Peněženka přijde v prosinci. Banky ji musí přijmout o rok později.

TL;DR. Členské státy musí do prosince 2026 vydat peněženku digitální identity EU. Banky ji musí přijmout do prosince 2027. Těch dvanáct měsíců je celý problém.

Klíčové body

Dvě data, jedna mezera. Začněte časovou osou, protože téměř každé chybné čtení tohoto spisu vzniká sloučením dvou dat do jednoho.
Spoléhající se strana je právní role, ne integrační vzor. Toto je ustanovení, které se v technických čteních přeskakuje nejčastěji, a zároveň to s nejdelší dobou přípravy.
Peněženka neruší silné ověření klienta. Opakovanou chybou raných plánovacích prezentací je předpoklad, že přijetí peněženky nahrazuje autentizační režim PSD2.
Co vám ověření neřekne. Zde je část, která týmy pro identitu soustavně překvapuje, a stojí za to ji říct natvrdo.

Deset let banky vlastnily přihlášení. Instituce vydávala potvrzení totožnosti, prováděla ověření, držela auditní stopu a určovala, co znamená „ověřeno". Nařízení o evropské digitální identitě toto uspořádání ukončuje, aniž by to kdekoli řeklo přímo. Ukládá každému členskému státu zpřístupnit občanům peněženku do prosince 2026 a ukládá bankám — jmenovaným podle sektoru, nikoli odvozením — přijímat tuto peněženku pro silné ověření uživatele do prosince 2027. Mezi těmito dvěma daty leží rok, v němž potvrzení totožnosti existuje, zákazníci je drží a povinnost ještě nekouše. Většina institucí bere tento rok jako rezervu. Je to okno na stavbu.

Shrnutí pro vedení

Toto je hotové právo, na rozdíl od většiny spisu roku 2026. Regulation (EU) 2024/1183 je účinné. Data jsou zakotvena v textu, nikoli podmíněna trialogem, což z tohoto programu dělá jeden z mála, které lze plánovat s jistotou.

Z banky se stává spoléhající se strana. To je definovaná právní role s navázanou registrační povinností. Je to první režim identity, v němž banka musí formálně deklarovat registrujícímu orgánu, co hodlá po zákaznících požadovat.

Přijetí není strategie autentizace. Povinností je přijmout předložení peněženky, když ho uživatel nabídne. Co banka s výslednou mírou jistoty udělá — a jak ji sladí s vlastním rizikovým modelem — zůstává na ní.

Těžká část přichází až po ověření potvrzení totožnosti. Kryptograficky platné předložení vám říká, že držitel je tím, kým ho stát prohlašuje. Neříká vám, zda je to člověk, který si účet otevřel v roce 2014.

Dvě data, jedna mezera

Začněte časovou osou, protože téměř každé chybné čtení tohoto spisu vzniká sloučením dvou dat do jednoho.

Regulation (EU) 2024/1183 novelizovalo původní nařízení eIDAS, Regulation (EU) No 910/2014, a nabylo účinnosti v květnu 2024. Dalo Komisi mandát přijmout prováděcí akty, které stanoví, jak se peněženky staví, certifikují, registrují a používají, a zavedlo dvě povinnosti běžící na různých hodinách.

První dopadá na členské státy. Do 24. prosince 2026 musí každý zpřístupnit svým občanům a rezidentům alespoň jednu evropskou peněženku digitální identity. To je dodavatelská povinnost: stát nebo jím určená strana peněženku poskytuje a fyzickým osobám se za ni neúčtuje.

Druhá dopadá na spoléhající se strany. Do 24. prosince 2027 musí podle Article 5f velké a střední spoléhající se strany, které jsou právně nebo smluvně povinny používat k identifikaci silné ověření uživatele — a které působí v některém z vyjmenovaných sektorů, mezi nimiž je bankovnictví a finanční služby — peněženku přijmout tam, kde o její použití uživatel dobrovolně požádá.

Dělí je dvanáct měsíců a záleží na pořadí. Potvrzení totožnosti přichází první. Povinnost je přijmout přichází o rok později.

Většina programových plánů, které jsem viděl, se ukotvuje k datu 2027. To je rozumné čtení termínu pro shodu s předpisy a špatné čtení skutečného rizika. Od prosince 2026 mohou zákazníci banky držet státem vydané potvrzení digitální totožnosti, které banka ještě neumí zpracovat. Konkurenti, kteří to umějí, ho využijí — na zahájení vztahu s klientem měřené v sekundách místo dnů a na opakované ověření, které zcela vynechá nahrávání dokladu. Termín je 2027. Konkurenční expozice začíná v roce 2026.

Spoléhající se strana je právní role, ne integrační vzor

Toto je ustanovení, které se v technických čteních přeskakuje nejčastěji, a zároveň to s nejdelší dobou přípravy.

Podle Article 5b se strana, která hodlá spoléhat na evropské peněženky digitální identity, musí registrovat v členském státě, v němž je usazena. Registrace není přihlášení do vývojářského portálu. Identifikuje instituci, zaznamenává členský stát usazení a registrační číslo a — což je zásadní — pokrývá zamýšlené použití včetně atributů, které bude spoléhající se strana požadovat.

Plynou z toho tři důsledky a žádný z nich není inženýrský problém.

Požadavek na atributy se stává deklarovanou pozicí. Banka musí předem a písemně rozhodnout, co bude po zákaznících požadovat ke zpřístupnění. „Všechno, co nám peněženka dá" není dostupná odpověď. Minimalizace údajů přestává být zásadou, za kterou se přimlouvá útvar ochrany soukromí, a stává se omezením, které registrace zakódovala.

Změny produktu získávají závislost na registraci. Nová cesta, která potřebuje atribut mimo registrovaný rozsah, není položka do sprintu. Ať už se administrativní doba obrátky v každém členském státě ukáže jakákoli, není to týž den.

Banky ve více jurisdikcích se registrují na více místech. Instituce usazená v několika členských státech jedná s několika registrujícími orgány. Peněženka je navržena jako přeshraniční — německá peněženka funguje s francouzskou spoléhající se stranou — ale registrační povinnost se váže na usazení a struktura skupiny určuje, kolik jednání to znamená.

Tabulka 1: Kde banka stojí předtím a potom

Rozměr	Identita vlastněná bankou (dnes)	EUDI Wallet (Article 5f)
Kdo vydává potvrzení totožnosti	Banka po vlastním zahájení vztahu s klientem	Členský stát nebo určený poskytovatel
Kdo rozhoduje o jeho platnosti	Banka podle vlastních záznamů	Banka podle podpisu a stavu vydavatele
Co ovládá zákazník	Málo; vztah drží banka	Které atributy se uvolní, u každého předložení
Co musí banka udělat	Cokoli unese její rizikový apetit	Přijmout předložení, když o to uživatel požádá
Podmínka účasti	Žádná nad rámec jejích systémů	Registrace jako spoléhající se strana podle Article 5b
Cena za požadování více údajů	Interní produktové rozhodnutí	Změna registrovaného, deklarovaného rozsahu

Peněženka neruší silné ověření klienta

Opakovanou chybou raných plánovacích prezentací je předpoklad, že přijetí peněženky nahrazuje autentizační režim PSD2. Nenahrazuje.

Silné ověření klienta podle Directive (EU) 2015/2366 a regulatorních technických norem v Commission Delegated Regulation (EU) 2018/389 nadále řídí, jak poskytovatelé platebních služeb ověřují plátce a autorizují transakce. Povinnost z Article 5f se na to vrství, nenahrazuje ji. Banka musí i nadále plnit své povinnosti SCA; navíc musí přijmout peněženku, když ji zákazník nabídne pro silné ověření uživatele.

Praktická otázka tedy nezní „nahrazuje peněženka naše faktory SCA", ale „čím předložení peněženky přispívá k autentizaci vyhovující SCA a co musíme dělat dál sami". To je architektonická otázka se skutečnou odpovědí a vyplatí se ji vyřešit před termínem, nikoli během něj, protože oba režimy sepsaly různé nástroje pro různé účely a potkávají se uvnitř vaší autentizační služby.

Související past leží v modelu odpovědnosti. V současném uspořádání banka potvrzení totožnosti vydává, a tedy vlastní většinu způsobů selhání. V novém je potvrzení vydáno jinde a banka je ověřuje. Ověření selhávající „naotevřeno", zastaralý stav odvolání u vydavatele nebo přehrané předložení jsou způsoby selhání, s nimiž má instituce jen omezenou historii, a rozdělení ztráty mezi poskytovatele peněženky, vydavatele a spoléhající se stranu je přesně ten druh otázky, který se řeší pomalu a draze až po prvním incidentu.

Co vám ověření neřekne

Zde je část, která týmy pro identitu soustavně překvapuje, a stojí za to ji říct natvrdo.

Předložení peněženky poskytuje kryptografickou jistotu, že sadu atributů vydal důvěryhodný orgán držiteli peněženky a že držitel je přítomen. Říká vám s vysokou spolehlivostí, že tato osoba je tím, kým ji stát prohlašuje.

Neříká vám, že tato osoba je zákazník, který si účet otevřel.

Pro zahájení vztahu s klientem na tom rozdílu příliš nezáleží — peněženka je téměř ideální a prokazování totožnosti, které dnes zabere sken dokladu, kontrolu živosti a ruční posouzení, se smrští do jediného předložení. Pro existující portfolio na tom záleží nesmírně. Navázat státem vydanou digitální identitu na účet otevřený v roce 2014 proti pasu, který mezitím vypršel, pod jménem, které se mohlo změnit, je problém propojování záznamů. Je to táž práce na rozlišení entit, kterou programy otevřených financí a zákaznických dat znovu a znovu objevují, a nezjednoduší se tím, že příchozí potvrzení totožnosti je kryptograficky vynikající.

Instituce, které berou integraci peněženky jako kanálový projekt, postaví funkční tok předložení a pak zjistí, že zajímavým selháním je míra shody proti jejich vlastnímu zákaznickému kmeni. Tato práce má dlouhou dobu přípravy a nezávisí na žádném prováděcím aktu. Může začít hned.

Tabulka 2: Na co se stavba ve skutečnosti rozpadá

Pracovní proud	Závisí na existenci peněženky?	Lze začít hned
Registrace spoléhající se strany v každém členském státě usazení	Funkční registrující orgán	Rozhodnout rozsah atributů, který budete deklarovat
Ověření předložení, seznam důvěry a zpracování odvolání	Ano, pro koncové testování	Volba protokolu a návrh služby
Navázání ověřené identity na existující zákaznický záznam	Ne	Ano — toto je nejdelší tyč
Sladění přijetí peněženky s povinnostmi SCA	Ne	Ano
Odpovědnost, incidenty a spory u potvrzení, které jste nevydali	Ne	Ano
Revize minimalizace atributů u stávajících cest	Ne	Ano

Čtyři ze šesti nečekají na nic.

Provozní příručka

Šest kroků v pořadí, v jakém bych je řadil.

Jmenujte odpovědného vlastníka. Toto leží napříč identitou, zahájením vztahu s klientem, platbami a právem, což ve většině bank znamená, že to neleží nikde. Přijetí peněženky selhává jako federovaná iniciativa.
Rozhodněte o rozsahu atributů dřív, než se zeptá registrující orgán. Registrace deklaruje, co budete požadovat. Určete minimum, které vaše cesty unesou, protože deklarovaný rozsah se snáz vědomě rozšiřuje, než po revizi soukromí zužuje.
Začněte s problémem navázání hned. Spárování státní identity s existujícím zákaznickým záznamem je pracovní proud s nejdelším chvostem a nejmenším počtem závislostí. Je to také ten, který rozhodne, zda bude přijetí dobrým zážitkem, nebo frontou na podporu.
Sepište sladění se SCA. Zdokumentujte, jak předložení peněženky interaguje s vašimi stávajícími autentizačními faktory a kde se oba režimy potkávají. Udělejte to jako záznam architektonického rozhodnutí, ne jako slajd.
Modelujte způsoby selhání, které jste nikdy nevlastnili. Zastaralé odvolání, výpadek vydavatele, ověření selhávající „naotevřeno". Toto potvrzení totožnosti jste nevydali; předpokládejte, že způsoby selhání neovládáte, a navrhujte podle toho.
Využijte těch dvanáct měsíců záměrně. Peněženky jsou živé od prosince 2026. Berte rok 2027 jako rok, kdy schopnost provozujete, ne kdy ji stavíte.

Banky se v éře otevřeného bankovnictví naučily, že nařízené rozhraní je málokdy jen rozhraní. Táž lekce nyní přichází jiným nástrojem. Instituce, které čtou Article 5f jako integrační tiket, dodají vyhovující tok předložení včas a stále nedokážou odpovědět na jedinou otázku, na které u přepážky záleží: je člověk držící tuto peněženku tím člověkem, jehož účet se chystáte otevřít?

