Европейският портфейл за цифрова самоличност идва през декември 2026 г.: как да се подготвите

До 24 декември 2026 г. всяка държава членка на ЕС трябва да осигури на гражданите и жителите си поне един европейски портфейл за цифрова самоличност. Това е законово задължение с дата, а не точка в пътна карта. Не всяка държава ще е готова в срок: германското министерство по цифровизацията е насрочило своя портфейл, d-you, за 2 януари 2027 г., а някои държави членки изостават още повече.

Година по-късно, през декември 2027 г., дълъг списък от организации ще бъдат законово задължени да го приемат. В този списък са банките, транспортните оператори, енергийните доставчици, здравните услуги, далекосъобщенията, пощенските услуги, образователните институции и операторите на цифрова инфраструктура, както и всички останали, които вече са длъжни да използват задълбочено удостоверяване на потребителите.

За всички останали приемането е по желание. Все пак си струва да го разберете, защото портфейлът решава няколко проблема, за които компаниите днес харчат реални пари, и то с лоши резултати.

Какво всъщност представлява портфейлът

Европейският портфейл за цифрова самоличност произтича от преработения Регламент eIDAS, наричан обикновено eIDAS 2. Това е мобилно приложение, което съхранява потвърдени атрибути на самоличността и удостоверения, издадени от доверени страни, които потребителят може да представя избирателно на онзи, който ги поиска.

Три свойства го отличават от системите за самоличност, които повечето сайтове използват днес.

Подкрепен е от държавата. Самоличността в портфейла произтича от национална схема за електронна идентификация. Тя не е профил, попълнен от самия потребител.

Поддържа избирателно разкриване. Потребителят може да докаже, че е навършил осемнадесет години, без да разкрива датата си на раждане, или че живее в дадена държава членка, без да разкрива адреса си. Това е частта с най-големи практически последици за дизайна на продуктите.

Работи през границите. Портфейл, издаден в Словения, трябва да бъде приет от доверяващи се страни в Германия. В това е целият смисъл на регламента и именно това националните схеми за самоличност системно не успяват да осигурят.

Наред с портфейлите за граждани Комисията предложи и европейски бизнес портфейл за юридически лица, предназначен за представителство на компании, пълномощия и обмен на официални документи между бизнеса и публичните органи. Предложението дойде с пакета Digital Omnibus през ноември 2025 г. Съветът прие позицията си за преговорите на 9 юни 2026 г., а на 10 септември 2026 г. комисията по промишленост на Парламента (ITRE) прие доклада си заедно с мандат за преговори със Съвета. Той е по-далеч във времето, но ако продуктът ви засяга самоличността на компании, пълномощия или обмен на документи между бизнеси, това е досието, което да следите.

Докъде реално е стигнало въвеждането

Готовността се различава изключително много между държавите членки и е добре да се гледа реалистично.

Няколко държави вече са пуснали национални решения преди крайния срок. Франция има France Identité, Австрия има eAusweise, Италия има IT-Wallet. Други изостават, а някои ще посрещнат срока през декември 2026 г. с ограничена първа версия вместо с пълния набор от функции.

Държавите членки могат да изпълнят задължението по три начина: сами да разработят и издадат портфейл, да възложат това на трета страна или да признаят портфейл, разработен от частния сектор. Това означава, че екосистемата, с която се интегрирате, няма да е еднородна, и точно затова спецификациите за оперативна съвместимост са толкова важни.

Ролята на доверяващата се страна

Ако искате да приемате удостоверения от портфейла, ставате доверяваща се страна (relying party), а това е регистрирана роля, а не неформална.

Процесът в общи линии:

1. Регистрирайте се при националния регистриращ орган. Декларирате кои атрибути възнамерявате да изисквате и с каква цел. Това е истинска проверка, а не формуляр. Не можете да се регистрирате, за да изисквате пълния набор от данни за самоличността на гражданина, защото някой ден може да ви потрябва.
2. Получете сертификати за достъп на доверяваща се страна. Те ви удостоверяват пред портфейлите и позволяват на потребителите да видят кой пита.
3. Внедрете протоколите за представяне. Поискайте удостоверения, получете представяне, проверете го.
4. Проверете криптографски. Валидиране на подписа, валидиране на веригата на доверие спрямо доверителния списък на ЕС, проверка за отнемане.
5. Искайте минимума. Свеждането на данните до минимум тук е заложено в самата структура. Ако сте се регистрирали за проверка на възрастта, можете да поискате потвърждение на възрастта, а не дата на раждане.

Последното заслужава да се подчертае, защото обръща обичайната интеграция за самоличност. В повечето системи получавате пакет данни и решавате какво да запазите. Тук декларирате предварително какво можете да искате, а архитектурата не ви позволява да събирате повече. Това наистина е по-добър модел и означава, че оценката ви на въздействието върху защитата на данните за проверката на самоличността става значително по-кратка.

Стандартите, които ще срещнете

Техническият стек се опира на няколко спецификации и ако определяте обхвата на работата, ето съкращенията, които ще се появят:

• ISO/IEC 18013-5, стандартът за мобилна шофьорска книжка, от който идват моделът за представяне на близко разстояние и голяма част от идеите за формата на удостоверенията.
• W3C Verifiable Credentials, за модела на данните на удостоверенията.
• OpenID for Verifiable Presentations и OpenID for Verifiable Credential Issuance, за процесите на заявяване и издаване през уеб.
• SD-JWT, за избирателно разкриване на отделни твърдения.
• EUDI Architecture and Reference Framework, публикувана от Комисията, документът, който свързва всичко това и който трябва да прочетете, преди да оценявате каквото и да е.

Нищо от това не е екзотично, ако екипът ви е работил с OpenID Connect. Все пак е съществено различно от интеграция за вход със SAML или OIDC, защото проверявате удостоверенията криптографски, вместо да се доверявате на твърдението за сесия на доставчика на самоличност.

Къде портфейлът решава реален проблем

Като оставим съответствието настрана, има няколко места, където това е просто по-добро от съществуващото днес.

Проверка на възрастта

Това е най-непосредственият случай на употреба и натискът за него е силен. Европейската комисия настоява държавите членки да въведат решения за проверка на възрастта до 31 декември 2026 г. и е публикувала приложение с отворен код за проверка на възрастта като преходно решение, докато портфейлите станат широко достъпни. Целта на дизайна е платформата да получава само токен за възрастта, „да“ или „не“, без дата на раждане или друг атрибут.

Ако управлявате нещо с възрастово ограничение (алкохол, хазарт, съдържание за възрастни, някои финансови продукти) или платформа, към която се прилагат очакванията на Акта за цифровите услуги за защита на непълнолетните, това е механизмът, който ви позволява да проверявате възрастта, без да изграждате база данни със сканирани документи за самоличност. Тази база данни е риск, който в момента носите без основателна причина.

Регистрация на клиенти и KYC

Днес регулираната регистрация на клиенти означава качване на документи, проверки за „жив човек“ (liveness), ръчен преглед и опашка. Представянето от портфейла заменя всичко това с криптографска проверка, която приключва за секунди, с по-висока степен на сигурност и без изображения на документи за съхранение.

За банките, застрахователите, криптоуслугите и всички останали, които прилагат KYC, разликата в разходите е значителна. Освен това отпада най-чувствителният набор от данни, който повечето компании пазят.

Трансгранични услуги

Ако обслужвате клиенти в няколко държави членки, днес поддържате интеграции с пъстра мозайка от национални схеми за самоличност или сте се отказали и навсякъде сканирате документи. Една интеграция с портфейла покрива всички тях.

По-малко формуляри за попълване

Потвърдени име, адрес и данни за контакт, представени с едно действие, вместо да се въвеждат във формуляр. Това подобрява както конверсията, така и качеството на данните.

Какво да направите сега

Честният отговор за повечето компании е: засега не много, но няколко неща са евтини и си струват.

Ако сте задължена доверяваща се страна, със срок декември 2027 г., започнете сега. Процесите за регистрация са нови и бавни, националните решения се различават и ще искате да проведете пилот на един пазар, преди да се обвържете. Дванадесет месеца не са много за регулирана интеграция.

Ако не сте задължени, но проверявате възрастта, разгледайте това сериозно през следващите няколко тримесечия. Да съхранявате документи за самоличност, за да проверите дали някой е на осемнадесет, е лоша сделка, а вече има алтернатива.

Ако прилагате KYC или проверка на самоличността, изчислете спестяванията. Нашият опит е, че бизнес аргументът обикновено стои сам, без никакъв аргумент за съответствие.

Ако нищо от горното не се отнася до вас, направете едно нещо: уверете се, че слоят ви за самоличност е абстрахиран. Ако кодът на приложението ви извиква услуга за удостоверяване, а не SDK на конкретен доставчик, добавянето на поддръжка на портфейла по-късно е нов адаптер. Ако логиката ви за вход е разпръсната из контролерите, това е пренаписване.

Какво ще се обърка

Като се има предвид как обикновено протичат подобни въвеждания, очаквайте следното.

Неравномерна наличност. Някои държави членки ще стартират с ограничена функционалност. Проектирайте за случая, в който потребител в една държава има портфейл с пълен набор от функции, а потребител в друга няма, и запазете съществуващия си резервен път.

Бавно приемане от потребителите. Наличността не е използване. Дори в държави със зрели национални схеми за електронна идентификация навлизането отне години. Не премахвайте алтернативните процеси.

Трудности при регистрацията. Процесите при националните регистриращи органи са нови. Предвидете повече време, отколкото подсказва документацията.

Промени в спецификациите. Architecture and Reference Framework е преработвана многократно и ще бъде преработвана отново. Изолирайте обработката на протоколите зад интерфейс, така че актуализация на спецификацията да не засяга бизнес логиката ви.

Къде се вписва това

Портфейлът е една от по-градивните части на настоящата цифрова програма на ЕС. Повечето от останалото налага задължения. Това, след като заработи, премахва цяла категория скъпа и рискова инфраструктура, която компаниите изграждат днес, защото нямат алтернатива.

Нашето ръководство за цифровото съответствие в ЕС за 2026 г. показва как той се съчетава с останалите срокове, а инженерното ръководство за ОРЗД обхваща слоя за защита на данните, на който трябва да отговаря всяка работа със самоличност.

Разработваме системи за удостоверяване и самоличност за компании, които работят в ЕС, и в момента работим по интеграции на доверяващи се страни. Ако искате помощ, за да определите какво би изисквало приемането на портфейла във вашия стек, или имате задължение със срок декември 2027 г. и нямате план, пишете на office@c9group.dev. Повече за работата ни в Европа ще намерите на страницата за навлизане на пазара.