ウォレットは12月に登場する。銀行は1年後に受け入れる義務を負う

TL;DR. 加盟国は2026年12月までにEUデジタルIDウォレットを提供し、銀行は2027年12月までに受け入れを義務づけられます。この12か月の空白期間こそが、問題のすべてです。

主な要点

2つの期日、1つの空白. まずタイムラインから始めます。この案件の読み違えのほとんどは、2つの期日を1つに畳んでしまうことから生じるからです。.
リライング・パーティ（検証者）は統合パターンではなく法的役割である. これは技術的な読み方で最も見落とされやすい条項であり、リードタイムが最も長い条項です。.
ウォレットは強力な顧客認証を廃止しない. 初期の計画資料に繰り返し現れる誤りは、ウォレットの受け入れがPSD2の認証制度に優先するという思い込みです。そうではありません。.
検証が教えてくれないこと. ここが本人確認チームを一貫して驚かせる部分であり、はっきり述べておく価値があります。.

この10年間、ログインは銀行のものでした。 金融機関がクレデンシャルを発行し、認証を実行し、監査証跡を保持し、「本人確認済み」の意味を決めてきました。欧州デジタルID規則は、そうとは一言も明示しないまま、この構図を終わらせます。同規則はすべての加盟国に対し、2026年12月までに市民がウォレットを利用できるようにすることを求め、銀行に対しては——推論ではなく業種の名指しで——2027年12月までに強力な利用者認証のためにそのウォレットを受け入れることを求めます。この2つの期日のあいだには、クレデンシャルは存在し、顧客はそれを保有しているのに、義務はまだ発動していない1年が横たわります。多くの金融機関はこの1年を余裕とみなしています。これは構築のための期間です。

エグゼクティブ・サマリー

2026年の案件の多くとは違い、これは確定した法です。 Regulation (EU) 2024/1183はすでに施行されています。期日は三者協議で係属中なのではなく条文に固定されており、そのおかげでこれは確信をもって計画を立てられる数少ないプログラムのひとつになっています。

銀行はリライング・パーティ（検証者）になります。 これは登録義務をともなう、定義された法的役割です。銀行が顧客に何を求めるつもりかを公的な登録機関に対して正式に申告しなければならない、最初の本人確認制度です。

受け入れは認証戦略ではありません。 義務は、利用者がウォレットの提示を申し出たときにそれを受け入れることです。得られた保証を銀行がどう扱うか、そしてそれを自行のリスクモデルとどう整合させるかは、銀行に委ねられています。

難しいのはクレデンシャルの検証が通った後です。 暗号学的に有効な提示は、保有者が国家の言うとおりの人物であることを示します。その人物が2014年に口座を開設した本人であるかどうかは示しません。

2つの期日、1つの空白

まずタイムラインから始めます。この案件の読み違えのほとんどは、2つの期日を1つに畳んでしまうことから生じるからです。

Regulation (EU) 2024/1183は、元のeIDAS規則であるRegulation (EU) No 910/2014を改正し、2024年5月に発効しました。同規則は、ウォレットがどのように構築され、認証され、登録され、利用されるかを定める実施法を採択する権限を欧州委員会に与え、異なる時計で動く2つの義務を設定しました。

第1の義務は加盟国に課されます。2026年12月24日までに、各国は少なくとも1つの欧州デジタルIDウォレットを自国の市民および居住者が利用できるようにしなければなりません。これは供給の義務です。国家、または国家が指定する主体がウォレットを提供し、自然人には料金を課しません。

第2の義務はリライング・パーティ（検証者）に課されます。2027年12月24日までに、Article 5fのもとで、本人確認のために強力な利用者認証を用いることを法令上または契約上求められ、かつ列挙された業種——銀行および金融サービスを含みます——のいずれかで事業を行う大規模および中規模のリライング・パーティ（検証者）は、利用者が自発的に利用を求めた場合にウォレットを受け入れなければなりません。

この2つは12か月離れており、順序に意味があります。クレデンシャルが先に到来します。それを受け入れる義務は1年後に到来します。

私が見てきたプログラム計画の多くは2027年の期日を起点にしています。コンプライアンス期限の読み方としては妥当ですが、実際のリスクの読み方としては拙いものです。2026年12月以降、銀行の顧客は、その銀行がまだ処理できない国家発行のデジタルIDクレデンシャルを保有できるようになります。処理できる競合はそれを使います——日数ではなく秒数で測られる口座開設手続きのために、そして書類のアップロードを完全に省く再認証の導線のために。期限は2027年です。競争上のリスクは2026年に始まります。

リライング・パーティ（検証者）は統合パターンではなく法的役割である

これは技術的な読み方で最も見落とされやすい条項であり、リードタイムが最も長い条項です。

Article 5bのもとで、欧州デジタルIDウォレットに依拠しようとする主体は、設立した加盟国において登録しなければなりません。登録は開発者ポータルへのサインアップではありません。機関を特定し、設立した加盟国と登録番号を記録し、そして決定的に重要な点として、リライング・パーティ（検証者）が要求する属性を含む利用目的を対象とします。

そこから3つの帰結が生じます。そのいずれもエンジニアリングの問題ではありません。

属性の要求は申告された立場になります。 銀行は、顧客に何の開示を求めるのかを、事前に、記録に残る形で決めなければなりません。「ウォレットが渡してくれるものすべて」は選べる答えではありません。データ最小化は、プライバシー部門が唱える原則であることをやめ、登録が符号化する制約になります。

プロダクト変更は登録への依存を抱えます。 登録した範囲の外にある属性を必要とする新しい導線は、スプリントの作業項目ではありません。各加盟国で事務処理にどれだけかかることが判明するにせよ、当日中ということはありません。

複数法域にまたがる銀行は複数の場所で登録します。 複数の加盟国に設立された機関は、複数の登録機関を相手にします。ウォレットは国境を越えて機能するよう設計されており、ドイツのウォレットはフランスのリライング・パーティ（検証者）で機能します。しかし登録義務は設立地に付随し、それが何回の折衝を意味するかはグループ構造が決めます。

表1:銀行の立ち位置は前後でどう変わるか

観点	銀行が保有する本人確認（現在）	EUDIウォレット（Article 5f）
クレデンシャルを発行するのは誰か	銀行が、自行の口座開設手続きを経て	加盟国または指定された提供者
有効性を判断するのは誰か	銀行が、自行の記録に照らして	銀行が、発行者の署名とステータスに照らして
顧客が制御するもの	ほとんどない。関係を握るのは銀行	提示ごとに、どの属性を開示するか
銀行がしなければならないこと	自行のリスク選好が支える範囲のこと	利用者が求めたときに提示を受け入れること
参加の前提条件	自行のシステム以外に特になし	Article 5bのもとでのリライング・パーティ（検証者）としての登録
より多くのデータを求める代償	社内のプロダクト判断	登録され申告された範囲の変更

ウォレットは強力な顧客認証を廃止しない

初期の計画資料に繰り返し現れる誤りは、ウォレットの受け入れがPSD2の認証制度に優先するという思い込みです。そうではありません。

Directive (EU) 2015/2366および Commission Delegated Regulation (EU) 2018/389の規制技術基準のもとでの強力な顧客認証は、決済サービス提供者が支払人を認証し取引を承認する方法を引き続き規律します。Article 5fの義務はその上に重ねられるのであって、置き換えるのではありません。銀行は依然としてSCAの義務を満たさなければならず、それに加えて、顧客が強力な利用者認証のためにウォレットを申し出たときにこれを受け入れなければなりません。

したがって実務上の問いは「ウォレットは自行のSCA要素を置き換えるのか」ではなく、「ウォレットの提示はSCA準拠の認証に何を寄与し、自行は何を依然として自ら行わなければならないのか」です。これは実在の答えがあるアーキテクチャの問いであり、期限の最中ではなく期限の前に詰めておく価値があります。2つの制度は異なる法令によって異なる目的のために起草されており、それらが出会う場所は自行の認証サービスの内部だからです。

責任分担のモデルにも関連する落とし穴があります。現在の枠組みでは、銀行がクレデンシャルを発行し、したがって障害モードの大半を自ら抱えています。新しい枠組みでは、クレデンシャルは他所で発行され、銀行が検証します。検証がフェイルオープンすること、発行者の失効ステータスが古いこと、提示がリプレイされること。いずれも金融機関にとって経験の乏しい障害モードです。そしてウォレット提供者、発行者、リライング・パーティ（検証者）のあいだの損失の配分は、まさに最初のインシデントの後に時間と費用をかけて決着する類の論点です。

検証が教えてくれないこと

ここが本人確認チームを一貫して驚かせる部分であり、はっきり述べておく価値があります。

ウォレットの提示は、ある属性の集合が信頼された当局によってウォレットの保有者に発行されたこと、そして保有者がその場にいることを、暗号学的に保証します。この人物が国家の言うとおりの人物であることを、高い確度で示します。

その人物が口座を開設した顧客であることは示しません。

口座開設手続きにおいては、この区別はさほど問題になりません。ウォレットは理想に近く、いまは書類のスキャン、ライブネス検査、目視審査を要する本人確認が、1回の提示に収まります。既存顧客の基盤においては、この区別は決定的に重要です。国家発行のデジタルIDを、すでに失効したパスポートに基づき、変わっているかもしれない氏名のもとで、2014年に開設された口座に紐づけることは、レコードリンケージの問題です。これはオープンファイナンスや顧客データのプログラムが何度も再発見しているのと同じエンティティ解決の作業であり、届くクレデンシャルが暗号学的に優れているからといって楽になるものではありません。

ウォレットの統合をチャネル案件として扱う機関は、動作する提示フローを作り上げたうえで、興味深い失敗は自行の顧客マスタとの照合率だと気づくことになります。この作業はリードタイムが長く、いかなる実施法にも依存しません。いますぐ始められます。

表2:構築は実際には何に分解されるか

ワークストリーム	ウォレットの存在に依存するか	いま始められること
設立した各加盟国でのリライング・パーティ登録	登録機関の稼働に依存	申告する属性の範囲を決める
提示の検証、トラストリストおよび失効の処理	エンドツーエンド試験については依存	プロトコルの選定とサービス設計
検証済みの本人確認結果を既存の顧客レコードに紐づける	依存しない	可能。これが最長工程
ウォレットの受け入れとSCA義務との整合	依存しない	可能
自行が発行していないクレデンシャルの責任、インシデント、紛争処理	依存しない	可能
既存の導線に対する属性最小化のレビュー	依存しない	可能

6つのうち4つは、何も待ちません。

実務のプレイブック

私が並べる順序で、6つの打ち手を挙げます。

説明責任を負う責任者を指名してください。 これは本人確認、口座開設手続き、決済、法務にまたがり、多くの銀行ではどこにも属さないことを意味します。ウォレットの受け入れは、分散した取り組みとしては失敗します。
登録機関に問われる前に属性の範囲を決めてください。 登録は何を要求するかを申告します。自行の導線を支える最小限を割り出してください。申告した範囲は、プライバシー審査の後に狭めるより、意図して広げるほうが容易だからです。
紐づけの問題にいますぐ着手してください。 国家の本人確認結果を既存の顧客レコードに突き合わせる作業は、尾が最も長く、依存関係が最も少ないワークストリームです。そしてこれは、受け入れが良い体験になるのか、サポートの待ち行列になるのかを決める作業でもあります。
SCAとの整合を文書に落としてください。 ウォレットの提示が既存の認証要素とどう相互作用し、2つの制度がどこで出会うのかを記録してください。スライドではなく、アーキテクチャ決定記録として行ってください。
これまで自ら抱えたことのない障害モードをモデル化してください。 古い失効情報、発行者の障害、検証のフェイルオープン。このクレデンシャルを発行したのは自行ではありません。障害モードは自行の制御下にないと想定し、それに沿って設計してください。
12か月の空白期間を意図して使ってください。 ウォレットは2026年12月から稼働します。2027年は構築の年ではなく、能力を運用する年として扱ってください。

銀行はオープンバンキングの時代を通じて、義務づけられたインターフェースが単なるインターフェースであることはまずない、と学びました。これは同じ教訓が別の法令を通じて届いたものです。Article 5fを統合チケットとして読む機関は、準拠した提示フローを期限どおりに提供し、それでも窓口で唯一重要な問いに答えられないままです。このウォレットを持っている人物は、これから口座を開こうとしている当人なのか。

