A tárca decemberben indul. A bankoknak egy év múlva kell elfogadniuk.

TL;DR. A tagállamoknak 2026 decemberéig kell EUDI-tárcát indítaniuk, a bankoknak 2027 decemberéig elfogadniuk. A tizenkét hónapos rés maga a probléma.

Legfontosabb tanulságok

Két dátum, egy rés. Kezdjük az idővonallal, mert e dosszié szinte minden félreolvasása abból ered, hogy a két dátumot egybemossák.
A támaszkodó fél jogi szerep, nem integrációs minta. Ez az a rendelkezés, amelyet a technikai olvasatok a leggyakrabban átugranak, és ennek a legnagyobb az átfutási ideje.
A tárca nem helyezi hatályon kívül az erős ügyfél-hitelesítést. A korai tervezési anyagok visszatérő hibája az a feltevés, hogy a tárca elfogadása felülírja a PSD2 hitelesítési rezsimjét.
Amit az ellenőrzés nem árul el. Itt jön az a rész, amely következetesen meglepi az azonosságkezelő csapatokat, és érdemes világosan kimondani.

Egy évtizede a bankoké a bejelentkezés. Az intézmény bocsátotta ki az azonosító igazolást, futtatta a hitelesítést, vezette az auditnaplót, és eldöntötte, mit jelent a „hitelesített". Az európai digitális személyazonosságról szóló rendelet úgy zárja le ezt a felállást, hogy sehol nem mondja ki nyíltan. Előírja minden tagállamnak, hogy 2026 decemberéig tegyen elérhetővé tárcát a polgárai számára, és előírja a bankoknak — ágazati megnevezéssel, nem következtetés útján —, hogy 2027 decemberéig fogadják el ezt a tárcát az erős felhasználó-hitelesítéshez. A két dátum között eltelik egy év, amelyben az azonosító igazolás létezik, az ügyfelek a kezükben tartják, a kötelezettség viszont még nem harap. A legtöbb intézmény tartaléknak tekinti ezt az évet. Valójában ez az építési ablak.

Vezetői összefoglaló

Ez lezárt jog, szemben a 2026-os dosszié java részével. A Regulation (EU) 2024/1183 hatályban van. A dátumok a szövegben rögzítettek, nem trilógusban függőben, így ez azon kevés programok egyike, amelyre magabiztosan lehet tervezni.

A bankból támaszkodó fél lesz. Ez meghatározott jogi szerep, regisztrációs kötelezettséggel. Ez az első azonossági rezsim, amelyben a banknak formálisan, egy közhiteles nyilvántartó szerv felé kell bejelentenie, mit szándékozik kérni az ügyfeleitől.

Az elfogadás nem hitelesítési stratégia. A kötelezettség annyi, hogy a bank elfogadja a tárcabemutatást, ha a felhasználó felkínálja. Hogy mit kezd a kapott bizonyossággal — és hogyan hangolja össze a saját kockázati modelljével —, az a bankra marad.

A nehéz rész az azonosító igazolás ellenőrzése után kezdődik. A kriptográfiailag érvényes bemutatás elárulja, hogy a birtokos az, akinek az állam mondja. Azt nem árulja el, hogy ő-e az a személy, aki 2014-ben megnyitotta a számlát.

Két dátum, egy rés

Kezdjük az idővonallal, mert e dosszié szinte minden félreolvasása abból ered, hogy a két dátumot egybemossák.

A Regulation (EU) 2024/1183 módosította az eredeti eIDAS-rendeletet, a Regulation (EU) No 910/2014-et, és 2024 májusában lépett hatályba. Felhatalmazta a Bizottságot végrehajtási aktusok elfogadására arról, hogyan épülnek, tanúsítják, regisztrálják és használják a tárcákat, és két, eltérő órán futó kötelezettséget rögzített.

Az első a tagállamokra hárul. 2026. december 24-ig mindegyiküknek elérhetővé kell tennie legalább egy európai digitális személyazonossági tárcát a polgárai és lakosai számára. Ez kínálati kötelezettség: az állam vagy az általa kijelölt fél biztosítja a tárcát, és természetes személyeknek nem számítható fel érte díj.

A második a támaszkodó felekre hárul. 2027. december 24-ig az Article 5f alapján azoknak a nagy- és középméretű támaszkodó feleknek, amelyek jogszabály vagy szerződés alapján kötelesek erős felhasználó-hitelesítést alkalmazni az azonosításhoz — és a felsorolt ágazatok egyikében működnek, ideértve a bankokat és a pénzügyi szolgáltatásokat —, el kell fogadniuk a tárcát ott, ahol a felhasználó önkéntesen kéri a használatát.

A kettő között tizenkét hónap van, és a sorrend számít. Előbb érkezik az azonosító igazolás. Az elfogadási kötelezettség egy évvel később.

A legtöbb programterv, amit láttam, a 2027-es dátumra horgonyoz. Ez a megfelelési határidő ésszerű olvasata és a tényleges kockázat rossz olvasata. 2026 decemberétől a bank ügyfelei olyan állami kibocsátású digitális azonosító igazolást tarthatnak a kezükben, amelyet a bank még nem tud feldolgozni. Az a versenytárs, amelyik tudja, használni fogja — napok helyett másodpercekben mért ügyfélbefogadásra és olyan újrahitelesítési útvonalakra, amelyek teljesen kihagyják a dokumentumfeltöltést. A határidő 2027. A versenykitettség 2026-ban indul.

A támaszkodó fél jogi szerep, nem integrációs minta

Ez az a rendelkezés, amelyet a technikai olvasatok a leggyakrabban átugranak, és ennek a legnagyobb az átfutási ideje.

Az Article 5b szerint annak a félnek, amely európai digitális személyazonossági tárcákra kíván támaszkodni, regisztrálnia kell a letelepedése szerinti tagállamban. A regisztráció nem fejlesztői portálos feliratkozás. Azonosítja az intézményt, rögzíti a letelepedés szerinti tagállamot és a nyilvántartási számot, és — döntő módon — kiterjed a tervezett felhasználásra, beleértve azokat az attribútumokat, amelyeket a támaszkodó fél kérni fog.

Ebből három következmény adódik, és egyik sem mérnöki probléma.

Az attribútumkérés bejelentett álláspont lesz. A banknak előre és jegyzőkönyvben kell eldöntenie, mit fog kérni az ügyfeleitől. A „mindent, amit a tárca ad" nem választható válasz. Az adattakarékosság megszűnik olyan elvnek lenni, amelyért az adatvédelmi terület lobbizik, és a regisztrációba kódolt korláttá válik.

A termékváltozások regisztrációs függőséget kapnak. Egy új útvonal, amely a bejelentett körön kívüli attribútumot igényel, nem sprintfeladat. Bármilyen adminisztratív átfutásról derüljön is ki, hogy az egyes tagállamokban jellemző, aznapi biztosan nem lesz.

A több joghatóságban működő bankok több helyen regisztrálnak. A több tagállamban letelepedett intézmény több nyilvántartó szervvel áll szemben. A tárcát határon átnyúlóra tervezték — egy német tárca működik egy francia támaszkodó félnél —, de a regisztrációs kötelezettség a letelepedéshez tapad, és a csoportstruktúra dönti el, hány párbeszédet jelent ez.

1. táblázat: Hol áll a bank előtte és utána

Szempont	Banki tulajdonú azonosság (ma)	EUDI-tárca (Article 5f)
Ki bocsátja ki az azonosító igazolást	A bank, a saját ügyfélbefogadása után	A tagállam vagy egy kijelölt szolgáltató
Ki dönti el, hogy érvényes	A bank, a saját nyilvántartása alapján	A bank, a kibocsátó aláírása és státusza alapján
Mit kontrollál az ügyfél	Keveset; a kapcsolatot a bank tartja	Mely attribútumok kerülnek ki, bemutatásonként
Mit köteles tenni a bank	Amit a kockázati étvágya megenged	Elfogadni a bemutatást, ha a felhasználó kéri
A részvétel előfeltétele	A saját rendszerein túl semmi	Regisztráció támaszkodó félként az Article 5b alapján
Több adat kérésének ára	Belső terméktervezési döntés	Egy nyilvántartott, bejelentett kör módosítása

A tárca nem helyezi hatályon kívül az erős ügyfél-hitelesítést

A korai tervezési anyagok visszatérő hibája az a feltevés, hogy a tárca elfogadása felülírja a PSD2 hitelesítési rezsimjét. Nem írja felül.

A Directive (EU) 2015/2366 szerinti erős ügyfél-hitelesítés és a Commission Delegated Regulation (EU) 2018/389 szabályozástechnikai standardjai továbbra is meghatározzák, hogyan hitelesítik a pénzforgalmi szolgáltatók a fizető feleket, és hogyan engedélyezik a tranzakciókat. Az Article 5f szerinti kötelezettség erre rétegződik, nem ezt váltja ki. A banknak továbbra is teljesítenie kell az SCA-kötelezettségeit; ezen felül el kell fogadnia a tárcát, ha az ügyfél erős felhasználó-hitelesítésre kínálja fel.

A gyakorlati kérdés tehát nem az, hogy „leváltja-e a tárca az SCA-faktorainkat", hanem az, hogy „mivel járul hozzá egy tárcabemutatás egy SCA-konform hitelesítéshez, és mit kell továbbra is nekünk elvégeznünk". Ez architektúrai kérdés valódi válasszal, és érdemes a határidő előtt kidolgozni, nem közben, mert a két rezsimet külön jogi eszközök írták külön célra, és a ti hitelesítési szolgáltatásotokon belül találkoznak.

A felelősségi modellben kapcsolódó csapda rejlik. A jelenlegi felállásban a bank bocsátja ki az azonosító igazolást, ezért a hibamódok többsége az övé. Az újban máshol bocsátják ki, és a bank ellenőrzi. Az ellenőrzés nyitva hibázása, a kibocsátó elavult visszavonási státusza vagy egy bemutatás visszajátszása mind olyan hibamód, amellyel az intézménynek kevés tapasztalata van, a veszteség megosztása pedig a tárcaszolgáltató, a kibocsátó és a támaszkodó fél között pontosan az a kérdés, amely lassan és drágán rendeződik el az első incidens után.

Amit az ellenőrzés nem árul el

Itt jön az a rész, amely következetesen meglepi az azonosságkezelő csapatokat, és érdemes világosan kimondani.

A tárcabemutatás kriptográfiai bizonyosságot ad arról, hogy egy attribútumkészletet megbízható hatóság bocsátott ki a tárca birtokosának, és hogy a birtokos jelen van. Nagy magabiztossággal elárulja, hogy ez a személy az, akinek az állam mondja.

Azt nem árulja el, hogy ez a személy az az ügyfél, aki megnyitotta a számlát.

Az ügyfélbefogadásnál ez a különbség alig számít — a tárca csaknem ideális, és az a személyazonosság-ellenőrzés, amely ma dokumentumszkennelésből, élőségvizsgálatból és manuális felülvizsgálatból áll, egyetlen bemutatássá zsugorodik. A meglévő állománynál viszont óriási jelentősége van. Egy állami kibocsátású digitális azonosság hozzákötése egy 2014-ben, azóta lejárt útlevél alapján, esetleg azóta megváltozott néven megnyitott számlához rekordösszekapcsolási feladat. Ugyanaz az entitásfeloldási munka, amelyet a nyílt pénzügyi és ügyféladat-programok újra meg újra felfedeznek, és nem lesz könnyebb attól, hogy a beérkező azonosító igazolás kriptográfiailag kiváló.

Az az intézmény, amely a tárcaintegrációt csatornaprojektként kezeli, felépít egy működő bemutatási folyamatot, majd rájön, hogy az érdekes hiba a saját ügyféltörzse elleni találati arány. Ennek a munkának hosszú az átfutása, és semmilyen végrehajtási aktustól nem függ. Most el lehet kezdeni.

2. táblázat: Mire bomlik szét valójában az építés

Munkafolyam	Függ a tárca létezésétől?	Most elkezdhető
Támaszkodó féli regisztráció minden letelepedési tagállamban	A nyilvántartó szerv működésétől	Eldönteni a bejelentendő attribútumkört
Bemutatás-ellenőrzés, bizalmi lista és visszavonáskezelés	Igen, a végponttól végpontig teszteléshez	Protokollválasztás és szolgáltatástervezés
Ellenőrzött azonosság hozzákötése meglévő ügyfélrekordhoz	Nem	Igen — ez a leghosszabb rúd
A tárcaelfogadás összehangolása az SCA-kötelezettségekkel	Nem	Igen
Felelősség-, incidens- és panaszkezelés egy általad ki nem bocsátott azonosító igazolásra	Nem	Igen
A meglévő útvonalak attribútum-takarékossági felülvizsgálata	Nem	Igen

Hatból négy semmire nem vár.

A működési forgatókönyv

Hat lépés, abban a sorrendben, ahogy én ütemezném őket.

Nevezd meg a felelős gazdát. Ez az azonosságkezelés, az ügyfélbefogadás, a fizetések és a jog metszetében ül, ami a legtöbb bankban azt jelenti, hogy sehol nem ül. A tárcaelfogadás föderált kezdeményezésként megbukik.
Döntsd el az attribútumkört, mielőtt a nyilvántartó szerv kérdez. A regisztráció bejelenti, mit fogsz kérni. Dolgozd ki azt a minimumot, amely kiszolgálja az útvonalaidat, mert a bejelentett kört könnyebb szándékosan bővíteni, mint egy adatvédelmi felülvizsgálat után szűkíteni.
Kezdd el most a hozzákötési problémát. Egy állami azonosság összepárosítása meglévő ügyfélrekorddal a leghosszabb farkú és legkevesebb függőséggel bíró munkafolyam. Egyben ez dönti el, hogy az elfogadás jó élmény lesz-e vagy támogatási várólista.
Írd le az SCA-összehangolást. Dokumentáld, hogyan hat egy tárcabemutatás a meglévő hitelesítési faktoraiddal, és hol találkozik a két rezsim. Architektúrai döntési feljegyzésként tedd, ne diaként.
Modellezd azokat a hibamódokat, amelyek soha nem voltak a tieid. Elavult visszavonás, kibocsátói kiesés, nyitva hibázó ellenőrzés. Nem te bocsátottad ki ezt az azonosító igazolást; feltételezd, hogy a hibamódok nem a te kontrollod alatt állnak, és eszerint tervezz.
Használd tudatosan a tizenkét hónapos rést. A tárcák 2026 decemberétől élesek. Kezeld 2027-et annak az évnek, amikor üzemelteted a képességet, nem annak, amikor felépíted.

A bankok a nyílt bankolás korszakában megtanulták, hogy egy előírt interfész ritkán csak interfész. Ugyanez a lecke érkezik most más jogi eszközön keresztül. Az az intézmény, amely az Article 5f-et integrációs jegyként olvassa, időben leszállít egy megfelelő bemutatási folyamatot, és továbbra sem tud válaszolni az egyetlen kérdésre, amely a pultnál számít: az a személy, aki ezt a tárcát tartja, ugyanaz-e, akinek mindjárt számlát nyitsz?

Gyakran ismételt kérdések

Pontosan mikortól kell a banknak elfogadnia a tárcát?
2027. december 24-től azoknak a nagy- és középméretű támaszkodó feleknek, amelyek jogszabály vagy szerződés alapján kötelesek erős felhasználó-hitelesítést alkalmazni, és felsorolt ágazatban működnek, ideértve a bankokat és a pénzügyi szolgáltatásokat. A tagállamokra vonatkozó külön kötelezettség, hogy legalább egy tárcát elérhetővé tegyenek, egy évvel korábban, 2026. december 24-én jár le.

Ez lezárt kérdés, vagy elmozdulhatnak a dátumok?
A Regulation (EU) 2024/1183 hatályban van, és a dátumok az elfogadott szövegben állnak, nem egy tárgyalás alatti javaslatban. Ez lényegesen szilárdabbá teszi annál, mint amire a bankok jelenleg terveznek, és ez az egyik oka annak, hogy ez a dosszié meghálálja a korai munkát.

Ha elfogadjuk a tárcát, kivezethetjük a saját hitelesítésünket?
Nem. A kötelezettség az, hogy elfogadjátok a tárcabemutatást, ha a felhasználó önkéntesen kéri a használatát. Azokat az ügyfeleket, akiknek nincs tárcájuk, vagy nem kívánják használni, továbbra is ki kell szolgálni, a PSD2 erős ügyfél-hitelesítési követelményei pedig ettől függetlenül érvényesek maradnak a fizetési útvonalakra.

Mire kötelez minket ténylegesen az Article 5b szerinti regisztráció?
Regisztrációra a letelepedés szerinti tagállamban, az intézmény azonosítására, valamint a tervezett felhasználás bejelentésére, beleértve a kérni kívánt attribútumokat. A gyakorlati hatás az, hogy az adattakarékossági álláspontotok közhiteles nyilvántartásba kerül, és korlátot szab a jövőbeli termékváltozásoknak.

Nem vagyunk letelepedve az EU-ban. Ránk is kiterjed?
Az Article 5f szerinti elfogadási kötelezettség azokra a támaszkodó felekre tapad, amelyek a felsorolt ágazatokban, az Unió keretei között működnek, a regisztrációs kötelezettség pedig a letelepedés szerinti tagállamhoz. A csoportstruktúra és az egyes szabályozott entitások letelepedési helye dönti el a választ, ami inkább korán tisztázandó jogi, mint technikai kérdés.

Mi az egyetlen leghasznosabb dolog, amit ebben a negyedévben el lehet kezdeni?
Az entitásfeloldás egy állami kibocsátású azonosság és a meglévő ügyféltörzsetek között. Nem függ tárcáktól, végrehajtási aktusoktól vagy nyilvántartó szervektől, ez a munkafolyam dönti el a legnagyobb eséllyel, hogy az elfogadás a gyakorlatban működik-e, és alapesetben ez az, amelynek senki nem a gazdája.

Hivatkozások

Az Európai Parlament és az Európai Unió Tanácsa, 2024. Regulation (EU) 2024/1183 a Regulation (EU) No 910/2014 módosításáról az európai digitális személyazonossági keret létrehozása tekintetében. Brüsszel: az Európai Unió Hivatalos Lapja. Elérhető: Az Európai Parlament és az Európai Unió Tanácsa, 2024..
Európai Bizottság, 2026. European Digital Identity Wallet. Brüsszel: Tartalmak, Technológiák és Kommunikációs Hálózatok Főigazgatósága. Elérhető: Európai Bizottság, 2026..
Európai Bizottság, 2026. EUDI Wallet Architecture and Reference Framework. Brüsszel: Európai Bizottság. Elérhető: Európai Bizottság, 2026..
Az Európai Parlament és az Európai Unió Tanácsa, 2015. Directive (EU) 2015/2366 a belső piaci pénzforgalmi szolgáltatásokról (PSD2). Brüsszel: az Európai Unió Hivatalos Lapja. Elérhető: Az Európai Parlament és az Európai Unió Tanácsa, 2015..
Európai Bizottság, 2018. Commission Delegated Regulation (EU) 2018/389 a Directive (EU) 2015/2366 kiegészítéséről az erős ügyfél-hitelesítésre vonatkozó szabályozástechnikai standardok tekintetében. Brüsszel: az Európai Unió Hivatalos Lapja. Elérhető: Európai Bizottság, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Elérhető: OpenID Foundation, 2026..

Utolsó felülvizsgálat 2026-08-08.

A cikk újraközlése

A tárca decemberben indul. A bankoknak egy év múlva kell elfogadniuk. — Sebastien Rousseau

A tagállamoknak 2026 decemberéig kell EUDI-tárcát indítaniuk, a bankoknak 2027 decemberéig elfogadniuk. A tizenkét hónapos rés maga a probléma.

Ez a cikk a következő licenc alatt áll: Creative Commons Attribution 4.0 International. Az újraközléshez a kanonikus URL forrásmegjelölése szükséges.

A tárca decemberben indul. A bankoknak egy év múlva kell elfogadniuk. — Sebastien Rousseau

A tagállamoknak 2026 decemberéig kell EUDI-tárcát indítaniuk, a bankoknak 2027 decemberéig elfogadniuk. A tizenkét hónapos rés maga a probléma.

Originally published at https://sebastienrousseau.com/hu/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER