במשך עשור, הבנקים החזיקו בבעלות על ההתחברות. המוסד הנפיק את אישור הזהות, הריץ את האימות, החזיק את יומן הביקורת והחליט מה פירושה של המילה "מאומת". תקנת הזהות הדיגיטלית האירופית מסיימת את ההסדר הזה בלי לומר זאת ולו פעם אחת במפורש. היא מחייבת כל מדינה חברה להעמיד ארנק לרשות אזרחיה עד דצמבר 2026, והיא מחייבת את הבנקים — הנקובים לפי מגזר, לא בדרך של היקש — לקבל את הארנק הזה לצורך אימות משתמש חזק עד דצמבר 2027. בין שני התאריכים האלה יושבת שנה שבה אישור הזהות כבר קיים, הלקוחות מחזיקים בו, והחובה טרם נשכה. רוב המוסדות מתייחסים לשנה הזאת כאל אוויר לנשימה. זהו חלון הבנייה.
תקציר מנהלים
- זהו דין מגובש, בניגוד לרוב התיקים של 2026. Regulation (EU) 2024/1183 בתוקף. התאריכים קבועים בנוסח עצמו ואינם ממתינים בטרילוג, ולכן זו אחת התוכניות הבודדות שאפשר לתכנן מולן בביטחון.
- הבנק הופך לצד נסמך. זהו תפקיד משפטי מוגדר שנלווית אליו חובת רישום. זהו משטר הזהות הראשון שבו בנק חייב להצהיר רשמית, בפני גוף רישום ציבורי, מה בכוונתו לבקש מלקוחותיו.
- קבלה אינה אסטרטגיית אימות. החובה היא לקבל הצגה מן הארנק כאשר משתמש מציע אותה. מה שהבנק עושה עם רמת הוודאות המתקבלת — וכיצד הוא מיישב אותה עם מודל הסיכון שלו — נותר בידיו.
- החלק הקשה מתחיל אחרי שאישור הזהות מאומת. הצגה תקפה קריפטוגרפית מלמדת שהמחזיק הוא מי שהמדינה אומרת שהוא. היא אינה מלמדת אם הוא האדם שפתח את החשבון ב-2014.
שני תאריכים, פער אחד
התחילו מלוח הזמנים, משום שכמעט כל קריאה שגויה של התיק הזה נובעת מכיווץ שני התאריכים לאחד.
Regulation (EU) 2024/1183 תיקנה את תקנת eIDAS המקורית, Regulation (EU) No 910/2014, ונכנסה לתוקף במאי 2024. היא העניקה לנציבות מנדט לאמץ מעשי יישום שיפרטו כיצד ארנקים נבנים, מוסמכים, נרשמים ומשמשים, והיא קבעה שתי חובות הפועלות לפי שעונים שונים.
הראשונה חלה על המדינות החברות. עד 24 בדצמבר 2026, כל אחת מהן חייבת להעמיד לפחות ארנק זהות דיגיטלי אירופי אחד לרשות אזרחיה ותושביה. זוהי חובת אספקה: המדינה, או גורם שהיא מסמיכה, מספקת את הארנק, ואנשים פרטיים אינם מחויבים בתשלום עבורו.
השנייה חלה על הצדדים הנסמכים. עד 24 בדצמבר 2027, לפי Article 5f, צדדים נסמכים גדולים ובינוניים המחויבים מכוח דין או חוזה להשתמש באימות משתמש חזק לצורכי זיהוי — והפועלים באחד המגזרים הנקובים, שכוללים בנקאות ושירותים פיננסיים — חייבים לקבל את הארנק כאשר משתמש מבקש מרצונו להשתמש בו.
בין שני אלה מפרידים שנים-עשר חודשים, והסדר משנה. אישור הזהות מגיע ראשון. החובה לקבלו מגיעה שנה לאחר מכן.
רוב תוכניות התוכנית שראיתי מעגנות את עצמן בתאריך 2027, שזו קריאה סבירה של מועד ציות וקריאה גרועה של הסיכון בפועל. מדצמבר 2026 והלאה, לקוחות הבנק יכולים להחזיק אישור זהות דיגיטלי מונפק מדינה שהבנק עדיין אינו יודע לצרוך. מתחרים שכן יודעים ינצלו זאת — לזמני פתיחת חשבון הנמדדים בשניות ולא בימים, ולמסעות אימות חוזר המדלגים כליל על העלאת המסמכים. מועד היעד הוא 2027. החשיפה התחרותית מתחילה ב-2026.
צד נסמך הוא תפקיד משפטי, לא דפוס אינטגרציה
זוהי ההוראה שנפקדת לרוב מקריאות טכניות, והיא זו בעלת זמן ההיערכות הארוך ביותר.
לפי Article 5b, גורם המתכוון להסתמך על ארנקי זהות דיגיטלית אירופיים חייב להירשם במדינה החברה שבה הוא מאוגד. הרישום אינו הרשמה בפורטל מפתחים. הוא מזהה את המוסד, מתעד את מדינת האיגוד ומספר הרישום, ובעיקר — מכסה את השימוש המיועד, לרבות המאפיינים שהצד הנסמך יבקש.
שלוש השלכות נובעות מכך, ואף אחת מהן אינה בעיה הנדסית.
בקשת המאפיינים הופכת לעמדה מוצהרת. בנק חייב להחליט, מראש ובכתב, מה יבקש מהלקוחות לחשוף. "כל מה שהארנק ייתן לנו" אינה תשובה זמינה. צמצום נתונים חדל להיות עיקרון שמשרד הפרטיות מקדם והופך למגבלה שהרישום מקודד.
שינויי מוצר רוכשים תלות ברישום. מסע חדש הזקוק למאפיין מחוץ להיקף הרשום אינו פריט ספרינט. יהיה זמן הטיפול המנהלי אשר יהיה בכל מדינה חברה, הוא אינו באותו יום.
בנקים רב-שיפוטיים נרשמים ביותר ממקום אחד. מוסד המאוגד בכמה מדינות חברות מתנהל מול כמה גופי רישום. הארנק תוכנן לפעול חוצה גבולות — ארנק גרמני עובד מול צד נסמך צרפתי — אך חובת הרישום נצמדת לאיגוד, ומבנה הקבוצה קובע לכמה שיחות כאלה הכוונה.
טבלה 1: היכן ניצב הבנק לפני ואחרי
| ממד | זהות בבעלות הבנק (היום) | ארנק EUDI (Article 5f) |
|---|---|---|
| מי מנפיק את אישור הזהות | הבנק, לאחר פתיחת חשבון משלו | המדינה החברה או ספק שהוסמך |
| מי מחליט שהוא תקף | הבנק, מול הרישומים שלו | הבנק, מול חתימת הגורם המנפיק וסטטוסו |
| במה שולט הלקוח | מעט; הבנק מחזיק בקשר | אילו מאפיינים משוחררים, בכל הצגה |
| מה הבנק חייב לעשות | כל מה שתיאבון הסיכון שלו תומך בו | לקבל הצגה כאשר משתמש מבקש |
| תנאי מוקדם להשתתפות | אין, מעבר למערכות שלו | רישום כצד נסמך לפי Article 5b |
| עלות הבקשה לנתונים נוספים | החלטת מוצר פנימית | שינוי בהיקף רשום ומוצהר |
הארנק אינו מבטל את אימות הלקוח החזק
טעות חוזרת במצגות תכנון מוקדמות היא ההנחה שקבלת הארנק גוברת על משטר האימות של PSD2. היא אינה גוברת.
אימות לקוח חזק לפי Directive (EU) 2015/2366 והתקנים הטכניים הרגולטוריים ב-Commission Delegated Regulation (EU) 2018/389 ממשיך לחול על האופן שבו ספקי שירותי תשלום מאמתים משלמים ומאשרים עסקאות. חובת Article 5f מונחת על גבי זה, ולא מוצבת במקומו. בנק עדיין חייב לעמוד בחובות ה-SCA שלו; בנוסף עליו לקבל ארנק כאשר לקוח מציע אותו לצורך אימות משתמש חזק.
השאלה המעשית אינה, אפוא, "האם הארנק מחליף את גורמי ה-SCA שלנו" אלא "מה תורמת הצגה מן הארנק לאימות התואם SCA, ומה עדיין עלינו לעשות בעצמנו". זו שאלה ארכיטקטונית שיש לה תשובה ממשית, וכדאי לפתור אותה לפני מועד היעד ולא במהלכו, משום ששני המשטרים נוסחו בכלים שונים למטרות שונות והם נפגשים בתוך שירות האימות שלכם.
יש מלכודת נלווית במודל האחריות. בהסדר הנוכחי הבנק מנפיק את אישור הזהות ולכן נושא ברוב מצבי הכשל. בהסדר החדש אישור הזהות מונפק במקום אחר ומאומת בידי הבנק. אימות שנכשל פתוח, סטטוס ביטול מיושן אצל גורם מנפיק, או הצגה שמשוחזרת בהתקפת שידור חוזר — כל אלה מצבי כשל שלמוסד יש היסטוריה מועטה איתם, וחלוקת ההפסד בין ספק הארנק, הגורם המנפיק והצד הנסמך היא בדיוק סוג השאלה שנפתרת לאט ובעלות גבוהה אחרי האירוע הראשון.
מה האימות אינו מספר לכם
הנה החלק שמפתיע בעקביות צוותי זהות, וכדאי לומר אותו במפורש.
הצגה מן הארנק מספקת ודאות קריפטוגרפית שקבוצת מאפיינים הונפקה בידי רשות מהימנה למחזיק הארנק, ושהמחזיק נוכח. היא אומרת לכם, ברמת ביטחון גבוהה, שהאדם הזה הוא מי שהמדינה אומרת שהוא.
היא אינה אומרת לכם שהאדם הזה הוא הלקוח שפתח את החשבון.
לפתיחת חשבון, ההבחנה הזאת אינה משנה במיוחד — הארנק קרוב לאידיאלי, והוכחת זהות שדורשת היום סריקת מסמך, בדיקת חיוּת וסקירה ידנית מתכווצת להצגה אחת. עבור תיק לקוחות קיים, היא משנה מאוד. קשירת זהות דיגיטלית מונפקת מדינה לחשבון שנפתח ב-2014 על בסיס דרכון שפג תוקפו מאז, תחת שם שייתכן שהשתנה, היא בעיית קישור רשומות. זו אותה עבודת זיהוי ישויות שתוכניות פיננסים פתוחים ונתוני לקוחות מגלות מחדש שוב ושוב, והיא אינה נעשית קלה יותר משום שאישור הזהות הנכנס מצוין קריפטוגרפית.
מוסדות המתייחסים לשילוב הארנק כאל פרויקט ערוץ יבנו זרימת הצגה עובדת ואז יגלו שהכשל המעניין הוא שיעור ההתאמה מול קובץ הלקוחות שלהם עצמם. לעבודה הזאת זמן היערכות ארוך ואין לה תלות באף מעשה יישום. אפשר להתחיל בה עכשיו.
טבלה 2: לְמה הבנייה מתפרקת בפועל
| נתיב עבודה | תלוי בקיום הארנק? | אפשר להתחיל עכשיו |
|---|---|---|
| רישום כצד נסמך בכל מדינה חברה שבה המוסד מאוגד | גוף הרישום פעיל | להחליט על היקף המאפיינים שתצהירו עליו |
| אימות הצגה, טיפול ברשימת אמון ובביטול | כן, לבדיקות מקצה לקצה | בחירת פרוטוקול ותכנון השירות |
| קשירת זהות מאומתת לרשומת לקוח קיימת | לא | כן — זהו המוט הארוך |
| יישוב קבלת הארנק מול חובות SCA | לא | כן |
| אחריות, טיפול באירועים ומחלוקות על אישור זהות שלא הנפקתם | לא | כן |
| סקירת צמצום מאפיינים במסעות הקיימים | לא | כן |
ארבעה מתוך שישה אינם ממתינים לדבר.
ספר ההפעלה
שישה מהלכים, בסדר שבו הייתי מבצע אותם.
- מנו בעל אחריות מוגדר. הנושא יושב על התפר בין זהות, פתיחת חשבון, תשלומים ומשפט, ומשמעות הדבר ברוב הבנקים היא שהוא אינו יושב בשום מקום. קבלת ארנק נכשלת כיוזמה מבוזרת.
- החליטו על היקף המאפיינים לפני שגוף הרישום ישאל. הרישום מצהיר מה תבקשו. גזרו את המינימום התומך במסעות שלכם, משום שקל יותר להרחיב היקף מוצהר במכוון מאשר לצמצם אותו אחרי סקירת פרטיות.
- התחילו בבעיית הקשירה עכשיו. התאמת זהות מדינתית לרשומת לקוח קיימת היא נתיב העבודה עם הזנב הארוך ביותר והתלויות המעטות ביותר. היא גם זו שקובעת אם הקבלה תהיה חוויה טובה או תור לתמיכה.
- כתבו את יישוב ה-SCA. תעדו כיצד הצגה מן הארנק מתקיימת יחד עם גורמי האימות הקיימים שלכם והיכן נפגשים המשטרים. עשו זאת כמסמך החלטה ארכיטקטונית, לא כשקופית.
- מדלו את מצבי הכשל שמעולם לא היו באחריותכם. ביטול מיושן, השבתה אצל הגורם המנפיק, אימות שנכשל פתוח. לא אתם הנפקתם את אישור הזהות; הניחו שמצבי הכשל אינם בשליטתכם ותכננו בהתאם.
- נצלו את פער שנים-עשר החודשים במכוון. הארנקים חיים מדצמבר 2026. התייחסו ל-2027 כאל השנה שבה אתם מפעילים את היכולת, לא השנה שבה אתם בונים אותה.
הבנקים בילו את עידן הבנקאות הפתוחה בלימוד שממשק שנכפה ברגולציה הוא לעיתים רחוקות רק ממשק. זהו אותו לקח, המגיע דרך כלי חקיקה אחר. המוסדות שיקראו את Article 5f כמשימת אינטגרציה יספקו זרימת הצגה תואמת בזמן ועדיין לא יוכלו לענות על השאלה היחידה שחשובה בדלפק: האם האדם המחזיק בארנק הזה הוא האדם שאת חשבונו אתם עומדים לפתוח?
שאלות נפוצות
מתי בדיוק בנק חייב לקבל את הארנק?
עד 24 בדצמבר 2027, עבור צדדים נסמכים גדולים ובינוניים המחויבים מכוח דין או חוזה להשתמש באימות משתמש חזק ופועלים במגזר נקוב, שכולל בנקאות ושירותים פיננסיים. החובה הנפרדת המוטלת על המדינות החברות להעמיד לפחות ארנק אחד חלה שנה קודם לכן, עד 24 בדצמבר 2026.
האם זה סגור, או שהתאריכים עשויים לזוז?
Regulation (EU) 2024/1183 בתוקף והתאריכים מופיעים בנוסח שאומץ ולא בהצעה שנמצאת במשא ומתן. הדבר הופך את התיק הזה למוצק מהותית יותר מרוב מה שהבנקים מתכננים מולו כעת, וזו אחת הסיבות שעבודה מוקדמת משתלמת כאן.
האם קבלת ארנק פירושה שנוכל להוציא משימוש את האימות שלנו?
לא. החובה היא לקבל הצגה מן הארנק כאשר משתמש מבקש מרצונו להשתמש בו. לקוחות שאינם מחזיקים ארנק, או שאינם רוצים להשתמש בו, עדיין זקוקים לשירות, ודרישות אימות הלקוח החזק של PSD2 ממשיכות לחול על מסעות תשלום בכל מקרה.
למה בדיוק מחייב אותנו הרישום לפי Article 5b?
לרישום במדינה החברה שבה אתם מאוגדים, לזיהוי המוסד, ולהצהרה על השימוש המיועד לרבות המאפיינים שבכוונתכם לבקש. התוצאה המעשית היא שעמדת צמצום הנתונים שלכם הופכת לנחלת הרשומות הציבוריות ולמגבלה על שינויי מוצר עתידיים.
איננו מאוגדים באיחוד האירופי. האם זה מגיע אלינו?
חובת הקבלה ב-Article 5f נצמדת לצדדים נסמכים הפועלים במגזרים הנקובים בתוך מסגרת האיחוד, וחובת הרישום נצמדת למדינה החברה שבה הגוף מאוגד. מבנה הקבוצה והמקום שבו כל ישות מפוקחת מאוגדת קובעים את התשובה, וזו שאלה משפטית שכדאי ליישב מוקדם ולא שאלה טכנית.
מה הדבר המועיל ביותר להתחיל בו ברבעון הזה?
זיהוי ישויות בין זהות מונפקת מדינה לבין קובץ הלקוחות הקיים שלכם. אין לו תלות בארנקים, במעשי יישום או בגופי רישום, הוא נתיב העבודה שסביר ביותר שיקבע אם הקבלה תעבוד בפועל, והוא זה שאיש אינו בעליו כברירת מחדל.
מקורות
- European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. בריסל: כתב העת הרשמי של האיחוד האירופי. זמין בכתובת: European Parliament and Council of the European Union, 2024..
- European Commission, 2026. European Digital Identity Wallet. בריסל: המנהל הכללי לרשתות תקשורת, תוכן וטכנולוגיה. זמין בכתובת: European Commission, 2026..
- European Commission, 2026. EUDI Wallet Architecture and Reference Framework. בריסל: הנציבות האירופית. זמין בכתובת: European Commission, 2026..
- European Parliament and Council of the European Union, 2015. Directive (EU) 2015/2366 on payment services in the internal market (PSD2). בריסל: כתב העת הרשמי של האיחוד האירופי. זמין בכתובת: European Parliament and Council of the European Union, 2015..
- European Commission, 2018. Commission Delegated Regulation (EU) 2018/389 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication. בריסל: כתב העת הרשמי של האיחוד האירופי. זמין בכתובת: European Commission, 2018..
- OpenID Foundation, 2026. OpenID for Verifiable Presentations. סן ראמון: OpenID Foundation. זמין בכתובת: OpenID Foundation, 2026..
נסקר לאחרונה .
פרסם מחדש מאמר זה
העתק בפורמט Medium
# הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/](https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/) מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. פער שנים-עשר החודשים הזה הוא כל הבעיה כולה. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/
העתק בפורמט Mastodon
הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. פער שנים-עשר החודשים הזה הוא כל הבעיה כולה. https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/
העתק מעוצב עבור LinkedIn
הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. להלן עיקרי הנקודות האסטרטגיות: - שני תאריכים, פער אחד. התחילו מלוח הזמנים, משום שכמעט כל קריאה שגויה של התיק הזה נובעת מכיווץ שני התאריכים לאחד. - צד נסמך הוא תפקיד משפטי, לא דפוס אינטגרציה. זוהי ההוראה שנפקדת לרוב מקריאות טכניות, והיא זו בעלת זמן ההיערכות הארוך ביותר. - הארנק אינו מבטל את אימות הלקוח החזק. טעות חוזרת במצגות תכנון מוקדמות היא ההנחה שקבלת הארנק גוברת על משטר האימות של PSD2. - מה האימות אינו מספר לכם. הנה החלק שמפתיע בעקביות צוותי זהות, וכדאי לומר אותו במפורש. כיצד מתמודד הארגון שלכם עם האתגרים המתוארים במאמר זה? → https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ #EudiWallet #ארנקזהותדיגיטלי #Eidas2 #EuropeanDigitalIdentityWallet #Regulation(eu)20241183 Sebastien Rousseau | CC-BY-4.0
ציטוט הכתבה
הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau
מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. פער שנים-עשר החודשים הזה הוא כל הבעיה כולה.
BibTeX
@online{rousseau2026הארנק,
author = {Rousseau, Sebastien},
title = {{הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ ER -
Vancouver
Rousseau S. הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau. sebastienrousseau.com. 2026 Aug 1. Available from: https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/
Chicago
Rousseau, Sebastien. "הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau." sebastienrousseau.com. August 1, 2026. https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/.
APA
Rousseau, S. (2026, August 1). הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/
פרסום מחדש של הכתבה
הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau
מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. פער שנים-עשר החודשים הזה הוא כל הבעיה כולה.
כתבה זו מפורסמת ברישיון Creative Commons Attribution 4.0 International. פרסום מחדש מחייב ייחוס לכתובת ה-URL הקאנונית.
הארנק יוצא בדצמבר. הבנקים יחויבו לקבלו שנה לאחר מכן. — Sebastien Rousseau מדינות האיחוד חייבות לספק ארנק זהות דיגיטלי אירופי עד דצמבר 2026. הבנקים חייבים לקבלו עד דצמבר 2027. פער שנים-עשר החודשים הזה הוא כל הבעיה כולה. Originally published at https://sebastienrousseau.com/he/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau. Licensed under CC-BY-4.0.