eIDAS 2.0 objašnjen: što znači za vaše poslovanje

Do 2026. godine države članice EU moraju građanima i poduzećima omogućiti pristup digitalnom identitetskom novčaniku. Organizacije koje izdaju ili provjeravaju dokumente povezane s identitetom (od gospodarskih komora do banaka, osiguravatelja i platformi za nabavu) sve će više raditi s provjerljivim vjerodajnicama umjesto PDF-ova i e-pošte.

Rani korisnici stječu strukturnu prednost: brži onboarding, manji rizik od prijevare, automatizirane provjere usklađenosti i spremnost za obvezne propise prije nego što stupe na snagu. Organizacije koje čekaju suočit će se sa skraćenim razdobljem prijelaza i višim troškovima i poremećajima.

Prva eIDAS uredba, Regulation (EU) No 910/2014, učinila je dvije stvari. Nacionalne sustave elektroničkog identiteta učinila je prepoznatljivima preko granica, tako da je prijava izdana u jednoj državi članici mogla otvoriti javnu uslugu u drugoj. Uslugama povjerenja poput elektroničkih potpisa, pečata i vremenskih žigova dala je i pravni temelj koji je vrijedio u cijeloj Uniji.

U praksi prva polovica nikada nije zaživjela. Prijava nacionalnog sustava bila je dobrovoljna, pa velik dio Europljana početkom 2020-ih uopće nije imao prijavljeni elektronički identitet, a sustavi koji su postojali rijetko su radili izvan vlastite države. Ništa nije obvezivalo ni privatne organizacije da ih prihvate, zbog čega su banke, telekomunikacijski operateri i platforme gradili vlastite provjere identiteta.

eIDAS 2.0, Regulation (EU) 2024/1183, zadržava usluge povjerenja i iznova gradi identitetski dio oko imatelja. Svaka država članica sada mora ponuditi novčanik, a ne samo imati mogućnost prijaviti sustav, određena skupina privatnih organizacija mora ga prihvaćati, a provjerene činjenice o osobi ili tvrtki postaju usluga povjerenja same po sebi. Imatelj odlučuje što se dijeli u svakoj transakciji, a upravo ta promjena omogućuje sve ostalo.

Za poduzeće je praktična razlika u smjeru kretanja. Prema starom okviru sami ste birali hoćete li podržati elektronički identitet i obično zaključivali da se ne isplati. Prema novom infrastruktura stiže bez obzira na to, vaše druge ugovorne strane dobivaju je besplatno, a pitanje postaje koliko je brzo možete iskoristiti.

eIDAS 2.0 primjenjuje se na dvije razine. Države članice moraju izgraditi i upravljati infrastrukturom europskog digitalnog identitetskog novčanika te je učiniti dostupnom građanima i poduzećima. Organizacije koje izdaju ili provjeravaju dokumente povezane s identitetom, uključujući gospodarske komore, banke, osiguravajuća društva, državne agencije i platforme za javnu nabavu, moraju biti u mogućnosti izdavati vjerodajnice u taj novčanik ili prihvaćati vjerodajnice predočene iz njega.

Uvođenje slijedi utvrđeni vremenski okvir. Do 2026. svaka država članica EU-a mora građanima i poduzećima omogućiti pristup digitalnom identitetskom novčaniku. Prije tog datuma očekuje se da organizacije koje izdaju ili provjeravaju vjerodajnice imaju tehničku sposobnost rada s vjerodajnicama temeljenim na novčaniku, budući da potražnja korisnika novčanika nastupa u trenutku kada sam novčanik postane dostupan.

U praksi, priprema podrazumijeva tri stvari: usklađivanje formata vjerodajnica sa standardima na kojima se novčanik temelji (W3C provjerljive vjerodajnice, mdoc, OpenID4VC), povezivanje s registrom povjerenja kako bi se izdane vjerodajnice mogle provjeriti bez izravnog kontaktiranja izdavatelja, te usvajanje arhitekture s privatnošću ugrađenom u dizajn koja vjerodajnice čuva u vlastitom novčaniku nositelja, a ne u zajedničkom registru, i dijeli samo one atribute koji su verifikatoru potrebni. Organizacije koje počnu na vrijeme izbjegavaju sažeti prijelazni rok, veće troškove i poremećaje koji dolaze s čekanjem do posljednjeg trenutka.

Glavna obveza jest sam novčanik. Do 24. prosinca 2026. svaka država članica mora ponuditi barem jedan European Digital Identity Wallet, besplatan za fizičke osobe, i osigurati da funkcionira za građane, rezidente i poduzeća. Javna uprava mora ga prihvaćati od istoga datuma, u vlastitoj državi i za imatelje iz bilo koje druge države članice.

Iza novčanika stoji mehanizam koji je za poduzeće jednako važan, a privlači daleko manje pozornosti. Države članice moraju osigurati da se podaci za identifikaciju osoba mogu izdati u novčanik te da vjerodostojni izvori poput sudskih registara, obrazovnih evidencija i strukovnih komora mogu svoje podatke dostavljati elektronički. Moraju i certificirati rješenja za novčanike te objaviti koja su odobrena.

Dvije od tih isporuka ono su o čemu strana koja se oslanja ovisi iz dana u dan. Mora postojati način da se besplatno provjeri je li novčanik koji predočuje vjerodajnicu vjerodostojan i još uvijek važeći. I mora postojati nacionalni registar strana koje se oslanjaju, u koji se vaša organizacija upisuje prije nego što uopće smije bilo što zatražiti od novčanika.

Napredak je neujednačen, pa pratite vlastitu državu članicu, a ne europski prosjek. Datum je svugdje isti, ali koje tijelo vodi registar strana koje se oslanjaju, koliko upis traje i koji se vjerodostojni izvori prvi povezuju, nacionalne su odluke. Upravo one određuju kada doista možete započeti.

Usluge povjerenja dio su uredbe eIDAS koji većina poduzeća već dodiruje, a da ga ne imenuje. One su ono što elektroničkom dokumentu ili poruci daje pravnu težinu: potpisivanje, pečaćenje, vremensko žigosanje, preporučena dostava, a sada i potvrđivanje činjenica o osobi ili organizaciji.

Ključna je riječ kvalificirana. Kvalificirana usluga dolazi od pružatelja koji je pod nadzorom i objavljen na nacionalnom popisu pouzdanih pružatelja te nosi pravnu pretpostavku u svakoj državi članici. Sud polazi od pretpostavke da su potpis, pečat ili vremenski žig ono što tvrde da jesu, a teret dokaza snosi onaj tko to osporava. Usluga koja nije kvalificirana i dalje može biti sasvim dobar dokaz, ali to morate dokazati.

Usluge povjerenja i novčanik dvije su polovice iste slike. Novčanik je način na koji vjerodajnica dolazi do druge strane i način na koji imatelj bira što će otkriti, dok usluge povjerenja čine da sadržaj poslije izdrži. Većina organizacija na kraju koristi više njih istodobno: pečat na onome što izdaje, potvrdu za činjenice za koje može jamčiti i potpis svugdje gdje se osoba mora obvezati.

Od 24. prosinca 2027. prihvaćanje European Digital Identity Walleta prestaje biti dobrovoljno za velik dio privatnog sektora. Obveza prati zahtjev za snažnom autentifikacijom korisnika, pa odlučuje način na koji identificirate ljude, a ne naziv vaše djelatnosti.

Pravilo je najlakše razumjeti kroz primjere. Banka već provodi snažnu provjeru kada netko otvara račun ili potvrđuje plaćanje, pa novčanik mora postati jedan od načina na koje se ta provjera može zadovoljiti. Telekomunikacijski operater koji provjerava identitet prije aktivacije pretplate, opskrbljivač energijom koji mijenja ugovor i zdravstveni osiguravatelj koji upisuje novog člana svi su u istom položaju.

Isto vrijedi i daleko izvan očitih reguliranih imena. Sveučilište koje upisuje studente, prijevoznik koji izdaje iskaznicu zaposlenika, tijelo socijalnog osiguranja koje isplaćuje naknade i vrlo velika internetska platforma koja prijavljuje korisnike, svi potpadaju pod obvezu čim nekoga autentificiraju. Ako ljude već vodite kroz formalnu provjeru identiteta na internetu, pretpostavite da ste obuhvaćeni i krenite odatle.

Vrijedi imati na umu dva ograničenja. Obvezu pokreće korisnik, koji traži da upotrijebi svoj novčanik umjesto da mu se on nameće, i ona obuhvaća korak identifikacije, a ne cijeli odnos. Nije ni dozvola da tražite više: smijete zatražiti samo podatke koje pokriva vaš upis u registar strana koje se oslanjaju, a to je u većini slučajeva manje nego što bi vam dao skenirani dokument.

Javna uprava je prva na redu. Čim novčanici budu dostupni, što se mora dogoditi najkasnije 24. prosinca 2026., mora ih prihvaćati svugdje gdje već traži elektroničku identifikaciju, u vlastitoj zemlji i za građane drugih država članica.

Mikropoduzeća i mala poduzeća izuzeta su od obveze prihvaćanja. Vrlo velike internetske platforme određene prema Digital Services Actu obuhvaćene su njome svugdje gdje autentificiraju korisnike, iako im uredba ne određuje zaseban datum.

Ako vaša organizacija nije ni na jednom od tih popisa, praktično pitanje ostaje isto. Svaka provjera identiteta koju danas radite može postati vjerodajnica predočena iz novčanika u nekoliko sekundi, uz manje prijevara, bez rukovanja dokumentima i bez podataka koje sami morate čuvati i štititi.

European Digital Identity Wallet izgrađen je oko osobe. To je pravi oblik za dokazivanje tko je pred vama i pogrešan oblik za većinu procesa među poduzećima, koji se vrte oko organizacije: s kojim pravnim subjektom imate posla, tko za njega smije djelovati i dokle ta ovlast seže.

eIDAS 2.0 već dopušta organizaciji da drži vjerodajnice i prima potvrde o sebi, pa podaci o tvrtki već danas mogu putovati kroz novčanik. Ono što ne rješava jest administrativni sloj oko toga: punomoći, ovlasti zastupanja, podnesci i razmjena dokumenata između poduzeća i javnih tijela koja još uvijek teče preko portala i e-pošte.

Europska komisija je 19. studenoga 2025. predložila zasebnu uredbu za European Business Wallet koja pokriva upravo taj sloj. Još je u zakonodavnom postupku, pa zasad nema datuma prema kojem bi se planiralo, a nitko ne bi trebao čekati taj datum prije nego što nešto poduzme.

Korisna priprema nije tehnička. Odlučite već sada tko je u vašoj organizaciji vlasnik vjerodajnica tvrtke i tko smije obvezati tvrtku, jer upravo će to svaki novčanik morati izraziti. Interni dogovor obično traje dulje nego izrada same integracije.

eIDAS 2.0 je nadziran, a ne samodeklarativan. Svaka država članica određuje tijelo koje nadzire kvalificirane pružatelje usluga povjerenja i može im oduzeti kvalificirani status te tijelo koje nadzire pružatelje novčanika na svojem državnom području. Tijela za zaštitu podataka zadržavaju svoju ulogu svugdje gdje su uključeni osobni podaci, što je u ovoj temi gotovo posvuda.

Upis u registar strana koje se oslanjaju dio je koji najizravnije dotiče obična poduzeća. Budući da vaš upis navodi što smijete tražiti od novčanika, traženje više toga vidljivo je, prijavljivo i nešto na što nadzorno tijelo može reagirati. Države članice moraju propisati kazne za kršenja uredbe i učiniti ih učinkovitima, proporcionalnima i odvraćajućima, a iznosi se određuju na nacionalnoj razini.

Za većinu organizacija prvi trošak kašnjenja ipak nije novčana kazna. To je klijent koji nešto može dokazati u nekoliko sekundi, a od njega se traži da umjesto toga učita skenirani dokument, konkurent koji tog klijenta pridobije isto poslijepodne i pitanje u nabavi na koje ne možete dobro odgovoriti.

Drugi je trošak vrijeme. Sve na popisu u nastavku ima rok pripreme koji se mjeri mjesecima, a ne tjednima, i sve se mora dogoditi u istom razdoblju kao i kod svih ostalih. Rani početak uglavnom znači da se poslije ne natječete za oskudnu pozornost.

Credencov Business Wallet od temelja je osmišljen kako bi zadovoljio zahtjeve eIDAS-a 2.0. Implementira W3C provjerljive vjerodajnice, OpenID4VC za izdavanje i predočavanje vjerodajnica te provjerava povjerenje izdavatelja u odnosu na EU-ove eIDAS popise povjerenja, osiguravajući da svaka vjerodajnica izdana putem Credenca nosi povjerenje temeljeno na standardima koje uredba zahtijeva.

Vjerodajnice se čuvaju u vlastitom novčaniku svake organizacije, a ne u zajedničkom registru, a nositelji otkrivaju samo one atribute koji su verifikatoru potrebni. Ova arhitektura s privatnošću ugrađenom u dizajn nije naknadna nadogradnja: riječ je o temeljnom načelu dizajna koje se izravno usklađuje i s GDPR-om i sa zahtjevima eIDAS 2.0 novčanika.