EU:s digitala identitetsplånbok kommer i december 2026: så förbereder du dig

Senast den 24 december 2026 måste varje EU-medlemsstat göra minst en europeisk digital identitetsplånbok tillgänglig för sina medborgare och invånare. Det är en rättslig skyldighet med ett datum, inte en punkt på en färdplan. Alla stater kommer inte att vara redo på dagen: Tysklands digitaliseringsministerium har planerat sin plånbok, d-you, till den 2 januari 2027, och vissa medlemsstater ligger ännu längre efter.

Ett år senare, i december 2027, blir en lång rad organisationer skyldiga enligt lag att godta den. Banker, transportföretag, energibolag, hälso- och sjukvård, telekomoperatörer, posttjänster, utbildningsanordnare och operatörer av digital infrastruktur finns alla på den listan, tillsammans med alla andra som redan är skyldiga att använda stark användarautentisering.

För alla andra är det frivilligt att godta den. Den är ändå värd att förstå, eftersom plånboken löser flera problem som företag i dag lägger verkliga pengar på att lösa dåligt.

Vad plånboken faktiskt är

Den europeiska digitala identitetsplånboken kommer från den reviderade eIDAS-förordningen, som oftast kallas eIDAS 2. Det är en mobilapp som innehåller verifierade identitetsattribut och intyg, utfärdade av betrodda parter, som användaren kan visa upp selektivt för den som frågar.

Tre egenskaper skiljer den från de identitetssystem som de flesta webbplatser använder i dag.

Den har staten i ryggen. Identiteten i plånboken härleds från ett nationellt system för elektronisk identifiering. Det är ingen profil som användaren själv har uppgett.

Den stöder selektivt utlämnande. En användare kan bevisa att hen är över arton utan att avslöja sitt födelsedatum, eller bevisa att hen är bosatt i en medlemsstat utan att avslöja sin adress. Det är den del som får störst praktiska konsekvenser för produktdesignen.

Den fungerar över gränserna. En plånbok som har utfärdats i Slovenien måste godtas av förlitande parter i Tyskland. Det är hela poängen med förordningen, och det är just det som de nationella identitetssystemen konsekvent har misslyckats med.

Vid sidan av plånböckerna för medborgare har kommissionen föreslagit en europeisk företagsplånbok (European Business Wallet) för juridiska personer, inriktad på företrädare för bolag, fullmakter och utbyte av officiella handlingar mellan företag och myndigheter. Förslaget kom med omnibuspaketet Digital Omnibus i november 2025. Rådet antog sin förhandlingsposition den 9 juni 2026, och den 10 september 2026 antog parlamentets industriutskott (ITRE) sitt betänkande tillsammans med ett mandat att förhandla med rådet. Den ligger längre fram i tiden, men om din produkt hanterar företagsidentitet, fullmakter eller utbyte av handlingar mellan företag är det det ärendet du ska bevaka.

Hur långt genomförandet faktiskt har kommit

Beredskapen skiljer sig enormt mellan medlemsstaterna, och det är värt att vara realistisk om det.

Flera länder har lanserat nationella lösningar före tidsfristen. Frankrike har France Identité, Österrike har eAusweise och Italien har IT-Wallet. Andra ligger längre efter, och en del kommer att klara tidsfristen i december 2026 med en begränsad första version snarare än hela funktionsuppsättningen.

Medlemsstaterna kan uppfylla skyldigheten på tre sätt: själva bygga och utfärda en plånbok, ge en tredje part i uppdrag att göra det eller erkänna en plånbok som byggts av den privata sektorn. Det betyder att ekosystemet du integrerar mot inte kommer att vara enhetligt, och det är just därför interoperabilitetsspecifikationerna spelar roll.

Rollen som förlitande part

Om du vill godta intyg från plånboken blir du en förlitande part (relying party), och det är en registrerad roll, inte en informell.

Processen i korthet:

1. Registrera dig hos din nationella registrator. Du anger vilka attribut du tänker begära och i vilket syfte. Det är en verklig kontroll, inte ett formulär. Du kan inte registrera dig för att begära en medborgares fullständiga identitetsuppgifter för att de kanske kan vara användbara någon gång.
2. Skaffa åtkomstcertifikat för förlitande part. De autentiserar dig mot plånböckerna och låter användarna se vem som frågar.
3. Implementera protokollen för uppvisande. Begär intyg, ta emot ett uppvisande, verifiera det.
4. Verifiera kryptografiskt. Validering av signaturer, validering av förtroendekedjan mot EU:s förtroendelista, kontroll av återkallelser.
5. Begär det minsta möjliga. Uppgiftsminimering upprätthålls här av själva strukturen. Om du har registrerat dig för att kontrollera ålder kan du be om ett åldersintyg, inte ett födelsedatum.

Den sista punkten förtjänar att betonas, eftersom den vänder på den vanliga identitetsintegrationen. I de flesta system får du en datamängd och bestämmer själv vad du ska spara. Här anger du i förväg vad du får fråga efter, och arkitekturen hindrar dig från att samla in för mycket. Det är en genuint bättre modell, och den gör din konsekvensbedömning avseende dataskydd för identitetsverifiering betydligt kortare.

Standarderna du kommer att stöta på

Den tekniska stacken bygger på flera specifikationer, och om du avgränsar ett arbete är det här förkortningarna som kommer att dyka upp:

• ISO/IEC 18013-5, standarden för mobilt körkort, som står för modellen för uppvisande på nära håll och mycket av tänkandet kring intygsformat.
• W3C Verifiable Credentials, för datamodellen för intyg.
• OpenID for Verifiable Presentations och OpenID for Verifiable Credential Issuance, för flödena för begäran och utfärdande över webben.
• SD-JWT, för selektivt utlämnande av enskilda påståenden.
• EUDI Architecture and Reference Framework, som kommissionen publicerar, och som är dokumentet som binder ihop allt detta och som du bör läsa innan du uppskattar något.

Inget av detta är exotiskt om ditt team har arbetat med OpenID Connect. Det skiljer sig ändå på ett väsentligt sätt från en inloggningsintegration med SAML eller OIDC, eftersom du verifierar intyg kryptografiskt i stället för att lita på en identitetsleverantörs sessionsintyg.

Där plånboken löser ett verkligt problem

Bortsett från regelefterlevnaden finns det flera områden där det här helt enkelt är bättre än det som finns i dag.

Åldersverifiering

Det här är det mest omedelbara användningsområdet, och det drivs hårt. Europeiska kommissionen har uppmanat medlemsstaterna att ha lösningar för åldersverifiering på plats senast den 31 december 2026 och har publicerat en app för åldersverifiering med öppen källkod som en brygga tills plånböckerna finns allmänt tillgängliga. Målet med utformningen är att en plattform bara tar emot en ålderstoken, ett ja eller nej, utan födelsedatum eller något annat attribut.

Om du driver något med åldersgräns, som alkohol, spel om pengar, vuxeninnehåll, vissa finansiella produkter eller en plattform som omfattas av förväntningarna på skydd av minderåriga i förordningen om digitala tjänster (Digital Services Act), är det här mekanismen som låter dig kontrollera ålder utan att bygga upp en databas med skannade identitetshandlingar. Den databasen är en belastning du i dag bär utan goda skäl.

Onboarding och KYC

Reglerad onboarding innebär i dag uppladdning av handlingar, livenesskontroller, manuell granskning och en kö. Ett uppvisande från plånboken ersätter det med en kryptografisk verifiering som är klar på några sekunder, med högre tillitsnivå och utan bilder på handlingar att lagra.

För banker, försäkringsbolag, kryptotjänster och alla andra som genomför KYC är kostnadsskillnaden betydande. Det tar också bort den enskilt mest känsliga datamängd som de flesta företag har.

Gränsöverskridande tjänster

Om du har kunder i flera medlemsstater underhåller du i dag integrationer mot ett lapptäcke av nationella identitetssystem, eller så har du gett upp och skannar handlingar överallt. En enda integration mot plånboken täcker alla.

Mindre friktion i formulär

Verifierat namn, adress och kontaktuppgifter som visas upp med en enda åtgärd i stället för att skrivas in i ett formulär. Det förbättrar både konverteringen och datakvaliteten.

Vad du kan göra nu

Det ärliga svaret för de flesta företag är: inte så mycket än, men några saker är billiga och värda att göra.

Om du är en förlitande part med skyldighet att godta plånboken, med tidsfrist i december 2027, börja nu. Registreringsprocesserna är nya och långsamma, de nationella lösningarna skiljer sig åt och du vill köra en pilot på en marknad innan du binder dig. Tolv månader är inte generöst för en reglerad integration.

Om du inte har någon skyldighet men gör åldersverifiering, titta på det här på allvar under de närmaste kvartalen. Att lagra identitetshandlingar för att kontrollera om någon är arton är en dålig affär, och nu finns det ett alternativ.

Om du sköter KYC eller identitetsverifiering, räkna på besparingen. Vår erfarenhet är att affärsnyttan oftast står på egna ben, utan något argument om regelefterlevnad.

Om inget av ovanstående gäller dig, gör en sak: se till att ditt identitetslager är abstraherat. Om din applikationskod anropar en autentiseringstjänst snarare än en viss leverantörs SDK är stöd för plånboken senare bara en ny adapter. Om din inloggningslogik är utspridd över kontrollerna blir det en omskrivning.

Det som kommer att gå fel

Utifrån hur sådana här lanseringar brukar gå kan du räkna med följande.

Ojämn tillgänglighet. Vissa medlemsstater kommer att lansera med begränsad funktionalitet. Bygg för fallet där en användare i ett land har en plånbok med alla funktioner och en användare i ett annat inte har det, och behåll din befintliga reservväg.

Långsamt införande bland användarna. Tillgänglighet är inte användning. Även i länder med mogna nationella e-legitimationssystem tog spridningen flera år. Ta inte bort alternativa flöden.

Friktion vid registreringen. De nationella registratorernas processer är nya. Räkna med mer tid än dokumentationen antyder.

Specifikationer som glider. Architecture and Reference Framework har reviderats upprepade gånger och kommer att revideras igen. Isolera protokollhanteringen bakom ett gränssnitt så att en uppdatering av specifikationen inte rör din affärslogik.

Var det här passar in

Plånboken är en av de mer konstruktiva delarna av EU:s nuvarande digitala agenda. Det mesta av resten innebär skyldigheter. Den här tar, när den väl fungerar, bort en hel kategori av dyr och riskabel infrastruktur som företag bygger i dag eftersom de inte har något alternativ.

Vår guide till EU:s digitala regelefterlevnad 2026 visar hur den förhåller sig till de andra tidsfristerna, och ingenjörsguiden till GDPR tar upp det dataskyddslager som allt identitetsarbete måste uppfylla.

Vi bygger autentiserings- och identitetssystem åt företag som verkar i EU, och vi arbetar med integrationer för förlitande parter just nu. Om du vill ha hjälp att avgränsa vad det skulle krävas för att godta plånboken i din stack, eller om du har en skyldighet från december 2027 och ingen plan, skriv till office@c9group.dev. Mer om vårt arbete i Europa finns på sidan om marknadsetablering.