eIDAS 2.0 explicat: ce înseamnă pentru compania dumneavoastră

Până în 2026, statele membre ale UE trebuie să ofere cetățenilor și companiilor acces la un portofel de identitate digitală. Organizațiile care emit sau verifică documente legate de identitate (de la camere de comerț, la bănci, asigurători și platforme de achiziții) vor lucra din ce în ce mai mult cu acreditări verificabile, în locul documentelor PDF și al e-mailurilor.

Adoptatorii timpurii obțin un avantaj structural: integrare mai rapidă, risc mai scăzut de fraudă, verificări automate de conformitate și pregătire pentru reglementările obligatorii, înainte ca acestea să intre în vigoare. Organizațiile care așteaptă se vor confrunta cu o perioadă de tranziție comprimată, cu costuri și perturbări mai mari.

Primul regulament eIDAS, Regulation (EU) No 910/2014, a făcut două lucruri. A făcut ca schemele naționale de identitate electronică să fie recunoscute transfrontalier, astfel încât o autentificare emisă într-un stat membru să poată deschide un serviciu public în altul. De asemenea, a oferit serviciilor de încredere precum semnăturile electronice, sigiliile și mărcile temporale un temei juridic valabil în întreaga Uniune.

În practică, prima jumătate nu s-a materializat niciodată cu adevărat. Notificarea unei scheme naționale era voluntară, astfel încât, la începutul anilor 2020, o mare parte dintre europeni nu aveau deloc o identitate electronică notificată, iar schemele existente funcționau rareori în afara propriei țări. Nimic nu obliga nici organizațiile private să le accepte, așa că băncile, operatorii de telecomunicații și platformele și-au construit propriile verificări de identitate.

eIDAS 2.0, Regulation (EU) 2024/1183, păstrează serviciile de încredere și reconstruiește jumătatea de identitate în jurul deținătorului. Fiecare stat membru trebuie acum să ofere un portofel, nu doar să aibă posibilitatea de a notifica o schemă, un grup definit de organizații private trebuie să îl accepte, iar faptele verificate despre o persoană sau o companie devin un serviciu de încredere de sine stătător. Deținătorul decide ce se partajează în fiecare tranzacție, iar aceasta este schimbarea care face ca restul să funcționeze.

Pentru o companie, diferența practică este direcția în care merg lucrurile. În vechiul cadru, alegeați dacă susțineți identitatea electronică și de obicei concluzionați că nu merită efortul. În cel nou, infrastructura apare oricum, partenerii dumneavoastră o primesc gratuit, iar întrebarea devine cât de repede o puteți pune la treabă.

eIDAS 2.0 se aplică la două niveluri. Statele membre trebuie să construiască și să opereze infrastructura Portofelului European de Identitate Digitală și să o pună la dispoziția cetățenilor și companiilor. Organizațiile care emit sau verifică documente legate de identitate, inclusiv camere de comerț, bănci, asigurători, agenții guvernamentale și platforme de achiziții, trebuie să poată emite acreditări în acest portofel sau să accepte acreditări prezentate din acesta.

Implementarea urmează un calendar fix. Până în 2026, fiecare stat membru al UE trebuie să ofere cetățenilor și companiilor acces la un portofel de identitate digitală. Înainte de această dată, organizațiile care emit sau verifică acreditări sunt așteptate să dispună de capacitatea tehnică de a lucra cu acreditări bazate pe portofel, deoarece cererea din partea deținătorilor de portofele apare chiar în momentul în care portofelul devine disponibil.

În practică, pregătirea înseamnă trei lucruri: alinierea formatelor de acreditare la standardele pe care este construit portofelul (W3C Verifiable Credentials, mdoc, OpenID4VC), conectarea la un registru de încredere pentru ca acreditările emise să poată fi verificate fără a contacta direct emitentul, și adoptarea unei arhitecturi bazate pe confidențialitate prin design, care păstrează acreditările în portofelul propriu al deținătorului, nu într-un registru comun, și partajează doar atributele de care are nevoie un verificator. Organizațiile care încep din timp evită calendarul de tranziție comprimat, costurile mai mari și perturbările care apar atunci când se așteaptă până când termenul-limită se apropie.

Obligația principală este portofelul în sine. Până la 24 decembrie 2026, fiecare stat membru trebuie să ofere cel puțin un European Digital Identity Wallet, gratuit pentru persoanele fizice, și să se asigure că funcționează pentru cetățeni, rezidenți și companii. Administrațiile publice trebuie să îl accepte de la aceeași dată, în propria țară și pentru deținători din orice alt stat membru.

În spatele portofelului există un mecanism la fel de important pentru o companie, care atrage însă mult mai puțină atenție. Statele membre trebuie să se asigure că datele de identificare a persoanei pot fi emise în portofel și că surse autentice precum registrele comerțului, registrele din educație și organismele profesionale își pot furniza datele electronic. Trebuie de asemenea să certifice soluțiile de portofel și să publice care dintre ele sunt aprobate.

Două dintre aceste livrabile sunt cele de care depinde zi de zi o parte utilizatoare. Trebuie să existe o modalitate de a verifica gratuit că portofelul care prezintă o credențială este autentic și încă valabil. Și trebuie să existe un registru național al părților utilizatoare, unde propria dumneavoastră organizație se înscrie înainte de a putea cere ceva de la un portofel.

Progresul este inegal, așa că urmăriți propriul stat membru, nu media europeană. Data este aceeași peste tot, dar ce autoritate administrează registrul părților utilizatoare, cât durează înregistrarea și ce surse autentice se conectează primele sunt decizii naționale. Ele determină când puteți începe cu adevărat.

Serviciile de încredere sunt partea din eIDAS pe care majoritatea companiilor o ating deja fără să o numească. Ele sunt cele care dau greutate juridică unui document sau mesaj electronic: semnarea, sigilarea, marcarea temporală, livrarea înregistrată și, acum, atestarea unor fapte despre o persoană sau o organizație.

Cuvântul care contează este calificat. Un serviciu calificat provine de la un prestator supravegheat și publicat într-o listă națională de încredere și beneficiază de o prezumție juridică în fiecare stat membru. O instanță pornește de la premisa că semnătura, sigiliul sau marca temporală sunt ceea ce pretind a fi, iar sarcina probei revine celui care le contestă. Un serviciu necalificat poate rămâne o dovadă perfect bună, dar trebuie să o dovediți dumneavoastră.

Serviciile de încredere și portofelul sunt două jumătăți ale aceleiași imagini. Portofelul este modul în care o credențială ajunge la cealaltă parte și modul în care deținătorul alege ce dezvăluie, în timp ce serviciile de încredere sunt cele care fac conținutul să reziste ulterior. Majoritatea organizațiilor ajung să folosească mai multe deodată: un sigiliu pe ceea ce emit, o atestare pentru faptele pe care le pot garanta și o semnătură oriunde o persoană trebuie să își asume un angajament.

De la 24 decembrie 2027, acceptarea European Digital Identity Wallet încetează să mai fie opțională pentru o mare parte a sectorului privat. Obligația urmează cerința de autentificare puternică a utilizatorului, deci decide felul în care identificați oamenii, nu eticheta domeniului dumneavoastră.

Regula se citește cel mai ușor prin exemple. O bancă face deja o verificare puternică atunci când cineva deschide un cont sau confirmă o plată, așa că portofelul trebuie să devină una dintre modalitățile prin care acea verificare poate fi îndeplinită. Un operator de telecomunicații care verifică identitatea înainte de a activa un abonament, un furnizor de energie care schimbă un contract și un asigurător de sănătate care înregistrează un nou membru se află toți în aceeași situație.

Același lucru este valabil și mult dincolo de numele reglementate evidente. O universitate care înmatriculează studenți, un operator de transport care emite un permis de acces pentru angajați, o casă de asigurări sociale care plătește prestații și o platformă online foarte mare care autentifică utilizatori intră toate în sfera obligației din momentul în care autentifică pe cineva. Dacă trimiteți deja oameni printr-o verificare formală de identitate online, presupuneți că vă aflați în domeniul de aplicare și porniți de acolo.

Merită reținute două limite. Obligația este declanșată de utilizator, care cere să își folosească portofelul în loc să îi fie impus, și acoperă etapa de identificare, nu întreaga relație. Nici nu reprezintă o permisiune de a cere mai mult: puteți solicita doar datele acoperite de înregistrarea dumneavoastră ca parte utilizatoare, ceea ce în majoritatea cazurilor înseamnă mai puțin decât v-ar fi oferit un document scanat.

Administrațiile publice sunt primele. Odată ce portofelele sunt disponibile, ceea ce trebuie să se întâmple până la 24 decembrie 2026, ele trebuie să le accepte oriunde solicită deja identificare electronică, în propria țară și pentru cetățenii altor state membre.

