Portofelul vine în decembrie. Băncile îl acceptă un an mai târziu.

TL;DR. Statele membre trebuie să livreze un portofel de identitate digitală până în decembrie 2026. Băncile îl acceptă din decembrie 2027. Decalajul contează.

Concluzii cheie

Două date, un decalaj. Începeți cu calendarul, pentru că aproape orice citire greșită a acestui dosar vine din contopirea celor două date într-una singură.
Partea utilizatoare este un rol juridic, nu un tipar de integrare. Aceasta este prevederea cel mai des sărită în lecturile tehnice și este cea cu cel mai lung termen de pregătire.
Portofelul nu abrogă autentificarea strictă a clienților. O eroare recurentă în prezentările de planificare timpurie este ipoteza că acceptarea portofelului înlocuiește regimul de autentificare din PSD2.
Ce nu vă spune verificarea. Iată partea care surprinde constant echipele de identitate și merită spusă simplu.

Timp de un deceniu, băncile au deținut autentificarea. Instituția emitea acreditarea, rula autentificarea, păstra pista de audit și decidea ce înseamnă „verificat". Regulamentul european privind identitatea digitală încheie acest aranjament fără să o spună vreodată direct. Obligă fiecare stat membru să pună un portofel la dispoziția cetățenilor până în decembrie 2026 și obligă băncile — numite pe sector, nu prin deducție — să accepte acel portofel pentru autentificarea puternică a utilizatorului până în decembrie 2027. Între cele două date stă un an în care acreditarea există, clienții o dețin, iar obligația încă nu mușcă. Majoritatea instituțiilor tratează anul acela ca pe o marjă. El este fereastra de construcție.

Sinteză pentru conducere

Acesta este drept consolidat, spre deosebire de mare parte din dosarul 2026. Regulation (EU) 2024/1183 este în vigoare. Datele sunt fixate în text, nu în așteptare în trilog, ceea ce face din acesta unul dintre puținele programe pentru care se poate planifica cu încredere.

Banca devine parte utilizatoare. Este un rol juridic definit, cu o obligație de înregistrare atașată. Este primul regim de identitate în care o bancă trebuie să declare formal, către un organism public de înregistrare, ce intenționează să ceară clienților.

Acceptarea nu este strategie de autentificare. Obligația este de a accepta prezentarea unui portofel atunci când un utilizator o oferă. Ce face banca cu asigurarea rezultată — și cum o reconciliază cu propriul model de risc — rămâne la latitudinea băncii.

Partea grea este ce se întâmplă după ce acreditarea se verifică. O prezentare validă criptografic vă spune că deținătorul este cine afirmă statul că este. Nu vă spune dacă este persoana care a deschis contul în 2014.

Două date, un decalaj

Începeți cu calendarul, pentru că aproape orice citire greșită a acestui dosar vine din contopirea celor două date într-una singură.

Regulation (EU) 2024/1183 a modificat regulamentul eIDAS original, Regulation (EU) No 910/2014, și a intrat în vigoare în mai 2024. A dat Comisiei mandatul de a adopta acte de punere în aplicare care specifică modul în care portofelele sunt construite, certificate, înregistrate și utilizate, și a stabilit două obligații care curg pe ceasuri diferite.

Prima cade asupra statelor membre. Până la 24 decembrie 2026, fiecare trebuie să pună cel puțin un portofel european de identitate digitală la dispoziția cetățenilor și rezidenților săi. Este o obligație de furnizare: statul, sau o parte pe care o desemnează, oferă portofelul, iar persoanele fizice nu sunt taxate pentru el.

A doua cade asupra părților utilizatoare. Până la 24 decembrie 2027, conform Article 5f, părțile utilizatoare mari și mijlocii care sunt obligate legal sau contractual să folosească autentificarea puternică a utilizatorului pentru identificare — și care operează într-unul dintre sectoarele listate, printre care bănci și servicii financiare — trebuie să accepte portofelul atunci când un utilizator cere în mod voluntar să îl folosească.

Sunt la douăsprezece luni distanță, iar ordinea contează. Acreditarea sosește prima. Obligația de a o accepta sosește un an mai târziu.

Majoritatea planurilor de program pe care le-am văzut se ancorează în data 2027, ceea ce este o citire rezonabilă a unui termen de conformitate și o citire slabă a riscului real. Din decembrie 2026 înainte, clienții unei bănci pot deține o acreditare de identitate digitală emisă de stat pe care banca încă nu o poate consuma. Concurenții care pot o vor folosi — pentru durate de deschidere a relației cu clientul măsurate în secunde, nu în zile, și pentru parcursuri de reautentificare care sar complet peste încărcarea documentelor. Termenul-limită este 2027. Expunerea concurențială începe în 2026.

Partea utilizatoare este un rol juridic, nu un tipar de integrare

Aceasta este prevederea cel mai des sărită în lecturile tehnice și este cea cu cel mai lung termen de pregătire.

Conform Article 5b, o parte care intenționează să se bazeze pe portofele europene de identitate digitală trebuie să se înregistreze în statul membru în care este stabilită. Înregistrarea nu este o înscriere pe un portal pentru dezvoltatori. Identifică instituția, consemnează statul membru de stabilire și numărul de înregistrare și — esențial — acoperă utilizarea prevăzută, inclusiv atributele pe care partea utilizatoare le va solicita.

Decurg trei consecințe, și niciuna nu este o problemă de inginerie.

Cererea de atribute devine o poziție declarată. O bancă trebuie să decidă, în avans și oficial, ce va cere clienților să divulge. „Tot ce ne va da portofelul" nu este un răspuns disponibil. Minimizarea datelor încetează să fie un principiu pentru care pledează biroul de confidențialitate și devine o constrângere pe care înregistrarea o codifică.

Modificările de produs capătă o dependență de înregistrare. Un parcurs nou care are nevoie de un atribut din afara domeniului înregistrat nu este un element de sprint. Oricare s-ar dovedi a fi durata administrativă în fiecare stat membru, nu este aceeași zi.

Băncile multijurisdicționale se înregistrează în mai multe locuri. O instituție stabilită în mai multe state membre are de-a face cu mai multe organisme de înregistrare. Portofelul este proiectat să fie transfrontalier — un portofel german funcționează cu o parte utilizatoare franceză — dar obligația de înregistrare se atașează stabilirii, iar structura de grup determină câte discuții înseamnă asta.

Tabelul 1: Unde stă banca înainte și după

Dimensiune	Identitate deținută de bancă (astăzi)	EUDI Wallet (Article 5f)
Cine emite acreditarea	Banca, după propria deschidere a relației cu clientul	Statul membru sau un furnizor desemnat
Cine decide că este validă	Banca, față de propriile evidențe	Banca, față de semnătura și statutul emitentului
Ce controlează clientul	Puțin; banca deține relația	Ce atribute sunt eliberate, la fiecare prezentare
Ce trebuie să facă banca	Ce îi permite apetitul de risc	Să accepte o prezentare când un utilizator cere
Precondiție de participare	Niciuna dincolo de sistemele proprii	Înregistrarea ca parte utilizatoare conform Article 5b
Costul cererii de date suplimentare	O decizie internă de produs	O modificare a unui domeniu înregistrat și declarat

Portofelul nu abrogă autentificarea strictă a clienților

O eroare recurentă în prezentările de planificare timpurie este ipoteza că acceptarea portofelului înlocuiește regimul de autentificare din PSD2. Nu îl înlocuiește.

Autentificarea strictă a clienților conform Directive (EU) 2015/2366 și standardele tehnice de reglementare din Commission Delegated Regulation (EU) 2018/389 guvernează în continuare modul în care prestatorii de servicii de plată autentifică plătitorii și autorizează tranzacțiile. Obligația din Article 5f se suprapune peste aceasta, nu o substituie. O bancă trebuie să își îndeplinească în continuare obligațiile SCA; trebuie să accepte în plus un portofel atunci când un client îl oferă pentru autentificarea puternică a utilizatorului.

Întrebarea practică nu este, prin urmare, „înlocuiește portofelul factorii noștri SCA", ci „ce contribuie prezentarea unui portofel la o autentificare conformă cu SCA și ce trebuie să facem în continuare noi înșine". Este o întrebare de arhitectură cu un răspuns real și merită rezolvată înainte de termen, nu în timpul lui, pentru că cele două regimuri au fost redactate prin instrumente diferite, pentru scopuri diferite, și se întâlnesc în interiorul serviciului dumneavoastră de autentificare.

Există o capcană înrudită în modelul de răspundere. În aranjamentul actual, banca emite acreditarea și, prin urmare, deține majoritatea modurilor de eșec. În cel nou, acreditarea este emisă în altă parte și verificată de bancă. Verificarea care eșuează permisiv, un statut de revocare învechit la emitent sau o prezentare rejucată sunt toate moduri de eșec cu care instituția are un istoric limitat, iar alocarea pierderii între furnizorul de portofel, emitent și partea utilizatoare este exact genul de întrebare care se soluționează lent și scump după primul incident.

Ce nu vă spune verificarea

Iată partea care surprinde constant echipele de identitate și merită spusă simplu.

Prezentarea unui portofel oferă asigurarea criptografică că un set de atribute a fost emis de o autoritate de încredere către deținătorul portofelului și că deținătorul este prezent. Vă spune, cu încredere ridicată, că această persoană este cine afirmă statul că este.

Nu vă spune că această persoană este clientul care a deschis contul.

Pentru deschiderea relației cu clientul, distincția contează puțin — portofelul este aproape ideal, iar verificarea identității care astăzi cere o scanare de document, un control de vitalitate și o revizuire manuală se comprimă într-o singură prezentare. Pentru un portofoliu existent, contează enorm. Legarea unei identități digitale emise de stat de un cont deschis în 2014 pe baza unui pașaport care între timp a expirat, sub un nume care s-ar putea să se fi schimbat, este o problemă de corelare a înregistrărilor. Este aceeași muncă de rezolvare a entităților pe care programele de open finance și de date despre clienți o redescoperă mereu, și nu devine mai ușoară pentru că acreditarea primită este excelentă criptografic.

Instituțiile care tratează integrarea portofelului ca pe un proiect de canal vor construi un flux de prezentare funcțional și apoi vor descoperi că eșecul interesant este rata de potrivire față de propriul registru principal de clienți. Munca aceea are un termen lung de pregătire și nicio dependență de vreun act de punere în aplicare. Poate începe acum.

Tabelul 2: În ce se descompune efectiv construcția

Flux de lucru	Depinde de existența portofelului?	Poate începe acum
Înregistrarea ca parte utilizatoare în fiecare stat membru de stabilire	Organismul de înregistrare operațional	Decideți domeniul de atribute pe care îl veți declara
Verificarea prezentării, gestionarea listei de încredere și a revocării	Da, pentru testarea cap la cap	Selecția protocolului și proiectarea serviciului
Legarea unei identități verificate de o fișă de client existentă	Nu	Da — acesta este drumul critic
Reconcilierea acceptării portofelului cu obligațiile SCA	Nu	Da
Răspunderea, incidentele și litigiile pentru o acreditare pe care nu ați emis-o	Nu	Da
Revizuirea minimizării atributelor în parcursurile existente	Nu	Da

Patru din șase nu așteaptă nimic.

Manualul de operare

Șase mișcări, în ordinea în care le-aș secvenția.

Numiți proprietarul responsabil. Aceasta stă între identitate, deschiderea relației cu clientul, plăți și juridic, ceea ce în majoritatea băncilor înseamnă că nu stă nicăieri. Acceptarea portofelului eșuează ca inițiativă federată.
Decideți domeniul de atribute înainte ca organismul de înregistrare să întrebe. Înregistrarea declară ce veți solicita. Stabiliți minimul care vă susține parcursurile, pentru că domeniul declarat este mai ușor de lărgit deliberat decât de îngustat după o revizuire de confidențialitate.
Începeți acum problema legării. Potrivirea unei identități emise de stat cu o fișă de client existentă este fluxul de lucru cu cea mai lungă coadă și cele mai puține dependențe. Este și cel care determină dacă acceptarea este o experiență bună sau o coadă la asistență.
Scrieți reconcilierea cu SCA. Documentați cum interacționează prezentarea unui portofel cu factorii dumneavoastră de autentificare existenți și unde se întâlnesc regimurile. Faceți-o ca înregistrare de decizie arhitecturală, nu ca slide.
Modelați modurile de eșec pe care nu le-ați deținut niciodată. Revocare învechită, indisponibilitatea emitentului, verificare care eșuează permisiv. Nu ați emis această acreditare; presupuneți că modurile de eșec nu vă stau în putere și proiectați în consecință.
Folosiți deliberat decalajul de douăsprezece luni. Portofelele sunt vii din decembrie 2026. Tratați 2027 ca anul în care operați capabilitatea, nu anul în care o construiți.

