Dompet Tiba Disember. Bank Wajib Menerimanya Setahun Kemudian.

TL;DR. Negara Anggota wajib menyediakan EUDI Wallet menjelang Disember 2026. Bank wajib menerimanya menjelang Disember 2027. Jurang dua belas bulan itulah masalahnya.

Intipati utama

Dua Tarikh, Satu Jurang. Mulakan dengan garis masa, kerana hampir setiap salah baca fail ini berpunca daripada meleburkan dua tarikh menjadi satu.
Pihak Bergantung Ialah Peranan Undang-Undang, Bukan Corak Integrasi. Inilah peruntukan yang paling kerap dilangkau dalam bacaan teknikal, dan inilah yang mempunyai masa pendahuluan paling panjang.
Dompet Tidak Memansuhkan Pengesahan Pelanggan yang Kukuh. Kesilapan berulang dalam dek perancangan awal ialah andaian bahawa penerimaan dompet mengatasi rejim pengesahan PSD2.
Apa yang Pengesahan Tidak Beritahu Anda. Inilah bahagian yang secara konsisten mengejutkan pasukan identiti, dan ia berbaloi dinyatakan dengan jelas.

Selama sedekad, bank memiliki proses log masuk. Institusi mengeluarkan kelayakan identiti, menjalankan pengesahan, memegang jejak audit dan memutuskan apa erti "disahkan". Peraturan Identiti Digital Eropah menamatkan susunan itu tanpa pernah menyatakannya secara terus. Ia mewajibkan setiap Negara Anggota menyediakan dompet kepada warganya menjelang Disember 2026, dan ia mewajibkan bank — dinamakan mengikut sektor, bukan melalui inferens — menerima dompet itu untuk pengesahan pengguna yang kukuh menjelang Disember 2027. Antara dua tarikh itu terbentang satu tahun apabila kelayakan identiti sudah wujud, pelanggan memegangnya, dan kewajipan belum lagi menggigit. Kebanyakan institusi menganggap tahun itu sebagai ruang lapang. Itulah tetingkap pembinaan.

Ringkasan Eksekutif

Ini undang-undang yang muktamad, tidak seperti kebanyakan fail 2026. Regulation (EU) 2024/1183 sudah berkuat kuasa. Tarikhnya tetap dalam teks, bukan tergantung dalam trilog, dan itu menjadikannya salah satu daripada sedikit program yang boleh dirancang dengan yakin.

Bank menjadi pihak bergantung. Itu peranan undang-undang yang tertakrif, dengan kewajipan pendaftaran terlekat padanya. Inilah rejim identiti pertama yang mewajibkan bank mengisytiharkan secara formal, kepada badan pendaftaran awam, apa yang hendak dimintanya daripada pelanggan.

Penerimaan bukan strategi pengesahan. Kewajipannya ialah menerima pembentangan dompet apabila pengguna menawarkannya. Apa yang bank buat dengan jaminan yang terhasil — dan bagaimana ia menyelaraskannya dengan model risikonya sendiri — terserah kepada bank.

Bahagian sukar berlaku selepas kelayakan identiti disahkan. Pembentangan yang sah secara kriptografi memberitahu anda bahawa pemegangnya ialah orang yang diakui negara. Ia tidak memberitahu anda sama ada dia orang yang membuka akaun itu pada 2014.

Dua Tarikh, Satu Jurang

Mulakan dengan garis masa, kerana hampir setiap salah baca fail ini berpunca daripada meleburkan dua tarikh menjadi satu.

Regulation (EU) 2024/1183 meminda Peraturan eIDAS asal, Regulation (EU) No 910/2014, dan mula berkuat kuasa pada Mei 2024. Ia memberi Suruhanjaya mandat untuk menerima pakai akta pelaksanaan yang menetapkan cara dompet dibina, diperakui, didaftarkan dan digunakan, serta menetapkan dua kewajipan yang berjalan atas jam berbeza.

Yang pertama jatuh ke atas Negara Anggota. Menjelang 24 Disember 2026, setiap satu wajib menyediakan sekurang-kurangnya satu European Digital Identity Wallet kepada warganegara dan pemastautinnya. Itu kewajipan bekalan: negara, atau pihak yang ditetapkannya, menyediakan dompet itu, dan orang perseorangan tidak dikenakan bayaran.

Yang kedua jatuh ke atas pihak bergantung. Menjelang 24 Disember 2027, di bawah Article 5f, pihak bergantung bersaiz besar dan sederhana yang dikehendaki dari segi undang-undang atau kontrak menggunakan pengesahan pengguna yang kukuh untuk pengenalpastian — dan yang beroperasi dalam salah satu sektor tersenarai, termasuk perbankan dan perkhidmatan kewangan — wajib menerima dompet itu apabila pengguna secara sukarela meminta untuk menggunakannya.

Kedua-duanya berselang dua belas bulan, dan turutannya penting. Kelayakan identiti tiba dahulu. Kewajipan menerimanya tiba setahun kemudian.

Kebanyakan pelan program yang saya lihat berlabuh pada tarikh 2027, satu bacaan yang munasabah bagi tarikh akhir pematuhan tetapi bacaan yang lemah bagi risiko sebenar. Mulai Disember 2026, pelanggan sebuah bank boleh memegang kelayakan identiti digital terbitan negara yang belum boleh diguna pakai oleh bank itu. Pesaing yang mampu akan menggunakannya — untuk masa pembukaan hubungan pelanggan yang diukur dalam saat dan bukan hari, dan untuk perjalanan pengesahan semula yang melangkau muat naik dokumen sepenuhnya. Tarikh akhirnya 2027. Pendedahan persaingan bermula pada 2026.

Pihak Bergantung Ialah Peranan Undang-Undang, Bukan Corak Integrasi

Inilah peruntukan yang paling kerap dilangkau dalam bacaan teknikal, dan inilah yang mempunyai masa pendahuluan paling panjang.

Di bawah Article 5b, pihak yang berhasrat bergantung pada European Digital Identity Wallet wajib mendaftar di Negara Anggota tempat ia ditubuhkan. Pendaftaran ini bukan pendaftaran portal pembangun. Ia mengenal pasti institusi, merekodkan Negara Anggota penubuhan dan nombor pendaftaran, dan — yang paling penting — merangkumi kegunaan yang dihasratkan, termasuk atribut yang akan diminta oleh pihak bergantung itu.

Tiga akibat menyusul, dan tiada satu pun daripadanya masalah kejuruteraan.

Permintaan atribut menjadi pendirian yang diisytiharkan. Bank wajib memutuskan, lebih awal dan secara rasmi, apa yang akan dimintanya daripada pelanggan untuk didedahkan. "Segala yang dompet itu mampu beri kepada kami" bukan jawapan yang tersedia. Peminimuman data berhenti menjadi prinsip yang diperjuangkan pejabat privasi dan menjadi kekangan yang dikodkan oleh pendaftaran.

Perubahan produk memperoleh kebergantungan pendaftaran. Perjalanan baharu yang memerlukan atribut di luar skop berdaftar bukan item sprint. Apa pun tempoh pusingan pentadbiran di setiap Negara Anggota, ia bukan hari yang sama.

Bank berbilang bidang kuasa mendaftar di lebih daripada satu tempat. Institusi yang ditubuhkan di beberapa Negara Anggota berurusan dengan beberapa badan pendaftaran. Dompet itu direka untuk merentas sempadan — dompet Jerman berfungsi dengan pihak bergantung Perancis — tetapi kewajipan pendaftaran terlekat pada penubuhan, dan struktur kumpulan menentukan berapa banyak perbualan yang terlibat.

Jadual 1: Kedudukan bank sebelum dan selepas

Dimensi	Identiti milik bank (hari ini)	EUDI Wallet (Article 5f)
Siapa mengeluarkan kelayakan identiti	Bank, selepas pembukaan hubungan pelanggannya sendiri	Negara Anggota atau penyedia yang ditetapkan
Siapa memutuskan ia sah	Bank, berdasarkan rekodnya sendiri	Bank, berdasarkan tandatangan dan status pengeluar
Apa yang dikawal pelanggan	Sedikit; bank memegang hubungan itu	Atribut mana yang dilepaskan, bagi setiap pembentangan
Apa yang wajib dilakukan bank	Apa sahaja yang disokong selera risikonya	Menerima pembentangan apabila pengguna meminta
Prasyarat untuk menyertai	Tiada, selain sistemnya sendiri	Pendaftaran sebagai pihak bergantung di bawah Article 5b
Kos meminta lebih banyak data	Keputusan produk dalaman	Perubahan kepada skop berdaftar yang diisytiharkan

