eIDAS 2.0 in prihodnost digitalne identitete

Do leta 2026 morajo države članice EU državljanom in podjetjem zagotoviti dostop do denarnice za digitalno identiteto. Organizacije, ki izdajajo ali preverjajo dokumente, povezane z identiteto (od gospodarskih zbornic do bank, zavarovalnic in platform za javna naročila) bodo vse pogosteje delale s preverljivimi poverilnicami namesto PDF-jev in e-pošte.

Zgodnji uporabniki pridobijo strukturno prednost: hitrejši onboarding, nižje tveganje goljufij, samodejne preglede skladnosti in pripravljenost na obvezne predpise, preden začnejo veljati. Organizacije, ki čakajo, se bodo soočile s skrajšanim prehodnim obdobjem z višjimi stroški in motnjami.

Prva uredba eIDAS, Regulation (EU) No 910/2014, je naredila dvoje. Poskrbela je, da so nacionalne sheme elektronske identitete prepoznavne čez meje, tako da je prijava, izdana v eni državi članici, lahko odprla javno storitev v drugi. Storitvam zaupanja, kot so elektronski podpisi, žigi in časovni žigi, je dala tudi pravno podlago, ki je veljala po vsej Uniji.

V praksi prva polovica nikoli ni zares zaživela. Priglasitev nacionalne sheme je bila prostovoljna, zato velik del Evropejcev v začetku dvajsetih let sploh ni imel priglašene elektronske identitete, sheme, ki so obstajale, pa so redko delovale zunaj svoje države. Zasebnih organizacij tudi nič ni zavezovalo, da bi jih sprejemale, zato so banke, telekomunikacijski operaterji in platforme gradile lastna preverjanja identitete.

eIDAS 2.0, Regulation (EU) 2024/1183, ohranja storitve zaupanja in identitetno polovico na novo zgradi okoli imetnika. Vsaka država članica mora zdaj ponuditi denarnico in ne le imeti možnost priglasiti shemo, določena skupina zasebnih organizacij jo mora sprejemati, preverjena dejstva o osebi ali podjetju pa postanejo samostojna storitev zaupanja. Imetnik odloča, kaj se deli v posamezni transakciji, in prav ta premik omogoči, da vse ostalo deluje.

Za podjetje je praktična razlika v smeri razvoja. Po starem okviru ste se sami odločali, ali boste podprli elektronsko identiteto, in običajno sklenili, da se ne splača. Po novem infrastruktura pride ne glede na vas, vaši sopogodbeniki jo dobijo brezplačno, vprašanje pa je, kako hitro jo znate izkoristiti.

eIDAS 2.0 velja na dveh ravneh. Države članice morajo zgraditi in upravljati infrastrukturo evropske denarnice za digitalno identiteto ter jo zagotoviti državljanom in podjetjem. Organizacije, ki izdajajo ali preverjajo dokumente, povezane z identiteto, vključno z gospodarskimi zbornicami, bankami, zavarovalnicami, vladnimi agencijami in platformami za javna naročila, morajo biti sposobne izdajati poverilnice v to denarnico ali sprejemati poverilnice, predstavljene iz nje.

Uvajanje sledi določenemu časovnemu okviru. Do leta 2026 mora vsaka država članica EU državljanom in podjetjem zagotoviti dostop do denarnice za digitalno identiteto. Pred tem rokom se od organizacij, ki izdajajo ali preverjajo poverilnice, pričakuje, da bodo imele tehnično zmožnost za delo s poverilnicami na osnovi denarnice, saj povpraševanje imetnikov denarnice nastane takoj, ko postane denarnica sama na voljo.

V praksi priprava pomeni tri stvari: uskladitev formatov poverilnic s standardi, na katerih temelji denarnica (W3C Verifiable Credentials, mdoc, OpenID4VC), povezavo z registrom zaupanja, tako da je izdane poverilnice mogoče preveriti brez neposrednega stika z izdajateljem, ter sprejetje arhitekture zasebnosti po zasnovi, ki poverilnice hrani v imetnikovi lastni denarnici in ne v skupnem registru ter deli le atribute, ki jih preveritelj potrebuje. Organizacije, ki začnejo zgodaj, se izognejo skrajšanemu prehodnemu obdobju, višjim stroškom in motnjam, ki jih prinaša čakanje do bližine roka.

Osrednja obveznost je denarnica sama. Do 24. decembra 2026 mora vsaka država članica ponuditi vsaj eno European Digital Identity Wallet, za fizične osebe brezplačno, in poskrbeti, da deluje za državljane, rezidente in podjetja. Javne uprave jo morajo sprejemati od istega datuma, v svoji državi in za imetnike iz katere koli druge države članice.

Za denarnico stoji mehanizem, ki je za podjetje enako pomemben, a pritegne veliko manj pozornosti. Države članice morajo poskrbeti, da je mogoče podatke za identifikacijo osebe izdati v denarnico in da lahko verodostojni viri, kot so poslovni registri, izobraževalne evidence in poklicna združenja, svoje podatke posredujejo elektronsko. Poleg tega morajo certificirati rešitve denarnic in objaviti, katere so odobrene.

Dva od teh rezultatov sta tisto, na kar se zanašajoča stranka opira iz dneva v dan. Obstajati mora način, da brezplačno preverite, ali je denarnica, ki predloži dokazilo, pristna in še vedno veljavna. Obstajati pa mora tudi nacionalni register zanašajočih se strank, v katerega se vaša organizacija vpiše, preden sme od denarnice sploh kaj zahtevati.

Napredek je neenakomeren, zato spremljajte svojo državo članico in ne evropskega povprečja. Datum je povsod enak, toda kateri organ vodi register zanašajočih se strank, koliko časa traja registracija in kateri verodostojni viri bodo priključeni prvi, so nacionalne odločitve. Prav te določajo, kdaj lahko dejansko začnete.

Storitve zaupanja so tisti del eIDAS, ki se ga večina podjetij že dotika, ne da bi ga poimenovala. So tisto, zaradi česar ima elektronski dokument ali sporočilo pravno težo: podpisovanje, žigosanje, časovno žigosanje, priporočena dostava, zdaj pa tudi potrjevanje dejstev o osebi ali organizaciji.

Beseda, ki šteje, je kvalificirana. Kvalificirana storitev izvira od ponudnika, ki je pod nadzorom in objavljen na nacionalnem zaupanja vrednem seznamu, in v vsaki državi članici nosi pravno domnevo. Sodišče izhaja iz predpostavke, da je podpis, žig ali časovni žig res to, za kar se izdaja, dokazno breme pa nosi tisti, ki to izpodbija. Storitev, ki ni kvalificirana, je lahko še vedno povsem dober dokaz, vendar ga morate dokazati sami.

Storitve zaupanja in denarnica sta dve polovici iste slike. Denarnica je način, kako dokazilo pride do druge strani in kako imetnik izbere, kaj bo razkril, storitve zaupanja pa so tisto, zaradi česar vsebina pozneje vzdrži. Večina organizacij na koncu uporablja več naenkrat: žig na tem, kar izdaja, potrdilo za dejstva, za katera lahko jamči, in podpis povsod tam, kjer se mora zavezati oseba.

Od 24. decembra 2027 sprejemanje European Digital Identity Wallet za velik del zasebnega sektorja ni več prostovoljno. Obveznost sledi zahtevi po močnem preverjanju uporabnika, zato odloča način, kako identificirate ljudi, in ne ime vaše panoge.

Pravilo je najlažje razumeti prek primerov. Banka že danes izvaja močno preverjanje, ko nekdo odpre račun ali potrdi plačilo, zato mora denarnica postati eden od načinov, kako je temu preverjanju mogoče zadostiti. Telekomunikacijski operater, ki preverja identiteto pred aktivacijo naročnine, dobavitelj energije, ki menja pogodbo, in zdravstveni zavarovalec, ki vpisuje novega člana, so vsi v enakem položaju.

Enako velja tudi precej zunaj kroga očitnih reguliranih imen. Univerza, ki vpisuje študente, prevoznik, ki izdaja službeno izkaznico, nosilec socialne varnosti, ki izplačuje prejemke, in zelo velika spletna platforma, ki prijavlja uporabnike, vsi spadajo v obveznost, takoj ko nekoga avtenticirajo. Če ljudi že danes pošiljate skozi formalno preverjanje identitete na spletu, predpostavite, da ste zajeti, in izhajajte iz tega.

Dve omejitvi je vredno imeti v mislih. Obveznost sproži uporabnik, ki zaprosi za uporabo svoje denarnice, namesto da bi mu bila vsiljena, in zajema korak identifikacije in ne celotnega razmerja. Prav tako ni dovoljenje, da zahtevate več: zahtevate lahko le podatke, ki jih zajema vaša registracija zanašajoče se stranke, kar je v večini primerov manj, kot bi vam dal skeniran dokument.

Javna uprava je na vrsti prva. Ko bodo denarnice na voljo, kar se mora zgoditi do 24. decembra 2026, jih mora sprejemati povsod, kjer že danes zahteva elektronsko identifikacijo, v lastni državi in za državljane drugih držav članic.

Mikropodjetja in mala podjetja so izvzeta iz obveznosti sprejemanja. Zelo velike spletne platforme, določene po Digital Services Act, so vanjo zajete povsod, kjer overjajo uporabnike, čeprav jim uredba ne določa posebnega datuma.

Če vaše organizacije ni na nobenem od obeh seznamov, praktično vprašanje ostaja isto. Vsako preverjanje identitete, ki ga izvajate danes, lahko postane poverilnica, predložena iz denarnice v nekaj sekundah, z manj goljufijami, brez dela z dokumenti in brez podatkov, ki bi jih morali sami hraniti in varovati.

European Digital Identity Wallet je zgrajena okoli osebe. To je prava oblika za dokazovanje, kdo je pred vami, in napačna oblika za večino procesov med podjetji, ki se vrtijo okoli organizacije: za katero pravno osebo gre, kdo sme zanjo delovati in kako daleč sega to pooblastilo.

eIDAS 2.0 že zdaj omogoča, da organizacija hrani dokazila in prejema potrdila o sebi, zato lahko podatki o podjetju že danes potujejo skozi denarnico. Česar ne uredi, je upravna plast okoli tega: pooblastila, pravice zastopanja, vloge ter izmenjava dokumentov med podjetji in javnimi organi, ki še vedno poteka prek portalov in elektronske pošte.

Evropska komisija je 19. novembra 2025 predlagala ločeno uredbo za European Business Wallet, ki naj bi pokrila prav to plast. Še vedno je v zakonodajnem postopku, zato zaenkrat ni datuma, po katerem bi lahko načrtovali, in nihče ne bi smel čakati nanj, preden ukrepa.

Koristna priprava ni tehnična. Že zdaj se odločite, kdo v vaši organizaciji skrbi za dokazila o podjetju in kdo sme podjetje zavezati, saj bo prav to morala izraziti vsaka denarnica. Notranji dogovor običajno traja dlje, kot traja izdelava integracije.

eIDAS 2.0 je nadzorovan in ne temelji na lastni izjavi. Vsaka država članica določi organ, ki nadzoruje kvalificirane ponudnike storitev zaupanja in lahko odvzame kvalificirani status, ter organ, ki nadzoruje ponudnike denarnic, ki delujejo na njenem ozemlju. Organi za varstvo podatkov ohranijo svojo vlogo povsod, kjer so vpleteni osebni podatki, kar je pri tej temi skoraj povsod.

Registracija zanašajoče se stranke je del, ki se navadnih podjetij dotika najbolj neposredno. Ker vaša registracija navaja, kaj smete od denarnice zahtevati, je zahteva po več vidna, prijavljiva in nekaj, na kar lahko nadzorni organ ukrepa. Države članice morajo določiti kazni za kršitve uredbe in poskrbeti, da so učinkovite, sorazmerne in odvračilne, zneski pa se določijo na nacionalni ravni.

Za večino organizacij pa prvi strošek zamude ni globa. To je stranka, ki lahko nekaj dokaže v nekaj sekundah, vi pa jo namesto tega prosite, naj naloži skenogram, konkurent, ki to stranko vključi še isto popoldne, in vprašanje v javnem naročanju, na katero ne znate dobro odgovoriti.

Drugi strošek je časovnica. Vse na spodnjem kontrolnem seznamu ima pripravljalni čas, merjen v mesecih in ne v tednih, in vse se mora zgoditi v istem oknu kot pri vseh drugih. Zgodnji začetek je predvsem zato, da se pozneje ne borite za redko pozornost.

Credencova Business Wallet je zasnovana od temeljev navzgor tako, da izpolnjuje zahteve eIDAS 2.0. Implementira W3C Verifiable Credentials, OpenID4VC za izdajanje in predstavitev poverilnic ter preverja zaupanja vrednost izdajatelja glede na sezname zaupanja eIDAS Evropske unije, s čimer zagotavlja, da vsaka poverilnica, izdana prek Credenca, nosi zaupanje na osnovi standardov, ki ga uredba zahteva.

Poverilnice so shranjene v lastni denarnici vsake organizacije, ne v skupnem registru, imetniki pa razkrijejo le atribute, ki jih preveritelj potrebuje. Ta arhitektura zasebnosti po zasnovi ni naknadno dodana: je temeljno oblikovno načelo, ki je neposredno usklajeno tako z GDPR kot z zahtevami denarnice po eIDAS 2.0.