eIDAS 2.0 vysvetlené: čo znamená pre vašu firmu

Do roku 2026 musia členské štáty EÚ zabezpečiť občanom a podnikom prístup k peňaženke digitálnej identity. Organizácie, ktoré vydávajú alebo overujú dokumenty súvisiace s identitou (od obchodných komôr cez banky a poisťovne až po platformy pre verejné obstarávanie) budú čoraz viac pracovať s overiteľnými povereniami namiesto PDF a e-mailov.

Organizácie, ktoré nastúpia skoro, získavajú štrukturálnu výhodu: rýchlejší onboarding, nižšie riziko podvodov, automatizované kontroly súladu a pripravenosť na povinné regulácie ešte pred ich účinnosťou. Organizácie, ktoré vyčkávajú, budú čeliť skrátenému prechodnému obdobiu s vyššími nákladmi a väčšími komplikáciami.

Prvé nariadenie eIDAS, Regulation (EU) No 910/2014, urobilo dve veci. Zabezpečilo cezhraničné uznávanie národných schém elektronickej identity, takže prihlásenie vydané v jednom členskom štáte mohlo otvoriť verejnú službu v inom. Zároveň dalo dôveryhodným službám, ako sú elektronické podpisy, pečate a časové pečiatky, právny základ platný v celej Únii.

V praxi prvá polovica nikdy naplno nedorazila. Notifikácia národnej schémy bola dobrovoľná, takže začiatkom dvadsiatych rokov veľká časť Európanov nemala notifikovanú elektronickú identitu vôbec a schémy, ktoré existovali, málokedy fungovali za hranicami vlastnej krajiny. Súkromné organizácie ich navyše nemuseli prijímať, takže banky, telekomunikační operátori a platformy si stavali vlastné kontroly identity.

eIDAS 2.0, Regulation (EU) 2024/1183, zachováva dôveryhodné služby a identitnú časť prestavuje okolo držiteľa. Každý členský štát teraz musí ponúkať peňaženku, nielen mať možnosť notifikovať schému, vymedzená skupina súkromných organizácií ju musí prijímať a overené skutočnosti o osobe alebo spoločnosti sa stávajú samostatnou dôveryhodnou službou. Držiteľ rozhoduje, čo sa v každej transakcii zdieľa, a práve tento posun umožňuje, aby zvyšok fungoval.

Pre firmu je praktickým rozdielom smer vývoja. V starom rámci ste sa rozhodovali, či elektronickú identitu podporíte, a zvyčajne ste dospeli k záveru, že to nestojí za námahu. V novom rámci infraštruktúra príde tak či tak, vaše protistrany ju dostanú zadarmo a otázkou je, ako rýchlo ju dokážete využiť.

eIDAS 2.0 sa vzťahuje na dvoch úrovniach. Členské štáty musia vybudovať a prevádzkovať infraštruktúru European Digital Identity Wallet a sprístupniť ju občanom a podnikom. Organizácie, ktoré vydávajú alebo overujú dokumenty súvisiace s identitou, vrátane obchodných komôr, bánk, poisťovní, štátnych orgánov a platforiem verejného obstarávania, musia byť schopné vydávať poverenia do tejto peňaženky alebo prijímať poverenia predložené z nej.

Zavádzanie sa riadi pevným harmonogramom. Do roku 2026 musí každý členský štát EÚ poskytnúť občanom a podnikom prístup k digitálnej identitnej peňaženke. Pred týmto termínom sa od organizácií, ktoré vydávajú alebo overujú poverenia, očakáva, že budú mať technickú schopnosť pracovať s povereniami založenými na peňaženke, keďže dopyt zo strany držiteľov peňaženky prichádza vo chvíli, keď sa samotná peňaženka stane dostupnou.

V praxi príprava znamená tri veci: zosúladiť formáty poverení so štandardmi, na ktorých je peňaženka postavená (W3C Verifiable Credentials, mdoc, OpenID4VC), pripojiť sa k registru dôvery, aby bolo možné vydané poverenia overiť bez priameho kontaktovania vydavateľa, a prijať architektúru navrhnutú s ohľadom na ochranu súkromia, ktorá ponecháva poverenia vo vlastnej peňaženke držiteľa, a nie v zdieľanom registri, a sprístupňuje len atribúty, ktoré overovateľ potrebuje. Organizácie, ktoré začnú včas, sa vyhnú stlačenému prechodnému obdobiu, vyšším nákladom a narušeniam, ktoré prichádzajú s čakaním až do blízkosti termínu.

Hlavnou povinnosťou je samotná peňaženka. Do 24. decembra 2026 musí každý členský štát ponúkať aspoň jednu European Digital Identity Wallet, pre fyzické osoby bezplatne, a zabezpečiť, aby fungovala pre občanov, rezidentov aj firmy. Verejná správa ju musí od rovnakého dátumu prijímať, vo vlastnej krajine aj pre držiteľov z ktoréhokoľvek iného členského štátu.