Dompet Tidak Memansuhkan Pengesahan Pelanggan yang Kukuh

Kesilapan berulang dalam dek perancangan awal ialah andaian bahawa penerimaan dompet mengatasi rejim pengesahan PSD2. Ia tidak.

Pengesahan pelanggan yang kukuh di bawah Directive (EU) 2015/2366 dan piawaian teknikal kawal selia dalam Commission Delegated Regulation (EU) 2018/389 terus mengawal cara penyedia perkhidmatan pembayaran mengesahkan pembayar dan membenarkan transaksi. Kewajipan Article 5f dilapiskan atas rejim itu, bukan menggantikannya. Bank masih wajib memenuhi kewajipan SCA-nya; ia wajib menerima dompet secara tambahan apabila pelanggan menawarkannya untuk pengesahan pengguna yang kukuh.

Soalan praktikalnya oleh itu bukan "adakah dompet menggantikan faktor SCA kami" tetapi "apakah sumbangan pembentangan dompet kepada pengesahan yang mematuhi SCA, dan apa yang masih wajib kami lakukan sendiri". Itu soalan seni bina yang ada jawapan sebenar, dan ia berbaloi diselesaikan sebelum tarikh akhir dan bukan semasa tarikh akhir, kerana kedua-dua rejim itu digubal oleh instrumen berbeza untuk tujuan berbeza dan ia bertemu di dalam perkhidmatan pengesahan anda.

Ada perangkap berkaitan dalam model liabiliti. Di bawah susunan semasa, bank mengeluarkan kelayakan identiti dan oleh itu memiliki kebanyakan mod kegagalan. Di bawah susunan baharu, kelayakan identiti dikeluarkan di tempat lain dan disahkan oleh bank. Pengesahan yang gagal terbuka, status pembatalan pengeluar yang basi, atau pembentangan yang dimain semula semuanya mod kegagalan yang institusi hanya ada sedikit pengalaman dengannya, dan pengagihan kerugian antara penyedia dompet, pengeluar dan pihak bergantung ialah jenis soalan yang diselesaikan dengan lambat dan mahal selepas insiden pertama.

Apa yang Pengesahan Tidak Beritahu Anda

Inilah bahagian yang secara konsisten mengejutkan pasukan identiti, dan ia berbaloi dinyatakan dengan jelas.

Pembentangan dompet memberi jaminan kriptografi bahawa satu set atribut telah dikeluarkan oleh pihak berkuasa yang dipercayai kepada pemegang dompet itu, dan bahawa pemegangnya hadir. Ia memberitahu anda, dengan keyakinan tinggi, bahawa orang ini ialah orang yang diakui negara.

Ia tidak memberitahu anda bahawa orang ini ialah pelanggan yang membuka akaun itu.

Bagi pembukaan hubungan pelanggan, perbezaan itu tidak banyak bermakna — dompet hampir ideal, dan pembuktian identiti yang kini memerlukan imbasan dokumen, pemeriksaan kehidupan dan semakan manual mengecut menjadi satu pembentangan tunggal. Bagi buku pelanggan sedia ada, ia amat bermakna. Mengikat identiti digital terbitan negara kepada akaun yang dibuka pada 2014 berdasarkan pasport yang sudah luput, di bawah nama yang mungkin telah bertukar, ialah masalah pemautan rekod. Ia kerja resolusi entiti yang sama yang terus ditemui semula oleh program kewangan terbuka dan data pelanggan, dan ia tidak menjadi lebih mudah hanya kerana kelayakan identiti yang masuk itu cemerlang dari segi kriptografi.

Institusi yang menganggap integrasi dompet sebagai projek saluran akan membina aliran pembentangan yang berfungsi, kemudian mendapati bahawa kegagalan yang menarik ialah kadar padanan terhadap induk pelanggan mereka sendiri. Kerja itu bermasa pendahuluan panjang dan tiada kebergantungan pada mana-mana akta pelaksanaan. Ia boleh bermula sekarang.

Jadual 2: Bagaimana kerja pembinaan itu sebenarnya terurai

Aliran kerja	Bergantung pada kewujudan dompet?	Boleh bermula sekarang
Pendaftaran pihak bergantung di setiap Negara Anggota penubuhan	Badan pendaftaran beroperasi	Tentukan skop atribut yang akan anda isytiharkan
Pengesahan pembentangan, senarai kepercayaan dan pengendalian pembatalan	Ya, untuk ujian hujung ke hujung	Pemilihan protokol dan reka bentuk perkhidmatan
Mengikat identiti yang disahkan kepada rekod pelanggan sedia ada	Tidak	Ya — inilah tiang paling panjang
Menyelaraskan penerimaan dompet dengan kewajipan SCA	Tidak	Ya
Liabiliti, insiden dan pengendalian pertikaian bagi kelayakan identiti yang bukan anda keluarkan	Tidak	Ya
Semakan peminimuman atribut bagi perjalanan sedia ada	Tidak	Ya

Empat daripada enam tidak menunggu apa-apa.

Buku Panduan Operasi

Enam langkah, mengikut turutan yang saya akan susun.

Namakan pemilik yang bertanggungjawab. Perkara ini merentasi identiti, pembukaan hubungan pelanggan, pembayaran dan perundangan, yang dalam kebanyakan bank bermakna ia tidak berada di mana-mana. Penerimaan dompet gagal sebagai inisiatif berfederasi.
Tetapkan skop atribut sebelum badan pendaftaran bertanya. Pendaftaran mengisytiharkan apa yang akan anda minta. Tentukan jumlah minimum yang menyokong perjalanan anda, kerana skop yang diisytiharkan lebih mudah diluaskan secara sengaja berbanding disempitkan selepas semakan privasi.
Mulakan masalah pengikatan sekarang. Memadankan identiti negara dengan rekod pelanggan sedia ada ialah aliran kerja dengan ekor paling panjang dan kebergantungan paling sedikit. Ia juga yang menentukan sama ada penerimaan itu menjadi pengalaman baik atau barisan sokongan pelanggan.
Tuliskan penyelarasan SCA. Dokumenkan cara pembentangan dompet berinteraksi dengan faktor pengesahan sedia ada anda dan di mana kedua-dua rejim bertemu. Lakukannya sebagai rekod keputusan seni bina, bukan slaid.
Modelkan mod kegagalan yang tidak pernah anda miliki. Pembatalan yang basi, gangguan pengeluar, pengesahan yang gagal terbuka. Anda tidak mengeluarkan kelayakan identiti ini; andaikan mod kegagalannya bukan di bawah kawalan anda dan reka bentuk mengikutnya.
Gunakan jurang dua belas bulan itu dengan sengaja. Dompet hidup mulai Disember 2026. Anggap 2027 sebagai tahun anda mengendalikan keupayaan itu, bukan tahun anda membinanya.

Bank menghabiskan era perbankan terbuka untuk belajar bahawa antara muka mandatori jarang sekadar antara muka. Inilah pengajaran yang sama tiba melalui instrumen berbeza. Institusi yang membaca Article 5f sebagai tiket integrasi akan menyerahkan aliran pembentangan yang patuh tepat pada masanya dan tetap tidak mampu menjawab satu-satunya soalan yang penting di kaunter: adakah orang yang memegang dompet ini orang yang akaunnya hendak anda buka?

Soalan Lazim

Bilakah sebenarnya bank wajib menerima dompet itu?
Menjelang 24 Disember 2027 bagi pihak bergantung bersaiz besar dan sederhana yang diwajibkan dari segi undang-undang atau kontrak menggunakan pengesahan pengguna yang kukuh dan beroperasi dalam sektor tersenarai, termasuk perbankan dan perkhidmatan kewangan. Kewajipan berasingan ke atas Negara Anggota untuk menyediakan sekurang-kurangnya satu dompet berjalan setahun lebih awal, iaitu 24 Disember 2026.

