AB Dijital Kimlik Cüzdanı Aralık 2026'da Geliyor: Nasıl Hazırlanmalı

24 Aralık 2026'ya kadar her AB üye devleti, vatandaşlarına ve sakinlerine en az bir Avrupa Dijital Kimlik Cüzdanı (European Digital Identity Wallet) sunmak zorunda. Bu, bir yol haritası maddesi değil, tarihi belli bir yasal yükümlülük. Her ülke o gün hazır olmayacak: Almanya'nın dijital işler bakanlığı kendi cüzdanı d-you'yu 2 Ocak 2027'ye planladı ve bazı üye devletler daha da geride.

Bir yıl sonra, Aralık 2027'de, uzun bir kuruluş listesi cüzdanı kabul etmekle yasal olarak yükümlü hâle geliyor. Bankalar, ulaşım işletmecileri, enerji tedarikçileri, sağlık hizmetleri, telekom şirketleri, posta hizmetleri, eğitim kurumları ve dijital altyapı işletmecileri, zaten güçlü kullanıcı kimlik doğrulaması kullanmak zorunda olan herkesle birlikte bu listede.

Diğer herkes için kabul isteğe bağlı. Yine de anlamaya değer, çünkü cüzdan, şirketlerin şu anda gerçek paralar harcayıp kötü çözdüğü birkaç sorunu çözüyor.

Cüzdan Aslında Nedir

Avrupa Dijital Kimlik Cüzdanı, genellikle eIDAS 2 olarak anılan revize eIDAS Tüzüğü'nden doğuyor. Güvenilir taraflarca düzenlenmiş, doğrulanmış kimlik özniteliklerini ve belgelerini (credential) tutan ve kullanıcının bunları talep eden kişiye seçerek sunabildiği bir mobil uygulama.

Onu bugün çoğu sitenin kullandığı kimlik sistemlerinden ayıran üç özelliği var.

Devlet güvencesindedir. Cüzdandaki kimlik, ulusal bir elektronik kimlik sisteminden türetilir. Kullanıcının kendi beyan ettiği bir profil değildir.

Seçici ifşayı destekler. Bir kullanıcı doğum tarihini açıklamadan on sekiz yaşından büyük olduğunu ya da adresini açıklamadan bir üye devlette ikamet ettiğini kanıtlayabilir. Ürün tasarımı açısından en çok pratik sonucu olan kısım budur.

Sınır ötesi çalışır. Slovenya'da düzenlenmiş bir cüzdanın Almanya'daki güvenen taraflarca (relying party) kabul edilmesi gerekir. Tüzüğün bütün amacı budur ve ulusal kimlik sistemlerinin sürekli olarak sağlayamadığı şey de budur.

Vatandaş cüzdanlarının yanı sıra Komisyon, tüzel kişiler için şirket temsilini, yetkilendirmeleri ve işletmeler ile kamu kurumları arasında resmî belge alışverişini hedefleyen bir Avrupa İşletme Cüzdanı (European Business Wallet) önerdi. Bu öneri Kasım 2025'te Digital Omnibus paketiyle birlikte geldi. Konsey müzakere tutumunu 9 Haziran 2026'da kabul etti; 10 Eylül 2026'da da Parlamento'nun sanayi komitesi (ITRE), raporunu Konsey ile müzakere yetkisiyle birlikte kabul etti. Daha uzak bir gelişme, ancak ürününüz şirket kimliği, yetkilendirmeler ya da B2B belge alışverişi içeriyorsa takip etmeniz gereken dosya bu.

Uygulama Gerçekte Ne Durumda

Hazırlık düzeyi üye devletten üye devlete çok büyük farklılık gösteriyor ve bu konuda gerçekçi olmakta fayda var.

Birkaç ülke son tarihten önce ulusal uygulamalarını kullanıma sundu. Fransa'da France Identité, Avusturya'da eAusweise, İtalya'da IT-Wallet var. Diğerleri daha geride ve bazıları Aralık 2026 son tarihine tam özellik setiyle değil, sınırlı bir ilk sürümle yetişecek.

Üye devletler yükümlülüğü üç şekilde yerine getirebilir: cüzdanı kendileri geliştirip sunmak, bunu yapması için üçüncü bir tarafı görevlendirmek ya da özel sektörün geliştirdiği bir cüzdanı tanımak. Bu da entegre olacağınız ekosistemin tek tip olmayacağı anlamına geliyor; birlikte çalışabilirlik şartnamelerinin önemi de tam olarak buradan geliyor.

Güvenen Taraf Rolü

Cüzdan belgelerini kabul etmek istiyorsanız bir güvenen taraf (relying party) olursunuz ve bu gayriresmî değil, kayıtlı bir roldür.

Süreç ana hatlarıyla şöyle:

1. Ulusal kayıt kurumunuza kaydolun. Hangi öznitelikleri hangi amaçla talep etmeyi planladığınızı beyan edersiniz. Bu bir form değil, gerçek bir kontroldür. Bir gün işe yarayabilir diye bir vatandaşın tüm kimlik veri setini talep etmek üzere kayıt olamazsınız.
2. Güvenen taraf erişim sertifikalarını edinin. Bunlar sizi cüzdanlara karşı doğrular ve kullanıcıların kimin talepte bulunduğunu görmesini sağlar.
3. Sunum protokollerini uygulayın. Belgeleri talep edin, bir sunum (presentation) alın, onu doğrulayın.
4. Kriptografik olarak doğrulayın. İmza doğrulama, AB güven listesine karşı güven zinciri doğrulaması, iptal kontrolü.
5. Asgari olanı talep edin. Veri minimizasyonu burada yapısal olarak uygulanır. Yaş kontrolü için kayıt olduysanız doğum tarihini değil, yaş beyanını isteyebilirsiniz.

Son madde üzerinde durmaya değer, çünkü alışılmış kimlik entegrasyonunu tersine çeviriyor. Çoğu sistemde bir veri paketi alır ve neyi saklayacağınıza karar verirsiniz. Burada neyi isteyebileceğinizi önceden beyan edersiniz ve mimari, gereğinden fazla veri toplamanızı engeller. Gerçekten daha iyi bir model; kimlik doğrulama için yaptığınız veri koruma etki değerlendirmesinin de belirgin biçimde kısalması demek.

Karşılaşacağınız Standartlar

Teknik yığın birkaç şartnameye dayanıyor; bir işin kapsamını çıkarıyorsanız karşınıza çıkacak kısaltmalar şunlar:

• ISO/IEC 18013-5: yakın mesafe sunum modelini ve belge biçimine ilişkin yaklaşımın büyük kısmını sağlayan mobil sürücü belgesi standardı.
• W3C Verifiable Credentials: belge veri modeli için.
• OpenID for Verifiable Presentations ve OpenID for Verifiable Credential Issuance: web üzerindeki talep ve düzenleme akışları için.
• SD-JWT: tek tek beyanların seçici ifşası için.
• Komisyon'un yayımladığı EUDI Architecture and Reference Framework: hepsini birbirine bağlayan ve herhangi bir tahmin yapmadan önce okumanız gereken belge.

Ekibiniz OpenID Connect ile çalıştıysa bunların hiçbiri yabancı değil. Yine de bir SAML ya da OIDC oturum açma entegrasyonundan anlamlı ölçüde farklı, çünkü bir kimlik sağlayıcının oturum beyanına güvenmek yerine belgeleri kriptografik olarak doğruluyorsunuz.

Cüzdanın Gerçek Bir Sorunu Çözdüğü Yerler

Uyum bir yana, bunun bugün var olandan açıkça daha iyi olduğu birkaç alan var.

Yaş doğrulama

En acil kullanım senaryosu bu ve üzerine güçlü biçimde gidiliyor. Avrupa Komisyonu üye devletleri 31 Aralık 2026'ya kadar yaş doğrulama çözümlerini hazır etmeye çağırıyor ve cüzdanlar yaygınlaşana kadar köprü görevi görecek açık kaynak bir yaş doğrulama uygulaması yayımladı. Tasarımın amacı, bir platformun doğum tarihi ya da başka bir öznitelik olmadan yalnızca bir yaş belirteci, yani evet ya da hayır, almasıdır.

Yaş sınırı olan herhangi bir şey işletiyorsanız (alkol, kumar, yetişkin içerik, belirli finansal ürünler) ya da Dijital Hizmetler Yasası'nın (DSA) reşit olmayanların korunmasına ilişkin beklentilerine tabi bir platformunuz varsa, taranmış kimlik belgelerinden oluşan bir veritabanı kurmadan yaşı kontrol etmenizi sağlayan mekanizma budur. O veritabanı, şu anda hiçbir haklı neden olmadan taşıdığınız bir yüktür.

Müşteri kabulü ve KYC

Bugün düzenlemeye tabi müşteri kabulü; belge yükleme, canlılık kontrolleri, manuel inceleme ve bir bekleme kuyruğu demek. Bir cüzdan sunumu bunun yerine, saniyeler içinde tamamlanan, daha yüksek güvence düzeyine sahip ve saklanacak belge görüntüsü bırakmayan kriptografik bir doğrulama koyar.

