Kaj je zanašajoča se stranka v ekosistemu EUDI Wallet?
Zanašajoča se stranka je vsaka organizacija, ki od osebe ali podjetja zahteva dokazilo o nečem in se nato pri odločitvi zanese na odgovor. V ekosistemu European Digital Identity Wallet je to stran, ki dokazilo prejme: iz denarnice zahteva podatke, jih preveri in ravna glede na rezultat. Uradni izraz je wallet-relying party, v vsakdanjem pogovoru pa večina ljudi preprosto reče preveritelj.
Vloga, preprosto povedano
Vloga ni nova. Vaša organizacija je zanašajoča se stranka že vsakič, ko preveri potni list, izpisek iz sodnega registra ali diplomo. Spremeni se to, da preverjanje ni več človek, ki bere dokument, ampak samodejen odgovor, ki mu lahko v nekaj sekundah zaupate.
Zanašajoča se stranka je vloga in ne vrsta podjetja. Ista organizacija je lahko v enem postopku zanašajoča se stranka, v drugem pa izdajatelj: univerza ob vpisu od študenta zahteva osebni dokument, ob koncu študija pa mu izda diplomo. Zanašajoča se stranka ste v danem trenutku preprosto zato, ker ste tisti, ki sprašuje, preverja in odloča.
Pomembna sprememba je v tem, od kod pride dokazilo. Danes breme dokazovanja, da je dokument pristen, nosi oseba pred vami, stroške presoje pa nosite vi. Z denarnico dokazilo podpiše organizacija, ki dejstvo že ima, zato preverjanje postane izračun in ne več presoja.
Prav zato se vlogo splača razumeti, tudi če vas k njej še nič ne zavezuje. Ko se stranka lahko izkaže v nekaj sekundah, začne vsak postopek, ki še vedno zahteva nalaganje datoteke in ročni pregled, delovati počasen.
Trije vsakdanji primeri
Vzorec je vedno enak. Nekdo mora vedeti neko dejstvo, nekdo drug ga že ima, doslej pa sta bila edina pot med njima dokument in določena mera zaupanja.
Banka, ki vpisuje novo stranko
Namesto zbiranja skenov potnega lista in izpiska iz registra banka zahteva natanko tiste podatke o osebi in podjetju, ki jih potrebuje, in v nekaj sekundah dobi preverjen odgovor. Banka je zanašajoča se stranka: ravna na podlagi podatkov, za katere je jamčil nekdo drug.
Spletna trgovina, ki preverja starost
Trgovina potrebuje eno samo dejstvo: ali je kupec dovolj star. Zahteva le to dejstvo, ne datuma rojstva in ne kopije dokumenta, ter nikoli ne hrani osebnega dokumenta, ki ga sploh ni želela.
Dobaviteljski portal, ki preverja podjetje
Kupec želi vedeti, da je dobavitelj, ki se prijavlja, resnično registrirano podjetje in da oseba, ki prijavo opravlja, zanj sme delovati. Obe dejstvi prideta iz izvornih registrov in ne iz datoteke PDF, ki jo je naložil dobavitelj.
Vsem trem je skupno, da nobeden od njih v resnici ne želi dokumenta. Banka želi vedeti, da podjetje obstaja in da podpisnik zanj sme delovati, trgovina pa želi vedeti le, ali je kupec dovolj star. Za dokument nikoli ni šlo, bil je le edini razpoložljivi nosilec dejstva.
Ločitev dejstva od dokumenta spremeni to, kaj vam na koncu ostane. Preverjanje starosti, ki vrne da ali ne, vam ne pusti ničesar občutljivega za varovanje, skenirani potni list v prodajnem sistemu pa je obveznost, ki jo morate zavarovati, utemeljiti in sčasoma izbrisati.
Kaj uporabnik vidi, ko zahtevate podatke
Ko vaša storitev zahteva podatke, zahteva ne prispe tiho. Denarnica odpre zaslon, ki poimenuje organizacijo, ki sprašuje, našteje natanko, kateri podatki se zahtevajo, in navede namen, ki ga je ta organizacija zanje registrirala. Nič ni deljeno, dokler oseba tega ne potrdi s pritiskom.
Imena na tem zaslonu ne vpišete vi. Prihaja iz digitalnega potrdila, ki ste ga prejeli ob registraciji, zato ga denarnica lahko prikaže kot preverjeno dejstvo in ne kot trditev. Zahteva neregistrirane strani takšnega zaslona sploh ne more ustvariti.
Oseba lahko zavrne, in to vsakič znova in ne le enkrat za vselej. Denarnice tudi vodijo zgodovino tega, kaj je bilo deljeno in s kom, zato je odločitev mogoče pozneje pregledati, namesto da izgine v poštnem predalu. Privolitev ni več potrditveno polje, ampak nekaj, v kar uporabnik dejansko lahko pogleda.
Za vašo organizacijo je prav v tem bistvo. Znana prevara, prepričljiva stran, ki zahteva kopijo potnega lista, neha delovati, ko so ljudje navajeni videti preverjeno ime, preden karkoli delijo. Zahteva prek denarnice vas postavi na zaupanja vredno stran te navade, zahteve, ki delujejo verodostojno, pa so pogosteje dokončane.
Zakaj denarnica preveri, kdo sprašuje
Denarnica, polna preverjenih podatkov o istovetnosti, je varna le, če je izbirčna glede tega, s kom se pogovarja. Če bi jo lahko karkoli vprašala vsaka spletna stran, bi bila denarnica le hitrejši način, kako izročiti osebne dokumente tistemu, ki vpraša najbolj prepričljivo. Zasnova zato izhaja iz nasprotne predpostavke: neznana stran ne dobi ničesar.
Prav temu sta namenjeni registracija in digitalna potrdila. Ko se registrirate kot zanašajoča se stranka, prejmete digitalna potrdila, ki identificirajo vašo organizacijo, vsaka država članica pa objavlja sezname organov, ki jih izdajajo. Denarnica potrdilo preveri v teh objavljenih seznamih, preden uporabniku karkoli pokaže.
Za načrtovanje vam ni treba slediti kriptografiji, načrtovati pa morate posledice. Digitalnim potrdilom poteče veljavnost in jih je treba obnavljati, seznami zaupanja se spreminjajo, ko se organi dodajajo ali odstranjujejo, zahteva, poslana z nečim zastarelim, pa preprosto ne uspe. Bližje je vzdrževanju veljavnega dovoljenja kot pisanju programske opreme.
Isti mehanizem deluje tudi vam v prid. Ker preverjanje poteka v objavljenih seznamih in ne po zasebnem dogovoru, lahko denarnica, izdana v drugi državi članici, oceni vašo zahtevo, ne da bi se s to državo prej o čemerkoli dogovorili. Prav to omogoča, da je ena registracija uporabna po vsej Uniji.
Kdo mora sprejemati denarnico in od kdaj
eIDAS 2.0, uredba, ki je ustvarila European Digital Identity Wallet, sprejemanja ne prepušča v celoti trgu. Države članice bodo svoje denarnice zagotovile od konca leta 2026, določena skupina organizacij pa mora biti na njihovo sprejemanje pripravljena leto pozneje.
Regulirani sektorji
Tam, kjer pravo EU ali nacionalno pravo že zahteva močno avtentikacijo uporabnika, je treba denarnico sprejeti: bančništvo in finance, telekomunikacije, energetika, promet, zdravstvo, izobraževanje, socialna varnost, pitna voda, poštne storitve in digitalna infrastruktura. Mikropodjetja in mala podjetja so te obveznosti oproščena. Za osebe javnega sektorja velja ločeno pravilo povsod, kjer za spletno storitev zahtevajo elektronsko identifikacijo.
Zelo velike spletne platforme
Platforme, ki so po Digital Services Act določene kot zelo velike, morajo denarnico sprejeti in olajšati njeno uporabo, kadar uporabnik to zahteva. Zahtevajo lahko le minimalne podatke, ki jih storitev dejansko potrebuje.
V praksi je seznam manj abstrakten, kot se sliši. Zajema poslovne banke, plačilne institucije in zavarovalnice, mobilne operaterje ob vpisu naročnikov, dobavitelje energije in vode, letalske in železniške prevoznike, bolnišnice, lekarne in zdravstvene zavarovalnice, univerze in izpitne organe ter javne uprave, ki že zdaj vodijo nacionalno prijavo. Če vaš današnji vpis strank vključuje osebni dokument, ker tako zahteva predpis, ste skoraj zagotovo zajeti.
Sprejemanje denarnice ne pomeni, da morate zamenjati to, kar že imate. Pomeni, da denarnico ponudite kot enega od načinov, kako se oseba lahko identificira tam, kjer močno identifikacijo zahtevate že zdaj, ob načinih, ki jih podpirate danes. Obstoječe stranke obdržijo svojo pot, nove pa dobijo hitrejšo.
Datume si velja zapisati. Države članice svoje denarnice izdajajo od konca leta 2026, pravila o registraciji zanašajoče se stranke veljajo od decembra 2026, obveznost sprejemanja denarnice pa nastopi konec leta 2027. Registracija je odvisna od nacionalnega organa in od notranjih odločitev o tem, katere podatke potrebujete, zato je koledar tesnejši, kot nakazuje en sam datum v letu 2027.
Vsi drugi lahko denarnico sprejemajo prostovoljno in mnogi jo bodo. Ko stranka že nosi preverjene podatke o sebi in o podjetju, je prošnja, naj namesto tega naloži sken, korak nazaj, ki ga bo opazila.
Kaj mora organizacija dejansko urediti
Postati zanašajoča se stranka je več kot dodati gumb na obrazec. Urejene morajo biti štiri stvari in le zadnja med njimi je zgolj tehnična.
Registrirajte se v svoji državi
Vsaka država članica vodi javni register zanašajočih se strank s sedežem na svojem ozemlju. Prijavite, kdo ste, za kaj boste denarnico uporabljali in katere podatke nameravate zahtevati. Zahtevati več, kot ste registrirali, ni dovoljeno.
Pridobite digitalna potrdila
Z registracijo dobite digitalna potrdila, po katerih vas denarnica prepozna. Prav ta spremenijo anonimno zahtevo v zahtevo, ki jo denarnica lahko uporabniku prikaže kot zahtevo poimensko znane, registrirane organizacije.
Sodelujte z vsemi nacionalnimi denarnicami
Enotne evropske aplikacije za denarnico ni. Vsaka država članica zagotovi vsaj eno, zato se povezujete s celo vrsto denarnic in ne z eno samo. Standardi so skupni, vendar ima vsaka denarnica svoja sidra zaupanja in svoj časovni načrt izdaj, ki mu je treba slediti.
Preverite, ali so podatki še veljavni
Credential, ki je bil prejšnji mesec pravilen, je bil morda medtem preklican. Zanašajoča se stranka mora preveriti objavljeno stanje credentiala v trenutku, ko se uporabi. Voditi lastno evidenco te preveritve je dobra praksa in ne pravilo, a prav ta vam pozneje omogoča pokazati, da je bila opravljena.
Vrstni red tega seznama šteje bolj kot njegova dolžina. Prva dva koraka sta upravna in tečeta s hitrostjo nacionalnega organa, zato prav ona določata, kdaj lahko greste v živo. Ekipe, ki začnejo z integracijo in registracijo pustijo za pozneje, običajno dokončajo programsko opremo in nato čakajo.
Tudi odločitev o tem, katere podatke potrebujete, je bolj poslovno kot tehnično vprašanje in nanj se splača odgovoriti premišljeno. Registrirate namen in nabor podatkov, zožitev tega nabora na začetku pa stane en sestanek, medtem ko njegova razširitev pozneje pomeni vrnitev v register.
Koliko stane priključitev na več kot trideset denarnic
Enotne evropske aplikacije za denarnico ni. Vsaka država članica zagotovi vsaj eno, nekatere jih bodo imele več, vaše stranke pa bodo prišle s tisto, ki jo je izdala njihova država. Organizacija s strankami iz nekaj držav se torej ne povezuje z enim sogovornikom, ampak s spreminjajočim se naborom sogovornikov.
Standardi pod tem so skupni, kar vse to sploh omogoča. Razlikuje se vse okoli njih: vsaka denarnica ima svoja sidra zaupanja, svoj nacionalni profil, svoje testno okolje in svoj časovni načrt izdaj. Uspešen test z eno denarnico vam o naslednji pove zelo malo.
Prva integracija je le redko tista draga. Strošek je v letih po njej: spremljanje posodobitev specifikacij, ponovno testiranje, ko nacionalna denarnica izda novo različico, spremljanje sprememb na seznamih zaupanja in vzdrževanje veljavnih digitalnih potrdil v vsaki državi, kjer imate sedež. To je postavka za vzdrževanje v proračunu in ne projektna postavka.
Preprost način, kako to oceniti, je, da preštejete dvoje: število držav članic, iz katerih prihajajo vaše stranke, in število izdaj, ki jih vsaka od teh denarnic verjetno izda v enem letu. Zmnožite ju in dobili boste število primerov, ko mora nekdo v vaši ekipi prekiniti svoje delo. Prav ta številka in ne prvotni razvoj je tisto, od česar je odločitev o lastni izvedbi ali nakupu zares odvisna.
Razviti sami ali uporabiti storitev
Štiri zgornje zahteve lahko izpolnite sami ali jih kupite. Nobeden od odgovorov ni napačen, vendar vsak stane nekaj drugega, razlika pa je predvsem v tem, kdo nosi tekoče delo.
Lastna izvedba
- Registracijo, digitalna potrdila in njihova podaljšanja urejate sami, in to v vsaki državi, kjer imate sedež.
- Vaša ekipa spremlja spremembe standardov in seznamov zaupanja ter izda posodobitev vsakič, ko jo izda katera od nacionalnih denarnic.
- Nič ne zapusti vaše infrastrukture, kar je najmočnejši možni odgovor na vprašanje varstva podatkov.
- Gre za stalno razvojno zavezo, ne za projekt, ki se nekoč konča.
Uporaba storitve preverjanja
- Ena integracija pokrije vse denarnice, delo s povezavami pa ostane pri ponudniku.
- Spremembe standardov, posodobitve seznamov zaupanja in preverjanje stanja ponudnik uredi namesto vas.
- V živo greste v nekaj tednih namesto v nekaj četrtletjih, vaša ekipa pa ostane pri vašem izdelku.
- Če jo namestite on-premise, podatki ostanejo v vaši infrastrukturi, natanko tako, kot bi bilo, če bi jo razvili sami.
- Odvisni ste od dobavitelja, zato postanejo njegova razpoložljivost, njegov ritem izdaj in njegovi pogoji obdelave vaša skrb.
Najmočnejši argument za lastno izvedbo je običajno, da nič ne zapusti vaše infrastrukture, kar je najčistejši možen odgovor na vprašanje varstva podatkov. Ta odgovor pa ni izključna prednost lastne izvedbe. Ista programska oprema za preverjanje, nameščena on-premise v vašem okolju, ohrani podatke natanko tam, kjer bi tako ali tako ostali, delo s standardi in povezave do nacionalnih denarnic pa še naprej nosi ponudnik.
Uporabno vodilo pri odločanju je vprašanje, s čim se ukvarjate. Če je preverjanje z denarnico del tega, kar prodajate, se ga splača imeti v celoti v svojih rokah. Če je to korak znotraj vpisa strank, prijave ali nakupa, gre za infrastrukturo, to pa se splača kupiti pri nekom, ki jo vzdržuje poklicno.
Kako izbrati storitev preverjanja
Če se odločite za nakup namesto za lastno izvedbo, vprašanja, ki jih velja postaviti, niso toliko o funkcijah kot o tem, kje je odgovornost in kaj se zgodi, ko se kaj spremeni. Prav teh osem loči ponudbe, ki so na prosojnici videti enake.
- Kdo je registriran kot zanašajoča se stranka? To mora biti vaša organizacija, na vaše ime, da je prijavljeni namen vaš in da ostane vaš tudi ob zamenjavi dobavitelja.
- Katere nacionalne denarnice in katere države članice so pokrite danes, v nasprotju s tistimi, ki so obljubljene v načrtu razvoja?
- Ali lahko teče on-premise in tudi kot gostovana storitev, in če gostuje, v kateri državi se podatki obdelujejo?
- Kaj se shranjuje, kako dolgo in kaj vam ostane kot dokaz, da je bilo preverjanje opravljeno?
- Kako se preklic in veljavnost preverjata v trenutku uporabe in ne le enkrat ob vzpostavitvi?
- Kdo nosi stroške, ko se spremeni standard, seznam zaupanja ali nacionalna denarnica, in kako hitro?
- Ali obstaja testno okolje, v katerem lahko preizkusite pravi postopek, preden se k čemur koli zavežete?
- Kako bi odšli? Izvozljivi zapisi in registracija na vaše ime so tisto, kar to omogoča.
Pri prvem vprašanju velja vztrajati. Če se registracija glasi na vaše ime, obdržite odnos z registrom, prijavljeni namen in možnost, da zamenjate dobavitelja, ne da bi začeli znova. O vsem drugem s seznama se da pogajati, o tem pa res ne.
Kako začeti: primer uporabe, pilot, časovnica
Začnite z enim primerom uporabe in izberite najožjega, ki vas danes stane nekaj merljivega. Preverjanje starosti, preverjanje podjetja ob prijavi dobavitelja ali korak z ugotavljanjem istovetnosti ob odprtju računa so dovolj majhni, da jih je mogoče dokončati, in dovolj določni, da nekaj dokažejo. Program za posodobitev vseh identitet povsod ni prvi projekt.
Pilot izvedite ob obstoječem postopku in ne namesto njega. Denarnico ponudite kot dodatno pot za del prometa, staro pot pustite odprto in primerjajte obe po številkah, ki jih že spremljate: koliko časa traja, koliko ljudi postopek dokonča, koliko ročnega pregleda ostane. Prav ta primerjava je tisto, kar utemelji poslovni primer, in ne predstavitev.
Z registracijo začnite zgodaj, saj je to del, ki ga najmanj obvladujete. Odvisna je od nacionalnega organa in od notranje odločitve o tem, katere podatke dejansko potrebujete, oboje pa traja dlje, kot se zdi. Tehnična integracija je običajno krajša polovica dela, zlasti če povezav do denarnic ne razvijate sami.
Realistična podoba za organizacijo, ki začenja zdaj, je odločitev in registracija v prvem četrtletju, delujoč pilot v drugem in postopna širitev po tem, kar pušča prostor pred obveznostjo iz leta 2027, namesto da bi vanjo trčili. Če obveznost za vas ne velja, isto zaporedje še vedno drži, le da rok namesto predpisa postavi vaša konkurenca.
Kako pomaga Credenco
Credenco namesto vas vodi stran zanašajoče se stranke, odločitev pa ostane vaša. Registrirana organizacija ostanete vi in podatki ostanejo pri vas, delo s povezavami do denarnic pa je na nas.
Verification Service
Zahtevajte natanko tiste podatke, ki jih potrebujete, in prejmite preverjen odgovor. Podpisi, seznami zaupanja in stanje preklica so urejeni za eno samo integracijo, zato vloga zanašajoče se stranke ne postane projekt o protokolih.
Business Wallet
Tudi vaša organizacija ima svoja dokazila, ki jih mora prejemati in predlagati, na primer kadar stranka ali kupec od vas zahteva dokazilo o nečem. Business Wallet je storitev, ki jo vodijo vaši sistemi, in ne aplikacija, ki jo mora nekdo odpreti.
Obe delujeta kot gostovana storitev ali on-premise v vašem okolju, zato je način namestitve odločitev, ki jo sprejmete vi, in ne odločitev, ki jo za vas sprejme izdelek. V obeh primerih se registracija glasi na vaše ime in denarnica uporabniku prikaže vašo organizacijo.
Pogosta vprašanja
Kaj je zanašajoča se stranka, preprosto povedano?
To je vsaka organizacija, ki od nekoga zahteva dokazilo in nato na podlagi odgovora ukrepa. Banka, spletna trgovina, delodajalec in okence javne uprave so vsi zanašajoče se stranke. V ekosistemu EUDI Wallet dokazilo prispe iz denarnice in ga je mogoče preveriti samodejno, zato se organizacija zanese na preverjanje in ne na dokument, ki mu mora verjeti.
Ali mora moja organizacija sprejemati EUDI Wallet?
Da, če vam pravo EU ali nacionalno pravo že nalaga močno avtentikacijo uporabnikov. To zajema panoge, kot so bančništvo in finance, telekomunikacije, energetika, promet, zdravstvo, izobraževanje, socialna varnost, poštne storitve in digitalna infrastruktura, prav tako pa velja, če ste zelo velika spletna platforma, določena po Digital Services Act. Mikropodjetja in mala podjetja so te panožne obveznosti oproščena. Vsi drugi lahko denarnico sprejmejo prostovoljno in mnogi jo bodo, ker stranke z denarnico pričakujejo, da jo bodo lahko uporabile.
Ali moramo dokazila tudi izdajati?
Ne. Sprejemanje dokazil in njihovo izdajanje sta ločeni vlogi, večina organizacij pa potrebuje le prvo. Preverjanje je manjše delo: zahtevate podatke, jih primerjate z objavljenim seznamom zaupanja in preberete odgovor, brez ugotavljanja istovetnosti in upravljanja ključev, ki ju prevzame izdajatelj.
Ali lahko zahtevamo katere koli podatke?
Ne, in to je namerno. Registrirate podatke, ki jih potrebujete, in namen, za katerega jih potrebujete, zahtevo zunaj tega obsega pa je mogoče zavrniti. V praksi to organizacije usmerja k temu, da zahtevajo manj, kar pravo o varstvu podatkov zahteva že ves čas.
Kdaj naj začnemo?
Če za vas velja obveznost sprejemanja, je rok konec leta 2027, pred njim pa so še registracija, nabava in testiranje. Če obveznost za vas ne velja, obstaja razlog za ukrepanje tudi sicer: vpis stranke, ki traja nekaj sekund namesto nekaj dni, se splača ne glede na to, ali to zahteva predpis.
Sorodni pojmi
Tehnični pregled
Ta stran ostaja na ravni tega, kaj vloga pomeni za vašo organizacijo. Kako je zahteva prek protokola OpenID4VP dejansko sestavljena in kako nanjo pride odgovor, je opisano v tehnični dokumentaciji. Preberite tehnično dokumentacijo
Ta stran je informativne narave in ne predstavlja pravnega nasveta. Za avtoritativne napotke o tem, ali za vašo organizacijo velja določena obveznost, se obrnite neposredno na Evropsko komisijo in na svoj nacionalni nadzorni organ.