Adakah ini muktamad, atau bolehkah tarikhnya beralih?
Regulation (EU) 2024/1183 sudah berkuat kuasa dan tarikhnya terletak dalam teks yang diterima pakai, bukan dalam cadangan yang masih dirundingkan. Itu menjadikannya jauh lebih kukuh berbanding kebanyakan perkara yang sedang dirancang bank sekarang, dan itulah salah satu sebab fail ini memberi ganjaran kepada kerja awal.

Adakah menerima dompet bermakna kami boleh menamatkan pengesahan kami sendiri?
Tidak. Kewajipannya ialah menerima pembentangan dompet apabila pengguna secara sukarela meminta untuk menggunakannya. Pelanggan yang tidak memegang dompet, atau yang tidak mahu menggunakannya, tetap perlu dilayan, dan keperluan pengesahan pelanggan yang kukuh di bawah PSD2 terus terpakai kepada perjalanan pembayaran tanpa mengira itu.

Apakah sebenarnya yang diikat oleh pendaftaran Article 5b terhadap kami?
Mendaftar di Negara Anggota tempat anda ditubuhkan, mengenal pasti institusi, dan mengisytiharkan kegunaan yang dihasratkan termasuk atribut yang anda berhasrat minta. Kesan praktikalnya ialah pendirian peminimuman data anda menjadi rekod awam dan kekangan ke atas perubahan produk pada masa hadapan.

Kami tidak ditubuhkan di EU. Adakah ini sampai kepada kami?
Kewajipan penerimaan dalam Article 5f terlekat pada pihak bergantung yang beroperasi dalam sektor tersenarai di bawah rangka kerja Kesatuan, dan kewajipan pendaftaran terlekat pada Negara Anggota penubuhan. Struktur kumpulan dan tempat setiap entiti dikawal selia ditubuhkan menentukan jawapannya, dan itu soalan perundangan yang berbaloi diselesaikan awal, bukan soalan teknikal.

Apakah satu perkara paling berguna untuk dimulakan suku ini?
Resolusi entiti antara identiti terbitan negara dan induk pelanggan sedia ada anda. Ia tiada kebergantungan pada dompet, akta pelaksanaan atau badan pendaftaran, ia aliran kerja yang paling mungkin menentukan sama ada penerimaan berfungsi dalam amalan, dan ia yang tidak dimiliki sesiapa secara lalai.

Rujukan

European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. Brussels: Official Journal of the European Union. Tersedia di: European Parliament and Council of the European Union, 2024..
European Commission, 2026. European Digital Identity Wallet. Brussels: Directorate-General for Communications Networks, Content and Technology. Tersedia di: European Commission, 2026..
European Commission, 2026. EUDI Wallet Architecture and Reference Framework. Brussels: European Commission. Tersedia di: European Commission, 2026..
European Parliament and Council of the European Union, 2015. Directive (EU) 2015/2366 on payment services in the internal market (PSD2). Brussels: Official Journal of the European Union. Tersedia di: European Parliament and Council of the European Union, 2015..
European Commission, 2018. Commission Delegated Regulation (EU) 2018/389 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication. Brussels: Official Journal of the European Union. Tersedia di: European Commission, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Tersedia di: OpenID Foundation, 2026..

Semakan terakhir 2026-08-08.

Terbit semula artikel ini

Dompet Tiba Disember. Bank Wajib Menerimanya Setahun Kemudian. — Sebastien Rousseau

Negara Anggota wajib menyediakan EUDI Wallet menjelang Disember 2026. Bank wajib menerimanya menjelang Disember 2027. Jurang dua belas bulan itulah masalahnya.

Artikel ini dilesenkan di bawah Creative Commons Attribution 4.0 International. Penerbitan semula memerlukan atribusi kepada URL kanonik.

Dompet Tiba Disember. Bank Wajib Menerimanya Setahun Kemudian. — Sebastien Rousseau

Negara Anggota wajib menyediakan EUDI Wallet menjelang Disember 2026. Bank wajib menerimanya menjelang Disember 2027. Jurang dua belas bulan itulah masalahnya.

Originally published at https://sebastienrousseau.com/ms/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER