πού φτάνει αυτή η εξουσία.

Ο eIDAS 2.0 επιτρέπει ήδη σε έναν οργανισμό να κατέχει διαπιστευτήρια και να λαμβάνει βεβαιώσεις για τον εαυτό του, οπότε τα εταιρικά δεδομένα μπορούν να κινούνται μέσα από ένα πορτοφόλι ήδη σήμερα. Αυτό που δεν ρυθμίζει είναι το διοικητικό στρώμα γύρω από αυτό: εντολές εκπροσώπησης, εξουσίες αντιπροσώπευσης, καταθέσεις εγγράφων και η ανταλλαγή εγγράφων μεταξύ εταιρειών και δημόσιων φορέων που εξακολουθεί να γίνεται μέσω πυλών και ηλεκτρονικού ταχυδρομείου.

Στις 19 Νοεμβρίου 2025 η Ευρωπαϊκή Επιτροπή πρότεινε έναν ξεχωριστό κανονισμό για το European Business Wallet που καλύπτει ακριβώς αυτό το στρώμα. Βρίσκεται ακόμη στη νομοθετική διαδικασία, οπότε δεν υπάρχει προς το παρόν ημερομηνία για σχεδιασμό, και κανείς δεν θα έπρεπε να περιμένει κάποια πριν αναλάβει δράση.

Η χρήσιμη προετοιμασία δεν είναι τεχνική. Αποφασίστε από τώρα ποιος στον οργανισμό σας έχει την ευθύνη για τα εταιρικά διαπιστευτήρια και ποιος μπορεί να δεσμεύει την εταιρεία, επειδή αυτό ακριβώς θα κληθεί να εκφράσει κάθε πορτοφόλι. Συνήθως χρειάζεται περισσότερος χρόνος για να συμφωνήσετε εσωτερικά απ' ό,τι για να υλοποιηθεί η ενσωμάτωση.

Ο eIDAS 2.0 εποπτεύεται, δεν βασίζεται σε αυτοδήλωση. Κάθε κράτος μέλος ορίζει έναν φορέα που επιβλέπει τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης και μπορεί να αφαιρέσει το καθεστώς έγκρισης, καθώς και έναν φορέα που εποπτεύει τους παρόχους πορτοφολιών που δραστηριοποιούνται στην επικράτειά του. Οι αρχές προστασίας δεδομένων διατηρούν τον δικό τους ρόλο όπου εμπλέκονται προσωπικά δεδομένα, που σε αυτό το θέμα είναι σχεδόν παντού.

Η εγγραφή ως βασιζόμενο μέρος είναι το κομμάτι που αγγίζει πιο άμεσα τις συνηθισμένες επιχειρήσεις. Επειδή η εγγραφή σας δηλώνει τι επιτρέπεται να ζητάτε από ένα πορτοφόλι, το να ζητάτε περισσότερα είναι ορατό, καταγγέλλεται και μπορεί να επιληφθεί εποπτική αρχή. Τα κράτη μέλη πρέπει να θεσπίσουν κυρώσεις για παραβάσεις του κανονισμού και να τις καταστήσουν αποτελεσματικές, αναλογικές και αποτρεπτικές, ενώ τα ποσά ορίζονται σε εθνικό επίπεδο.

Για τους περισσότερους οργανισμούς, ωστόσο, το πρώτο κόστος της καθυστέρησης δεν είναι το πρόστιμο. Είναι ένας πελάτης που μπορεί να αποδείξει κάτι σε δευτερόλεπτα και του ζητείται αντ' αυτού να ανεβάσει μια σάρωση, ένας ανταγωνιστής που εντάσσει αυτόν τον πελάτη το ίδιο απόγευμα, και μια ερώτηση σε διαγωνισμό προμηθειών στην οποία δεν μπορείτε να απαντήσετε καλά.

Το δεύτερο κόστος είναι ο χρόνος. Όλα όσα υπάρχουν στη λίστα παρακάτω έχουν χρόνο προετοιμασίας που μετριέται σε μήνες και όχι σε εβδομάδες, και όλα πρέπει να γίνουν στο ίδιο διάστημα με όλους τους υπόλοιπους. Το να ξεκινήσετε νωρίς σημαίνει κυρίως ότι δεν θα ανταγωνίζεστε αργότερα για περιορισμένη προσοχή.

Το Business Wallet της Credenco είναι σχεδιασμένο εξαρχής ώστε να πληροί τις απαιτήσεις του eIDAS 2.0. Υλοποιεί τα W3C Verifiable Credentials, το OpenID4VC για την έκδοση και παρουσίαση διαπιστευτηρίων, και επαληθεύει την αξιοπιστία των εκδοτών βάσει των καταλόγων εμπιστοσύνης eIDAS της ΕΕ, διασφαλίζοντας ότι κάθε διαπιστευτήριο που εκδίδεται μέσω της Credenco φέρει την εμπιστοσύνη βάσει προτύπων που απαιτεί ο κανονισμός.

Τα διαπιστευτήρια φυλάσσονται στο δικό του πορτοφόλι κάθε οργανισμού, όχι σε κοινόχρηστο μητρώο, και οι κάτοχοι γνωστοποιούν μόνο τα χαρακτηριστικά που χρειάζεται ένας επαληθευτής. Αυτή η αρχιτεκτονική απορρήτου εκ σχεδιασμού δεν είναι μια μεταγενέστερη προσαρμογή: είναι μια θεμελιώδης αρχή σχεδιασμού που ευθυγραμμίζεται άμεσα τόσο με τον GDPR όσο και με τις απαιτήσεις του wallet του eIDAS 2.0.