Bankalar, sigortacılar, kripto hizmetleri ve KYC yürüten diğer herkes için maliyet farkı önemli. Ayrıca çoğu şirketin elindeki en hassas veri setini de ortadan kaldırıyor.

Sınır ötesi hizmetler

Birkaç üye devlette müşterilere hizmet veriyorsanız şu anda ya ulusal kimlik sistemlerinden oluşan bir yamalı bohçayla entegrasyonlar sürdürüyorsunuz ya da vazgeçip her yerde belge taramasını kullanıyorsunuz. Tek bir cüzdan entegrasyonu hepsini kapsar.

Formlarda daha az sürtünme

Doğrulanmış ad, adres ve iletişim bilgileri bir forma yazılmak yerine tek bir işlemle sunulur. Bu hem dönüşüm hem de veri kalitesi açısından bir iyileştirmedir.

Şimdi Ne Yapmalı

Çoğu şirket için dürüst cevap şu: henüz pek bir şey değil, ama ucuz ve yapmaya değer birkaç şey var.

Aralık 2027 son tarihli, yükümlü bir güvenen tarafsanız şimdi başlayın. Kayıt süreçleri yeni ve yavaş, ulusal uygulamalar birbirinden farklı ve taahhütte bulunmadan önce tek bir pazarda pilot çalıştırmak isteyeceksiniz. Düzenlemeye tabi bir entegrasyon için on iki ay cömert bir süre değil.

Yükümlü değilseniz ama yaş doğrulama yapıyorsanız önümüzdeki birkaç çeyrekte buna ciddi olarak bakın. Birinin on sekiz yaşında olup olmadığını kontrol etmek için kimlik belgesi saklamak kötü bir takas ve artık bir alternatif var.

KYC ya da kimlik doğrulama yürütüyorsanız maliyet tasarrufunu modelleyin. Deneyimimize göre iş gerekçesi, hiçbir uyum argümanına ihtiyaç duymadan genellikle kendi başına ayakta duruyor.

Yukarıdakilerin hiçbiri geçerli değilse tek bir şey yapın: kimlik katmanınızın soyutlandığından emin olun. Uygulama kodunuz belirli bir sağlayıcının SDK'sı yerine bir kimlik doğrulama hizmetini çağırıyorsa, cüzdan desteğini sonradan eklemek yeni bir adaptör yazmak demektir. Oturum açma mantığınız denetleyicilere (controller) dağılmışsa yeniden yazmak demektir.

Ters Gidecek Şeyler

Bu tür yaygınlaştırmaların genellikle nasıl ilerlediğine bakarak şunları bekleyin.

Eşit olmayan erişilebilirlik. Bazı üye devletler sınırlı işlevlerle başlayacak. Bir ülkedeki kullanıcının tam özellikli bir cüzdanı olduğu, başka bir ülkedekinin olmadığı duruma göre geliştirin ve mevcut yedek yolunuzu koruyun.

Yavaş kullanıcı benimsemesi. Erişilebilir olmak kullanılmak demek değil. Olgun ulusal e-kimlik sistemleri olan ülkelerde bile yaygınlaşma yıllar sürdü. Alternatif akışları kaldırmayın.

Kayıt sürtünmesi. Ulusal kayıt kurumu süreçleri yeni. Dokümantasyonun öngördüğünden daha fazla zaman ayırın.

Şartname kayması. Architecture and Reference Framework defalarca revize edildi ve yine revize edilecek. Protokol işlemeyi bir arayüzün arkasına yalıtın; böylece bir şartname güncellemesi iş mantığınıza dokunmaz.

Bu Nereye Oturuyor

Cüzdan, AB'nin güncel dijital gündeminin daha yapıcı parçalarından biri. Geri kalanın çoğu yükümlülük getiriyor. Bu ise bir kez çalıştığında, şirketlerin bugün alternatifleri olmadığı için kurduğu pahalı ve riskli bir altyapı kategorisini ortadan kaldırıyor.

2026 AB dijital uyum rehberimiz cüzdanın diğer son tarihlerle birlikte nereye oturduğunu gösteriyor; GDPR mühendislik rehberimiz ise her kimlik çalışmasının karşılaması gereken, Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki veri koruma katmanını ele alıyor.

AB'de faaliyet gösteren şirketler için kimlik doğrulama ve kimlik sistemleri geliştiriyoruz ve şu anda güvenen taraf entegrasyonları üzerinde çalışıyoruz. Cüzdan kabulünün sizin teknoloji yığınınızda neler gerektireceğinin kapsamını çıkarmak için destek istiyorsanız ya da Aralık 2027 yükümlülüğünüz olup bir planınız yoksa office@c9group.dev adresine yazın. Avrupa'daki çalışmalarımız hakkında daha fazlası pazara giriş sayfamızda.