よくある質問

銀行はいつウォレットを受け入れなければならないのですか。
2027年12月24日までです。対象は、法令上または契約上、強力な利用者認証を用いる義務があり、銀行および金融サービスを含む列挙された業種で事業を行う大規模および中規模のリライング・パーティ（検証者）です。少なくとも1つのウォレットを利用可能にする加盟国への別の義務は、その1年前の2026年12月24日までです。

これは確定していますか、それとも期日は動きうるのですか。
Regulation (EU) 2024/1183はすでに施行されており、期日は交渉中の提案ではなく採択された条文に置かれています。そのため、いま銀行が計画の前提としている事項の多くよりも実質的に堅固であり、この案件が早期の着手に報いる理由のひとつになっています。

ウォレットを受け入れれば自行の認証は廃止できますか。
いいえ。義務は、利用者が自発的に利用を求めたときにウォレットの提示を受け入れることです。ウォレットを持たない顧客、あるいは使いたくない顧客にも引き続き対応する必要があり、PSD2の強力な顧客認証の要件は決済の導線に対して変わらず適用されます。

Article 5bの登録は実際に何を約束させるのですか。
設立した加盟国において登録し、機関を特定し、要求する意図のある属性を含む利用目的を申告することです。実務上の効果は、自行のデータ最小化の立場が公的な記録の対象となり、将来のプロダクト変更に対する制約になることです。

当行はEU域内に設立されていません。これは及びますか。
Article 5fの受け入れ義務は、EUの枠組みのなかで列挙された業種において事業を行うリライング・パーティ（検証者）に付随し、登録義務は設立した加盟国に付随します。グループ構造と各規制対象法人の設立地が答えを決めます。これは技術的な問いではなく、早期に解決する価値のある法的な問いです。

今四半期に着手して最も有用なことは何ですか。
国家発行の本人確認結果と自行の既存顧客マスタとのエンティティ解決です。ウォレットにも実施法にも登録機関にも依存せず、受け入れが実務で機能するかどうかを最も左右しうるワークストリームであり、そして放っておけば誰も所有しない作業です。

参考文献

欧州議会および欧州連合理事会, 2024. 欧州デジタルIDの枠組みの確立に関してRegulation (EU) No 910/2014を改正するRegulation (EU) 2024/1183. ブリュッセル:欧州連合官報. 出典:欧州議会および欧州連合理事会, 2024年.
欧州委員会, 2026. 欧州デジタルIDウォレット. ブリュッセル:通信ネットワーク・コンテンツ・技術総局. 出典:欧州委員会, 2026年.
欧州委員会, 2026. EUDIウォレット・アーキテクチャおよびリファレンス・フレームワーク. ブリュッセル:欧州委員会. 出典:欧州委員会, 2026年.
欧州議会および欧州連合理事会, 2015. Directive (EU) 2015/2366 域内市場における決済サービスに関する指令(PSD2). ブリュッセル:欧州連合官報. 出典:欧州議会および欧州連合理事会, 2015年.
欧州委員会, 2018. 強力な顧客認証に関する規制技術基準についてDirective (EU) 2015/2366を補完するCommission Delegated Regulation (EU) 2018/389. ブリュッセル:欧州連合官報. 出典:欧州委員会, 2018年.
OpenID Foundation, 2026. OpenID for Verifiable Presentations. サンラモン:OpenID Foundation. 出典:OpenID Foundation, 2026年.

最終確認日 2026-08-08.

この記事を転載

ウォレットは12月に登場する。銀行は1年後に受け入れる義務を負う — Sebastien Rousseau

加盟国は2026年12月までにEUデジタルIDウォレットを提供し、銀行は2027年12月までに受け入れを義務づけられます。この12か月の空白期間こそが、問題のすべてです。

本記事のライセンスは Creative Commons Attribution 4.0 International. 転載の際は正規URLへの帰属表示が必要です。

ウォレットは12月に登場する。銀行は1年後に受け入れる義務を負う — Sebastien Rousseau

加盟国は2026年12月までにEUデジタルIDウォレットを提供し、銀行は2027年12月までに受け入れを義務づけられます。この12か月の空白期間こそが、問題のすべてです。

Originally published at https://sebastienrousseau.com/ja/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER