Cüzdan Aralık'ta Geliyor. Bankalar Bir Yıl Sonra Kabul Edecek.

TL;DR. Üye Devletler Aralık 2026'ya kadar AB Dijital Kimlik Cüzdanı sunmalı. Bankalar Aralık 2027'ye kadar kabul etmeli. Asıl sorun bu on iki aylık boşlukta.

Önemli Çıkarımlar

İki Tarih, Bir Boşluk. Zaman çizelgesiyle başlayın, çünkü bu dosyanın neredeyse her yanlış okunması iki tarihi tek tarihe indirgemekten doğuyor.
Dayanan Taraf Bir Hukuki Roldür, Entegrasyon Deseni Değil. Teknik okumalarda en sık atlanan hüküm bu ve hazırlık süresi en uzun olan da bu.
Cüzdan, Güçlü Müşteri Kimlik Doğrulamasını Yürürlükten Kaldırmıyor. Erken planlama sunumlarında tekrarlayan bir hata, cüzdan kabulünün PSD2'nin kimlik doğrulama rejiminin yerine geçtiği varsayımı.
Doğrulamanın Size Söylemediği Şey. Kimlik ekiplerini istikrarlı biçimde şaşırtan kısım burası ve açıkça söylemeye değer.

On yıldır oturum açmanın sahibi bankalar oldu. Kurum kimlik belgesini ihraç etti, kimlik doğrulamayı işletti, denetim izini tuttu ve "doğrulanmış" ifadesinin ne anlama geldiğine karar verdi. Avrupa Dijital Kimlik Tüzüğü bu düzeni, hiç doğrudan söylemeden sona erdiriyor. Her Üye Devletten Aralık 2026'ya kadar vatandaşlarına bir cüzdan sunmasını istiyor ve bankalardan — çıkarım yoluyla değil, sektör adıyla anılarak — Aralık 2027'ye kadar bu cüzdanı güçlü kullanıcı kimlik doğrulaması için kabul etmesini istiyor. Bu iki tarih arasında, kimlik belgesinin var olduğu, müşterilerin onu taşıdığı ve yükümlülüğün henüz ısırmadığı bir yıl duruyor. Çoğu kurum o yılı bir rahatlama payı sayıyor. Oysa inşa penceresi orası.

Yönetici Özeti

Bu, 2026 dosyasının çoğunun aksine, kesinleşmiş hukuk. Regulation (EU) 2024/1183 yürürlükte. Tarihler üçlü müzakerede beklemiyor, metnin içinde sabit. Bu da onu güvenle planlanabilecek az sayıdaki programdan biri yapıyor.

Banka bir dayanan tarafa dönüşüyor. Bu, kayıt yükümlülüğü iliştirilmiş, tanımlı bir hukuki rol. Bir bankanın kamusal bir kayıt kurumuna, müşterilerinden neyi istemeyi amaçladığını resmen beyan etmek zorunda olduğu ilk kimlik rejimi.

Kabul etmek, kimlik doğrulama stratejisi değildir. Yükümlülük, kullanıcı bir cüzdan sunduğunda o sunumu kabul etmektir. Bankanın ortaya çıkan güvenceyle ne yapacağı — ve bunu kendi risk modeliyle nasıl bağdaştıracağı — bankaya bırakılmıştır.

Zor kısım, kimlik belgesi doğrulandıktan sonra olanlardır. Kriptografik olarak geçerli bir sunum, hamilin devletin söylediği kişi olduğunu söyler. Hesabı 2014'te açan kişi olup olmadığını söylemez.

İki Tarih, Bir Boşluk

Zaman çizelgesiyle başlayın, çünkü bu dosyanın neredeyse her yanlış okunması iki tarihi tek tarihe indirgemekten doğuyor.

Regulation (EU) 2024/1183, özgün eIDAS Tüzüğü'nü, yani Regulation (EU) No 910/2014'ü değiştirdi ve Mayıs 2024'te yürürlüğe girdi. Komisyona, cüzdanların nasıl inşa edileceğini, belgelendirileceğini, kaydedileceğini ve kullanılacağını belirleyen uygulama tasarrufları kabul etme yetkisi verdi ve farklı saatlerde işleyen iki yükümlülük kurdu.

Birincisi Üye Devletlere düşüyor. 24 Aralık 2026'ya kadar her biri, vatandaşlarına ve yerleşiklerine en az bir European Digital Identity Wallet sunmak zorunda. Bu bir arz yükümlülüğü: cüzdanı devlet ya da onun görevlendirdiği bir taraf sağlıyor ve gerçek kişilerden ücret alınmıyor.

İkincisi dayanan taraflara düşüyor. 24 Aralık 2027'ye kadar, Article 5f uyarınca, kimlik tespiti için hukuken veya sözleşmeyle güçlü kullanıcı kimlik doğrulaması kullanmak zorunda olan ve listelenen sektörlerden birinde — bankacılık ve finansal hizmetler de bunların arasında — faaliyet gösteren büyük ve orta ölçekli dayanan taraflar, kullanıcı gönüllü olarak kullanmak istediğinde cüzdanı kabul etmek zorunda.

Aralarında on iki ay var ve sıra önemli. Önce kimlik belgesi geliyor. Onu kabul etme yükümlülüğü bir yıl sonra geliyor.

Gördüğüm program planlarının çoğu 2027 tarihine demir atıyor; bu, bir uyum son tarihinin makul bir okuması, gerçek riskin ise kötü bir okuması. Aralık 2026'dan itibaren bir bankanın müşterileri, bankanın henüz tüketemediği, devlet ihraçlı bir dijital kimlik belgesi taşıyabilecek. Tüketebilen rakipler bunu kullanacak — günlerle değil saniyelerle ölçülen müşteri kabul süreçleri ve belge yüklemeyi tümüyle atlayan yeniden kimlik doğrulama yolculukları için. Son tarih 2027. Rekabet riski 2026'da başlıyor.

Dayanan Taraf Bir Hukuki Roldür, Entegrasyon Deseni Değil

Teknik okumalarda en sık atlanan hüküm bu ve hazırlık süresi en uzun olan da bu.

Article 5b uyarınca, European Digital Identity Wallet'lara dayanmayı amaçlayan bir taraf, yerleşik olduğu Üye Devlette kayıt olmak zorunda. Kayıt, bir geliştirici portalına üye olmak değildir. Kurumu tanımlar, yerleşim Üye Devletini ve kayıt numarasını tespit eder ve — kritik biçimde — dayanan tarafın talep edeceği öznitelikler dâhil olmak üzere amaçlanan kullanımı kapsar.

Bundan üç sonuç çıkıyor ve hiçbiri mühendislik sorunu değil.

Öznitelik talebi beyan edilmiş bir pozisyona dönüşüyor. Bir banka, önceden ve kayda geçmiş biçimde, müşterilerinden neyi ifşa etmelerini isteyeceğine karar vermek zorunda. "Cüzdanın bize vereceği her şey" mevcut bir cevap değil. Veri minimizasyonu, gizlilik biriminin savunduğu bir ilke olmaktan çıkıp kaydın kodladığı bir kısıta dönüşüyor.

Ürün değişiklikleri bir kayıt bağımlılığı kazanıyor. Kayıtlı kapsamın dışında bir özniteliğe ihtiyaç duyan yeni bir yolculuk, bir sprint maddesi değildir. İdari geri dönüş süresi her Üye Devlette ne çıkarsa çıksın, aynı gün değildir.

Çok yargı alanlı bankalar birden fazla yerde kayıt olur. Birkaç Üye Devlette yerleşik bir kurum, birkaç kayıt kurumuyla muhatap olur. Cüzdan sınır ötesi çalışacak biçimde tasarlandı — bir Alman cüzdanı Fransız bir dayanan tarafla çalışır — ama kayıt yükümlülüğü yerleşime bağlanıyor ve bunun kaç ayrı görüşme demek olduğunu grup yapısı belirliyor.

Tablo 1: Bankanın öncesi ve sonrasındaki konumu

Boyut	Banka sahipli kimlik (bugün)	EUDI Wallet (Article 5f)
Kimlik belgesini kim ihraç eder	Banka, kendi müşteri kabul sürecinin ardından	Üye Devlet veya görevlendirilmiş bir sağlayıcı
Geçerli olduğuna kim karar verir	Banka, kendi kayıtlarına karşı	Banka, ihraç eden kurumun imzasına ve durumuna karşı
Müşteri neyi kontrol eder	Azını; ilişkiyi banka tutar	Her sunumda hangi özniteliklerin paylaşılacağını
Banka ne yapmak zorunda	Risk iştahının desteklediği her şeyi	Kullanıcı istediğinde bir sunumu kabul etmeyi
Katılım önkoşulu	Kendi sistemlerinin ötesinde yok	Article 5b uyarınca dayanan taraf olarak kayıt
Daha fazla veri istemenin maliyeti	Kurum içi bir ürün kararı	Kayıtlı, beyan edilmiş kapsamda değişiklik

Cüzdan, Güçlü Müşteri Kimlik Doğrulamasını Yürürlükten Kaldırmıyor

Erken planlama sunumlarında tekrarlayan bir hata, cüzdan kabulünün PSD2'nin kimlik doğrulama rejiminin yerine geçtiği varsayımı. Geçmiyor.

Directive (EU) 2015/2366 kapsamındaki güçlü müşteri kimlik doğrulaması ve Commission Delegated Regulation (EU) 2018/389'daki düzenleyici teknik standartlar, ödeme hizmeti sağlayıcılarının ödeyenleri nasıl doğrulayacağını ve işlemleri nasıl yetkilendireceğini yönetmeye devam ediyor. Article 5f yükümlülüğü bunun yerine geçmiyor, üzerine ekleniyor. Banka SCA yükümlülüklerini karşılamayı sürdürmek zorunda; buna ek olarak, müşteri güçlü kullanıcı kimlik doğrulaması için bir cüzdan sunduğunda onu kabul etmek zorunda.

Dolayısıyla pratik soru "cüzdan SCA faktörlerimizin yerine geçiyor mu" değil, "bir cüzdan sunumu SCA'ya uygun bir kimlik doğrulamaya ne katıyor ve biz kendimiz neyi yapmaya devam etmek zorundayız" sorusu. Bu, gerçek bir cevabı olan bir mimari soru ve son tarih sırasında değil öncesinde çözmeye değer; çünkü iki rejim farklı amaçlarla farklı araçlar tarafından kaleme alındı ve sizin kimlik doğrulama servisinizin içinde buluşuyorlar.

Sorumluluk modelinde buna bağlı bir tuzak var. Mevcut düzende kimlik belgesini banka ihraç ediyor ve dolayısıyla arıza modlarının çoğu bankanın. Yeni düzende kimlik belgesi başka yerde ihraç ediliyor ve banka tarafından doğrulanıyor. Doğrulamanın açık konumda başarısız olması, ihraç eden kurumun iptal durumunun bayatlaması veya bir sunumun yeniden oynatılması, kurumun sınırlı geçmişe sahip olduğu arıza modları; zararın cüzdan sağlayıcısı, ihraç eden kurum ve dayanan taraf arasında nasıl dağıtılacağı ise tam olarak ilk olaydan sonra yavaş ve pahalı biçimde çözülen türden bir soru.

Doğrulamanın Size Söylemediği Şey

Kimlik ekiplerini istikrarlı biçimde şaşırtan kısım burası ve açıkça söylemeye değer.

Bir cüzdan sunumu, bir öznitelik kümesinin güvenilir bir otorite tarafından cüzdanın hamiline ihraç edildiğine ve hamilin orada bulunduğuna dair kriptografik güvence verir. Size, yüksek güvenle, bu kişinin devletin söylediği kişi olduğunu söyler.

Bu kişinin hesabı açan müşteri olduğunu söylemez.

Müşteri kabul süreci için bu ayrım pek önemli değil — cüzdan ideale yakın ve şu anda bir belge taraması, canlılık kontrolü ve manuel inceleme gerektiren kimlik ispatı tek bir sunuma iniyor. Mevcut müşteri portföyü içinse fazlasıyla önemli. Devlet ihraçlı bir dijital kimliği, o zamandan beri süresi dolmuş bir pasaportla ve değişmiş olabilecek bir isim altında 2014'te açılmış bir hesaba bağlamak bir kayıt eşleştirme problemidir. Bu, açık finans ve müşteri verisi programlarının sürekli yeniden keşfettiği aynı varlık eşleştirme işidir ve gelen kimlik belgesi kriptografik olarak mükemmel diye kolaylaşmaz.

Cüzdan entegrasyonunu bir kanal projesi sayan kurumlar, çalışan bir sunum akışı inşa edecek ve ardından asıl ilginç arızanın kendi müşteri ana kayıtlarına karşı eşleşme oranı olduğunu keşfedecek. O işin hazırlık süresi uzun ve hiçbir uygulama tasarrufuna bağımlılığı yok. Şimdi başlayabilir.

