eIDAS 2.0 selitettynä: mitä se tarkoittaa yrityksellesi

Vuoden 2026 loppuun mennessä EU:n jäsenvaltioiden on tarjottava kansalaisille ja yrityksille pääsy digitaaliseen identiteettilompakkoon. Organisaatiot, jotka myöntävät tai todentavat identiteettiin liittyviä asiakirjoja (kauppakamareista pankkeihin, vakuutusyhtiöihin ja hankinta-alustoihin) työskentelevät yhä enemmän todennettavien credentialien parissa PDF-tiedostojen ja sähköpostien sijaan.

Varhaiset omaksujat saavat rakenteellisen edun: nopeamman käyttöönoton, pienemmän petosriskin, automatisoidut vaatimustenmukaisuustarkastukset ja valmiuden pakollisiin säädöksiin ennen niiden voimaantuloa. Organisaatiot, jotka odottavat, kohtaavat tiivistetyn siirtymäajan korkeammin kustannuksin ja häiriöin.

Ensimmäinen eIDAS-asetus, Regulation (EU) No 910/2014, teki kaksi asiaa. Se teki kansallisista sähköisen tunnistamisen järjestelmistä tunnistettavia yli rajojen, joten yhdessä jäsenvaltiossa myönnetyllä kirjautumisella pääsi julkiseen palveluun toisessa. Se antoi myös luottamuspalveluille, kuten sähköisille allekirjoituksille, leimoille ja aikaleimoille, oikeudellisen perustan, joka päti koko unionissa.

Käytännössä ensimmäinen puolisko ei koskaan oikein toteutunut. Kansallisen järjestelmän ilmoittaminen oli vapaaehtoista, joten 2020-luvun alkuun mennessä suurella osalla eurooppalaisista ei ollut lainkaan ilmoitettua sähköistä identiteettiä, ja olemassa olleet järjestelmät toimivat harvoin oman maansa ulkopuolella. Mikään ei myöskään velvoittanut yksityisiä organisaatioita hyväksymään niitä, joten pankit, teleoperaattorit ja alustat rakensivat omat tunnistustarkastuksensa.

eIDAS 2.0, Regulation (EU) 2024/1183, säilyttää luottamuspalvelut ja rakentaa identiteettipuolen uudelleen haltijan ympärille. Jokaisen jäsenvaltion on nyt tarjottava lompakko eikä vain saatava ilmoittaa järjestelmä, määritellyn yksityisten organisaatioiden joukon on hyväksyttävä se, ja todennetuista tiedoista henkilöstä tai yrityksestä tulee oma luottamuspalvelunsa. Haltija päättää, mitä kussakin tapahtumassa jaetaan, ja juuri tämä muutos saa kaiken muun toimimaan.

Yritykselle käytännön ero on kehityksen suunnassa. Vanhassa kehyksessä te valitsitte, tuetteko sähköistä tunnistamista, ja yleensä totesitte, ettei se ollut vaivan arvoista. Uudessa infrastruktuuri tulee joka tapauksessa, sopimuskumppaninne saavat sen maksutta, ja kysymykseksi jää, kuinka nopeasti otatte sen käyttöön.

eIDAS 2.0 soveltuu kahdella tasolla. Jäsenvaltioiden on rakennettava ja ylläpidettävä eurooppalaisen digitaalisen identiteettilompakon infrastruktuuria ja tarjottava se kansalaisten ja yritysten käyttöön. Organisaatioiden, jotka myöntävät tai todentavat identiteettiin liittyviä asiakirjoja, mukaan lukien kauppakamarit, pankit, vakuutusyhtiöt, viranomaiset ja hankinta-alustat, on kyettävä myöntämään credentialeja lompakkoon tai hyväksymään siitä esitettyjä credentialeja.

Käyttöönotolla on kiinteä aikataulu. Vuoden 2026 loppuun mennessä jokaisen EU:n jäsenvaltion on tarjottava kansalaisille ja yrityksille pääsy digitaaliseen identiteettilompakkoon. Ennen tätä ajankohtaa credentialeja myöntävien ja todentavien organisaatioiden odotetaan olevan teknisesti valmiita työskentelemään lompakkopohjaisten credentialien kanssa, sillä lompakon haltijoiden kysyntä syntyy heti, kun lompakko itse tulee saataville.

Käytännössä valmistautuminen tarkoittaa kolmea asiaa: credential-muotojen yhdenmukaistamista niiden standardien kanssa, joille lompakko rakentuu (W3C Verifiable Credentials, mdoc, OpenID4VC), liittymistä luottamusrekisteriin, jotta myönnetyt credentialit voidaan todentaa ottamatta suoraan yhteyttä myöntäjään, sekä privacy-by-design-arkkitehtuurin käyttöönottoa, joka pitää credentialit haltijan omassa lompakossa eikä jaetussa rekisterissä ja jakaa vain ne attribuutit, joita todentaja tarvitsee. Organisaatiot, jotka aloittavat ajoissa, välttävät tiivistetyn siirtymäajan, korkeammat kustannukset ja häiriöt, jotka syntyvät, jos odottaa määräajan lähestymistä.

Keskeisin velvoite on itse lompakko. Jokaisen jäsenvaltion on 24. joulukuuta 2026 mennessä tarjottava vähintään yksi European Digital Identity Wallet, luonnollisille henkilöille maksutta, ja varmistettava, että se toimii kansalaisille, maassa asuville ja yrityksille. Julkishallinnon on hyväksyttävä se samasta päivästä alkaen, omassa maassaan ja mistä tahansa muusta jäsenvaltiosta tulevilta haltijoilta.

Lompakon taustalla on koneisto, jolla on yritykselle yhtä suuri merkitys ja joka saa paljon vähemmän huomiota. Jäsenvaltioiden on varmistettava, että henkilön tunnistetiedot voidaan antaa lompakkoon ja että luotettavat lähteet, kuten kaupparekisterit, opintorekisterit ja ammattijärjestöt, voivat toimittaa tietonsa sähköisesti. Niiden on myös sertifioitava lompakkoratkaisut ja julkaistava, mitkä niistä on hyväksytty.

Kaksi näistä toimituksista on sellaisia, joista luottava osapuoli on päivittäin riippuvainen. On oltava tapa tarkistaa maksutta, että todisteen esittävä lompakko on aito ja edelleen voimassa. Ja on oltava kansallinen luottavien osapuolten rekisteri, johon oma organisaationne ilmoittautuu ennen kuin se voi pyytää lompakolta yhtään mitään.

Edistyminen on epätasaista, joten seuratkaa omaa jäsenvaltiotanne älkääkä Euroopan keskiarvoa. Päivämäärä on kaikkialla sama, mutta se, mikä viranomainen ylläpitää luottavien osapuolten rekisteriä, kuinka kauan rekisteröinti kestää ja mitkä luotettavat lähteet liitetään ensin, ovat kansallisia päätöksiä. Juuri ne ratkaisevat, milloin voitte todella aloittaa.

Luottamuspalvelut ovat se osa eIDASta, jota useimmat yritykset jo koskettavat sitä nimeämättä. Ne tekevät sähköisestä asiakirjasta tai viestistä oikeudellisesti painavan: allekirjoittaminen, leimaaminen, aikaleimaus, kirjattu sähköinen toimitus ja nyt myös henkilöä tai organisaatiota koskevien tietojen todistaminen.

Ratkaiseva sana on hyväksytty. Hyväksytty palvelu tulee tarjoajalta, joka on valvonnan alainen ja julkaistu kansallisessa luotettavien luettelossa, ja siihen liittyy oikeudellinen olettama kaikissa jäsenvaltioissa. Tuomioistuin lähtee siitä, että allekirjoitus, leima tai aikaleima on se, mitä se väittää olevansa, ja todistustaakka on sillä, joka sen kiistää. Palvelu, joka ei ole hyväksytty, voi silti olla aivan kelvollinen näyttö, mutta se teidän on todistettava.

Luottamuspalvelut ja lompakko ovat saman kuvan kaksi puoliskoa. Lompakko on tapa, jolla todiste kulkee toiselle osapuolelle ja jolla haltija valitsee, mitä paljastaa, kun taas luottamuspalvelut tekevät sisällöstä jälkikäteen pitävän. Useimmat organisaatiot päätyvät käyttämään useita yhtä aikaa: leiman antamiinsa asiakirjoihin, todistuksen niistä tiedoista, joista ne voivat vastata, ja allekirjoituksen aina kun henkilön on sitouduttava.

Joulukuun 24. päivästä 2027 alkaen European Digital Identity Walletin hyväksyminen lakkaa olemasta vapaaehtoista suurelle osalle yksityistä sektoria. Velvoite seuraa vahvan käyttäjätunnistuksen vaatimusta, joten ratkaisevaa on se, miten tunnistat ihmiset, ei toimialasi nimi.

Sääntö avautuu helpoimmin esimerkkien kautta. Pankki tekee jo vahvan tarkastuksen, kun joku avaa tilin tai vahvistaa maksun, joten lompakosta on tultava yksi tavoista täyttää tuo tarkastus. Teleoperaattori, joka todentaa henkilöllisyyden ennen liittymän avaamista, energiayhtiö, joka vaihtaa sopimuksen, ja sairausvakuutusyhtiö, joka rekisteröi uuden jäsenen, ovat kaikki samassa asemassa.

Sama pätee selvästi laajemmalle kuin ilmeisiin säänneltyihin toimijoihin. Yliopisto, joka ottaa opiskelijoita sisään, liikenneyhtiö, joka antaa henkilökuntakortin, sosiaaliturvalaitos, joka maksaa etuuksia, ja erittäin suuri verkkoalusta, joka kirjaa käyttäjiä sisään, kuuluvat kaikki velvoitteen piiriin heti kun ne tunnistavat jonkun. Jos ohjaatte ihmisiä jo nyt muodolliseen henkilöllisyyden tarkastukseen verkossa, olettakaa kuuluvanne soveltamisalaan ja edetkää siitä.

Kaksi rajausta kannattaa pitää mielessä. Velvoitteen laukaisee käyttäjä, joka pyytää saada käyttää lompakkoaan sen sijaan että se pakotettaisiin hänelle, ja se koskee tunnistautumisvaihetta eikä koko asiakassuhdetta. Se ei myöskään oikeuta pyytämään enempää: saatte pyytää vain niitä tietoja, jotka luottavan osapuolen rekisteröintinne kattaa, ja se on useimmiten vähemmän kuin skannattu asiakirja olisi teille antanut.

Julkishallinto on ensimmäisenä vuorossa. Kun lompakot ovat saatavilla, minkä on tapahduttava 24. joulukuuta 2026 mennessä, sen on hyväksyttävä ne kaikkialla, missä se jo nyt vaatii sähköistä tunnistautumista, omassa maassaan ja muiden jäsenvaltioiden kansalaisille.

Mikroyritykset ja pienet yritykset on vapautettu hyväksymisvelvoitteesta. Digital Services Actin nojalla nimetyt erittäin suuret verkkoalustat kuuluvat velvoitteen piiriin aina, kun ne tunnistavat käyttäjiä, vaikka asetus ei aseta niille erillistä päivämäärää.

Jos organisaatiosi ei ole kummallakaan listalla, käytännön kysymys pysyy samana. Jokainen henkilöllisyyden tarkistus, jonka teet tänään, voi muuttua valtuustiedoksi, joka esitetään lompakosta sekunneissa: vähemmän petoksia, ei dokumenttien käsittelyä eikä tietoja, jotka sinun on itse säilytettävä ja suojattava.

European Digital Identity Wallet on rakennettu henkilön ympärille. Se on oikea muoto sen todistamiseen, kuka edessänne on, ja väärä muoto useimpiin yritysten välisiin prosesseihin, joissa kyse on organisaatiosta: mistä oikeushenkilöstä on kyse, kuka saa toimia sen puolesta ja kuinka pitkälle tuo valtuutus ulottuu.

eIDAS 2.0 antaa organisaatiolle jo nyt mahdollisuuden pitää hallussaan todisteita ja vastaanottaa itseään koskevia todistuksia, joten yritystiedot voivat liikkua lompakon kautta jo tänään. Se, mitä asetus ei ratkaise, on ympärillä oleva hallinnollinen kerros: valtuutukset, edustusoikeudet, viranomaisilmoitukset ja yritysten ja julkisten elinten välinen asiakirjojen vaihto, joka kulkee yhä portaalien ja sähköpostin kautta.

Euroopan komissio ehdotti 19. marraskuuta 2025 erillistä asetusta European Business Walletista kattamaan juuri tämän kerroksen. Se on yhä lainsäädäntöprosessissa, joten suunnittelulle ei ole vielä päivämäärää, eikä kenenkään pidä odottaa sellaista ennen kuin toimii.

Hyödyllinen valmistautuminen ei ole teknistä. Päättäkää nyt, kuka organisaatiossanne omistaa yrityksen todisteet ja kuka saa sitoa yrityksen, sillä juuri sitä mikä tahansa lompakko joutuu ilmaisemaan. Sisäinen sopuun pääseminen kestää yleensä kauemmin kuin integraation rakentaminen.

eIDAS 2.0 on valvottu, ei itse ilmoitettu. Jokainen jäsenvaltio nimeää elimen, joka valvoo hyväksyttyjä luottamuspalvelun tarjoajia ja voi peruuttaa hyväksytyn aseman, sekä elimen, joka valvoo sen alueella toimivia lompakon tarjoajia. Tietosuojaviranomaisilla säilyy oma roolinsa kaikkialla, missä käsitellään henkilötietoja, mikä tässä aiheessa tarkoittaa lähes kaikkialla.

Luottavan osapuolen rekisteröinti on se osa, joka koskettaa tavallisia yrityksiä suorimmin. Koska rekisteröintinne kertoo, mitä saatte lompakolta pyytää, liiallinen pyytäminen on näkyvää, ilmoitettavaa ja sellaista, johon valvontaviranomainen voi puuttua. Jäsenvaltioiden on säädettävä seuraamuksista asetuksen rikkomisesta ja tehtävä niistä tehokkaita, oikeasuhteisia ja varoittavia, ja summat määritetään kansallisesti.

Useimmille organisaatioille myöhästymisen ensimmäinen hinta ei kuitenkaan ole sakko. Se on asiakas, joka voisi todistaa asian sekunneissa mutta jota pyydetään lataamaan skannattu asiakirja, kilpailija, joka ottaa saman asiakkaan samana iltapäivänä, ja tarjouskilpailun kysymys, johon ette osaa vastata hyvin.

Toinen hinta on ajoitus. Kaikella alla olevalla tarkistuslistalla on läpimenoaika, jota mitataan kuukausissa eikä viikoissa, ja kaiken on tapahduttava samassa ikkunassa kuin kaikilla muillakin. Aikaisin aloittaminen on ennen kaikkea sitä, ettei tarvitse kilpailla niukasta huomiosta myöhemmin.

Credencon Business Wallet on suunniteltu alusta lähtien täyttämään eIDAS 2.0:n vaatimukset. Se toteuttaa W3C Verifiable Credentials -standardin, OpenID4VC:n credentialien myöntämiseen ja esittämiseen sekä vahvistaa myöntäjän luotettavuuden EU:n eIDAS-luotettujen luetteloiden perusteella, varmistaen, että jokainen Credencon kautta myönnetty credential kantaa asetuksen edellyttämää standardipohjaista luottamusta.

Credentialit säilytetään kunkin organisaation omassa lompakossa, ei jaetussa rekisterissä, ja haltijat paljastavat vain ne attribuutit, joita todentaja tarvitsee. Tämä privacy-by-design-arkkitehtuuri ei ole jälkikäteen lisätty ominaisuus: se on ydinperiaate, joka on suoraan linjassa sekä GDPR:n että eIDAS 2.0:n lompakkovaatimusten kanssa.