eIDAS 2.0: portfel tożsamości cyfrowej w firmie

Czym jest eIDAS 2.0 i EUDI Wallet

Rozporządzenie eIDAS 2.0, przyjęte przez Unię Europejską w 2024 roku, rozszerza dotychczasowe ramy identyfikacji elektronicznej o nowy element: European Digital Identity Wallet (EUDI Wallet), czyli europejski portfel tożsamości cyfrowej. To aplikacja mobilna, w której obywatel przechowuje dowód osobisty, prawo jazdy, dyplomy, recepty czy dane bankowe w formie cyfrowych, kryptograficznie podpisanych poświadczeń.

W przeciwieństwie do dzisiejszych, rozproszonych systemów logowania (profil zaufany, bankowość elektroniczna, osobne konta w każdej usłudze), EUDI Wallet ma działać jako jeden, uniwersalny identyfikator uznawany we wszystkich krajach członkowskich. Użytkownik sam decyduje, jakie dane i komu udostępnia, co odróżnia ten model od klasycznego logowania przez wielkie platformy technologiczne.

Jakie obowiązki czekają firmy

Najważniejszy zapis dotyczący biznesu brzmi jasno: duże platformy internetowe oraz podmioty świadczące usługi wymagające silnego uwierzytelnienia (banki, ubezpieczyciele, operatorzy telekomunikacyjni, dostawcy usług zdrowotnych) będą musiały akceptować logowanie za pomocą EUDI Wallet, jeśli oferują logowanie elektroniczne. Mniejsze firmy nie mają obecnie twardego obowiązku wdrożenia, ale wiele z nich skorzysta z akceptacji portfela dobrowolnie, bo znacząco upraszcza on proces KYC (know your customer).

• Firmy regulowane (finanse, telekomunikacja, ochrona zdrowia) - obowiązek akceptacji portfela w określonych terminach.
• Duże platformy cyfrowe objęte DSA - konieczność integracji logowania przez EUDI Wallet.
• Pozostałe MŚP - brak twardego obowiązku, ale rosnąca presja rynkowa i oczekiwania klientów.

Firmy, które już wdrożyły obowiązki wynikające z dyrektywy NIS2, będą miały łatwiej - podobne wymogi dotyczące silnego uwierzytelniania i zarządzania tożsamością już znają z praktyki bezpieczeństwa.

Korzyści dla biznesu: szybszy onboarding i mniej oszustw

Dla działów sprzedaży i obsługi klienta EUDI Wallet oznacza realne przyspieszenie procesów. Weryfikacja tożsamości nowego klienta, dziś wymagająca przesłania skanu dowodu i ręcznej kontroli, może zostać zredukowana do kilku sekund - portfel przekazuje zweryfikowane, podpisane cyfrowo atrybuty (imię, nazwisko, wiek, obywatelstwo) bez konieczności przechowywania kopii dokumentów przez firmę.

To także krok w stronę ograniczenia oszustw tożsamościowych i ataków opartych na podszywaniu się przy pomocy AI, ponieważ dane w portfelu są kryptograficznie powiązane z rządowym źródłem tożsamości, a nie skanem, który można łatwo sfałszować. Firmy handlujące online zyskują też alternatywę dla haseł i SMS-owych kodów, zbliżoną ideowo do rozwiązań passkey, ale opartą na tożsamości potwierdzonej przez państwo.

Jak przygotować systemy firmowe do integracji

Techniczna integracja z EUDI Wallet opiera się na otwartych standardach - protokołach OpenID for Verifiable Presentations i formacie poświadczeń zgodnym z ISO 18013-5. Dla zespołów IT oznacza to konieczność dodania nowego dostawcy tożsamości (identity provider) do istniejącej infrastruktury logowania, obok np. Azure AD czy własnego systemu kont.

Warto zacząć od audytu obecnych mechanizmów uwierzytelniania i API obsługujących logowanie klientów, żeby ocenić, gdzie integracja z portfelem będzie miała największy sens biznesowy. Wdrożenie nowego kanału logowania, szczególnie w aplikacjach obsługujących płatności czy dane wrażliwe, warto zaplanować jako projekt wspólnie z zespołem DevOps, który zadba o bezpieczne pipeline'y CI/CD i testowanie integracji przed wdrożeniem produkcyjnym.

Ryzyka, koszty i otwarte pytania

Wdrożenie EUDI Wallet nie jest pozbawione wyzwań. Firmy muszą liczyć się z kosztami integracji technicznej, koniecznością szkolenia zespołów obsługi klienta oraz ryzykiem błędów w okresie przejściowym, gdy część klientów korzysta z portfela, a część nadal z tradycyjnych metod logowania. Pojawiają się też pytania o odpowiedzialność w razie wycieku danych po stronie dostawcy portfela oraz o zgodność z krajowymi przepisami wdrażającymi rozporządzenie, które w Polsce wciąż są dopracowywane.

Nie bez znaczenia jest też tempo wdrożenia - państwa członkowskie mają obowiązek udostępnić własny portfel obywatelom do końca 2026 roku, ale realna adopcja po stronie firm i konsumentów potrwa dłużej. Podobnie jak przy obowiązkowym KSeF, warto zacząć przygotowania z wyprzedzeniem, zamiast czekać na ostateczny termin.

Harmonogram wdrożenia w Polsce i UE

Zgodnie z rozporządzeniem eIDAS 2.0 państwa członkowskie muszą udostępnić obywatelom co najmniej jeden portfel EUDI Wallet do 2026 roku, a duże platformy i podmioty regulowane będą zobowiązane zaakceptować logowanie przez portfel w kolejnych latach, zgodnie z krajowymi harmonogramami wdrożeniowymi. W Polsce prace nad integracją z mObywatelem i profilem zaufanym już trwają, co powinno ułatwić przejście dla firm korzystających dziś z krajowych systemów identyfikacji.

Dla mniejszych firm najrozsądniejszym podejściem jest obserwowanie postępów wdrożenia i planowanie integracji z wyprzedzeniem 12-18 miesięcy przed spodziewanym terminem obowiązkowym w danej branży, zamiast wdrażania pod presją czasu w ostatniej chwili.