eIDAS 2.0 magyarázat: mit jelent a vállalkozása számára

2026-ig az EU-tagállamoknak biztosítaniuk kell a polgárok és vállalkozások számára a digitális identitás wallethez való hozzáférést. Azok a szervezetek, amelyek identitáshoz kapcsolódó dokumentumokat bocsátanak ki vagy ellenőriznek (a kereskedelmi kamaráktól a bankokon, biztosítókon át a beszerzési platformokig) egyre inkább hitelesíthető tanúsítványokkal fognak dolgozni PDF-ek és e-mailek helyett.

A korai alkalmazók strukturális előnyre tesznek szert: gyorsabb onboardingra, alacsonyabb csalási kockázatra, automatizált megfelelőségi ellenőrzésekre, és felkészültségre a kötelező szabályozásokra, mielőtt azok hatályba lépnének. Az azokra várakozó szervezeteket sűrített, magasabb költséggel és zavarral járó átállási időszak várja.

Az első eIDAS rendelet, a Regulation (EU) No 910/2014, két dolgot tett. Határokon át felismerhetővé tette a nemzeti elektronikus azonosítási rendszereket, így az egyik tagállamban kiadott belépés egy másikban is megnyithatott egy közszolgáltatást. Emellett uniós szinten érvényes jogi alapot adott az olyan bizalmi szolgáltatásoknak, mint az elektronikus aláírás, a bélyegző és az időbélyegző.

A gyakorlatban az első fele sosem valósult meg igazán. A nemzeti rendszerek bejelentése önkéntes volt, így a 2020-as évek elejére az európaiak nagy részének egyáltalán nem volt bejelentett elektronikus azonosítója, a létező rendszerek pedig ritkán működtek a saját országukon kívül. A magánszervezeteket semmi nem kötelezte az elfogadásukra, így a bankok, a távközlési szolgáltatók és a platformok saját azonosítási megoldásokat építettek.

Az eIDAS 2.0, a Regulation (EU) 2024/1183, megtartja a bizalmi szolgáltatásokat, az azonosítási felét pedig a birtokos köré építi újra. Minden tagállamnak tárcát kell kínálnia, nem csupán lehetősége van rendszert bejelenteni, a magánszervezetek meghatározott körének el kell fogadnia, a személyről vagy cégről szóló ellenőrzött tények pedig önálló bizalmi szolgáltatássá válnak. A birtokos dönti el, mit oszt meg az egyes tranzakciókban, és ez az elmozdulás teszi működőképessé a többit.

Egy vállalkozás számára a gyakorlati különbség az irány. A régi keretben Ön döntötte el, támogatja-e az elektronikus azonosítást, és rendszerint arra jutott, hogy nem éri meg a fáradságot. Az újban az infrastruktúra mindenképp megérkezik, a partnerei ingyen megkapják, a kérdés pedig az, milyen gyorsan tudja hasznosítani.

Az eIDAS 2.0 két szinten érvényesül. A tagállamoknak fel kell építeniük és üzemeltetniük kell az Európai Digitális Identitás Wallet infrastruktúráját, és elérhetővé kell tenniük azt a polgárok és vállalkozások számára. Azoknak a szervezeteknek, amelyek identitáshoz kapcsolódó dokumentumokat bocsátanak ki vagy ellenőriznek, beleértve a kereskedelmi kamarákat, bankokat, biztosítókat, kormányzati szerveket és beszerzési platformokat, képesnek kell lenniük tanúsítványokat kibocsátani ebbe a walletbe, vagy elfogadni az onnan bemutatott tanúsítványokat.

A bevezetés rögzített ütemtervet követ. 2026-ig minden EU-tagállamnak biztosítania kell a polgárok és vállalkozások számára a digitális identitás wallethez való hozzáférést. E határidő előtt elvárt, hogy a tanúsítványokat kibocsátó vagy ellenőrző szervezetek rendelkezzenek a technikai képességgel a wallet-alapú tanúsítványokkal való munkához, mivel a wallet-tulajdonosok igénye abban a pillanatban jelentkezik, amint maga a wallet elérhetővé válik.

A gyakorlatban a felkészülés három dolgot jelent: a tanúsítványformátumok összehangolását azokkal a szabványokkal, amelyekre a tárca épül (W3C Verifiable Credentials, mdoc, OpenID4VC), csatlakozást egy bizalmi nyilvántartáshoz, hogy a kibocsátott tanúsítványok a kibocsátó közvetlen megkeresése nélkül is ellenőrizhetők legyenek, valamint egy beépített adatvédelmi architektúra bevezetését, amely a tanúsítványokat a tulajdonos saját walletjében tartja, nem pedig egy közös nyilvántartásban, és csak azokat az attribútumokat osztja meg, amelyekre az ellenőrzőnek szüksége van. Azok a szervezetek, amelyek korán elkezdik a felkészülést, elkerülik a sűrített átállási időszakot, a magasabb költségeket és a zavarokat, amelyek a határidőhöz közeli várakozással járnak.

A legfontosabb kötelezettség maga a tárca. 2026. december 24-ig minden tagállamnak legalább egy European Digital Identity Wallet megoldást kell kínálnia, természetes személyek számára díjmentesen, és gondoskodnia kell arról, hogy az működjön az állampolgárok, a letelepedettek és a vállalkozások számára. A közigazgatásnak ugyanettől a naptól el kell fogadnia, a saját országában és bármely más tagállam birtokosai esetében is.

A tárca mögött olyan gépezet áll, amely egy vállalkozás számára legalább ennyire fontos, mégis sokkal kevesebb figyelmet kap. A tagállamoknak gondoskodniuk kell arról, hogy a személyazonosító adatok kibocsáthatók legyenek a tárcába, és hogy a hiteles források, például a cégnyilvántartások, az oktatási nyilvántartások és a szakmai kamarák elektronikusan tudják szolgáltatni az adataikat. Emellett tanúsítaniuk kell a tárcamegoldásokat, és közzé kell tenniük, melyek a jóváhagyottak.

E feladatok közül kettő az, amire egy igénybe vevő fél nap mint nap támaszkodik. Léteznie kell egy díjmentes módnak annak ellenőrzésére, hogy az igazolást bemutató tárca valódi és még érvényes. És léteznie kell az igénybe vevő felek nemzeti nyilvántartásának, ahová az Ön szervezete bejelentkezik, mielőtt bármit is kérhetne egy tárcától.

A haladás egyenetlen, ezért a saját tagállamát figyelje, ne az európai átlagot. A határidő mindenhol ugyanaz, de az, hogy melyik hatóság vezeti az igénybe vevő felek nyilvántartását, mennyi ideig tart a regisztráció, és mely hiteles források csatlakoznak először, nemzeti döntés. Ezek határozzák meg, mikor tud ténylegesen elindulni.

A bizalmi szolgáltatások az eIDAS azon része, amelyet a legtöbb vállalkozás már ma is használ anélkül, hogy nevén nevezné. Ezek adnak jogi súlyt egy elektronikus dokumentumnak vagy üzenetnek: aláírás, bélyegzés, időbélyegzés, tértivevényes kézbesítés, most pedig egy személyről vagy szervezetről szóló tények tanúsítása is.

A lényegi szó a minősített. A minősített szolgáltatás olyan szolgáltatótól származik, amely felügyelet alatt áll és szerepel a nemzeti bizalmi listán, és minden tagállamban jogi vélelem társul hozzá. A bíróság abból indul ki, hogy az aláírás, a bélyegző vagy az időbélyegző az, aminek mondja magát, és a bizonyítási teher azt terheli, aki vitatja. A nem minősített szolgáltatás is lehet tökéletesen jó bizonyíték, csak Önnek kell bizonyítania.

A bizalmi szolgáltatások és a tárca ugyanannak a képnek a két fele. A tárca az az út, amelyen az igazolás eljut a másik félhez, és amelyen a birtokos megválasztja, mit mutat meg, a bizalmi szolgáltatások pedig azt adják, amitől a tartalom utólag is megáll. A legtöbb szervezet végül többet használ egyszerre: bélyegzőt arra, amit kibocsát, tanúsítványt azokra a tényekre, amelyekért jótáll, és aláírást ott, ahol egy személynek kell köteleznie magát.

2027. december 24-től a European Digital Identity Wallet elfogadása a magánszektor nagy része számára már nem választható. A kötelezettség az erős felhasználóhitelesítés követelményét követi, tehát az dönt, ahogyan az embereket azonosítja, nem az ágazat neve.

A szabályt példákon át a legkönnyebb megérteni. Egy bank ma is erős ellenőrzést végez, amikor valaki számlát nyit vagy fizetést hagy jóvá, így a tárcának az ellenőrzés teljesítésének egyik módjává kell válnia. Az előfizetés aktiválása előtt azonosítást végző távközlési szolgáltató, a szerződést váltó energiaszolgáltató és az új tagot regisztráló egészségbiztosító mind ugyanebben a helyzetben van.

Ugyanez érvényes a nyilvánvalóan szabályozott szereplőkön jóval túl is. A hallgatókat beiratkoztató egyetem, a dolgozói belépőt kiadó közlekedési vállalat, az ellátásokat folyósító társadalombiztosítási szerv és a felhasználókat beléptető nagyon nagy online platform mind a kötelezettség alá esik, amint valakit hitelesítenek. Ha ma már formális online azonosításon küldi át az embereket, feltételezze, hogy Ön is érintett, és ebből induljon ki.

Két korlátot érdemes észben tartani. A kötelezettséget a felhasználó váltja ki, aki maga kéri a tárcája használatát, nem pedig rákényszerítik, és az azonosítási lépésre vonatkozik, nem a teljes kapcsolatra. Nem is felhatalmazás arra, hogy többet kérjen: csak azokat az adatokat kérheti, amelyekre az igénybe vevő félként történő regisztrációja kiterjed, ami a legtöbb esetben kevesebb, mint amennyit egy beszkennelt okmány adott volna.

A közigazgatás az első. Amint a tárcák elérhetők, aminek legkésőbb 2026. december 24-ig meg kell történnie, mindenhol el kell fogadnia őket, ahol ma is elektronikus azonosítást kér, saját országában és más tagállamok polgárai esetében is.

A mikrovállalkozások és a kisvállalkozások mentesülnek az elfogadási kötelezettség alól. A Digital Services Act alapján kijelölt nagyon nagy online platformok viszont beletartoznak mindenhol, ahol felhasználót hitelesítenek, bár a rendelet nem határoz meg számukra külön dátumot.

Ha a szervezete egyik listán sem szerepel, a gyakorlati kérdés akkor sem változik. Minden ma elvégzett személyazonosság-ellenőrzés helyébe léphet egy tárcából másodpercek alatt bemutatott igazolás: kevesebb csalás, nincs dokumentumkezelés, és nincsenek adatok, amelyeket Önnek kellene tárolnia és védenie.

A European Digital Identity Wallet egy személy köré épül. Ez a megfelelő forma annak igazolására, ki áll Ön előtt, és rossz forma a legtöbb vállalatközi folyamathoz, amelyek a szervezet körül forognak: melyik jogi személyről van szó, ki járhat el a nevében, és meddig terjed ez a jogosultság.

Az eIDAS 2.0 már ma is lehetővé teszi, hogy egy szervezet igazolásokat tartson és önmagáról szóló tanúsítványokat kapjon, így a céges adatok már most is mozoghatnak tárcán keresztül. Amit nem rendez, az az e köré épülő adminisztratív réteg: a meghatalmazások, a képviseleti jogok, a beadványok, valamint a cégek és a közigazgatás közötti dokumentumcsere, amely még mindig portálokon és e-mailben zajlik.

2025. november 19-én az Európai Bizottság önálló rendeletet javasolt a European Business Wallet megoldásra, pontosan ennek a rétegnek a lefedésére. Még a jogalkotási folyamatban van, így egyelőre nincs dátum, amihez tervezni lehetne, és senkinek nem kellene erre várnia a cselekvés előtt.

A hasznos felkészülés nem technikai. Döntse el most, ki felel a szervezetében a céges igazolásokért, és ki kötelezheti a céget, mert minden tárcának ezt kell majd kifejeznie. A belső megegyezés általában tovább tart, mint az integráció megépítése.

Az eIDAS 2.0 felügyelt, nem önbevalláson alapul. Minden tagállam kijelöl egy szervet, amely felügyeli a minősített bizalmi szolgáltatókat és visszavonhatja a minősített státuszt, valamint egy szervet, amely a területén működő tárcaszolgáltatókat felügyeli. Az adatvédelmi hatóságok mindenütt megtartják saját szerepüket, ahol személyes adat érintett, ami ebben a témában szinte mindenhol így van.

Az igénybe vevő félként történő regisztráció az a rész, amely a hétköznapi vállalkozásokat a legközvetlenebbül érinti. Mivel a regisztráció rögzíti, mit kérhet egy tárcától, a többletkérés látható, bejelenthető, és a felügyeleti szerv fel is léphet ellene. A tagállamoknak szankciókat kell megállapítaniuk a rendelet megsértésére, és azokat hatékonnyá, arányossá és visszatartó erejűvé kell tenniük, az összegeket pedig nemzeti szinten határozzák meg.

A legtöbb szervezetnél azonban a késés első költsége nem bírság. Hanem egy ügyfél, aki másodpercek alatt bizonyítani tudna valamit, mégis szkennelt dokumentum feltöltésére kérik, egy versenytárs, aki még aznap délután befogadja ezt az ügyfelet, és egy közbeszerzési kérdés, amire nem tud jól válaszolni.

A második költség az időzítés. Az alábbi ellenőrzőlista minden pontjának átfutási ideje hónapokban mérhető, nem hetekben, és mindennek ugyanabban az ablakban kell megtörténnie, mint mindenki másnál. A korai kezdés főként arról szól, hogy később ne kelljen a szűkös figyelemért versenyezni.

A Credenco Business Walletje az alapoktól fogva úgy lett tervezve, hogy megfeleljen az eIDAS 2.0 követelményeinek. Megvalósítja a W3C Verifiable Credentials-t, az OpenID4VC-t a tanúsítványok kibocsátásához és bemutatásához, valamint ellenőrzi a kibocsátók megbízhatóságát az EU eIDAS megbízható listái alapján, biztosítva, hogy minden Credencón keresztül kibocsátott tanúsítvány rendelkezzen a rendelet által megkövetelt, szabványokon alapuló bizalommal.

A tanúsítványokat minden szervezet saját walletjében tároljuk, nem egy közös nyilvántartásban, és a tulajdonosok csak azokat az attribútumokat adják ki, amelyekre az ellenőrzőnek szüksége van. Ez a beépített adatvédelmi architektúra nem utólagos hozzáadás: ez egy alapvető tervezési elv, amely közvetlenül igazodik mind a GDPR-hoz, mind az eIDAS 2.0 wallet-követelményeihez.