Microîntreprinderile și întreprinderile mici sunt exceptate de la obligația de acceptare. Platformele online foarte mari desemnate în temeiul Digital Services Act intră sub incidența ei ori de câte ori autentifică utilizatori, deși regulamentul nu le stabilește o dată separată.

Dacă organizația dumneavoastră nu apare pe niciuna dintre liste, întrebarea practică rămâne aceeași. Fiecare verificare de identitate pe care o faceți astăzi poate deveni o credențială prezentată dintr-un portofel în câteva secunde, cu mai puțină fraudă, fără gestionarea documentelor și fără date pe care să le păstrați și să le protejați chiar dumneavoastră.

European Digital Identity Wallet este construit în jurul unei persoane. Aceasta este forma potrivită pentru a dovedi cine se află în fața dumneavoastră și forma nepotrivită pentru majoritatea proceselor dintre companii, care se învârt în jurul organizației: cu ce entitate juridică aveți de-a face, cine poate acționa în numele ei și cât de departe merge acea împuternicire.

eIDAS 2.0 permite deja unei organizații să dețină credențiale și să primească atestări despre ea însăși, astfel încât datele de firmă pot circula printr-un portofel încă de azi. Ceea ce nu rezolvă este stratul administrativ din jur: mandatele, puterile de reprezentare, depunerile și schimbul de documente dintre companii și autoritățile publice, care se desfășoară în continuare prin portaluri și e-mail.

La 19 noiembrie 2025, Comisia Europeană a propus un regulament separat pentru European Business Wallet, care să acopere exact acest strat. Se află încă în procesul legislativ, așa că deocamdată nu există o dată în funcție de care să planificați, iar nimeni nu ar trebui să o aștepte înainte de a acționa.

Pregătirea utilă nu este tehnică. Decideți de pe acum cine din organizația dumneavoastră răspunde de credențialele companiei și cine poate angaja compania, pentru că exact acest lucru i se va cere oricărui portofel să îl exprime. De obicei durează mai mult să ajungeți la un acord intern decât să construiți integrarea.

eIDAS 2.0 este supravegheat, nu autodeclarat. Fiecare stat membru desemnează un organism care supraveghează prestatorii calificați de servicii de încredere și poate retrage statutul de calificat, precum și un organism care supraveghează furnizorii de portofele care operează pe teritoriul său. Autoritățile de protecție a datelor își păstrează propriul rol oriunde sunt implicate date cu caracter personal, ceea ce în acest domeniu înseamnă aproape peste tot.

Înregistrarea ca parte utilizatoare este partea care atinge cel mai direct companiile obișnuite. Pentru că înregistrarea dumneavoastră precizează ce aveți voie să cereți unui portofel, o cerere care depășește acest cadru este vizibilă, poate fi raportată și poate atrage acțiunea unui organism de supraveghere. Statele membre trebuie să stabilească sancțiuni pentru încălcarea regulamentului și să le facă eficace, proporționale și disuasive, iar cuantumurile se stabilesc la nivel național.

Pentru majoritatea organizațiilor, însă, primul cost al întârzierii nu este o amendă. Este un client care poate dovedi ceva în câteva secunde și căruia i se cere în schimb să încarce un document scanat, un concurent care preia acel client în aceeași după-amiază și o întrebare de achiziții publice la care nu puteți răspunde convingător.

Al doilea cost este momentul. Tot ce apare pe lista de verificare de mai jos are un termen de pregătire măsurat în luni, nu în săptămâni, și totul trebuie să se întâmple în aceeași fereastră ca pentru toți ceilalți. A începe devreme înseamnă mai ales a nu concura mai târziu pentru o atenție devenită rară.

Business Wallet-ul Credenco este conceput încă de la bază pentru a îndeplini cerințele eIDAS 2.0. Acesta implementează W3C Verifiable Credentials, OpenID4VC pentru emiterea și prezentarea acreditărilor și validează încrederea în emitenți în raport cu listele de încredere eIDAS ale UE, asigurându-se că fiecare acreditare emisă prin Credenco are încrederea bazată pe standarde pe care o impune regulamentul.

Acreditările sunt păstrate în portofelul propriu al fiecărei organizații, nu într-un registru comun, iar deținătorii dezvăluie doar atributele de care are nevoie un verificator. Această arhitectură bazată pe confidențialitate prin design nu este o adaptare ulterioară: este un principiu de proiectare fundamental, care se aliniază direct atât cu GDPR, cât și cu cerințele portofelului eIDAS 2.0.