Často kladené otázky

Odkdy přesně musí banka peněženku přijímat?
Do 24. prosince 2027 pro velké a střední spoléhající se strany, které jsou právně nebo smluvně povinny používat silné ověření uživatele a působí ve vyjmenovaném sektoru, mezi něž patří bankovnictví a finanční služby. Samostatná povinnost členských států zpřístupnit alespoň jednu peněženku běží o rok dřív, do 24. prosince 2026.

Je to hotové, nebo se data mohou posunout?
Regulation (EU) 2024/1183 je účinné a data leží v přijatém textu, nikoli v návrhu, o kterém se vyjednává. To je činí podstatně pevnějšími než většinu toho, proti čemu banky dnes plánují, a je to jeden z důvodů, proč se tento spis vyplatí řešit brzy.

Znamená přijetí peněženky, že můžeme vyřadit vlastní autentizaci?
Ne. Povinností je přijmout předložení peněženky, když o její použití uživatel dobrovolně požádá. Zákazníky, kteří peněženku nemají nebo ji použít nechtějí, je stále třeba obsloužit, a požadavky PSD2 na silné ověření klienta platí pro platební cesty bez ohledu na to.

K čemu nás registrace podle Article 5b vlastně zavazuje?
K registraci v členském státě, v němž jste usazeni, k identifikaci instituce a k deklaraci zamýšleného použití včetně atributů, které hodláte požadovat. Praktickým dopadem je, že vaše pozice v minimalizaci údajů se stává věcí veřejného záznamu a omezením budoucích produktových změn.

Nejsme usazeni v EU. Dosáhne to na nás?
Povinnost přijetí podle Article 5f se váže na spoléhající se strany působící ve vyjmenovaných sektorech v rámci Unie a registrační povinnost se váže na členský stát usazení. Odpověď určuje struktura skupiny a to, kde je každý regulovaný subjekt usazen — je to právní otázka, kterou stojí za to vyřešit brzy, nikoli technická.

Co je ta jediná nejužitečnější věc, se kterou začít v tomto čtvrtletí?
Rozlišení entit mezi státem vydanou identitou a vaším stávajícím zákaznickým kmenem. Nezávisí na peněženkách, prováděcích aktech ani registrujících orgánech, je to pracovní proud, který nejspíš rozhodne, zda přijetí funguje v praxi, a je to ten, který ve výchozím stavu nikdo nevlastní.

Odkazy

Evropský parlament a Rada Evropské unie, 2024. Regulation (EU) 2024/1183, kterým se mění Regulation (EU) No 910/2014, pokud jde o zřízení evropského rámce digitální identity. Brusel: Úřední věstník Evropské unie. Dostupné z: Evropský parlament a Rada Evropské unie, 2024..
Evropská komise, 2026. European Digital Identity Wallet. Brusel: Generální ředitelství pro komunikační sítě, obsah a technologie. Dostupné z: Evropská komise, 2026..
Evropská komise, 2026. EUDI Wallet Architecture and Reference Framework. Brusel: Evropská komise. Dostupné z: Evropská komise, 2026..
Evropský parlament a Rada Evropské unie, 2015. Directive (EU) 2015/2366 o platebních službách na vnitřním trhu (PSD2). Brusel: Úřední věstník Evropské unie. Dostupné z: Evropský parlament a Rada Evropské unie, 2015..
Evropská komise, 2018. Commission Delegated Regulation (EU) 2018/389, kterým se doplňuje Directive (EU) 2015/2366, pokud jde o regulatorní technické normy pro silné ověření klienta. Brusel: Úřední věstník Evropské unie. Dostupné z: Evropská komise, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Dostupné z: OpenID Foundation, 2026..

Naposledy revidováno 2026-08-08.

Znovu publikovat tento článek

Peněženka přijde v prosinci. Banky ji musí přijmout o rok později. — Sebastien Rousseau

Členské státy musí do prosince 2026 vydat peněženku digitální identity EU. Banky ji musí přijmout do prosince 2027. Těch dvanáct měsíců je celý problém.

Tento článek je licencován pod Creative Commons Attribution 4.0 International. Při opětovné publikaci uveďte odkaz na kanonickou URL.

Peněženka přijde v prosinci. Banky ji musí přijmout o rok později. — Sebastien Rousseau

Členské státy musí do prosince 2026 vydat peněženku digitální identity EU. Banky ji musí přijmout do prosince 2027. Těch dvanáct měsíců je celý problém.

Originally published at https://sebastienrousseau.com/cs/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER