eIDAS 2.0 wyjaśnione: co oznacza dla Twojej firmy

Do 2026 roku państwa członkowskie UE muszą zapewnić obywatelom i przedsiębiorstwom dostęp do portfela tożsamości cyfrowej. Organizacje wydające lub weryfikujące dokumenty związane z tożsamością (od izb handlowych po banki, ubezpieczycieli i platformy zakupowe) będą coraz częściej korzystać z weryfikowalnych poświadczeń zamiast plików PDF i wiadomości e-mail.

Podmioty wdrażające te rozwiązania jako pierwsze zyskują trwałą przewagę: szybszy onboarding, niższe ryzyko nadużyć, automatyczne kontrole zgodności oraz gotowość na obowiązkowe regulacje jeszcze przed ich wejściem w życie. Organizacje, które będą zwlekać, staną przed skróconym harmonogramem przejścia, wiążącym się z wyższymi kosztami i większymi zakłóceniami.

Pierwsze rozporządzenie eIDAS, Regulation (EU) No 910/2014, zrobiło dwie rzeczy. Sprawiło, że krajowe systemy tożsamości elektronicznej stały się rozpoznawalne transgranicznie, więc login wydany w jednym państwie członkowskim mógł otworzyć usługę publiczną w innym. Dało też usługom zaufania, takim jak podpisy elektroniczne, pieczęcie i znaczniki czasu, podstawę prawną obowiązującą w całej Unii.

W praktyce pierwsza połowa nigdy naprawdę nie zaistniała. Notyfikacja krajowego systemu była dobrowolna, więc na początku lat dwudziestych duża część Europejczyków w ogóle nie miała notyfikowanej tożsamości elektronicznej, a istniejące systemy rzadko działały poza własnym krajem. Nic nie zobowiązywało też organizacji prywatnych do ich akceptowania, przez co banki, operatorzy telekomunikacyjni i platformy budowali własne kontrole tożsamości.

eIDAS 2.0, Regulation (EU) 2024/1183, zachowuje usługi zaufania i przebudowuje część tożsamościową wokół posiadacza. Każde państwo członkowskie musi teraz oferować portfel, a nie jedynie mieć możliwość notyfikacji systemu, określona grupa organizacji prywatnych musi go akceptować, a zweryfikowane fakty o osobie lub firmie stają się osobną usługą zaufania. Posiadacz decyduje, co zostaje udostępnione w każdej transakcji, i to właśnie ta zmiana sprawia, że reszta działa.

Dla firmy praktyczna różnica polega na kierunku zmian. W starych ramach sami wybieraliście, czy wspierać tożsamość elektroniczną, i zwykle uznawaliście, że nie warto. W nowych infrastruktura pojawia się niezależnie od Was, Wasi kontrahenci dostają ją za darmo, a pytaniem staje się, jak szybko potraficie ją wykorzystać.

eIDAS 2.0 obowiązuje na dwóch poziomach. Państwa członkowskie muszą zbudować i uruchomić infrastrukturę Europejskiego Portfela Tożsamości Cyfrowej oraz udostępnić ją obywatelom i przedsiębiorstwom. Organizacje wydające lub weryfikujące dokumenty związane z tożsamością, w tym izby handlowe, banki, ubezpieczycieli, agencje rządowe i platformy zakupowe, muszą być w stanie wydawać poświadczenia do tego portfela lub akceptować poświadczenia z niego prezentowane.

Wdrożenie przebiega według ustalonego harmonogramu. Do 2026 roku każde państwo członkowskie UE musi zapewnić obywatelom i przedsiębiorstwom dostęp do portfela tożsamości cyfrowej. Przed tą datą organizacje wydające lub weryfikujące poświadczenia powinny dysponować zdolnością techniczną do obsługi poświadczeń opartych na portfelu, ponieważ zapotrzebowanie ze strony posiadaczy portfeli pojawia się w momencie, gdy sam portfel staje się dostępny.

W praktyce przygotowanie oznacza trzy rzeczy: dostosowanie formatów poświadczeń do standardów, na których zbudowany jest portfel (W3C Verifiable Credentials, mdoc, OpenID4VC), połączenie z rejestrem zaufania, aby wydane poświadczenia mogły być weryfikowane bez bezpośredniego kontaktu z wystawcą, oraz przyjęcie architektury opartej na zasadzie privacy by design, która przechowuje poświadczenia we własnym portfelu posiadacza, a nie we wspólnym rejestrze, i udostępnia tylko te atrybuty, których potrzebuje weryfikator. Organizacje, które zaczynają wcześnie, unikają skróconego harmonogramu przejścia, wyższych kosztów i zakłóceń, które pojawiają się przy zwlekaniu do zbliżającego się terminu.

Głównym obowiązkiem jest sam portfel. Do 24 grudnia 2026 r. każde państwo członkowskie musi zaoferować co najmniej jeden European Digital Identity Wallet, bezpłatnie dla osób fizycznych, i zapewnić, że działa on dla obywateli, rezydentów i firm. Administracja publiczna musi go akceptować od tej samej daty, we własnym kraju i wobec posiadaczy z każdego innego państwa członkowskiego.

Za portfelem stoi maszyneria, która dla firmy liczy się tak samo, a przyciąga znacznie mniej uwagi. Państwa członkowskie muszą zapewnić, że dane identyfikacyjne osoby mogą zostać wydane do portfela, a autentyczne źródła, takie jak rejestry przedsiębiorców, rejestry edukacyjne i samorządy zawodowe, mogą przekazywać swoje dane elektronicznie. Muszą też certyfikować rozwiązania portfelowe i publikować, które z nich zostały zatwierdzone.

Dwa z tych elementów są tym, od czego strona ufająca zależy na co dzień. Musi istnieć sposób na bezpłatne sprawdzenie, że portfel przedstawiający poświadczenie jest autentyczny i nadal ważny. Musi też istnieć krajowy rejestr stron ufających, w którym Wasza organizacja rejestruje się, zanim w ogóle będzie mogła o cokolwiek poprosić portfel.

Postępy są nierówne, więc obserwujcie własne państwo członkowskie, a nie europejską średnią. Data jest wszędzie taka sama, ale to, który organ prowadzi rejestr stron ufających, ile trwa rejestracja i które autentyczne źródła zostaną podłączone jako pierwsze, to decyzje krajowe. To one przesądzają, kiedy naprawdę możecie zacząć.

Usługi zaufania to ta część eIDAS, której większość firm już dotyka, nie nazywając jej po imieniu. To one sprawiają, że dokument lub wiadomość elektroniczna ma wagę prawną: podpisywanie, pieczętowanie, znakowanie czasem, doręczanie rejestrowane, a teraz także poświadczanie faktów o osobie lub organizacji.

Kluczowe jest słowo kwalifikowana. Usługa kwalifikowana pochodzi od dostawcy, który podlega nadzorowi i jest wpisany na krajową listę zaufania, i niesie domniemanie prawne we wszystkich państwach członkowskich. Sąd wychodzi z założenia, że podpis, pieczęć lub znacznik czasu są tym, za co się podają, a ciężar dowodu spoczywa na tym, kto to kwestionuje. Usługa niekwalifikowana wciąż może być doskonałym dowodem, ale musicie to udowodnić.

Usługi zaufania i portfel to dwie połowy tego samego obrazu. Portfel to sposób, w jaki poświadczenie trafia do drugiej strony i w jaki posiadacz wybiera, co ujawnić, a usługi zaufania sprawiają, że treść się później broni. Większość organizacji korzysta ostatecznie z kilku naraz: z pieczęci na tym, co wystawia, z poświadczenia dla faktów, za które może ręczyć, i z podpisu wszędzie tam, gdzie człowiek musi się zobowiązać.

Od 24 grudnia 2027 r. akceptowanie European Digital Identity Wallet przestaje być dobrowolne dla dużej części sektora prywatnego. Obowiązek idzie za wymogiem silnego uwierzytelniania użytkownika, więc decyduje sposób, w jaki identyfikujesz ludzi, a nie nazwa branży.

Zasadę najłatwiej zrozumieć na przykładach. Bank już dziś przeprowadza silne uwierzytelnienie, gdy ktoś otwiera rachunek albo potwierdza płatność, więc portfel musi stać się jednym ze sposobów spełnienia tego wymogu. Operator telekomunikacyjny weryfikujący tożsamość przed aktywacją abonamentu, dostawca energii zmieniający umowę i ubezpieczyciel zdrowotny rejestrujący nowego członka są w tej samej sytuacji.

To samo dotyczy podmiotów daleko wykraczających poza oczywiste nazwy z sektorów regulowanych. Uczelnia przyjmująca studentów, przewoźnik wydający przepustkę pracowniczą, instytucja zabezpieczenia społecznego wypłacająca świadczenia i bardzo duża platforma internetowa logująca użytkowników mieszczą się w tym obowiązku z chwilą, gdy kogoś uwierzytelniają. Jeśli już dziś prowadzicie ludzi przez formalną kontrolę tożsamości online, przyjmijcie, że jesteście w zakresie, i od tego wyjdźcie.

Warto pamiętać o dwóch ograniczeniach. Obowiązek uruchamia użytkownik, który sam prosi o użycie swojego portfela, zamiast mieć go narzuconym, i obejmuje on etap identyfikacji, a nie całą relację. Nie jest to też przyzwolenie na pytanie o więcej: możecie żądać wyłącznie danych objętych Waszą rejestracją jako strony ufającej, a tych w większości przypadków jest mniej, niż dałby skan dokumentu.

Administracja publiczna jest pierwsza. Gdy tylko portfele będą dostępne, co musi nastąpić do 24 grudnia 2026 r., musi je akceptować wszędzie tam, gdzie już teraz wymaga identyfikacji elektronicznej, we własnym kraju i wobec obywateli innych państw członkowskich.

Mikroprzedsiębiorstwa i małe przedsiębiorstwa są zwolnione z obowiązku akceptacji. Bardzo duże platformy internetowe wyznaczone na podstawie Digital Services Act są nim objęte wszędzie tam, gdzie uwierzytelniają użytkowników, choć rozporządzenie nie wyznacza im osobnej daty.

Jeśli Twojej organizacji nie ma na żadnej z tych list, praktyczne pytanie pozostaje takie samo. Każda weryfikacja tożsamości, którą prowadzisz dziś, może stać się poświadczeniem okazywanym z portfela w kilka sekund, z mniejszym ryzykiem oszustwa, bez obsługi dokumentów i bez danych, które musisz sam przechowywać i chronić.

European Digital Identity Wallet jest zbudowany wokół osoby. To właściwy kształt, gdy trzeba udowodnić, kto stoi przed Wami, i niewłaściwy dla większości procesów między firmami, w których chodzi o organizację: z jakim podmiotem prawnym macie do czynienia, kto może w jego imieniu działać i jak daleko sięga to umocowanie.

eIDAS 2.0 już teraz pozwala organizacji posiadać poświadczenia i otrzymywać poświadczenia o sobie samej, więc dane firmowe mogą dziś przechodzić przez portfel. Nie rozstrzyga natomiast otaczającej to warstwy administracyjnej: pełnomocnictw, prawa reprezentacji, zgłoszeń urzędowych i wymiany dokumentów między firmami a instytucjami publicznymi, która wciąż odbywa się przez portale i pocztę elektroniczną.

19 listopada 2025 r. Komisja Europejska zaproponowała odrębne rozporządzenie dotyczące European Business Wallet, obejmujące dokładnie tę warstwę. Wciąż przechodzi ono proces legislacyjny, więc nie ma jeszcze daty, pod którą można planować, i nikt nie powinien na nią czekać, zanim zacznie działać.

Użyteczne przygotowanie nie jest techniczne. Zdecydujcie już teraz, kto w Waszej organizacji odpowiada za poświadczenia firmowe i kto może zaciągać zobowiązania w imieniu firmy, bo właśnie to każdy portfel będzie musiał wyrazić. Uzgodnienie tego wewnętrznie trwa zwykle dłużej niż zbudowanie integracji.

eIDAS 2.0 podlega nadzorowi, a nie samodzielnym deklaracjom. Każde państwo członkowskie wyznacza organ nadzorujący kwalifikowanych dostawców usług zaufania, który może odebrać status kwalifikowany, oraz organ nadzorujący dostawców portfeli działających na jego terytorium. Organy ochrony danych zachowują własną rolę wszędzie tam, gdzie w grę wchodzą dane osobowe, czyli w tym temacie niemal wszędzie.

Rejestracja strony ufającej to część, która najbardziej bezpośrednio dotyka zwykłych firm. Ponieważ Wasza rejestracja określa, o co wolno Wam prosić portfel, pytanie o więcej jest widoczne, podlega zgłoszeniu i organ nadzoru może na nie zareagować. Państwa członkowskie muszą ustanowić kary za naruszenia rozporządzenia i uczynić je skutecznymi, proporcjonalnymi i odstraszającymi, a kwoty ustalane są krajowo.

Dla większości organizacji pierwszym kosztem spóźnienia nie jest jednak grzywna. Jest nim klient, który mógłby coś udowodnić w kilka sekund, a zamiast tego proszony jest o przesłanie skanu, konkurent przyjmujący tego klienta tego samego popołudnia i pytanie przetargowe, na które nie potraficie dobrze odpowiedzieć.

Drugim kosztem jest czas. Wszystko z poniższej listy kontrolnej ma czas realizacji liczony w miesiącach, a nie tygodniach, i wszystko musi wydarzyć się w tym samym oknie co u wszystkich innych. Wczesny start sprowadza się głównie do tego, by później nie konkurować o deficytową uwagę.

Business Wallet firmy Credenco został zaprojektowany od podstaw z myślą o spełnieniu wymogów eIDAS 2.0. Wdraża standard W3C Verifiable Credentials, OpenID4VC do wydawania i prezentacji poświadczeń oraz weryfikuje zaufanie do wystawców na podstawie unijnych list zaufania eIDAS, zapewniając, że każde poświadczenie wydane za pośrednictwem Credenco niesie ze sobą zaufanie oparte na standardach, którego wymaga rozporządzenie.

Poświadczenia są przechowywane we własnym portfelu każdej organizacji, a nie we wspólnym rejestrze, a posiadacze ujawniają tylko te atrybuty, których potrzebuje weryfikator. Ta architektura oparta na zasadzie privacy by design nie jest dodatkiem wprowadzonym później: to fundamentalna zasada projektowa, bezpośrednio zgodna zarówno z RODO, jak i wymogami dotyczącymi portfeli wynikającymi z eIDAS 2.0.