Europejski portfel tożsamości cyfrowej pojawi się w grudniu 2026: jak się przygotować

Do 24 grudnia 2026 każde państwo członkowskie UE musi udostępnić swoim obywatelom i mieszkańcom co najmniej jeden europejski portfel tożsamości cyfrowej. To obowiązek prawny z datą, nie punkt na mapie drogowej.

Rok później, w grudniu 2027, długa lista organizacji zostanie prawnie zobowiązana do jego akceptacji. Banki, przewoźnicy, dostawcy energii, usługi zdrowotne, telekomunikacja, poczta, placówki edukacyjne i operatorzy infrastruktury cyfrowej są na tej liście, wraz z każdym, kto już musi stosować silne uwierzytelnianie użytkownika.

Dla wszystkich pozostałych akceptacja jest opcjonalna. Warto to jednak zrozumieć, bo portfel rozwiązuje kilka problemów, na które firmy dziś wydają realne pieniądze, i to źle.

Czym właściwie jest portfel

Europejski portfel tożsamości cyfrowej wywodzi się ze zmienionego rozporządzenia eIDAS, zwykle nazywanego eIDAS 2. To aplikacja mobilna przechowująca zweryfikowane atrybuty tożsamości i poświadczenia wydane przez zaufane podmioty, które użytkownik może selektywnie okazać każdemu, kto o nie prosi.

Trzy właściwości odróżniają go od systemów tożsamości, których dziś używa większość witryn.

Ma oparcie państwowe. Tożsamość w portfelu wywodzi się z krajowego systemu identyfikacji elektronicznej. To nie jest profil samodeklarowany.

Wspiera selektywne ujawnianie. Użytkownik może udowodnić, że ma powyżej osiemnastu lat, nie ujawniając daty urodzenia, albo wykazać zamieszkanie w państwie członkowskim bez ujawniania adresu. To część o największych praktycznych konsekwencjach dla projektowania produktu.

Działa transgranicznie. Portfel wydany w Słowenii musi zostać zaakceptowany przez strony ufające w Niemczech. To cały sens rozporządzenia i dokładnie to, czego krajowe systemy tożsamości konsekwentnie nie dostarczyły.

Obok portfeli obywatelskich Komisja zaproponowała europejski portfel biznesowy dla osób prawnych, ukierunkowany na reprezentację, pełnomocnictwa i wymianę oficjalnych dokumentów między firmami a administracją. Ta propozycja przyszła z pakietem Digital Omnibus w listopadzie 2025 i przechodzi przez Parlament, a projekt sprawozdania sprawozdawcy opublikowano w marcu 2026. To dalsza perspektywa, ale to akt do obserwowania, jeśli twój produkt dotyka tożsamości firmowej, pełnomocnictw albo wymiany dokumentów B2B.

Gdzie naprawdę jest wdrożenie

Dojrzałość różni się ogromnie między państwami członkowskimi i trzeba być co do tego realistą.

Kilka krajów dostarczyło krajowe wdrożenia przed terminem. Francja ma France Identité, Austria ma eAusweise, Włochy mają IT-Wallet. Inne są dalej w tyle, a niektóre dojdą do terminu grudnia 2026 z ograniczoną pierwszą wersją zamiast pełnego zestawu funkcji.

Państwa członkowskie mogą spełnić obowiązek na trzy sposoby: same zbudować i wydać portfel, zlecić to podmiotowi zewnętrznemu albo uznać portfel zbudowany przez sektor prywatny. To znaczy, że ekosystem, z którym się zintegrujesz, nie będzie jednolity, i właśnie dlatego liczą się specyfikacje interoperacyjności.

Rola strony ufającej

Jeśli chcesz akceptować poświadczenia z portfela, stajesz się stroną ufającą, a to rola rejestrowana, nie nieformalna.