Băncile au petrecut era open banking învățând că o interfață impusă rareori este doar o interfață. Este aceeași lecție care sosește printr-un instrument diferit. Instituțiile care citesc Article 5f ca pe un tichet de integrare vor livra la timp un flux de prezentare conform și tot nu vor putea răspunde la singura întrebare care contează la ghișeu: persoana care ține acest portofel este persoana al cărei cont urmează să îl deschideți?

Întrebări frecvente

Când anume trebuie o bancă să accepte portofelul?
Până la 24 decembrie 2027, pentru părțile utilizatoare mari și mijlocii obligate legal sau contractual să folosească autentificarea puternică a utilizatorului și care operează într-un sector listat, printre care bănci și servicii financiare. Obligația separată a statelor membre de a pune la dispoziție cel puțin un portofel curge cu un an mai devreme, până la 24 decembrie 2026.

Este stabilit sau s-ar putea muta datele?
Regulation (EU) 2024/1183 este în vigoare, iar datele stau în textul adoptat, nu într-o propunere aflată în negociere. Asta îl face substanțial mai ferm decât mare parte din ce planifică băncile în prezent și este unul dintre motivele pentru care acest dosar răsplătește munca timpurie.

Acceptarea unui portofel înseamnă că ne putem retrage propria autentificare?
Nu. Obligația este de a accepta prezentarea unui portofel atunci când un utilizator cere în mod voluntar să îl folosească. Clienții care nu dețin un portofel sau care nu doresc să îl folosească trebuie serviți în continuare, iar cerințele PSD2 privind autentificarea strictă a clienților se aplică în continuare parcursurilor de plată, indiferent de situație.

La ce ne angajează efectiv înregistrarea din Article 5b?
La înregistrarea în statul membru în care sunteți stabiliți, la identificarea instituției și la declararea utilizării prevăzute, inclusiv a atributelor pe care intenționați să le solicitați. Efectul practic este că poziția dumneavoastră de minimizare a datelor devine o chestiune de evidență publică și o constrângere asupra viitoarelor modificări de produs.

Nu suntem stabiliți în UE. Ne atinge?
Obligația de acceptare din Article 5f se atașează părților utilizatoare care operează în sectoarele listate în cadrul Uniunii, iar obligația de înregistrare se atașează statului membru de stabilire. Structura de grup și locul în care este stabilită fiecare entitate reglementată determină răspunsul, ceea ce este o întrebare juridică ce merită rezolvată devreme, nu una tehnică.

Care este cel mai util lucru de început în acest trimestru?
Rezolvarea entităților între o identitate emisă de stat și registrul dumneavoastră principal de clienți. Nu depinde de portofele, de acte de punere în aplicare sau de organisme de înregistrare, este fluxul de lucru care determină cel mai probabil dacă acceptarea funcționează în practică și este cel pe care nimeni nu îl deține implicit.

Referințe

European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. Bruxelles: Jurnalul Oficial al Uniunii Europene. Disponibil la: European Parliament and Council of the European Union, 2024..
European Commission, 2026. European Digital Identity Wallet. Bruxelles: Direcția Generală Rețele de Comunicare, Conținut și Tehnologie. Disponibil la: European Commission, 2026..
European Commission, 2026. EUDI Wallet Architecture and Reference Framework. Bruxelles: Comisia Europeană. Disponibil la: European Commission, 2026..
European Parliament and Council of the European Union, 2015. Directive (EU) 2015/2366 on payment services in the internal market (PSD2). Bruxelles: Jurnalul Oficial al Uniunii Europene. Disponibil la: European Parliament and Council of the European Union, 2015..
European Commission, 2018. Commission Delegated Regulation (EU) 2018/389 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication. Bruxelles: Jurnalul Oficial al Uniunii Europene. Disponibil la: European Commission, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Disponibil la: OpenID Foundation, 2026..

Ultima revizuire 2026-08-08.

Republică acest articol

Portofelul vine în decembrie. Băncile îl acceptă un an mai târziu. — Sebastien Rousseau

Statele membre trebuie să livreze un portofel de identitate digitală până în decembrie 2026. Băncile îl acceptă din decembrie 2027. Decalajul contează.

Acest articol este licențiat sub Creative Commons Attribution 4.0 International. Republicarea necesită atribuirea la URL-ul canonic.

Portofelul vine în decembrie. Băncile îl acceptă un an mai târziu. — Sebastien Rousseau

Statele membre trebuie să livreze un portofel de identitate digitală până în decembrie 2026. Băncile îl acceptă din decembrie 2027. Decalajul contează.

Originally published at https://sebastienrousseau.com/ro/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER