Stafræna auðkennisveski ESB: hvað 2026 og 2027 þýða fyrir þá sem smíða

Fyrir 24. desember 2026 verður hvert aðildarríki ESB að gera að minnsta kosti eitt stafrænt auðkennisveski aðgengilegt borgurum sínum. Frá desember 2027 verður stór hópur einkaaðila skyldugur til að taka við því.

Það er stutta samantektin á reglugerð (ESB) 2024/1183, sem almennt er kölluð eIDAS 2. Hún er einn af fáum stafrænum gerningum ESB sem skapar innviði frekar en takmarkanir og er þess vegna áhugaverðari en flestir.

Hvað veskið er

EUDI veskið er forrit gefið út eða viðurkennt af aðildarríki sem geymir rafræn auðkennisgögn og rafrænar staðfestingar einstaklings og gerir honum kleift að framvísa þeim valkvætt.

Þrír eiginleikar gera það frábrugðið fyrri landsbundnum rafrænum auðkennakerfum.

Virkni yfir landamæri er skylda. Veski gefið út í einu aðildarríki verður að vera viðurkennt í öllum öðrum. Þetta var veiki punktur eldra eIDAS kerfisins.

Valkvæð framvísun er kjarnaeiginleiki. Notandinn getur sannað að hann sé eldri en 18 ára án þess að gefa upp fæðingardag, eða sannað búsetuland án þess að gefa upp heimilisfang. Þetta er verulegur munur frá sjónarhóli persónuverndar og það er líka sá eiginleiki sem breytir mest hönnun þeirra vara sem samþætta.

Staðfestingar ná víðar en auðkenni. Veskið getur geymt rafrænar staðfestingar eiginleika: ökuskírteini, prófgráðu, starfsréttindi, fyrirtækjaumboð, sjúkratryggingavottorð, aldur og með tímanum margt fleira.

Tímalínan

• 20. maí 2024: reglugerðin tók gildi.
• Á árunum 2024 og 2025: framkvæmdargerðir um tækniforskriftir, vottun og skráningu treystandi aðila.
• 24. desember 2026: aðildarríki verða að gera að minnsta kosti eitt veski aðgengilegt.
• 24. desember 2027: skyldubundnir treystandi aðilar verða að taka við veskinu.

Tvö ár eru stuttur tími fyrir stórt fyrirtæki þar sem auðkenningarlagið hefur vaxið í áratug.

Hverjir verða að taka við því

Meðal skyldubundinna treystandi aðila eru:

• Opinberir aðilar sem krefjast auðkenningar notenda fyrir rafræna þjónustu.
• Einkaaðilar sem samkvæmt lögum þurfa sterka auðkenningu notenda, þar á meðal banka- og fjármálaþjónusta.
• Mjög stórir netvettvangar samkvæmt stafrænu þjónustulögunum.
• Þjónustuveitendur í greinum þar sem sterkrar auðkenningar er krafist, þar á meðal samgöngum, orku, heilbrigðisþjónustu, almannatryggingum og fjarskiptum.

Ef þú starfar í þessum greinum er desember 2027 harður frestur og vinnan hefst ekki þá.

Ef ekki geturðu samt tekið við veskinu frjálst og það eru tilvik þar sem það borgar sig þegar af notendaupplifunarástæðum einum saman.

Hvers vegna frjáls móttaka er áhugaverð

Þrjú notkunartilvik þar sem veskið leysir raunverulegt vandamál.

Aldursstaðfesting án myndar af skilríkjum. Ef þú selur áfengi, tóbaksvörur, fullorðinsefni eða aldursbundið efni er núverandi lausnin þín líklega annaðhvort heiðursyfirlýsing eða þjónusta þriðja aðila sem biður um mynd af skilríkjum. Valkvæð framvísun skilar dulkóðunarlega staðfestu „eldri en 18“ án þess að þú þurfir að safna eða geyma neitt.

Þetta er ekki bara þægilegra. Það minnkar GDPR yfirborð þitt verulega, því þú vinnur ekki lengur með auðkennisskjöl.

Innritun án eyðublaða. Í fjármálaþjónustu, tryggingum og reglusettri innritun er ferlið við að þekkja viðskiptavininn hægt og þar hætta notendur við. Staðfest auðkenni úr veskinu fyllir reitina og kemur með tryggingu með sér.

Staðfesting starfsréttinda. Fyrir vettvanga sem tengja fagfólk við viðskiptavini fjarlægir staðfest réttindavottorð handvirkt eftirlitsþrep og áhættu á fölsun.

Hvernig samþætting virkar

Líkanið er kunnuglegt ef þú hefur útfært OpenID Connect, en það er ekki eins.

Þú skráir þig sem treystandi aðili. Þetta er formlegt þrep í aðildarríki. Þú lýsir yfir hver þú ert, hvaða eiginleika þú ætlar að biðja um og í hvaða tilgangi. Skráningin er opinber og hún er hluti af gagnsæislíkaninu.

Þú biður um eiginleika, ekki auðkenni. Beiðnin þín tilgreinir hvaða staðfestingar þú þarft. Frá hönnunarsjónarmiði er lykilatriðið að biðja um lágmarkið. Skráningin þín afmarkar hvað þú mátt biðja um og notandinn sér beiðnina.

Notandinn samþykkir í veskinu sínu. Samskiptin fara fram í veskisforritinu, ekki í þínu viðmóti. Þú færð svarið.

Þú staðfestir framvísunina. Svarið er dulkóðunarlega undirritað og þú staðfestir undirskriftina og traustkeðju útgefandans. Hér liggur raunverulega tæknivinnan og hér nota flest teymi safn frekar en beina útfærslu.

Tæknilega byggja forskriftirnar á staðfestanlegum skilríkjum W3C, ISO mDL staðlinum fyrir ökuskírteini í síma og OpenID for Verifiable Presentations samskiptareglunni. Viðmiðunarútfærsla er tiltæk og stórar tilraunir hafa prófað þetta í reynd.

Hvað á að skipuleggja núna

Ef desember 2027 varðar þig er fyrsta verkið ekki veskisamþætting. Það er auðkenningarlagið þitt.

Aðskildu auðkenningu frá staðfestingu auðkennis. Í flestum kerfum eru þetta samofið. Notandaaðgangur, lykilorð og staðfest auðkenni eru þrír ólíkir hlutir og veskið varðar þann þriðja. Ef þeir eru fléttaðir saman er hver breyting áhættusöm.

Gerðu auðkennisgögn upprunameðvituð. Þú verður að vita hvaða reitir eru sjálfsagðir af notandanum og hverjir eru staðfestir, og úr hvaða heimild. Þetta eru lýsigögn á reitastigi og það er sársaukafullt að bæta þeim við eftir á.

Hannaðu fyrir valkvæða framvísun. Ef varan þín þarf fæðingardag aðeins til að athuga aldur, ekki geyma fæðingardag. Verðmæti veskisins felst í því að þú færð svar við spurningu án bakgrunnsgagnanna og kerfið verður að kunna að geyma svarið.

Smíðaðu staðfestingageymslu með gildistíma. Staðfestingar renna út og hægt er að afturkalla þær. Staðfestur eiginleiki er ekki varanlegur sannleikur. Þú þarft endurskoðunarrökfræði og ákvörðun um hvað gerist þegar staðfesting er afturkölluð.

Skipuleggðu varaleið. Ekki allir verða með veski árið 2027 og ekki heldur árið 2030. Veskið er viðbótarleið, ekki staðgengill, og varan verður að virka án þess.

Persónuverndarhliðin

Reglugerðin byggir inn verndarráðstafanir sem skipta máli fyrir útfærsluna.

Veskisveitendur mega ekki safna upplýsingum um færslur notandans nema þær séu nauðsynlegar fyrir virkni veskisins. Treystandi aðilar mega ekki biðja um fleiri eiginleika en þarf í yfirlýstum tilgangi. Notandinn verður að geta séð og stjórnað því sem hefur verið deilt.

Í reynd þýðir þetta að biðja um umfram er ekki bara vondur siður, það stríðir gegn skráningunni. Skráningarlýsingin þín verður að samsvara því sem þú biður raunverulega um.

Tengingin við greiðslur

EUDI veskið og breytingar á greiðslusviðinu mætast á áhugaverðan hátt.

Bankar eru skyldubundnir treystandi aðilar. Veskið getur geymt greiðslutengdar heimildir. Sterk auðkenning viðskiptavinar er svið þar sem veskisbundin auðkenning gæti með tímanum einfaldað núverandi útfærslur.

Samhliða breiðast afgreiðslulausnir byggðar á millifærslum eins og Wero út og staðfesting greiðsluviðtakanda hefur þegar fært nafnastaðfestingu inn í hverja millifærslu. Stefnan er í átt að greiðslum þar sem auðkenni er staðfest á innviðastigi frekar en ályktað af því að hafa kort undir höndum.

Heiðarlegt mat á tímasetningu

Tvennt er rétt að segja hreint út.

Í fyrsta lagi er upptaka veskisins meðal notenda óviss. Aðildarríki afhenda veskin, en hvort fólk notar þau veltur á því hvort eitthvað gagnlegt sé í þeim. Fyrri landsbundin rafræn auðkennakerfi hafa gengið mjög misjafnlega, nánast almenn í Eistlandi og jaðarfyrirbæri í mörgum öðrum löndum.

Í öðru lagi er vistkerfið ójafnt. Sum aðildarríki eru langt komin, önnur ekki. Virkni yfir landamæri virkar tæknilega en þarf að prófa í reynd.

Það sem draga má af þessu: ef þú ert skyldubundinn, vinndu verkið, en gerðu ekki ráð fyrir að veskið verði aðalauðkenningarleiðin fljótt. Ef þú ert ekki skyldubundinn er aldursstaðfestingartilvikið besta ástæðan til að prófa snemma, því ávinningurinn er strax og óháður almennri upptöku.

Hvar á að byrja

Athugaðu hvort þú sért skyldubundinn. Greinalistinn er breiður og hann nær til fyrirtækja sem líta ekki á sig sem reglusett.

Kortleggðu auðkenningarlagið þitt. Hvar er auðkenni staðfest, hvar er það gefið sér, og hvaða reiti geymirðu og hvers vegna.

Veldu notkunartilvik. Ekki reyna að samþætta veskið alls staðar. Veldu eitt flæði þar sem það leysir raunverulegt vandamál og smíðaðu það vel.

Fylgstu með framkvæmdargerðum og viðmiðunarútfærslunni. Tæknileg smáatriði eru enn að festast og snemmbær útfærsla með eigin lausnum úreldist.

Hvar við hjálpum

Við smíðum auðkenningar- og auðkenniskerfi fyrir fyrirtæki sem starfa í Evrópu, þar á meðal leiðinlegu vinnuna við að aðskilja auðkenningu frá staðfestingu auðkennis í kerfi sem hefur vaxið saman í mörg ár.

Ef desember 2027 varðar þig eða ef aldursstaðfestingartilvikið vekur áhuga fyrr, skrifaðu á office@c9group.dev. Meira um vinnu okkar á síðunni um markaðsinngöngu í ESB og heildarmynd regluverksins í handbók okkar um stafrænt regluverk ESB 2026.

Við erum verkfræðingar en ekki lögmenn. Hvort þú sért skyldubundinn treystandi aðili er spurning fyrir lögmenn ykkar.