eIDAS 2.0 förklarat: vad det betyder för ditt företag

Senast i slutet av 2026 måste EU:s medlemsstater ge medborgare och företag tillgång till en digital identitetsplånbok. Organisationer som utfärdar eller verifierar identitetsrelaterade dokument (från handelskammare till banker, försäkringsbolag och upphandlingsplattformar) kommer i allt högre grad att arbeta med verifierbara autentiseringsuppgifter istället för PDF:er och e-post.

Tidiga anpassare får en strukturell fördel: snabbare onboarding, lägre bedrägeririsk, automatiserade efterlevnadskontroller och beredskap för obligatoriska regelverk innan de träder i kraft. Organisationer som väntar kommer att möta en komprimerad övergångsperiod med högre kostnad och störningar.

Den första eIDAS-förordningen, Regulation (EU) No 910/2014, gjorde två saker. Den gjorde nationella system för elektronisk identifiering gångbara över gränserna, så att en inloggning utfärdad i en medlemsstat kunde öppna en offentlig tjänst i en annan. Den gav också betrodda tjänster som elektroniska underskrifter, stämplar och tidsstämplar en rättslig grund som gällde i hela unionen.

I praktiken blev den första halvan aldrig verklighet. Att anmäla ett nationellt system var frivilligt, så i början av 2020-talet saknade en stor andel av européerna helt en anmäld elektronisk identitet, och de system som fanns fungerade sällan utanför det egna landet. Inget tvingade heller privata organisationer att godta dem, vilket gjorde att banker, teleoperatörer och plattformar byggde egna identitetskontroller.

eIDAS 2.0, Regulation (EU) 2024/1183, behåller de betrodda tjänsterna och bygger om identitetsdelen kring innehavaren. Varje medlemsstat måste nu erbjuda en plånbok i stället för att bara ha rätt att anmäla ett system, en avgränsad grupp privata organisationer måste godta den, och verifierade fakta om en person eller ett företag blir en betrodd tjänst i sig. Innehavaren bestämmer vad som delas i varje transaktion, och det är den förskjutningen som får allt annat att fungera.

För ett företag är den praktiska skillnaden åt vilket håll utvecklingen går. Under det gamla regelverket valde ni själva om ni skulle stödja elektronisk identifiering, och kom oftast fram till att det inte var mödan värt. Under det nya kommer infrastrukturen ändå, era motparter får den gratis, och frågan blir hur snabbt ni kan börja använda den.

eIDAS 2.0 gäller på två nivåer. Medlemsstaterna måste bygga och driva infrastrukturen för European Digital Identity Wallet och göra den tillgänglig för medborgare och företag. Organisationer som utfärdar eller verifierar identitetsrelaterade dokument, bland annat handelskammare, banker, försäkringsbolag, myndigheter och upphandlingsplattformar, behöver kunna utfärda credentials till plånboken eller acceptera credentials som visas från den.

Utrullningen följer en fast tidsplan. Senast i slutet av 2026 måste varje EU-medlemsstat ge medborgare och företag tillgång till en digital identitetsplånbok. Fram till dess förväntas organisationer som utfärdar eller verifierar credentials ha den tekniska förmågan att arbeta med plånboksbaserade credentials, eftersom efterfrågan från plånboksinnehavare uppstår i samma stund som plånboken själv blir tillgänglig.

I praktiken innebär förberedelse tre saker: att anpassa credential-format till de standarder plånboken bygger på (W3C Verifiable Credentials, mdoc, OpenID4VC), att ansluta till ett förtroenderegister så att utfärdade credentials kan verifieras utan att kontakta utfärdaren direkt, samt att införa en privacy-by-design-arkitektur som håller credentials i innehavarens egen plånbok i stället för i ett delat register, och som bara delar de attribut en verifierare behöver. Organisationer som börjar tidigt undviker den komprimerade övergångsperioden, de högre kostnaderna och de störningar som uppstår när man väntar till strax innan tidsfristen.

Den stora skyldigheten är plånboken i sig. Senast den 24 december 2026 måste varje medlemsstat erbjuda minst en European Digital Identity Wallet, kostnadsfritt för fysiska personer, och se till att den fungerar för medborgare, bosatta och företag. Offentliga förvaltningar måste godta den från samma datum, i det egna landet och för innehavare från alla andra medlemsstater.

Bakom plånboken finns ett maskineri som betyder minst lika mycket för ett företag och som får långt mindre uppmärksamhet. Medlemsstaterna måste se till att personidentifieringsuppgifter kan utfärdas till plånboken och att autentiska källor som bolagsregister, utbildningsregister och yrkesorganisationer kan lämna sina uppgifter elektroniskt. De måste också certifiera plånbokslösningar och offentliggöra vilka som är godkända.

Två av dessa leveranser är det som en förlitande part är beroende av i det dagliga arbetet. Det måste finnas ett sätt att kostnadsfritt kontrollera att en plånbok som visar upp ett intyg är äkta och fortfarande giltig. Och det måste finnas ett nationellt register över förlitande parter, och det är där er egen organisation registrerar sig innan ni över huvud taget får be en plånbok om något.

Utvecklingen går olika fort, så håll ögonen på er egen medlemsstat snarare än på det europeiska genomsnittet. Datumet är detsamma överallt, men vilken myndighet som driver registret över förlitande parter, hur lång tid registreringen tar och vilka autentiska källor som kopplas in först är nationella beslut. Det är de som avgör när ni faktiskt kan sätta i gång.

Betrodda tjänster är den del av eIDAS som de flesta företag redan använder utan att sätta namn på den. De är det som ger ett elektroniskt dokument eller meddelande rättslig tyngd: underskrift, stämpling, tidsstämpling, rekommenderad leverans och numera även intygande av fakta om en person eller en organisation.

Ordet som betyder något är kvalificerad. En kvalificerad tjänst kommer från en leverantör som står under tillsyn och finns publicerad på en nationell förtroendelista, och den bär med sig en rättslig presumtion i varje medlemsstat. En domstol utgår från att underskriften, stämpeln eller tidsstämpeln är det den utger sig för att vara, och den som bestrider det har bevisbördan. En tjänst som inte är kvalificerad kan fortfarande vara alldeles utmärkt bevisning, men då måste ni bevisa det själva.

Betrodda tjänster och plånboken är två halvor av samma bild. Plånboken är hur ett intyg når motparten och hur innehavaren väljer vad som ska visas, medan de betrodda tjänsterna är det som gör att innehållet håller i efterhand. De flesta organisationer använder till slut flera samtidigt: en stämpel på det de utfärdar, ett intygande för de fakta de kan gå i god för, och en underskrift överallt där en person måste binda sig.

Från den 24 december 2027 är det inte längre frivilligt för en stor del av den privata sektorn att acceptera European Digital Identity Wallet. Kravet följer kravet på stark användarautentisering, så det är hur du identifierar människor som avgör, inte vad branschen kallas.

Regeln är lättast att förstå genom exempel. En bank gör redan en stark kontroll när någon öppnar ett konto eller bekräftar en betalning, så plånboken måste bli ett av de sätt som den kontrollen kan uppfyllas på. En teleoperatör som kontrollerar en identitet innan ett abonnemang aktiveras, en elleverantör som byter ett avtal och en sjukförsäkringsgivare som registrerar en ny medlem befinner sig alla i samma läge.

Detsamma gäller långt utanför de uppenbara reglerade namnen. Ett universitet som skriver in studenter, ett transportbolag som utfärdar ett personalkort, en socialförsäkringsmyndighet som betalar ut förmåner och en mycket stor onlineplattform som loggar in användare omfattas alla av skyldigheten så snart de autentiserar någon. Om ni redan i dag leder människor genom en formell identitetskontroll online, utgå från att ni omfattas och arbeta vidare därifrån.

Två begränsningar är värda att hålla i minnet. Skyldigheten utlöses av användaren, som ber att få använda sin plånbok i stället för att få den påtvingad, och den omfattar identifieringssteget och inte hela relationen. Den är inte heller en rätt att fråga efter mer: ni får bara begära de uppgifter som er registrering som förlitande part omfattar, vilket i de flesta fall är mindre än vad en inskannad handling hade gett er.

Offentlig förvaltning är först ut. Så snart plånböckerna finns tillgängliga, vilket ska ske senast den 24 december 2026, måste den acceptera dem överallt där den redan kräver elektronisk identifiering, i det egna landet och för medborgare från andra medlemsstater.

Mikroföretag och små företag är undantagna från accepteringskravet. Mycket stora onlineplattformar som utsetts enligt Digital Services Act omfattas så snart de autentiserar användare, även om förordningen inte ger dem något eget datum.

Finns din organisation inte på någon av listorna är den praktiska frågan ändå densamma. Varje identitetskontroll du gör i dag kan bli ett intyg som visas upp från en plånbok på några sekunder, med mindre bedrägeri, ingen dokumenthantering och inga uppgifter som du själv måste lagra och skydda.

European Digital Identity Wallet är byggd kring en person. Det är rätt form för att visa vem man har framför sig och fel form för de flesta processer mellan företag, som i stället handlar om organisationen: vilken juridisk person ni har att göra med, vem som får agera för den och hur långt den behörigheten sträcker sig.

eIDAS 2.0 låter redan en organisation inneha intyg och ta emot intyganden om sig själv, så företagsuppgifter kan röra sig genom en plånbok redan i dag. Det som inte är löst är det administrativa lagret runt omkring: fullmakter, behörighet att företräda, ingivanden och det dokumentutbyte mellan företag och myndigheter som fortfarande sker via portaler och e-post.

Den 19 november 2025 föreslog Europeiska kommissionen en separat förordning för European Business Wallet som täcker just det lagret. Den är fortfarande på väg genom lagstiftningsprocessen, så det finns ännu inget datum att planera mot, och ingen bör vänta på ett sådant innan de agerar.

Den nyttiga förberedelsen är inte teknisk. Bestäm nu vem i er organisation som äger företagets intyg och vem som får binda bolaget, för det är det som vilken plånbok som helst kommer att ombes uttrycka. Det tar oftast längre tid att komma överens internt än det tar att bygga integrationen.

eIDAS 2.0 står under tillsyn, det bygger inte på egna försäkringar. Varje medlemsstat utser ett organ som utövar tillsyn över kvalificerade tillhandahållare av betrodda tjänster och kan återkalla kvalificerad status, och ett organ som utövar tillsyn över de plånboksleverantörer som verkar på dess territorium. Dataskyddsmyndigheterna behåller sin egen roll överallt där personuppgifter förekommer, vilket på det här området är nästan överallt.

Registreringen som förlitande part är den del som berör vanliga företag mest direkt. Eftersom er registrering anger vad ni får be en plånbok om, blir det synligt att fråga efter mer, det kan anmälas och en tillsynsmyndighet kan agera på det. Medlemsstaterna måste fastställa sanktioner för överträdelser av förordningen och göra dem effektiva, proportionella och avskräckande, och beloppen bestäms nationellt.

För de flesta organisationer är den första kostnaden för att vara sen ändå inte en sanktionsavgift. Det är en kund som kan bevisa något på några sekunder men i stället ombeds ladda upp en inskannad handling, en konkurrent som tar in kunden samma eftermiddag, och en upphandlingsfråga ni inte kan svara bra på.

Den andra kostnaden är tidsplanen. Allt på checklistan nedan har ledtider som mäts i månader snarare än veckor, och allt måste ske i samma tidsfönster som för alla andra. Att börja tidigt handlar mest om att slippa konkurrera om knapp uppmärksamhet längre fram.

Credencos Business Wallet är utformad från grunden för att uppfylla kraven i eIDAS 2.0. Den implementerar W3C Verifiable Credentials, OpenID4VC för utfärdande och presentation av autentiseringsuppgifter, och validerar utfärdarens tillförlitlighet mot EU:s eIDAS-tillitslistor, vilket säkerställer att varje autentiseringsuppgift som utfärdas via Credenco har det standardbaserade förtroende som förordningen kräver.

Credentials förvaras i varje organisations egen plånbok, inte i ett delat register, och innehavare lämnar bara ut de attribut som en verifierare behöver. Denna privacy-by-design-arkitektur är ingen efterkonstruktion: det är en central designprincip som ligger i linje med både GDPR och eIDAS 2.0:s krav på plånböcker.