Proces w zarysie:

1. Rejestracja u krajowego rejestratora. Deklarujesz, jakie atrybuty zamierzasz pozyskiwać i w jakim celu. To realna kontrola, nie formularz. Nie zarejestrujesz się po to, by pytać o pełny zestaw danych tożsamości obywatela, bo kiedyś może się przydać.
2. Uzyskanie certyfikatów dostępu strony ufającej. Uwierzytelniają cię wobec portfeli i pozwalają użytkownikom zobaczyć, kto pyta.
3. Wdrożenie protokołów prezentacji. Zażądać poświadczeń, odebrać prezentację, zweryfikować ją.
4. Weryfikacja kryptograficzna. Walidacja podpisu, walidacja łańcucha zaufania wobec listy zaufania UE, sprawdzenie unieważnienia.
5. Pytaj o minimum. Minimalizacja danych jest tu wymuszona strukturalnie. Jeśli zarejestrowałeś się, by sprawdzać wiek, możesz pytać o poświadczenie wieku, nie o datę urodzenia.

Ten ostatni punkt zasługuje na podkreślenie, bo odwraca zwykłą integrację tożsamości. W większości systemów dostajesz ładunek i decydujesz, co zachować. Tu deklarujesz z góry, o co możesz pytać, a architektura powstrzymuje cię przed nadmiarowym zbieraniem. To naprawdę lepszy model i sprawia, że ocena skutków dla weryfikacji tożsamości robi się znacznie krótsza.

Standardy, które napotkasz

Stos techniczny czerpie z kilku specyfikacji, a jeśli szacujesz pracę, to są skróty, które się pojawią:

• ISO/IEC 18013-5, standard mobilnego prawa jazdy, dostarczający model prezentacji w bliskim zasięgu i sporą część myślenia o formatach poświadczeń.
• W3C Verifiable Credentials, dla modelu danych poświadczeń.
• OpenID for Verifiable Presentations i OpenID for Verifiable Credential Issuance, dla przepływów żądania i wydawania przez sieć.
• SD-JWT, dla selektywnego ujawniania pojedynczych oświadczeń.
• EUDI Architecture and Reference Framework opublikowany przez Komisję, który to wszystko spina i który powinieneś przeczytać przed jakimkolwiek szacowaniem.

Nic z tego nie jest egzotyczne, jeśli twój zespół pracował z OpenID Connect. Znacząco różni się jednak od integracji logowania SAML czy OIDC, bo weryfikujesz poświadczenia kryptograficznie zamiast ufać oświadczeniu sesji dostawcy tożsamości.

Gdzie portfel rozwiązuje realny problem

Pomijając zgodność, jest kilka miejsc, gdzie to po prostu lepsze niż to, co istnieje dziś.

Weryfikacja wieku

To najbardziej bezpośrednie zastosowanie i jest mocno promowane. Komisja Europejska nakłania państwa członkowskie do posiadania rozwiązań weryfikacji wieku do 31 grudnia 2026 i opublikowała otwartoźródłową aplikację weryfikacji wieku jako pomost do czasu szerokiej dostępności portfeli. Celem projektowym jest, by platforma otrzymywała jedynie token wieku, tak albo nie, bez daty urodzenia i innych atrybutów.

Jeśli prowadzisz cokolwiek z ograniczeniem wiekowym, alkohol, hazard, treści dla dorosłych, pewne produkty finansowe, albo platformę objętą oczekiwaniami aktu o usługach cyfrowych co do ochrony małoletnich, to jest mechanizm pozwalający sprawdzać wiek bez budowania bazy zeskanowanych dokumentów tożsamości. Ta baza to zobowiązanie, które dziś dźwigasz bez dobrego powodu.

Onboarding i KYC

Regulowany onboarding dziś to przesyłanie dokumentów, badanie żywotności, ręczna weryfikacja i kolejka. Prezentacja z portfela zastępuje to weryfikacją kryptograficzną kończącą się w sekundy, z wyższym poziomem pewności i bez obrazów dokumentów do przechowywania.

Dla banków, ubezpieczycieli, usług kryptowalutowych i każdego prowadzącego KYC różnica kosztu jest znacząca. Usuwa też najbardziej wrażliwy zbiór danych, jaki większość firm posiada.

Usługi transgraniczne

Jeśli obsługujesz klientów w kilku państwach członkowskich, dziś utrzymujesz integracje z mozaiką systemów krajowych albo rezygnujesz i wszędzie skanujesz dokumenty. Jedna integracja portfela pokrywa je wszystkie.

Mniej tarcia w formularzach

Zweryfikowane imię, adres i dane kontaktowe okazane w jednym działaniu zamiast wpisywane w formularz. To poprawa i konwersji, i jakości danych.

Co robić teraz

Uczciwa odpowiedź dla większości firm brzmi: jeszcze niewiele, ale kilka rzeczy jest tanich i wartych zrobienia.

Jeśli jesteś zobowiązaną stroną ufającą, z terminem w grudniu 2027, zacznij teraz. Procesy rejestracji są nowe i wolne, wdrożenia krajowe się różnią, a przed zobowiązaniem zechcesz zrobić pilotaż na jednym rynku. Dwanaście miesięcy to nie jest hojnie na regulowaną integrację.

Jeśli nie jesteś zobowiązany, ale robisz weryfikację wieku, przyjrzyj się temu poważnie w najbliższych kwartałach. Przechowywanie dokumentów tożsamości, by sprawdzić, czy ktoś ma osiemnaście lat, to zły interes, a teraz jest alternatywa.

Jeśli prowadzisz KYC lub weryfikację tożsamości, policz oszczędność. Nasze doświadczenie mówi, że uzasadnienie biznesowe broni się samo, bez żadnego argumentu zgodnościowego.

Jeśli nic z powyższego nie dotyczy, zrób jedną rzecz: upewnij się, że warstwa tożsamości jest zabstrahowana. Jeśli kod aplikacji wywołuje usługę uwierzytelniania zamiast SDK konkretnego dostawcy, dodanie obsługi portfela później to nowy adapter. Jeśli logika logowania jest rozsypana po kontrolerach, to przepisanie.

Co pójdzie nie tak

Na podstawie tego, jak zwykle idą takie wdrożenia, spodziewaj się:

Nierównej dostępności. Część państw wystartuje z ograniczoną funkcjonalnością. Buduj na wypadek, gdy użytkownik w jednym kraju ma pełny portfel, a w innym nie, i zachowaj istniejącą ścieżkę awaryjną.

Powolnej adopcji. Dostępność to nie użycie. Nawet w krajach z dojrzałymi krajowymi systemami eID przenikanie zajęło lata. Nie usuwaj alternatywnych ścieżek.

Tarcia rejestracyjnego. Procedury krajowych rejestratorów są nowe. Zaplanuj więcej czasu, niż sugeruje dokumentacja.

Dryfu specyfikacji. Architecture and Reference Framework był wielokrotnie zmieniany i będzie zmieniany dalej. Odizoluj obsługę protokołów za interfejsem, żeby aktualizacja specyfikacji nie dotykała logiki biznesowej.

Gdzie to pasuje

Portfel to jeden z bardziej konstruktywnych elementów obecnej unijnej agendy cyfrowej. Reszta głównie nakłada obowiązki. Ten, gdy zacznie działać, usuwa całą kategorię kosztownej i ryzykownej infrastruktury, którą firmy budują dziś, bo nie mają alternatywy.

Nasz przewodnik po zgodności cyfrowej UE 2026 pokazuje, jak plasuje się obok innych terminów, a inżynierski przewodnik po RODO omawia warstwę ochrony danych, którą każda praca nad tożsamością musi spełnić.

Budujemy systemy uwierzytelniania i tożsamości dla firm działających w UE i pracujemy teraz nad integracjami stron ufających. Jeśli chcesz pomocy w zakresowaniu, ile kosztowałaby akceptacja portfela w twoim stosie, albo masz obowiązek na grudzień 2027 bez planu, napisz na office@c9group.dev. Więcej o naszej pracy w Europie na stronie o wejściu na rynek europejski.