EU's digitale identitetstegnebog kommer i december 2026: sådan forbereder du dig

Inden 24. december 2026 skal hver EU-medlemsstat gøre mindst én europæisk digital identitetstegnebog tilgængelig for sine borgere og indbyggere. Det er en retlig pligt med en dato, ikke et punkt på en køreplan.

Et år senere, i december 2027, bliver en lang liste af organisationer retligt forpligtet til at acceptere den. Banker, transportoperatører, energileverandører, sundhedstjenester, telekommunikation, posttjenester, uddannelsesinstitutioner og operatører af digital infrastruktur står på listen, sammen med alle andre, der allerede er pålagt at bruge stærk brugerautentificering.

For alle andre er accept frivillig. Det er stadig værd at forstå, fordi tegnebogen løser flere problemer, virksomheder i dag bruger reelle penge på, og gør det dårligt.

Hvad tegnebogen faktisk er

Den europæiske digitale identitetstegnebog kommer fra den reviderede eIDAS-forordning, sædvanligvis kaldet eIDAS 2. Det er en mobilapplikation, der indeholder verificerede identitetsattributter og legitimationer, udstedt af betroede parter, som en bruger kan fremvise selektivt til den, der spørger.

Tre egenskaber adskiller den fra de identitetssystemer, de fleste websites bruger i dag.

Den er statsligt forankret. Identiteten i tegnebogen er udledt af en national elektronisk identitetsordning. Det er ikke en selvrapporteret profil.

Den understøtter selektiv videregivelse. En bruger kan bevise, at hun er over atten uden at afsløre fødselsdato, eller bevise bopæl i en medlemsstat uden at afsløre adresse. Det er den del med størst praktisk betydning for produktdesign.

Den fungerer på tværs af grænser. En tegnebog udstedt i Slovenien skal accepteres af forlidende parter i Tyskland. Det er hele pointen med forordningen, og præcis det, nationale identitetsordninger konsekvent ikke har leveret.

Ved siden af borgertegnebøger har Kommissionen foreslået en europæisk erhvervstegnebog for juridiske personer, rettet mod repræsentation, fuldmagter og udveksling af officielle dokumenter mellem virksomheder og offentlige myndigheder. Forslaget kom med Digital Omnibus-pakken i november 2025 og går gennem Parlamentet, med ordførerens udkast til betænkning offentliggjort i marts 2026. Det ligger længere fremme, men er den sag at følge, hvis dit produkt berører virksomhedsidentitet, fuldmagter eller dokumentudveksling mellem virksomheder.

Hvor gennemførelsen faktisk står

Modenheden varierer enormt mellem medlemsstaterne, og det er værd at være realistisk om det.

Flere lande har leveret nationale gennemførelser før fristen. Frankrig har France Identité, Østrig har eAusweise, Italien har IT-Wallet. Andre er længere bagud, og nogle når decemberfristen i 2026 med en begrænset første version i stedet for fuld funktionalitet.

Medlemsstaterne kan opfylde pligten på tre måder: bygge og udstede en tegnebog selv, give en tredjepart opgaven, eller anerkende en tegnebog bygget af den private sektor. Det betyder, at det økosystem, du integrerer mod, ikke bliver ensartet, hvilket er præcis derfor, interoperabilitetsspecifikationerne betyder noget.

Rollen som forlidende part

Vil du acceptere legitimationer fra tegnebogen, bliver du forlidende part, og det er en registreret rolle, ikke en uformel.

Processen i grove træk:

1. Registrér dig hos den nationale registeransvarlige. Du oplyser, hvilke attributter du agter at bede om og til hvilket formål. Dette er en reel kontrol, ikke en formular. Du kan ikke registrere dig for at bede om en borgers fulde identitetsdatasæt, fordi det måske bliver nyttigt engang.
2. Skaf adgangscertifikater for forlidende parter. De autentificerer dig over for tegnebøger og lader brugere se, hvem der spørger.
3. Implementér fremvisningsprotokollerne. Bed om legitimationer, modtag en fremvisning, verificér den.
4. Verificér kryptografisk. Signaturvalidering, validering af tillidskæde mod EU's tillidsliste, tilbagekaldelseskontrol.
5. Bed om minimum. Dataminimering håndhæves strukturelt her. Er du registreret til at kontrollere alder, kan du bede om en aldersbekræftelse, ikke en fødselsdato.

Det sidste punkt fortjener vægt, fordi det vender den sædvanlige identitetsintegration om. I de fleste systemer modtager du en nyttelast og beslutter, hvad du beholder. Her erklærer du på forhånd, hvad du må bede om, og arkitekturen forhindrer dig i at indsamle for meget. Det er en genuint bedre model, og det gør din konsekvensanalyse for identitetsverificering betydeligt kortere.

De standarder, du vil møde

Den tekniske stak trækker på flere specifikationer, og afgrænser du arbejde, er dette de forkortelser, der dukker op:

• ISO/IEC 18013-5, standarden for mobilt kørekort, som leverer fremvisningsmodellen på kort afstand og meget af tænkningen om legitimationsformater.
• W3C Verifiable Credentials, til datamodellen for legitimationer.
• OpenID for Verifiable Presentations og OpenID for Verifiable Credential Issuance, til anmodnings- og udstedelsesflows over web.
• SD-JWT, til selektiv videregivelse af enkelte oplysninger.
• EUDI Architecture and Reference Framework, offentliggjort af Kommissionen, som binder det hele sammen, og som du bør læse, før du estimerer noget.

Intet af dette er eksotisk, hvis dit team har arbejdet med OpenID Connect. Det adskiller sig dog væsentligt fra en SAML- eller OIDC-loginintegration, fordi du verificerer legitimationer kryptografisk i stedet for at stole på en identitetsudbyders sessionsbekræftelse.

Hvor tegnebogen løser et reelt problem

Compliance til side findes der flere steder, hvor dette simpelthen er bedre end det, der findes i dag.

Aldersverificering

Dette er den mest umiddelbare anvendelse, og der presses hårdt på. Europa-Kommissionen har opfordret medlemsstaterne til at have løsninger til aldersverificering på plads inden 31. december 2026 og har offentliggjort en open source-app til aldersverificering som bro, indtil tegnebøger er bredt tilgængelige. Designmålet er, at en platform kun modtager et alderstoken, et ja eller nej, uden fødselsdato eller andre attributter.

Driver du noget med aldersgrænse, alkohol, spil, voksenindhold, visse finansprodukter, eller en platform underlagt forordningen om digitale tjenesters forventninger til beskyttelse af mindreårige, er dette den mekanisme, der lader dig kontrollere alder uden at bygge en database med scannede identitetsdokumenter. Den database er et ansvar, du i dag bærer uden god grund.

Onboarding og KYC

Reguleret onboarding betyder i dag dokumentupload, liveness-kontroller, manuel gennemgang og kø. En tegnebogsfremvisning erstatter det med en kryptografisk verificering, der gennemføres på sekunder, med højere sikkerhed og uden dokumentbilleder at gemme.

For banker, forsikringsselskaber, kryptotjenester og alle andre, der laver KYC, er omkostningsforskellen betydelig. Det fjerner også det mest følsomme datasæt, de fleste virksomheder har.

Grænseoverskridende tjenester

Betjener du kunder i flere medlemsstater, vedligeholder du i dag integrationer mod et kludetæppe af nationale ordninger, eller du giver op og scanner dokumenter overalt. Én tegnebogsintegration dækker dem alle.

Mindre formularfriktion

Verificeret navn, adresse og kontaktoplysninger fremvist i én handling i stedet for tastet ind i en formular. Det er en konverteringsgevinst såvel som en datakvalitetsgevinst.

Hvad du bør gøre nu

Det ærlige svar for de fleste virksomheder er: ikke så meget endnu, men et par ting er billige og værd at gøre.

Er du en forpligtet forlidende part, med frist i december 2027, så start nu. Registreringsprocesserne er nye og langsomme, nationale gennemførelser varierer, og du vil gerne pilotere på ét marked, før du forpligter dig. Tolv måneder er ikke rundhåndet til en reguleret integration.

Er du ikke forpligtet, men laver aldersverificering, så se seriøst på dette de næste kvartaler. At gemme identitetsdokumenter for at kontrollere, om nogen er atten, er en dårlig handel, og nu findes et alternativ.

Laver du KYC eller identitetsverificering, så modellér besparelsen. Vores erfaring er, at forretningscasen står på egne ben, uden noget complianceargument.

Gælder ingen af delene, så gør én ting: sørg for, at dit identitetslag er abstraheret. Kalder din applikationskode en autentificeringstjeneste i stedet for en bestemt leverandørs SDK, bliver tegnebogsunderstøttelse senere en ny adapter. Ligger loginlogikken spredt i controllere, er det en omskrivning.

Hvad der kommer til at gå galt

Baseret på hvordan sådanne udrulninger sædvanligvis går, så forvent følgende.

Ujævn tilgængelighed. Nogle medlemsstater lancerer med begrænset funktionalitet. Byg til det tilfælde, hvor en bruger i ét land har fuld tegnebog og en i et andet ikke har, og behold din eksisterende reserveløsning.

Langsom brugerudbredelse. Tilgængelighed er ikke brug. Selv i lande med modne nationale eID-ordninger tog udbredelsen år. Fjern ikke alternative flows.

Registreringsfriktion. De nationale registerprocesser er nye. Afsæt mere tid, end dokumentationen antyder.

Specifikationsdrift. Architecture and Reference Framework er revideret gentagne gange og vil blive revideret igen. Isolér protokolhåndteringen bag en grænseflade, så en specifikationsopdatering ikke rører forretningslogikken.

Hvor dette passer ind

Tegnebogen er et af de mere konstruktive elementer i EU's digitale dagsorden lige nu. Det meste af resten pålægger pligter. Denne fjerner, når den virker, en hel kategori af dyr og risikabel infrastruktur, virksomheder bygger i dag, fordi de ikke har et alternativ.

Vores guide til EU digital compliance 2026 viser, hvordan den placerer sig ved siden af de andre frister, og den ingeniørrettede GDPR-guide dækker det databeskyttelseslag, alt identitetsarbejde skal opfylde.

Vi bygger autentificerings- og identitetssystemer for virksomheder i EU og arbejder nu med integrationer for forlidende parter. Vil du have hjælp til at afgrænse, hvad tegnebogsaccept ville kræve i din stak, eller har du en pligt i december 2027 uden plan, så skriv til office@c9group.dev. Mere om vores europæiske arbejde på siden om markedsindtræden i Europa.