eIDAS 2.0 ja digitaalse identiteedi tulevik

2026. aastaks peavad ELi liikmesriigid pakkuma kodanikele ja ettevõtetele juurdepääsu digitaalse identiteedi rahakotile. Organisatsioonid, kes väljastavad või kontrollivad identiteediga seotud dokumente (kaubanduskodadest pankade, kindlustusandjate ja hankeplatvormideni) hakkavad üha enam kasutama kontrollitavaid atesteeringuid PDF-ide ja e-posti asemel.

Varajased kasutuselevõtjad saavad struktuurse eelise: kiirem liitumine, väiksem pettuserisk, automatiseeritud vastavuskontrollid ja valmisolek kohustuslikeks regulatsioonideks enne nende jõustumist. Organisatsioone, kes ootavad, ootab ees kokkusurutud üleminekuaeg suuremate kulude ja häiretega.

Esimene eIDAS määrus, Regulation (EU) No 910/2014, tegi kaks asja. See muutis riiklikud e-identiteedi skeemid piiriüleselt tunnustatavaks, nii et ühes liikmesriigis välja antud sisselogimisega sai avada avaliku teenuse teises riigis. Samuti andis see usaldusteenustele, nagu e-allkirjad, e-templid ja ajatemplid, õigusliku aluse, mis kehtis kogu liidus.

Praktikas esimene pool tegelikult kunagi ei saabunud. Riiklikust skeemist teavitamine oli vabatahtlik, nii et 2020. aastate alguseks puudus suurel osal eurooplastest üldse teavitatud e-identiteet ja olemasolevad skeemid toimisid väljaspool oma riiki harva. Miski ei kohustanud ka eraorganisatsioone neid vastu võtma, mistõttu pangad, telekomioperaatorid ja platvormid ehitasid ise oma isikutuvastuse lahendusi.

eIDAS 2.0 ehk Regulation (EU) 2024/1183 säilitab usaldusteenused ja ehitab identiteedipoole omaniku ümber uuesti üles. Iga liikmesriik peab nüüd pakkuma rahakotti, mitte üksnes tohtima skeemist teavitada, kindlaksmääratud rühm eraorganisatsioone peab seda aktsepteerima ja kontrollitud faktid isiku või ettevõtte kohta muutuvad omaette usaldusteenuseks. Omanik otsustab, mida igas tehingus jagatakse, ja just see nihe paneb ülejäänu tööle.

Ettevõtte jaoks on praktiline erinevus liikumissuunas. Vana raamistiku järgi valisite ise, kas e-identiteeti toetada, ja jõudsite tavaliselt järeldusele, et see ei tasu vaeva ära. Uue järgi saabub taristu niikuinii, teie lepingupartnerid saavad selle tasuta ja küsimuseks jääb, kui kiiresti te selle kasutusele võtate.

eIDAS 2.0 kehtib kahel tasandil. Liikmesriigid peavad üles ehitama ja käitama Euroopa digitaalse identiteedi rahakoti taristu ning tegema selle kättesaadavaks kodanikele ja ettevõtetele. Organisatsioonid, kes väljastavad või kontrollivad identiteediga seotud dokumente, sealhulgas kaubanduskojad, pangad, kindlustusandjad, valitsusasutused ja hankeplatvormid, peavad suutma väljastada atesteeringuid sellesse rahakotti või vastu võtta sealt esitatud atesteeringuid.

Kasutuselevõtt järgib kindlat ajakava. 2026. aastaks peab iga ELi liikmesriik pakkuma kodanikele ja ettevõtetele juurdepääsu digitaalse identiteedi rahakotile. Enne seda tähtaega eeldatakse, et atesteeringuid väljastavatel või kontrollivatel organisatsioonidel on tehniline võimekus töötada rahakotipõhiste atesteeringutega, sest nõudlus rahakoti omanike poolt tekib kohe, kui rahakott ise kättesaadavaks muutub.

Praktikas tähendab ettevalmistus kolme asja: atesteeringute vormingute vastavusseviimist standarditega, millele rahakott on üles ehitatud (W3C kontrollitavad atesteeringud, mdoc, OpenID4VC), ühendumist usaldusregistriga, et väljastatud atesteeringuid saaks kontrollida ilma väljastajaga otse ühendust võtmata, ning privaatsus-disaini poolest arhitektuuri kasutuselevõttu, mis hoiab atesteeringuid hoidja enda rahakotis, mitte ühises registris, ja jagab ainult neid atribuute, mida kontrollija vajab. Organisatsioonid, kes alustavad varakult, väldivad kokkusurutud üleminekuaega, suuremaid kulusid ja häireid, mis kaasnevad ootamisega kuni tähtaja lähedale jäämiseni.

Peamine kohustus on rahakott ise. 24. detsembriks 2026 peab iga liikmesriik pakkuma vähemalt ühte European Digital Identity Wallet lahendust, füüsilistele isikutele tasuta, ning tagama, et see toimib kodanike, residentide ja ettevõtete jaoks. Avalik haldus peab seda samast kuupäevast aktsepteerima nii oma riigis kui ka mis tahes muu liikmesriigi omanike puhul.

Rahakoti taga on masinavärk, mis on ettevõtte jaoks sama oluline ja saab palju vähem tähelepanu. Liikmesriigid peavad tagama, et isikut tuvastavaid andmeid saab rahakotti väljastada ning et autentsed allikad, näiteks äriregistrid, hariduse registrid ja kutseorganisatsioonid, suudavad oma andmeid elektrooniliselt edastada. Samuti peavad nad rahakotilahendusi sertifitseerima ja avaldama, millised neist on heaks kiidetud.

Kaks neist kohustustest on need, millest tuginev osapool iga päev sõltub. Peab olema võimalus tasuta kontrollida, kas tõendit esitav rahakott on ehtne ja endiselt kehtiv. Ja peab olema riiklik tuginevate osapoolte register, kuhu teie organisatsioon end kirja paneb, enne kui tohib rahakotilt üldse midagi küsida.

Edenemine on ebaühtlane, seega jälgige oma liikmesriiki, mitte Euroopa keskmist. Kuupäev on kõikjal sama, kuid see, milline asutus tuginevate osapoolte registrit peab, kui kaua registreerimine võtab ja millised autentsed allikad esimesena ühendatakse, on riiklikud otsused. Just need määravad, millal te tegelikult alustada saate.

Usaldusteenused on see osa eIDAS määrusest, mida enamik ettevõtteid juba puudutab, ilma seda nimetamata. Need annavad elektroonilisele dokumendile või sõnumile õigusliku kaalu: allkirjastamine, templiga kinnitamine, ajatempel, registreeritud edastamine ja nüüd ka isiku või organisatsiooni kohta käivate faktide tõendamine.

Oluline sõna on kvalifitseeritud. Kvalifitseeritud teenus tuleb pakkujalt, kelle üle teostatakse järelevalvet ja kes on avaldatud riiklikus usaldusnimekirjas, ning sellega kaasneb igas liikmesriigis õiguslik eeldus. Kohus lähtub eeldusest, et allkiri, tempel või ajatempel on see, mis ta väidab end olevat, ja tõendamiskoormis lasub vaidlustajal. Teenus, mis ei ole kvalifitseeritud, võib olla täiesti hea tõend, kuid seda tuleb teil endal tõendada.

Usaldusteenused ja rahakott on sama pildi kaks poolt. Rahakott on viis, kuidas tõend jõuab teise osapooleni ja kuidas omanik valib, mida avaldada, samal ajal kui usaldusteenused panevad sisu hiljem püsima. Enamik organisatsioone kasutab lõpuks mitut korraga: templit sellel, mida nad välja annavad, tõendit faktide kohta, mille eest nad saavad seista, ja allkirja kõikjal, kus inimene peab end siduma.

Alates 24. detsembrist 2027 ei ole European Digital Identity Walleti aktsepteerimine suurele osale erasektorist enam vabatahtlik. Kohustus järgib tugeva kasutajaautentimise nõuet, seega otsustab see, kuidas te inimesi tuvastate, mitte teie valdkonna nimi.

Reeglit on kõige lihtsam mõista näidete kaudu. Pank teeb juba praegu tugeva kontrolli, kui keegi avab konto või kinnitab makse, seega peab rahakott muutuma üheks viisiks, kuidas selle kontrolli saab täita. Telekomioperaator, kes kontrollib isikusamasust enne liitumise aktiveerimist, energiamüüja, kes vahetab lepingut, ja tervisekindlustusandja, kes registreerib uue liikme, on kõik samas olukorras.

Sama kehtib ka kaugelt väljaspool ilmselgeid reguleeritud nimesid. Üliõpilasi immatrikuleeriv ülikool, töötajakaarti väljastav transpordiettevõte, hüvitisi maksev sotsiaalkindlustusasutus ja kasutajaid sisse logiv väga suur veebiplatvorm kuuluvad kõik kohustuse alla niipea, kui nad kedagi autendivad. Kui te juba suunate inimesi veebis ametliku isikutuvastuse läbi, eeldage, et kuulute kohaldamisalasse, ja lähtuge sellest.

Kaht piirangut tasub meeles pidada. Kohustuse käivitab kasutaja, kes palub kasutada oma rahakotti, selle asemel et see talle peale surutaks, ja see hõlmab isikutuvastuse sammu, mitte kogu suhet. See ei ole ka luba rohkem küsida: te tohite küsida ainult neid andmeid, mida teie registreering tugineva osapoolena katab, ja enamasti on see vähem, kui skaneeritud dokument oleks teile andnud.

Avalik sektor on esimene. Kui rahakotid on saadaval, mis peab juhtuma 24. detsembriks 2026, peab ta neid aktsepteerima kõikjal, kus ta juba praegu nõuab elektroonilist tuvastamist, nii oma riigis kui teiste liikmesriikide kodanike puhul.

Mikroettevõtjad ja väikeettevõtjad on aktsepteerimiskohustusest vabastatud. Digital Services Acti alusel määratud väga suured veebiplatvormid kuuluvad kohustuse alla kõikjal, kus nad kasutajaid autendivad, kuigi määrus ei sea neile eraldi kuupäeva.

Kui teie organisatsiooni kummaski loendis ei ole, jääb praktiline küsimus samaks. Iga isikusamasuse kontroll, mida täna teete, võib muutuda tõendiks, mis esitatakse rahakotist sekunditega: vähem pettust, dokumentide käsitsemist ei ole ja pole andmeid, mida peaksite ise säilitama ja kaitsma.

European Digital Identity Wallet on üles ehitatud inimese ümber. See on õige kuju selleks, et tõendada, kes teie ees on, ja vale kuju enamiku ettevõtetevaheliste protsesside jaoks, mis käivad hoopis organisatsiooni ümber: millise juriidilise isikuga on tegu, kes tohib selle eest tegutseda ja kui kaugele see volitus ulatub.

eIDAS 2.0 lubab organisatsioonil juba praegu hoida tõendeid ja saada enda kohta tõendeid, nii et ettevõtte andmed saavad juba täna rahakoti kaudu liikuda. Lahendamata jääb selle ümber olev halduskiht: volitused, esindusõigused, esildised ning ettevõtete ja avaliku sektori asutuste vaheline dokumendivahetus, mis käib endiselt portaalide ja e-posti kaudu.

19. novembril 2025 tegi Euroopa Komisjon ettepaneku eraldi määruse kohta, mis käsitleb European Business Wallet lahendust ja katab täpselt seda kihti. See on veel seadusandlikus menetluses, nii et kuupäeva, mille järgi planeerida, praegu ei ole, ja keegi ei peaks seda enne tegutsemist ootama.

Kasulik ettevalmistus ei ole tehniline. Otsustage juba praegu, kes teie organisatsioonis vastutab ettevõtte tõendite eest ja kes tohib ettevõtet siduda, sest just seda peab iga rahakott väljendama. Sisemine kokkuleppimine võtab tavaliselt kauem aega kui liidestuse ehitamine.

eIDAS 2.0 on järelevalve all, mitte enesedeklaratsioonil põhinev. Iga liikmesriik määrab asutuse, kes teostab järelevalvet kvalifitseeritud usaldusteenuse osutajate üle ja võib kvalifitseeritud staatuse ära võtta, ning asutuse, kes teostab järelevalvet tema territooriumil tegutsevate rahakotipakkujate üle. Andmekaitseasutustel on oma roll kõikjal, kus on tegemist isikuandmetega, mis selles valdkonnas on peaaegu kõikjal.

Tugineva osapoole registreerimine on see osa, mis puudutab tavalisi ettevõtteid kõige otsesemalt. Kuna teie registreering sätestab, mida te tohite rahakotilt küsida, on rohkema küsimine nähtav, teatatav ja midagi, mille suhtes järelevalveasutus saab meetmeid võtta. Liikmesriigid peavad kehtestama määruse rikkumiste eest karistused ning muutma need tõhusaks, proportsionaalseks ja hoiatavaks, summad määratakse riiklikult.

Enamiku organisatsioonide jaoks ei ole hilinemise esimene kulu siiski trahv. See on klient, kes suudab midagi sekunditega tõendada, kuid kellelt palutakse selle asemel skaneering üles laadida, konkurent, kes selle kliendi samal pärastlõunal endale võtab, ja hankeküsimus, millele te ei oska hästi vastata.

Teine kulu on ajastus. Kõigel allpool olevas kontrollnimekirjas on ettevalmistusaeg, mida mõõdetakse kuudes, mitte nädalates, ja kõik peab toimuma samas ajaaknas kui kõigil teistel. Varajane alustamine tähendab peamiselt seda, et hiljem ei pea te napi tähelepanu pärast võistlema.

Credenco Business Wallet on algusest peale loodud eIDAS 2.0 nõuete täitmiseks. See rakendab W3C kontrollitavaid atesteeringuid, OpenID4VC atesteeringute väljastamiseks ja esitamiseks ning kontrollib väljastaja usaldusväärsust ELi eIDAS usaldusnimekirjade alusel, tagades, et iga Credenco kaudu väljastatud atesteering kannab määruse nõutavat standarditel põhinevat usaldust.

Atesteeringuid hoitakse iga organisatsiooni enda rahakotis, mitte ühises registris, ja hoidjad avaldavad ainult need atribuudid, mida kontrollija vajab. See privaatsus-disaini poolest arhitektuur ei ole hilisem lisandus: see on põhimõtteline disainiprintsiip, mis vastab otseselt nii GDPR-ile kui ka eIDAS 2.0 rahakoti nõuetele.