Za peňaženkou stojí aparát, ktorý je pre firmu rovnako dôležitý a priťahuje oveľa menej pozornosti. Členské štáty musia zabezpečiť, aby sa do peňaženky dali vydávať údaje na identifikáciu osoby a aby autentické zdroje, ako sú obchodné registre, registre vzdelávania a profesijné komory, mohli svoje údaje poskytovať elektronicky. Musia tiež certifikovať riešenia peňaženiek a zverejňovať, ktoré z nich sú schválené.

Dva z týchto výstupov sú tým, na čom spoliehajúca sa strana závisí každý deň. Musí existovať spôsob, ako bezplatne overiť, že peňaženka predkladajúca potvrdenie je pravá a stále platná. A musí existovať národný register spoliehajúcich sa strán, do ktorého sa vaša organizácia zapíše skôr, než smie od peňaženky o čokoľvek požiadať.

Pokrok je nerovnomerný, takže sledujte svoj vlastný členský štát, nie európsky priemer. Dátum je všade rovnaký, ale to, ktorý orgán vedie register spoliehajúcich sa strán, ako dlho trvá registrácia a ktoré autentické zdroje sa pripoja ako prvé, sú národné rozhodnutia. Práve tie určujú, kedy môžete skutočne začať.

Dôveryhodné služby sú tou časťou eIDAS, ktorej sa väčšina firiem už dnes dotýka bez toho, aby ju pomenovala. Sú tým, vďaka čomu má elektronický dokument alebo správa právnu váhu: podpisovanie, pečatenie, časové pečiatky, doporučené doručovanie a teraz aj potvrdzovanie skutočností o osobe alebo organizácii.

Kľúčové slovo je kvalifikovaná. Kvalifikovaná služba pochádza od poskytovateľa, ktorý podlieha dohľadu a je zverejnený v národnom dôveryhodnom zozname, a v každom členskom štáte má na svojej strane právnu domnienku. Súd vychádza z predpokladu, že podpis, pečať alebo časová pečiatka sú tým, za čo sa vydávajú, a dôkazné bremeno nesie ten, kto to spochybňuje. Služba, ktorá nie je kvalifikovaná, môže byť stále výborným dôkazom, ale musíte ho preukázať.

Dôveryhodné služby a peňaženka sú dve polovice toho istého obrazu. Peňaženka je spôsob, akým sa potvrdenie dostane k druhej strane a akým si držiteľ volí, čo odhalí, zatiaľ čo dôveryhodné služby sú tým, vďaka čomu obsah následne obstojí. Väčšina organizácií nakoniec používa niekoľko naraz: pečať na tom, čo vydáva, potvrdenie pre skutočnosti, za ktoré môže ručiť, a podpis všade tam, kde sa musí zaviazať konkrétna osoba.

Od 24. decembra 2027 prestáva byť prijímanie European Digital Identity Wallet pre veľkú časť súkromného sektora dobrovoľné. Povinnosť ide za požiadavkou silného overenia používateľa, takže rozhoduje spôsob, akým identifikujete ľudí, nie názov vášho odvetvia.

Pravidlo sa najľahšie číta cez príklady. Banka už dnes robí silnú kontrolu, keď si niekto otvára účet alebo potvrdzuje platbu, takže peňaženka sa musí stať jedným zo spôsobov, ako túto kontrolu splniť. Telekomunikačný operátor overujúci identitu pred aktiváciou paušálu, dodávateľ energie meniaci zmluvu aj zdravotná poisťovňa registrujúca nového poistenca sú v rovnakej pozícii.

To isté platí aj ďaleko za hranicami zjavne regulovaných mien. Univerzita zapisujúca študentov, dopravca vydávajúci zamestnanecký preukaz, inštitúcia sociálneho zabezpečenia vyplácajúca dávky aj veľmi veľká online platforma prihlasujúca používateľov spadajú do povinnosti v okamihu, keď niekoho autentifikujú. Ak už dnes posielate ľudí cez formálnu kontrolu identity online, predpokladajte, že ste v rozsahu, a vychádzajte z toho.

Dve obmedzenia stojí za to mať na pamäti. Povinnosť spúšťa používateľ, ktorý o použitie svojej peňaženky požiada, namiesto toho, aby mu bola vnútená, a týka sa kroku identifikácie, nie celého vzťahu. Nie je to ani oprávnenie žiadať viac: môžete si vyžiadať len tie údaje, ktoré pokrýva vaša registrácia spoliehajúcej sa strany, čo je vo väčšine prípadov menej, než by vám dal naskenovaný doklad.

Verejná správa je na rade prvá. Keď budú peňaženky dostupné, čo sa musí stať do 24. decembra 2026, musí ich prijímať všade tam, kde už dnes vyžaduje elektronickú identifikáciu, vo vlastnej krajine aj pre občanov iných členských štátov.

Mikropodniky a malé podniky sú z povinnosti prijímať peňaženku vyňaté. Veľmi veľké online platformy určené podľa Digital Services Act jej podliehajú všade tam, kde overujú používateľov, hoci im nariadenie nestanovuje samostatný dátum.

Ak vaša organizácia nie je ani na jednom zo zoznamov, praktická otázka zostáva rovnaká. Každé overenie totožnosti, ktoré dnes robíte, sa môže zmeniť na potvrdenie predložené z peňaženky za pár sekúnd, s nižším rizikom podvodu, bez práce s dokumentmi a bez údajov, ktoré musíte sami uchovávať a chrániť.

European Digital Identity Wallet je postavená okolo osoby. To je správny tvar na preukázanie, kto stojí pred vami, a nesprávny tvar pre väčšinu procesov medzi firmami, ktoré sa točia okolo organizácie: o ktorý právny subjekt ide, kto zaň smie konať a ako ďaleko toto oprávnenie siaha.

eIDAS 2.0 už dnes umožňuje, aby organizácia držala potvrdenia a prijímala potvrdenia o sebe samej, takže firemné údaje môžu peňaženkou prechádzať už teraz. Čo nerieši, je administratívna vrstva okolo toho: splnomocnenia, oprávnenia na zastupovanie, podania a výmena dokumentov medzi firmami a verejnými orgánmi, ktorá stále beží cez portály a e-mail.

Dňa 19. novembra 2025 Európska komisia navrhla samostatné nariadenie pre European Business Wallet, ktoré má pokryť presne túto vrstvu. Stále prechádza legislatívnym procesom, takže zatiaľ neexistuje dátum, podľa ktorého by sa dalo plánovať, a nikto by naň nemal čakať skôr, než začne konať.

Užitočná príprava nie je technická. Rozhodnite už teraz, kto vo vašej organizácii vlastní firemné potvrdenia a kto smie spoločnosť zaväzovať, pretože práve to bude mať každá peňaženka vyjadriť. Dohodnúť sa interne zvyčajne trvá dlhšie, než trvá vybudovanie integrácie.

eIDAS 2.0 podlieha dohľadu, nie vlastnému vyhláseniu. Každý členský štát určí orgán, ktorý dozerá na kvalifikovaných poskytovateľov dôveryhodných služieb a môže odobrať kvalifikovaný status, a orgán, ktorý dozerá na poskytovateľov peňaženiek pôsobiacich na jeho území. Orgány ochrany osobných údajov si zachovávajú vlastnú úlohu všade tam, kde ide o osobné údaje, čo je v tejto oblasti takmer všade.

Registrácia spoliehajúcej sa strany je časťou, ktorá sa bežných firiem dotýka najpriamejšie. Keďže vaša registrácia uvádza, o čo smiete peňaženku požiadať, žiadosť o viac je viditeľná, nahlásiteľná a orgán dohľadu na ňu môže reagovať. Členské štáty musia stanoviť sankcie za porušenie nariadenia a urobiť ich účinnými, primeranými a odrádzajúcimi, pričom sumy sa určujú na národnej úrovni.

Pre väčšinu organizácií však prvým nákladom oneskorenia nie je pokuta. Je ním zákazník, ktorý dokáže niečo preukázať v priebehu sekúnd a namiesto toho ho požiadate o nahranie skenu, konkurent, ktorý toho istého zákazníka získa ešte v to popoludnie, a otázka vo verejnom obstarávaní, na ktorú nedokážete dobre odpovedať.

Druhým nákladom je načasovanie. Všetko na kontrolnom zozname nižšie má dobu prípravy meranú v mesiacoch, nie v týždňoch, a všetko sa to musí odohrať v rovnakom okne ako u všetkých ostatných. Začať skôr znamená predovšetkým nesúťažiť neskôr o vzácnu pozornosť.

Business Wallet spoločnosti Credenco je od základu navrhnutá tak, aby spĺňala požiadavky eIDAS 2.0. Implementuje W3C Verifiable Credentials, OpenID4VC na vydávanie a predkladanie poverení a overuje dôveryhodnosť vydavateľa voči dôveryhodným zoznamom eIDAS Európskej únie, čím zaisťuje, že každé poverenie vydané prostredníctvom Credenco nesie dôveru založenú na štandardoch, ktorú nariadenie vyžaduje.

Poverenia sú uložené vo vlastnej peňaženke každej organizácie, nie v zdieľanom registri, a držitelia sprístupňujú len atribúty, ktoré overovateľ potrebuje. Táto architektúra s ochranou súkromia už v návrhu nie je dodatočnou úpravou: je základným princípom návrhu, ktorý je priamo v súlade s GDPR aj s požiadavkami eIDAS 2.0 na peňaženky.