eIDAS 2.0 paaiškinimas: ką tai reiškia jūsų įmonei

Iki 2026 metų ES valstybės narės privalo suteikti piliečiams ir įmonėms prieigą prie skaitmeninės tapatybės piniginės. Organizacijos, išduodančios ar tikrinančios su tapatybe susijusius dokumentus (nuo prekybos rūmų iki bankų, draudikų ir viešųjų pirkimų platformų) vis dažniau dirbs su patvirtinamaisiais kredencialais vietoje PDF failų ir el. laiškų.

Anksti prisitaikiusios organizacijos įgyja struktūrinį pranašumą: greitesnę registraciją, mažesnę sukčiavimo riziką, automatizuotus atitikties patikrinimus ir pasirengimą privalomiems reikalavimams dar prieš jiems įsigaliojant. Delsiančios organizacijos susidurs su suspaustu pereinamuoju laikotarpiu, didesnėmis sąnaudomis ir sutrikimais.

Pirmasis eIDAS reglamentas, Regulation (EU) No 910/2014, padarė du dalykus. Jis leido nacionalines elektroninės atpažinties schemas pripažinti kitose šalyse, kad vienoje valstybėje narėje išduoti prisijungimo duomenys atvertų viešąją paslaugą kitoje. Jis taip pat suteikė patikimumo užtikrinimo paslaugoms, tokioms kaip elektroniniai parašai, spaudai ir laiko žymos, teisinį pagrindą, galiojantį visoje Sąjungoje.

Praktikoje pirmoji pusė taip ir neįsigaliojo. Pranešti apie nacionalinę schemą buvo savanoriška, todėl 2020-ųjų pradžioje didelė dalis europiečių apskritai neturėjo notifikuotos elektroninės atpažinties, o esamos schemos retai veikė už savo šalies ribų. Niekas neįpareigojo ir privačių organizacijų jų priimti, todėl bankai, telekomunikacijų operatoriai ir platformos kūrė savo tapatybės patikras.

eIDAS 2.0, Regulation (EU) 2024/1183, išlaiko patikimumo užtikrinimo paslaugas ir atkuria tapatybės dalį sutelkdamas ją į turėtoją. Dabar kiekviena valstybė narė privalo siūlyti piniginę, o ne tik turėti teisę pranešti apie schemą, apibrėžta privačių organizacijų grupė privalo ją priimti, o patikrinti faktai apie asmenį ar įmonę tampa savarankiška patikimumo užtikrinimo paslauga. Turėtojas nusprendžia, kas atskleidžiama kiekvienos operacijos metu, ir būtent šis pokytis leidžia veikti visa kita.

Verslui praktinis skirtumas yra judėjimo kryptis. Pagal senąją sistemą jūs patys rinkotės, ar palaikyti elektroninę atpažintį, ir dažniausiai nuspręsdavote, kad tai neverta pastangų. Pagal naująją infrastruktūra atsiranda nepriklausomai nuo jūsų, jūsų kontrahentai ją gauna nemokamai, o klausimas tampa toks: kaip greitai sugebėsite ja pasinaudoti.

eIDAS 2.0 taikomas dviem lygmenimis. Valstybės narės privalo sukurti ir eksploatuoti Europos skaitmeninės tapatybės piniginės infrastruktūrą bei padaryti ją prieinamą piliečiams ir įmonėms. Organizacijos, kurios išduoda ar tikrina su tapatybe susijusius dokumentus, įskaitant prekybos rūmus, bankus, draudikus, valstybės institucijas ir viešųjų pirkimų platformas, turi gebėti išduoti kredencialus į šią piniginę arba priimti iš jos pateikiamus kredencialus.

Diegimas vyksta pagal fiksuotą tvarkaraštį. Iki 2026 metų kiekviena ES valstybė narė privalo suteikti piliečiams ir įmonėms prieigą prie skaitmeninės tapatybės piniginės. Iki šios datos organizacijos, kurios išduoda ar tikrina kredencialus, turėtų turėti techninį gebėjimą dirbti su piniginėje pagrįstais kredencialais, nes piniginės turėtojų poreikis atsiranda tą akimirką, kai pati piniginė tampa prieinama.

Praktiškai pasiruošimas reiškia tris dalykus: suderinti kredencialų formatus su standartais, kuriais grindžiama piniginė (W3C patvirtinamieji kredencialai, mdoc, OpenID4VC), prisijungti prie pasitikėjimo registro, kad išduoti kredencialai galėtų būti patikrinti nesikreipiant tiesiogiai į išdavėją, ir taikyti privatumo pagal dizainą architektūrą, kuri kredencialus laiko paties turėtojo piniginėje, o ne bendrame registre, ir perduoda tik tuos atributus, kurių reikia tikrintojui. Organizacijos, pradedančios anksti, išvengia suspausto pereinamojo laikotarpio, didesnių kaštų ir sutrikimų, kylančių laukiant, kol terminas bus arti.

Pagrindinė prievolė yra pati piniginė. Iki 2026 m. gruodžio 24 d. kiekviena valstybė narė privalo pasiūlyti bent vieną European Digital Identity Wallet, nemokamą fiziniams asmenims, ir užtikrinti, kad ji veiktų piliečiams, gyventojams ir įmonėms. Nuo tos pačios datos viešojo administravimo institucijos privalo ją priimti tiek savo šalyje, tiek iš bet kurios kitos valstybės narės atvykusių turėtojų atžvilgiu.

Už piniginės slypi mechanizmai, kurie verslui svarbūs ne mažiau, o dėmesio sulaukia kur kas mažiau. Valstybės narės turi užtikrinti, kad asmens atpažinties duomenis būtų galima išduoti į piniginę ir kad autentiški šaltiniai, tokie kaip įmonių registrai, švietimo registrai ir profesinės organizacijos, galėtų teikti savo duomenis elektroniniu būdu. Jos taip pat turi sertifikuoti piniginių sprendimus ir skelbti, kurie iš jų yra patvirtinti.

Du iš šių rezultatų yra tai, kuo pasikliaujančioji šalis remiasi kasdien. Turi būti nemokamas būdas patikrinti, ar kredencialą pateikianti piniginė yra tikra ir vis dar galioja. Taip pat turi būti nacionalinis pasikliaujančiųjų šalių registras, kuriame jūsų organizacija užsiregistruoja prieš galėdama apskritai ko nors prašyti iš piniginės.

Pažanga nevienoda, todėl stebėkite savo valstybę narę, o ne Europos vidurkį. Data visur ta pati, tačiau kuri institucija tvarko pasikliaujančiųjų šalių registrą, kiek trunka registracija ir kurie autentiški šaltiniai prijungiami pirmiausia, yra nacionaliniai sprendimai. Būtent jie lemia, kada iš tikrųjų galėsite pradėti.

Patikimumo užtikrinimo paslaugos yra ta eIDAS dalis, su kuria dauguma įmonių jau susiduria to net neįvardydamos. Būtent jos suteikia elektroniniam dokumentui ar pranešimui teisinę svarbą: pasirašymas, antspaudavimas, laiko žymėjimas, registruotas pristatymas, o dabar ir faktų apie asmenį ar organizaciją patvirtinimas.

Svarbiausias žodis yra kvalifikuota. Kvalifikuotą paslaugą teikia prižiūrimas teikėjas, paskelbtas nacionaliniame patikimumo sąraše, ir ji turi teisinę prezumpciją kiekvienoje valstybėje narėje. Teismas pradeda nuo prielaidos, kad parašas, spaudas ar laiko žyma yra tai, kuo save skelbia, o įrodinėjimo našta tenka tam, kuris tai ginčija. Nekvalifikuota paslauga vis tiek gali būti puikus įrodymas, tačiau jį turėsite įrodyti patys.

Patikimumo užtikrinimo paslaugos ir piniginė yra dvi to paties vaizdo pusės. Piniginė yra būdas, kuriuo kredencialas pasiekia kitą šalį ir kuriuo turėtojas pasirenka, ką atskleisti, o patikimumo užtikrinimo paslaugos yra tai, kas vėliau suteikia turiniui teisinę galią. Dauguma organizacijų galiausiai naudoja kelias iš karto: spaudą tam, ką išduoda, patvirtinimą faktams, už kuriuos gali laiduoti, ir parašą ten, kur asmuo turi prisiimti įsipareigojimą.

Nuo 2027 m. gruodžio 24 d. European Digital Identity Wallet priėmimas didelei privačiojo sektoriaus daliai nebėra savanoriškas. Prievolė seka paskui stipraus naudotojo autentifikavimo reikalavimą, todėl lemia tai, kaip identifikuojate žmones, o ne jūsų sektoriaus pavadinimas.

Taisyklę lengviausia suprasti per pavyzdžius. Bankas jau dabar atlieka griežtą patikrą, kai kas nors atidaro sąskaitą ar patvirtina mokėjimą, todėl piniginė turi tapti vienu iš būdų šiai patikrai atlikti. Telekomunikacijų operatorius, tikrinantis tapatybę prieš aktyvuodamas abonementą, energijos tiekėjas, keičiantis sutartį, ir sveikatos draudikas, registruojantis naują narį, yra lygiai tokioje pačioje padėtyje.

Tas pats galioja gerokai plačiau nei akivaizdiems reguliuojamiems sektoriams. Universitetas, priimantis studentus, transporto operatorius, išduodantis darbuotojo pažymėjimą, socialinės apsaugos įstaiga, mokanti išmokas, ir labai didelė interneto platforma, prijungianti naudotojus, visi patenka į prievolės taikymo sritį, kai tik ką nors autentifikuoja. Jei jau siunčiate žmones per formalią tapatybės patikrą internete, laikykite, kad esate taikymo srityje, ir remkitės tuo toliau.

Verta nepamiršti dviejų apribojimų. Prievolę inicijuoja naudotojas, kuris pats prašo naudoti savo piniginę, užuot ji būtų jam primesta, ir ji apima tapatybės nustatymo žingsnį, o ne visus santykius. Tai taip pat nėra leidimas prašyti daugiau: galite prašyti tik tų duomenų, kuriuos apima jūsų pasikliaujančiosios šalies registracija, o tai daugeliu atvejų yra mažiau, nei būtų suteikęs skenuotas dokumentas.

Viešasis sektorius yra pirmas. Kai tik piniginės taps prieinamos, o tai turi įvykti iki 2026 m. gruodžio 24 d., jis privalo jas priimti visur, kur jau dabar reikalauja elektroninio atpažinimo, savo šalyje ir kitų valstybių narių piliečiams.

Labai mažoms ir mažoms įmonėms priėmimo prievolė netaikoma. Labai didelės interneto platformos, paskirtos pagal Digital Services Act, į ją patenka visur, kur autentifikuoja naudotojus, nors reglamentas joms atskiros datos nenustato.

Jei jūsų organizacijos nėra nė viename iš šių sąrašų, praktinis klausimas nesikeičia. Kiekviena tapatybės patikra, kurią atliekate šiandien, gali tapti kredencialu, pateikiamu iš piniginės per kelias sekundes: mažiau sukčiavimo, jokio dokumentų tvarkymo ir jokių duomenų, kuriuos patys turėtumėte saugoti ir apsaugoti.

European Digital Identity Wallet sukurta apie asmenį. Tai tinkama forma norint įrodyti, kas yra priešais jus, ir netinkama daugumai verslo su verslu procesų, kuriuose svarbiausia yra organizacija: su kuriuo juridiniu asmeniu bendraujate, kas gali jo vardu veikti ir kaip toli siekia tie įgaliojimai.

eIDAS 2.0 jau leidžia organizacijai turėti kredencialų ir gauti patvirtinimų apie save, todėl įmonės duomenys jau šiandien gali judėti per piniginę. Ko jis neišsprendžia, tai administracinio sluoksnio aplink tai: įgaliojimų, atstovavimo teisių, teikiamų dokumentų ir įmonių bei viešųjų įstaigų dokumentų mainų, kurie vis dar vyksta portaluose ir el. paštu.

2025 m. lapkričio 19 d. Europos Komisija pasiūlė atskirą reglamentą dėl European Business Wallet, skirtą būtent šiam sluoksniui. Jis vis dar svarstomas teisėkūros procese, todėl kol kas nėra datos, pagal kurią būtų galima planuoti, ir niekas neturėtų jos laukti prieš imdamasis veiksmų.

Naudinga pasiruošimo dalis nėra techninė. Nuspręskite jau dabar, kas jūsų organizacijoje atsako už įmonės kredencialus ir kas gali įmonę įpareigoti, nes būtent tai turės išreikšti bet kuri piniginė. Susitarti viduje paprastai užtrunka ilgiau, nei sukurti pačią integraciją.

eIDAS 2.0 yra prižiūrimas, o ne grindžiamas savideklaracija. Kiekviena valstybė narė paskiria įstaigą, kuri prižiūri kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus ir gali panaikinti kvalifikuotą statusą, bei įstaigą, prižiūrinčią jos teritorijoje veikiančius piniginių teikėjus. Duomenų apsaugos institucijos išlaiko savo vaidmenį visur, kur tvarkomi asmens duomenys, o šioje srityje tai yra beveik visur.

Pasikliaujančiosios šalies registracija yra ta dalis, kuri tiesiogiai paliečia paprastas įmones. Kadangi jūsų registracijoje nurodyta, ko galite prašyti iš piniginės, prašymas pateikti daugiau yra matomas, praneštinas ir toks, dėl kurio priežiūros institucija gali imtis veiksmų. Valstybės narės privalo nustatyti sankcijas už reglamento pažeidimus ir užtikrinti, kad jos būtų veiksmingos, proporcingos ir atgrasomos, o sumos nustatomos nacionaliniu lygmeniu.

Vis dėlto daugumai organizacijų pirmoji vėlavimo kaina nėra bauda. Tai klientas, galintis ką nors įrodyti per kelias sekundes, kurio vietoj to prašoma įkelti skenuotą dokumentą, konkurentas, priimantis tą klientą tą pačią popietę, ir viešojo pirkimo klausimas, į kurį negalite gerai atsakyti.

Antroji kaina yra laikas. Viskas, kas išvardyta toliau pateiktame sąraše, reikalauja mėnesiais, o ne savaitėmis matuojamo pasirengimo laiko, ir visa tai turi įvykti tuo pačiu metu kaip ir visiems kitiems. Pradėti anksti daugiausia reiškia vėliau nekonkuruoti dėl ribotų išteklių ir dėmesio.

Credenco Business Wallet nuo pat pradžių sukurta atitikti eIDAS 2.0 reikalavimus. Ji įgyvendina W3C patvirtinamuosius kredencialus, OpenID4VC kredencialų išdavimui ir pateikimui bei tikrina išdavėjų patikimumą pagal ES eIDAS patikimų sąrašus, taip užtikrindama, kad kiekvienas per Credenco išduotas kredencialas turi reglamento reikalaujamą standartais pagrįstą pasitikėjimą.

Kredencialai laikomi kiekvienos organizacijos nuosavoje piniginėje, o ne bendrame registre, ir turėtojai atskleidžia tik tuos atributus, kurių reikia tikrintojui. Ši privatumo pagal dizainą architektūra nėra vėlesnis pritaikymas: tai pagrindinis dizaino principas, tiesiogiai atitinkantis tiek GDPR, tiek eIDAS 2.0 piniginės reikalavimus.