Što je pouzdajuća strana u ekosustavu EUDI Wallet?
Pouzdajuća strana svaka je organizacija koja od osobe ili tvrtke traži dokaz o nečemu i zatim se pri odlučivanju oslanja na odgovor. U ekosustavu European Digital Identity Wallet to je strana koja podatke prima: traži ih iz novčanika, provjerava ih i postupa prema rezultatu. Službeni je naziv wallet-relying party, a u svakodnevnom razgovoru većina ljudi jednostavno kaže verifikator.
Uloga jednostavno rečeno
Uloga nije nova. Vaša je organizacija već pouzdajuća strana svaki put kad provjeri putovnicu, izvadak iz sudskog registra ili diplomu. Mijenja se to što provjera prestaje biti čovjek koji čita dokument i postaje automatski odgovor kojem možete vjerovati u nekoliko sekundi.
Pouzdajuća strana je uloga, a ne vrsta tvrtke. Ista organizacija može u jednom procesu biti pouzdajuća strana, a u drugom izdavatelj: sveučilište pri upisu traži od studenta identifikacijski dokument, a na kraju studija izdaje diplomu. Pouzdajućom stranom u nekom trenutku čini vas jednostavno to što ste vi ti koji traže, provjeravaju i odlučuju.
Važna je promjena u tome odakle dolazi dokaz. Danas osoba pred vama nosi teret dokazivanja da je dokument vjerodostojan, a vi snosite trošak njegove prosudbe. S novčanikom dokaz potpisuje organizacija koja tu činjenicu već ima, pa provjera postaje izračun, a ne prosudba.
Zato se ulogu isplati razumjeti čak i ako vas ništa još ne obvezuje da je preuzmete. Kada klijent svoj identitet može dokazati u nekoliko sekundi, svaki proces u kojem se i dalje traži učitavanje dokumenta i ručna provjera u usporedbi počinje izgledati sporo.
Tri svakodnevna primjera
Obrazac je uvijek isti. Netko treba znati neku činjenicu, netko je drugi već ima, a dosad je jedini način da se to dvoje poveže bio dokument i određena mjera povjerenja.
Banka koja uključuje novog klijenta
Umjesto prikupljanja preslika putovnice i izvatka iz registra, banka traži identitetske i poslovne podatke koji su joj potrebni i u nekoliko sekundi dobiva provjeren odgovor. Banka je pouzdajuća strana: postupa na temelju podataka za koje jamči netko drugi.
Internetska trgovina koja provjerava dob
Trgovini je potrebna samo jedna činjenica: je li kupac dovoljno star. Traži isključivo tu činjenicu, a ne datum rođenja ni presliku dokumenta, i nikada ne pohranjuje identifikacijski dokument koji uopće nije željela.
Portal za dobavljače koji provjerava tvrtku
Kupac želi znati da je dobavljač koji se registrira stvarna, registrirana tvrtka i da osoba koja se prijavljuje smije djelovati u njezino ime. Obje činjenice stižu iz izvornih registara, a ne iz PDF-a koji je dobavljač učitao.
Ta tri primjera povezuje to što nijednom od njih zapravo ne treba dokument. Banka želi znati da tvrtka postoji i da potpisnik smije djelovati u njezino ime, a trgovina želi znati samo je li kupac dovoljno star. Dokument nikada nije bio poanta, bio je samo jedini dostupan nositelj te činjenice.
Odvajanje činjenice od dokumenta mijenja ono što vam na kraju ostaje. Provjera dobi koja vraća da ili ne ne ostavlja vam ništa osjetljivo za zaštitu, dok je skenirana putovnica u sustavu prodaje ulaznica odgovornost koju morate osigurati, opravdati i naposljetku obrisati.
Što korisnik vidi kada zatražite podatke
Kada vaša usluga zatraži podatke, zahtjev ne stiže nečujno. Novčanik otvara zaslon na kojem je imenovana organizacija koja postavlja zahtjev, navedeno je točno koji se podaci traže i iskazana je svrha koju je ta organizacija za njih prijavila. Ništa se ne dijeli dok osoba ne dodirne zaslon i ne odobri.
Naziv na tom zaslonu ne upisujete vi. Dolazi iz certifikata koji ste dobili pri registraciji, zbog čega ga novčanik može prikazati kao provjerenu činjenicu, a ne kao tvrdnju. Zahtjev neregistrirane strane taj zaslon uopće ne može izazvati.
Osoba može odbiti, i može odbiti svaki put, a ne jednom zauvijek. Novčanici vode i povijest onoga što je podijeljeno i s kime, pa se odluka može naknadno pregledati umjesto da nestane u pretincu pošte. Privola prestaje biti kvačica i postaje nešto što korisnik doista može provjeriti.
Za vašu je organizaciju upravo to bit. Poznata prijevara, uvjerljiva stranica koja traži presliku putovnice, prestaje djelovati kada ljudi naviknu da prije dijeljenja bilo čega vide provjereno ime. Traženje putem novčanika stavlja vas na pouzdanu stranu te navike, a zahtjevi koji izgledaju vjerodostojno češće se dovrše.
Zašto novčanik provjerava tko postavlja zahtjev
Novčanik pun provjerenih identitetskih podataka siguran je samo ako je izbirljiv prema tome s kime razgovara. Kad bi mu bilo koja web stranica mogla postaviti pitanje, novčanik bi bio samo brži način da se identifikacijski dokumenti predaju onome tko najuvjerljivije pita. Zato konstrukcija polazi od suprotne pretpostavke: nepoznata strana ne dobiva ništa.
Upravo tome služe registracija i certifikati. Kada se registrirate kao pouzdajuća strana, dobivate certifikate koji identificiraju vašu organizaciju, a svaka država članica objavljuje popise tijela koja ih izdaju. Novčanik uspoređuje certifikat s tim objavljenim popisima prije nego što korisniku išta prikaže.
Da biste to planirali, ne morate pratiti kriptografiju, ali morate planirati posljedice. Certifikatima istječe rok i moraju se obnavljati, popisi pouzdanih subjekata mijenjaju se kako se tijela dodaju ili uklanjaju, a zahtjev poslan s nečim zastarjelim jednostavno ne uspijeva. To je bliže održavanju licencije na snazi nego pisanju softvera.
Isti mehanizam radi i u vašu korist. Budući da se provjera obavlja prema objavljenim popisima, a ne prema privatnom dogovoru, novčanik izdan u drugoj državi članici može ocijeniti vaš zahtjev a da s tom državom niste prethodno ništa dogovorili. Upravo to jednu registraciju čini korisnom u cijeloj Uniji.
Tko mora prihvatiti novčanik i od kada
eIDAS 2.0, uredba kojom je stvoren European Digital Identity Wallet, prihvaćanje ne prepušta u cijelosti tržištu. Države članice svoje novčanike osiguravaju od kraja 2026., a određena skupina organizacija mora ih biti spremna prihvatiti godinu dana poslije.
Regulirani sektori
Ondje gdje pravo EU-a ili nacionalno pravo već zahtijeva snažnu autentifikaciju korisnika, novčanik se mora prihvatiti: bankarstvo i financije, telekomunikacije, energetika, promet, zdravstvo, obrazovanje, socijalna sigurnost, voda za piće, poštanske usluge i digitalna infrastruktura. Mikropoduzeća i mala poduzeća izuzeta su od te obveze. Za tijela javnog sektora vrijedi zasebno pravilo, svuda gdje za internetsku uslugu zahtijevaju elektroničku identifikaciju.
Vrlo velike internetske platforme
Platforme određene kao vrlo velike na temelju Digital Services Acta moraju prihvatiti novčanik i olakšati njegovu upotrebu kada korisnik to zatraži. Smiju tražiti samo minimalne podatke koji su usluzi stvarno potrebni.
U praksi je taj popis manje apstraktan nego što zvuči. Obuhvaća poslovne banke, platne institucije i osiguravatelje, mobilne operatere koji ugovaraju pretplatnike, opskrbljivače energijom i vodom, zračne i željezničke prijevoznike, bolnice, ljekarne i zdravstvene osiguravatelje, sveučilišta i ispitna tijela te javne uprave koje već imaju nacionalnu prijavu. Ako vaše današnje uključivanje klijenta uključuje identifikacijski dokument zato što tako nalaže neki propis, gotovo ste sigurno obuhvaćeni.
Prihvaćanje novčanika ne znači zamjenu onoga što imate. Znači nuđenje novčanika kao jednog od načina na koje se osoba može identificirati ondje gdje već tražite snažnu identifikaciju, uz metode koje sada podržavate. Postojeći klijenti zadržavaju svoj dosadašnji put, a novi dobivaju brži.
Datume se isplati zapisati. Države članice svoje novčanike izdaju od kraja 2026., pravila o registraciji kao pouzdajuće strane primjenjuju se od prosinca 2026., a obveza prihvaćanja novčanika stiže krajem 2027. Registracija ovisi o nacionalnom tijelu i o internim odlukama o tome koji su vam podaci potrebni, pa je kalendar tješnji nego što sugerira jedan datum u 2027.
Svi ostali mogu novčanik prihvatiti dobrovoljno, a vrlo mnogi i hoće. Kada klijent već nosi provjerene podatke o identitetu i tvrtki, traženje da umjesto toga učita presliku korak je unatrag koji će primijetiti.
Što organizacija zapravo mora urediti
Postati pouzdajuća strana više je od dodavanja gumba na obrazac. Četiri stvari moraju biti na svojem mjestu, a samo je posljednja od njih isključivo tehnička.
Registrirajte se u svojoj državi
Svaka država članica vodi javni registar pouzdajućih strana s poslovnim nastanom na svojem državnom području. Prijavljujete tko ste, za što ćete upotrebljavati novčanik i koje podatke namjeravate tražiti. Traženje više od onoga što ste prijavili nije dopušteno.
Pribavite certifikate
Registracijom dobivate certifikate po kojima vas novčanik može prepoznati. Oni anoniman zahtjev pretvaraju u zahtjev koji novčanik može prikazati korisniku kao zahtjev imenovane i registrirane organizacije.
Radite sa svakim nacionalnim novčanikom
Ne postoji jedinstvena europska aplikacija novčanika. Svaka država članica osigurava barem jednu, pa se povezujete s nizom novčanika, a ne s jednim. Standardi su zajednički, ali svaki novčanik ima vlastita sidra povjerenja i vlastiti raspored izdanja koji treba pratiti.
Provjerite jesu li podaci još valjani
Credential koji je prošli mjesec bio točan u međuvremenu je možda opozvan. Pouzdajuća strana mora provjeriti objavljeni status credentiala u trenutku kada se upotrebljava. Voditi vlastitu evidenciju o toj provjeri dobra je praksa, a ne pravilo, ali upravo vam ona omogućuje da kasnije pokažete da se provjera dogodila.
Redoslijed tog popisa važniji je od njegove duljine. Prva dva koraka administrativna su i odvijaju se brzinom nacionalnog tijela, pa upravo oni određuju kada možete krenuti u rad. Timovi koji počnu integracijom, a registraciju ostave za poslije, obično dovrše softver i zatim čekaju.
I odluka o tome koji su vam podaci potrebni poslovno je, a ne tehničko pitanje, i na njega se isplati odgovoriti pažljivo. Prijavljujete svrhu i skup podataka, a sužavanje tog skupa na vrijeme stoji jedan sastanak, dok njegovo naknadno proširenje znači povratak u registar.
Koliko stoji povezivanje s više od trideset novčanika
Ne postoji jedinstvena europska aplikacija novčanika. Svaka država članica osigurava barem jednu, neke će ih imati više, a vaši će klijenti dolaziti s onom koju je izdala njihova država. Organizacija čiji klijenti dolaze iz nekoliko država stoga se ne povezuje s jednim sugovornikom, nego s promjenjivim skupom njih.
Standardi u podlozi su zajednički, i upravo to sve ovo uopće omogućuje. Razlikuje se sve oko njih: svaki novčanik ima vlastita sidra povjerenja, vlastiti nacionalni profil, vlastito testno okruženje i vlastiti raspored izdanja. Uspješan test s jednim novčanikom o sljedećem vam govori vrlo malo.
Prva integracija rijetko je ona skupa. Trošak leži u godinama nakon nje: praćenju ažuriranja specifikacija, ponovnom testiranju kada nacionalni novčanik objavi novu verziju, praćenju promjena popisa pouzdanih subjekata i održavanju certifikata na snazi u svakoj državi u kojoj imate poslovni nastan. To je u proračunu stavka održavanja, a ne stavka projekta.
Jednostavan način da to procijenite jest da prebrojite dvije stvari: broj država članica iz kojih dolaze vaši klijenti i broj izdanja koji će svaki od tih novčanika vjerojatno objaviti u godini dana. Pomnožite ih i dobit ćete broj koliko puta netko u vašem timu mora prekinuti ono što radi. Upravo ta brojka, a ne početna izgradnja, ono je o čemu odluka izgraditi ili kupiti zapravo ovisi.
Izgraditi sami ili upotrijebiti uslugu
Četiri navedena zahtjeva mogu se ispuniti unutar kuće ili kupiti izvana. Nijedan odgovor nije pogrešan, ali koštaju različito, a razlika se uglavnom svodi na to tko nosi tekući posao.
Samostalna izvedba
- Registraciju, certifikate i njihovo obnavljanje provodite sami, u svakoj državi u kojoj imate poslovni nastan.