Tablo 2: İnşanın gerçekte ayrıştığı parçalar

İş kolu	Cüzdanın var olmasına bağlı mı?	Şimdi başlayabilir mi
Her yerleşim Üye Devletinde dayanan taraf kaydı	Kayıt kurumu faal olmalı	Beyan edeceğiniz öznitelik kapsamına karar verin
Sunum doğrulaması, güven listesi ve iptal yönetimi	Uçtan uca test için evet	Protokol seçimi ve servis tasarımı
Doğrulanmış kimliği mevcut bir müşteri kaydına bağlama	Hayır	Evet — en uzun kalem bu
Cüzdan kabulünü SCA yükümlülükleriyle bağdaştırma	Hayır	Evet
İhraç etmediğiniz bir kimlik belgesi için sorumluluk, olay ve uyuşmazlık yönetimi	Hayır	Evet
Mevcut yolculukların öznitelik minimizasyonu incelemesi	Hayır	Evet

Altıdan dördü hiçbir şeyi beklemiyor.

Operasyonel Oyun Kitabı

Sıralayacağım düzende altı hamle.

Hesap verebilir sahibi belirleyin. Bu iş kimlik, müşteri kabulü, ödemeler ve hukukun arasında duruyor; çoğu bankada bu, hiçbir yerde durmuyor demek. Cüzdan kabulü federe bir girişim olarak başarısız olur.
Öznitelik kapsamına, kayıt kurumu sormadan karar verin. Kayıt, neyi talep edeceğinizi beyan eder. Yolculuklarınızı destekleyen asgariyi çıkarın; çünkü beyan edilen kapsamı bilinçli olarak genişletmek, bir gizlilik incelemesinden sonra daraltmaktan kolaydır.
Bağlama problemine şimdi başlayın. Bir devlet kimliğini mevcut bir müşteri kaydıyla eşleştirmek, en uzun kuyruğa ve en az bağımlılığa sahip iş kolu. Aynı zamanda kabulün iyi bir deneyim mi yoksa bir destek kuyruğu mu olacağını belirleyen iş kolu.
SCA bağdaştırmasını yazıya dökün. Bir cüzdan sunumunun mevcut kimlik doğrulama faktörlerinizle nasıl etkileştiğini ve rejimlerin nerede buluştuğunu belgeleyin. Bunu bir slayt olarak değil, mimari karar kaydı olarak yapın.
Hiç sahiplenmediğiniz arıza modlarını modelleyin. Bayat iptal, ihraç eden kurumun kesintisi, doğrulamanın açık konumda başarısız olması. Bu kimlik belgesini siz ihraç etmediniz; arıza modlarının sizin kontrolünüzde olmadığını varsayın ve buna göre tasarlayın.
On iki aylık boşluğu bilinçli kullanın. Cüzdanlar Aralık 2026'dan itibaren canlı. 2027'yi yeteneği inşa ettiğiniz yıl değil, işlettiğiniz yıl sayın.

Bankalar açık bankacılık döneminde, zorunlu kılınan bir arayüzün nadiren yalnızca bir arayüz olduğunu öğrendi. Aynı ders farklı bir araçla geliyor. Article 5f'i bir entegrasyon talebi olarak okuyan kurumlar, uyumlu bir sunum akışını zamanında teslim edecek ve gişede önemli olan tek soruya yine de cevap veremeyecek: bu cüzdanı tutan kişi, hesabını açmak üzere olduğunuz kişi mi?

Sıkça Sorulan Sorular

Bir banka cüzdanı tam olarak ne zaman kabul etmek zorunda?
Hukuken veya sözleşmeyle güçlü kullanıcı kimlik doğrulaması kullanmak zorunda olan ve listelenen bir sektörde — bankacılık ve finansal hizmetler dâhil — faaliyet gösteren büyük ve orta ölçekli dayanan taraflar için 24 Aralık 2027'ye kadar. Üye Devletlerin en az bir cüzdanı erişilebilir kılmasına ilişkin ayrı yükümlülük bir yıl önce, 24 Aralık 2026'da işliyor.

Bu kesinleşti mi, tarihler kayabilir mi?
Regulation (EU) 2024/1183 yürürlükte ve tarihler müzakere edilen bir öneride değil, kabul edilmiş metnin içinde. Bu da onu bankaların şu anda planladığı işlerin çoğundan maddi olarak daha sağlam kılıyor ve bu dosyanın erken çalışmayı ödüllendirmesinin nedenlerinden biri.

Cüzdanı kabul etmek, kendi kimlik doğrulamamızı emekliye ayırabileceğimiz anlamına mı geliyor?
Hayır. Yükümlülük, kullanıcı gönüllü olarak kullanmak istediğinde bir cüzdan sunumunu kabul etmektir. Cüzdanı olmayan ya da kullanmak istemeyen müşterilere hizmet verilmeye devam edilmesi gerekir ve PSD2'nin güçlü müşteri kimlik doğrulaması gereklilikleri ödeme yolculuklarında her hâlükârda geçerli olmayı sürdürür.

Article 5b kaydı bizi gerçekte neye bağlıyor?
Yerleşik olduğunuz Üye Devlette kayıt olmaya, kurumu tanımlamaya ve talep etmeyi amaçladığınız öznitelikler dâhil amaçlanan kullanımı beyan etmeye. Pratik etkisi, veri minimizasyonu pozisyonunuzun kamuya açık bir kayda ve gelecekteki ürün değişiklikleri üzerinde bir kısıta dönüşmesi.

AB'de yerleşik değiliz. Bu bizi de kapsıyor mu?
Article 5f'teki kabul yükümlülüğü, Birlik çerçevesi içinde listelenen sektörlerde faaliyet gösteren dayanan taraflara bağlanıyor; kayıt yükümlülüğü ise yerleşim Üye Devletine. Cevabı grup yapısı ve düzenlemeye tabi her tüzel kişinin nerede yerleşik olduğu belirliyor; bu da teknik değil, erken çözülmeye değer hukuki bir soru.

Bu çeyrekte başlamak için en yararlı tek şey ne?
Devlet ihraçlı bir kimlikle mevcut müşteri ana kaydınız arasında varlık eşleştirme. Cüzdanlara, uygulama tasarruflarına veya kayıt kurumlarına bağımlılığı yok, kabulün pratikte işleyip işlemeyeceğini belirlemesi en muhtemel iş kolu ve varsayılan olarak sahibi olmayan iş kolu.

Kaynaklar

Avrupa Parlamentosu ve Avrupa Birliği Konseyi, 2024. Avrupa Dijital Kimlik Çerçevesinin kurulmasına ilişkin olarak Regulation (EU) No 910/2014'ü değiştiren Regulation (EU) 2024/1183. Brüksel: Avrupa Birliği Resmî Gazetesi. Erişim adresi: Avrupa Parlamentosu ve Avrupa Birliği Konseyi, 2024..
Avrupa Komisyonu, 2026. European Digital Identity Wallet. Brüksel: İletişim Ağları, İçerik ve Teknoloji Genel Müdürlüğü. Erişim adresi: Avrupa Komisyonu, 2026..
Avrupa Komisyonu, 2026. EUDI Wallet Mimarisi ve Referans Çerçevesi. Brüksel: Avrupa Komisyonu. Erişim adresi: Avrupa Komisyonu, 2026..
Avrupa Parlamentosu ve Avrupa Birliği Konseyi, 2015. İç pazarda ödeme hizmetlerine ilişkin Directive (EU) 2015/2366 (PSD2). Brüksel: Avrupa Birliği Resmî Gazetesi. Erişim adresi: Avrupa Parlamentosu ve Avrupa Birliği Konseyi, 2015..
Avrupa Komisyonu, 2018. Güçlü müşteri kimlik doğrulamasına ilişkin düzenleyici teknik standartlar bakımından Directive (EU) 2015/2366'yı tamamlayan Commission Delegated Regulation (EU) 2018/389. Brüksel: Avrupa Birliği Resmî Gazetesi. Erişim adresi: Avrupa Komisyonu, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Erişim adresi: OpenID Foundation, 2026..

Son inceleme 2026-08-08.

Bu makaleyi yeniden yayınla

Cüzdan Aralık'ta Geliyor. Bankalar Bir Yıl Sonra Kabul Edecek. — Sebastien Rousseau

Üye Devletler Aralık 2026'ya kadar AB Dijital Kimlik Cüzdanı sunmalı. Bankalar Aralık 2027'ye kadar kabul etmeli. Asıl sorun bu on iki aylık boşlukta.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

Cüzdan Aralık'ta Geliyor. Bankalar Bir Yıl Sonra Kabul Edecek. — Sebastien Rousseau

Üye Devletler Aralık 2026'ya kadar AB Dijital Kimlik Cüzdanı sunmalı. Bankalar Aralık 2027'ye kadar kabul etmeli. Asıl sorun bu on iki aylık boşlukta.

Originally published at https://sebastienrousseau.com/tr/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER