eIDAS 2.0 forklart: hva det betyr for bedriften din

Innen utgangen av 2026 må EUs medlemsstater gi innbyggere og virksomheter tilgang til en digital identitetslommebok. Organisasjoner som utsteder eller verifiserer identitetsrelaterte dokumenter (fra handelsregistre til banker, forsikringsselskaper og innkjøpsplattformer) vil i økende grad arbeide med verifiserbare akkreditiver i stedet for PDF-er og e-post.

Tidlige tilhengere oppnår en strukturell fordel: raskere onboarding, lavere svindelrisiko, automatiserte compliance-kontroller, og beredskap for obligatoriske forskrifter før de trer i kraft. Organisasjoner som venter, vil møte en presset overgangsperiode med høyere kostnad og forstyrrelse.

Den første eIDAS-forordningen, Regulation (EU) No 910/2014, gjorde to ting. Den gjorde nasjonale elektroniske identitetsordninger gjenkjennelige over landegrensene, slik at en innlogging utstedt i én medlemsstat kunne åpne en offentlig tjeneste i en annen. Den ga også tillitstjenester som elektroniske signaturer, segl og tidsstempler et rettslig fundament som gjaldt i hele unionen.

I praksis kom aldri den første halvdelen helt på plass. Det var frivillig å notifisere en nasjonal ordning, så tidlig på 2020-tallet hadde en stor andel europeere ingen notifisert elektronisk identitet i det hele tatt, og de ordningene som fantes fungerte sjelden utenfor sitt eget land. Ingenting forpliktet private virksomheter til å godta dem heller, noe som førte til at banker, teleoperatører og plattformer bygde sine egne identitetskontroller.

eIDAS 2.0, Regulation (EU) 2024/1183, beholder tillitstjenestene og bygger identitetshalvdelen på nytt rundt innehaveren. Hver medlemsstat må nå tilby en lommebok og ikke bare ha lov til å notifisere en ordning, en definert gruppe private virksomheter må godta den, og verifiserte fakta om en person eller et selskap blir en tillitstjeneste i seg selv. Innehaveren bestemmer hva som deles i hver transaksjon, og det er dette skiftet som får resten til å fungere.

For en virksomhet ligger den praktiske forskjellen i retningen utviklingen går. Under det gamle rammeverket valgte dere selv om dere ville støtte elektronisk identitet, og konkluderte som regel med at det ikke var verdt innsatsen. Under det nye kommer infrastrukturen uansett, motpartene deres får den gratis, og spørsmålet blir hvor raskt dere kan ta den i bruk.

eIDAS 2.0 gjelder på to nivåer. Medlemsstatene må bygge og drifte infrastrukturen for European Digital Identity Wallet og gjøre den tilgjengelig for innbyggere og virksomheter. Organisasjoner som utsteder eller verifiserer identitetsrelaterte dokumenter, blant annet handelskamre, banker, forsikringsselskaper, offentlige etater og innkjøpsplattformer, må kunne utstede credentials til lommeboken eller godta credentials som presenteres fra den.

Utrullingen følger en fast tidsplan. Innen utgangen av 2026 må hver EU-medlemsstat gi innbyggere og virksomheter tilgang til en digital identitetslommebok. Frem mot denne datoen forventes organisasjoner som utsteder eller verifiserer credentials å ha den tekniske kapasiteten til å arbeide med lommebokbaserte credentials, siden etterspørselen fra lommebokinnehavere oppstår i det øyeblikket lommeboken selv blir tilgjengelig.

I praksis betyr forberedelse tre ting: å tilpasse credential-formater til standardene lommeboken er bygget på (W3C Verifiable Credentials, mdoc, OpenID4VC), å koble seg til et tillitsregister slik at utstedte credentials kan verifiseres uten å kontakte utstederen direkte, og å ta i bruk en privacy-by-design-arkitektur som holder credentials i innehaverens egen lommebok i stedet for i et felles register, og deler bare attributtene en verifikator trenger. Organisasjoner som starter tidlig, unngår den komprimerte overgangsperioden, de høyere kostnadene og forstyrrelsene som følger av å vente til fristen nærmer seg.

Hovedforpliktelsen er selve lommeboken. Innen 24. desember 2026 må hver medlemsstat tilby minst én European Digital Identity Wallet, gratis for fysiske personer, og sørge for at den fungerer for innbyggere, personer med opphold og virksomheter. Offentlige forvaltninger må godta den fra samme dato, både i eget land og for innehavere fra alle andre medlemsstater.

Bak lommeboken ligger et maskineri som betyr like mye for en virksomhet og får langt mindre oppmerksomhet. Medlemsstatene må sørge for at persondata for identifikasjon kan utstedes inn i lommeboken, og at autentiske kilder som foretaksregistre, utdanningsregistre og profesjonsorganer kan levere dataene sine elektronisk. De må også sertifisere lommebokløsninger og publisere hvilke som er godkjent.

To av disse leveransene er det en verifiserende part er avhengig av i det daglige. Det må finnes en måte å kontrollere gratis på at en lommebok som presenterer et bevis er ekte og fortsatt gyldig. Og det må finnes et nasjonalt register over verifiserende parter, som er der deres egen virksomhet melder seg inn før den i det hele tatt kan be en lommebok om noe.

Fremdriften er ujevn, så følg med på deres egen medlemsstat i stedet for det europeiske gjennomsnittet. Datoen er den samme overalt, men hvilken myndighet som driver registeret over verifiserende parter, hvor lang tid registreringen tar, og hvilke autentiske kilder som kobles til først er nasjonale beslutninger. Det er de som avgjør når dere faktisk kan komme i gang.

Tillitstjenester er den delen av eIDAS som de fleste virksomheter allerede er borti uten å sette navn på det. De er det som gjør at et elektronisk dokument eller en melding får rettslig vekt: signering, segling, tidsstempling, rekommandert levering, og nå også attestering av fakta om en person eller en organisasjon.

Ordet som betyr noe er kvalifisert. En kvalifisert tjeneste kommer fra en leverandør som er under tilsyn og publisert på en nasjonal tillitsliste, og den bærer med seg en rettslig presumsjon i alle medlemsstater. En domstol tar utgangspunkt i at signaturen, seglet eller tidsstempelet er det den utgir seg for å være, og den som bestrider det har bevisbyrden. En tjeneste som ikke er kvalifisert kan fortsatt være utmerket bevis, men da må dere bevise det.

Tillitstjenester og lommeboken er to halvdeler av det samme bildet. Lommeboken er måten et bevis når frem til den andre parten på og måten innehaveren velger hva som skal vises, mens tillitstjenestene er det som gjør at innholdet holder i ettertid. De fleste virksomheter ender opp med å bruke flere samtidig: et segl på det de utsteder, en attestering for de fakta de kan gå god for, og en signatur der en person må forplikte seg.

Fra 24. desember 2027 er det ikke lenger valgfritt for en stor del av privat sektor å akseptere European Digital Identity Wallet. Plikten følger kravet om sterk brukerautentisering, så det er måten du identifiserer folk på som avgjør, ikke hva bransjen kalles.

Regelen er enklest å forstå gjennom eksempler. En bank gjennomfører allerede en sterk kontroll når noen åpner en konto eller bekrefter en betaling, så lommeboken må bli en av måtene den kontrollen kan oppfylles på. En teleoperatør som verifiserer en identitet før et abonnement aktiveres, en strømleverandør som bytter en avtale, og et helseforsikringsselskap som registrerer et nytt medlem er alle i samme situasjon.

Det samme gjelder langt utover de åpenbare regulerte navnene. Et universitet som tar opp studenter, et transportselskap som utsteder et ansattkort, et trygdeorgan som utbetaler ytelser og en svært stor nettplattform som logger inn brukere faller alle innenfor plikten så snart de autentiserer noen. Hvis dere allerede sender folk gjennom en formell identitetskontroll på nett, gå ut fra at dere er omfattet og jobb videre derfra.

To begrensninger er verdt å huske på. Plikten utløses av brukeren, som ber om å få bruke lommeboken sin i stedet for å få den påtvunget, og den dekker identifikasjonssteget og ikke hele kundeforholdet. Den er heller ingen adgang til å be om mer: dere kan bare be om de dataene registreringen som verifiserende part dekker, og det er i de fleste tilfeller mindre enn et skannet dokument ville gitt dere.

Offentlig forvaltning kommer først. Så snart lommebøkene er tilgjengelige, noe som må skje innen 24. desember 2026, må den akseptere dem overalt der den allerede krever elektronisk identifikasjon, i eget land og for borgere fra andre medlemsstater.

Mikroforetak og små foretak er unntatt fra aksepteringsplikten. Svært store nettplattformer utpekt etter Digital Services Act omfattes overalt der de autentiserer brukere, selv om forordningen ikke gir dem noen egen dato.

Står ikke organisasjonen din på noen av listene, er det praktiske spørsmålet likevel det samme. Hver identitetskontroll du gjør i dag kan bli et bevis som legges fram fra en lommebok på sekunder, med mindre svindel, ingen dokumenthåndtering og ingen data du selv må lagre og beskytte.

European Digital Identity Wallet er bygget rundt en person. Det er riktig form for å bevise hvem som står foran dere, og feil form for de fleste prosesser mellom virksomheter, som handler om organisasjonen i stedet: hvilken juridisk enhet dere har med å gjøre, hvem som kan opptre på vegne av den, og hvor langt den myndigheten rekker.

eIDAS 2.0 lar allerede en organisasjon inneha bevis og motta attesteringer om seg selv, så selskapsdata kan bevege seg gjennom en lommebok allerede i dag. Det forordningen ikke avklarer er det administrative laget rundt dette: fullmakter, representasjonsrett, innsendinger, og dokumentutvekslingen mellom selskaper og offentlige organer som fortsatt går via portaler og e-post.

Den 19. november 2025 foreslo Europakommisjonen en egen forordning for European Business Wallet som skal dekke nettopp dette laget. Den er fortsatt under behandling i lovgivningsprosessen, så det finnes ennå ingen dato å planlegge etter, og ingen bør vente på en før de handler.

Den nyttige forberedelsen er ikke teknisk. Bestem nå hvem i organisasjonen som eier selskapets bevis og hvem som kan forplikte selskapet, for det er dette enhver lommebok vil bli bedt om å uttrykke. Det tar som regel lengre tid å bli enige internt enn det tar å bygge integrasjonen.

eIDAS 2.0 er underlagt tilsyn, ikke selverklæring. Hver medlemsstat utpeker et organ som fører tilsyn med kvalifiserte tillitstjenestetilbydere og kan trekke tilbake kvalifisert status, og et organ som fører tilsyn med lommeboktilbyderne som opererer på territoriet. Datatilsynsmyndighetene beholder sin egen rolle overalt der personopplysninger er involvert, noe som på dette området er nesten overalt.

Registrering som verifiserende part er den delen som berører vanlige virksomheter mest direkte. Fordi registreringen deres sier hva dere har lov til å be en lommebok om, er det synlig, rapporterbart og noe et tilsynsorgan kan gripe inn mot hvis dere ber om mer. Medlemsstatene må fastsette sanksjoner for brudd på forordningen og gjøre dem effektive, forholdsmessige og avskrekkende, og beløpene bestemmes nasjonalt.

For de fleste virksomheter er likevel ikke den første kostnaden ved å være sent ute en bot. Det er en kunde som kan bevise noe på sekunder som i stedet blir bedt om å laste opp en skannet kopi, en konkurrent som tar inn den kunden samme ettermiddag, og et spørsmål i en anbudsprosess dere ikke klarer å svare godt på.

Den andre kostnaden er tidspunktet. Alt på sjekklisten nedenfor har en ledetid som måles i måneder og ikke uker, og alt må skje i det samme vinduet som for alle andre. Å starte tidlig handler først og fremst om å slippe å konkurrere om knapp oppmerksomhet senere.

Credencos Business Wallet er designet fra bunnen av for å oppfylle eIDAS 2.0-kravene. Den implementerer W3C Verifiable Credentials, OpenID4VC for utstedelse og fremvisning av akkreditiver, og validerer utstederes tillit mot EUs eIDAS-tillitslister, noe som sikrer at hvert akkreditiv utstedt gjennom Credenco bærer den standardbaserte tilliten forordningen krever.

Credentials lagres i hver organisasjons egen lommebok, ikke i et felles register, og innehavere deler bare attributtene en verifikator trenger. Denne privacy-by-design-arkitekturen er ikke en etterhåndstilpasning: det er et kjerneprinsipp i designet som samsvarer direkte med både GDPR og eIDAS 2.0-lommebokkravene.