- Vaš tim prati standarde i popise pouzdanih subjekata dok se mijenjaju te isporučuje ažuriranje svaki put kad to učini neki nacionalni novčanik.
- Ništa ne napušta vašu infrastrukturu, što je najjači mogući odgovor na pitanje o zaštiti podataka.
- Riječ je o trajnoj inženjerskoj obvezi, a ne o projektu koji jednom završi.
Korištenje usluge provjere
- Jedna integracija pokriva sve novčanike, a posao povezivanja ostaje na pružatelju usluge.
- Promjene standarda, ažuriranja popisa pouzdanih subjekata i provjera statusa obavljaju se umjesto vas.
- U produkciju krećete za nekoliko tjedana umjesto za nekoliko tromjesečja, a vaš tim ostaje na vašem proizvodu.
- Postavite je u vlastitu infrastrukturu i podaci ostaju unutar vašeg okruženja, jednako kao da ste je sami izgradili.
- Ovisite o dobavljaču, pa njegova dostupnost, njegov tempo izdanja i njegovi uvjeti obrade postaju vaša briga.
Najjači argument za samostalnu izvedbu obično je taj da ništa ne napušta vašu infrastrukturu, što je najčišći mogući odgovor na pitanje o zaštiti podataka. Taj odgovor ipak nije rezerviran samo za samostalnu izvedbu. Isti softver za provjeru, postavljen unutar vašeg vlastitog okruženja, zadržava podatke točno ondje gdje su i tako trebali ostati, dok posao oko standarda i veze s nacionalnim novčanicima i dalje nosi pružatelj.
Koristan način za odluku jest pitati se u kojem ste poslu. Ako je provjera novčanika dio onoga što prodajete, ima smisla imati je u vlastitim rukama od početka do kraja. Ako je riječ o koraku unutar uključivanja klijenta, prijave ili naplate, onda je to pozadinska infrastruktura, a pozadinsku se infrastrukturu isplati kupiti od nekoga tko je održava profesionalno.
Kako odabrati uslugu provjere
Ako odlučite kupiti umjesto graditi, pitanja koja se isplati postaviti manje se tiču značajki, a više toga gdje leži odgovornost i što se događa kada se nešto promijeni. Ovih osam razlikuje ponude koje na prezentaciji izgledaju jednako.
- Tko je registriran kao pouzdajuća strana? To bi trebala biti vaša organizacija, na vaše vlastito ime, kako bi prijavljena svrha bila vaša i ostala vaša ako promijenite dobavljača.
- Koji su nacionalni novčanici i koje države članice pokriveni danas, a ne obećani u planu razvoja?
- Može li se postaviti u vašoj infrastrukturi jednako kao i u obliku usluge kod pružatelja, a ako je riječ o usluzi, u kojoj se državi podaci obrađuju?
- Što se pohranjuje, koliko dugo, i što vam ostaje kao dokaz da je provjera obavljena?
- Kako se opoziv i valjanost provjeravaju u trenutku uporabe, a ne jednom prilikom postavljanja?
- Tko snosi trošak kada se promijeni neki standard, popis pouzdanih subjekata ili nacionalni novčanik, i koliko brzo?
- Postoji li testno okruženje u kojem možete isprobati stvaran tijek prije nego što se na išta obvežete?
- Kako biste otišli? Izvozivi zapisi i registracija na vaše vlastito ime ono su što to omogućuje.
Na prvom pitanju treba inzistirati. Ako registracija glasi na vaše vlastito ime, zadržavate odnos s registrom, prijavljenu svrhu i mogućnost promjene dobavljača bez počinjanja ispočetka. O svemu ostalom na popisu može se pregovarati, a o tome doista ne.
Kako početi: primjena, pilot, vremenski okvir
Počnite s jednom primjenom i odaberite najužu koja vas danas nešto mjerljivo stoji. Provjera dobi, provjera tvrtke pri prijavi dobavljača ili korak utvrđivanja identiteta pri otvaranju računa dovoljno su mali da se dovrše i dovoljno određeni da nešto dokažu. Program za modernizaciju svih identiteta posvuda nije prvi projekt.
Pilot vodite uz postojeći proces, a ne umjesto njega. Ponudite novčanik kao dodatni put za dio prometa, ostavite stari put otvorenim i usporedite ih po brojkama koje već pratite: koliko traje, koliko ljudi dovrši, koliko ručne provjere preostaje. Upravo ta usporedba, a ne demonstracija, gradi poslovni slučaj.
Registraciju pokrenite rano jer je to dio koji najmanje kontrolirate. Ovisi o nacionalnom tijelu i o internoj odluci o tome koji su vam podaci doista potrebni, a oboje traje dulje nego što se čini. Tehnička je integracija obično kraća polovica posla, osobito ako veze s novčanicima ne gradite sami.
Realističan raspored za organizaciju koja kreće sada jest odluka i registracija u prvom tromjesečju, radni pilot u drugom i postupno širenje nakon toga, čime ostaje prostora prije obveze iz 2027. umjesto da se stiže u posljednji čas. Ako se obveza na vas ne odnosi, isti redoslijed i dalje vrijedi, samo što rok umjesto propisa postavljaju vaši konkurenti.
Kako Credenco pomaže
Credenco za vas vodi stranu pouzdajuće strane, a odluka ostaje vaša. Vi ostajete registrirana organizacija i zadržavate podatke, a posao povezivanja s novčanicima je na nama.
Verification Service
Zatražite točno one podatke koji su vam potrebni i dobijte provjeren odgovor. Potpisi, popisi pouzdanih subjekata i status opoziva rješavaju se iza jedne integracije, pa uloga pouzdajuće strane ne postaje projekt uvođenja protokola.
Business Wallet
I vaša organizacija ima vlastite vjerodajnice koje prima i predočuje, primjerice kada od vas klijent ili kupac zatraži dokaz o nečemu. Business Wallet je usluga kojom upravljaju vaši sustavi, a ne aplikacija koju netko mora otvoriti.
Obje rade kao usluga kod pružatelja ili postavljene u vašem vlastitom okruženju, pa je model postavljanja odluka koju donosite vi, a ne proizvod umjesto vas. U oba slučaja registracija ostaje na vaše ime, a novčanik korisniku prikazuje vašu organizaciju.
Često postavljana pitanja
Što je pouzdajuća strana jednostavno rečeno?
To je svaka organizacija koja od nekoga traži dokaz i zatim postupa na temelju odgovora. Banka, internetska trgovina, poslodavac i šalter javne uprave sve su pouzdajuće strane. U ekosustavu EUDI Wallet dokaz stiže iz novčanika i može se provjeriti automatski, pa se organizacija oslanja na provjeru, a ne na dokument u koji mora vjerovati.
Mora li moja organizacija prihvatiti EUDI Wallet?
Da, ako vas pravo EU-a ili nacionalno pravo već obvezuje na snažnu autentifikaciju korisnika. To obuhvaća sektore poput bankarstva i financija, telekomunikacija, energetike, prometa, zdravstva, obrazovanja, socijalne sigurnosti, poštanskih usluga i digitalne infrastrukture, kao i slučaj kada ste vrlo velika internetska platforma određena na temelju Digital Services Acta. Mikropoduzeća i mala poduzeća izuzeta su od te sektorske obveze. Svi ostali mogu novčanik prihvatiti dobrovoljno, a mnogi hoće, jer klijenti koji nose novčanik očekuju da će ga moći upotrijebiti.
Moramo li i sami izdavati vjerodajnice?
Ne. Prihvaćanje vjerodajnica i njihovo izdavanje odvojene su uloge, a većini organizacija potrebna je samo prva. Provjera je manji posao: tražite podatke, uspoređujete ih s objavljenim popisom pouzdanih subjekata i čitate odgovor, bez provjere identiteta i upravljanja ključevima koje preuzima izdavatelj.
Možemo li tražiti bilo koje podatke?
Ne, i to je namjerno. Registrirate podatke koji su vam potrebni i svrhu za koju su vam potrebni, a zahtjev izvan tog opsega može biti odbijen. U praksi to organizacije usmjerava prema traženju manjeg broja podataka, što je oduvijek tražilo i pravo o zaštiti podataka.
Kada bismo trebali početi?
Ako se obveza prihvaćanja odnosi na vas, rok je kraj 2027., a registracija, nabava i testiranje dolaze prije toga. Ako se na vas ne odnosi, i dalje postoji razlog za pokret: uključivanje klijenta koje traje nekoliko sekundi umjesto nekoliko dana vrijedi imati bez obzira na to traži li to neki propis.
Povezani pojmovi
Tehnički detalji
Ova stranica ostaje na razini onoga što ta uloga znači za vašu organizaciju. Kako se zahtjev zapravo sastavlja i kako se na njega odgovara, putem protokola OpenID4VP, opisano je u tehničkoj dokumentaciji. Pročitajte tehničku dokumentaciju
Ova je stranica informativnog karaktera i ne predstavlja pravni savjet. Za mjerodavne smjernice o tome primjenjuje li se određena obveza na vašu organizaciju obratite se izravno Europskoj komisiji i svojem nacionalnom nadzornom tijelu.