EUDI Wallet 2026: jak przygotować logowanie i weryfikację w firmie?

01

Fakty: co ma być dostępne do końca 2026 r.?

Rozporządzenie (UE) 2024/1183, nazywane eIDAS 2.0, ustanowiło ramy Europejskiej Tożsamości Cyfrowej. Komisja Europejska wskazuje, że do końca 2026 r. każde państwo członkowskie ma udostępnić co najmniej jeden zgodny portfel EUDI obywatelom, mieszkańcom i firmom. Portfele mają działać według wspólnych zasad technicznych i być wzajemnie uznawane w UE.

Portfel może służyć do uwierzytelnienia, przechowywania i udostępniania cyfrowych dokumentów oraz składania prawnie wiążących podpisów elektronicznych. Oficjalne pilotaże obejmują między innymi otwieranie rachunku, rejestrację karty SIM, podpisywanie umów, płatności, prawo jazdy, kwalifikacje zawodowe i potwierdzanie reprezentacji organizacji.

Materiał zweryfikowano 12 października 2026 r. Ma charakter informacyjny i techniczno-procesowy, a nie indywidualnej porady prawnej. Obowiązek konkretnej firmy zależy od jej wielkości, sektora, podstawy silnego uwierzytelnienia, roli w procesie oraz przepisów szczególnych.

02

Fakty: dostępność portfela nie oznacza obowiązku dla każdej firmy w 2026 r.

Termin końca 2026 r. dotyczy przede wszystkim zapewnienia portfeli przez państwa członkowskie. Rozporządzenie przewiduje odrębny obowiązek akceptacji dla określonych prywatnych podmiotów świadczących usługi, w których prawo unijne, krajowe albo umowa wymaga silnego uwierzytelnienia użytkownika. Wskazane obszary obejmują między innymi transport, pocztę, bankowość, finanse, energię, zdrowie, edukację, telekomunikację i infrastrukturę cyfrową.

Ten obowiązek ma być realizowany nie później niż 36 miesięcy od wejścia w życie właściwych aktów wykonawczych i tylko na dobrowolny wniosek użytkownika. Komisja opisuje tę fazę jako akceptację przez odpowiednich prywatnych dostawców do końca 2027 r. W art. 5f ust. 2 przewidziano wyłączenie mikroprzedsiębiorstw i małych przedsiębiorstw z tego konkretnego obowiązku.

Nie oznacza to, że mniejsza firma nie może wdrożyć portfela wcześniej albo że jest wyłączona ze wszystkich zasad eIDAS. Dobrowolna integracja może być biznesowo uzasadniona tam, gdzie ręczna kontrola dokumentu jest kosztowna, ryzykowna lub utrudnia obsługę klientów z innych państw UE.

03

Fakty: czym jest podmiot polegający na portfelu?

Podmiot polegający, czyli wallet-relying party, korzysta z jednostki portfela w celu świadczenia publicznej lub prywatnej usługi cyfrowej. Jeżeli firma chce przyjmować dane z EUDI Wallet, powinna zarejestrować się w państwie, w którym ma siedzibę. Rejestry mają umożliwiać sprawdzenie tożsamości podmiotu i ograniczać podszywanie się pod usługodawcę.

Przy rejestracji podmiot deklaruje planowany sposób użycia portfela oraz dane, o które będzie wnioskować. Użytkownik powinien widzieć, kto prosi o dane i w jakim celu, a portfel ma pozwalać przekazać tylko wymagane atrybuty. Firma nie powinna więc projektować integracji jako cyfrowego skanu całego dokumentu tożsamości.

Rozporządzenie wykonawcze (UE) 2024/2980 opisuje rejestry podmiotów polegających, organy je prowadzące oraz certyfikaty dostępu służące uwierzytelnieniu firmy wobec portfela. Szczegóły rejestracji i operacyjnego uruchomienia zależą również od mechanizmu wdrożonego w danym państwie.

04

Fakty: użytkownik ma kontrolować zakres przekazywanych danych

Jedną z podstawowych zasad EUDI jest selektywne ujawnianie danych. Usługa może potrzebować potwierdzenia, że użytkownik ma określony wiek, bez poznawania pełnej daty urodzenia, numeru dokumentu i adresu. Portfel ma pokazywać żądanie i umożliwiać świadomą decyzję o udostępnieniu.

Komisja podkreśla ochronę przed nielegalnym śledzeniem i profilowaniem, lokalne przechowywanie danych oraz możliwość kontroli historii użycia. Dla podmiotu polegającego oznacza to konieczność uzasadnienia każdego żądanego atrybutu i powiązania go z konkretnym krokiem procesu.

Kryptograficzne potwierdzenie atrybutu nie rozstrzyga automatycznie każdej decyzji biznesowej. Firma nadal odpowiada za reguły procesu, uprawnienia, wykrywanie nadużyć, przechowywanie dowodów oraz obsługę sytuacji, w której portfel, sieć lub system źródłowy są niedostępne.

05

Rekomendacja WEBee: zacznij od mapy procesów i danych

Najpierw wskaż procesy, w których firma dziś prosi o dokument, wykonuje przelew weryfikacyjny, stosuje dodatkowy kod albo ręcznie sprawdza uprawnienie. Dla każdego opisz podstawę weryfikacji, użytkownika, oczekiwany rezultat, koszt błędu oraz obecny czas obsługi.

Następnie zamień dokument na minimalny zestaw atrybutów. Proces nie powinien pobierać danych „na zapas”. Jeżeli wystarcza odpowiedź tak lub nie, nie przechowuj wartości źródłowej. Ustal też retencję, dostęp i sposób wykazania, że weryfikacja zakończyła się poprawnie.

• logowanie klienta albo pracownika;
• potwierdzenie wieku, kwalifikacji lub uprawnienia;
• weryfikacja osoby reprezentującej organizację;
• podpisanie umowy lub akceptacja dokumentu;
• otwarcie konta i odzyskanie dostępu;
• proces transgraniczny wymagający uznania danych z innego państwa UE.

06

Rekomendacja WEBee: zaprojektuj integrację jako bezpieczny przepływ

Przycisk „Zaloguj przez EUDI Wallet” jest tylko początkiem. Backend musi utworzyć jednoznaczne żądanie, wskazać cel i atrybuty, zweryfikować odpowiedź, emitenta oraz certyfikat podmiotu polegającego, a następnie bezpiecznie powiązać wynik z właściwą sesją. Każde żądanie powinno mieć krótki czas ważności i ochronę przed ponownym użyciem.

Log audytowy powinien zapisywać identyfikator transakcji, czas, wynik, wersję reguł i typ potwierdzonego atrybutu — bez kopiowania większej ilości danych, niż potrzebuje proces. Błędy techniczne, odmowę użytkownika i brak wymaganego poświadczenia należy rozróżniać, aby system nie traktował ich jak fałszywej tożsamości.

• oddziel uwierzytelnienie od decyzji biznesowej;
• stosuj stan transakcji, nonce i ochronę przed replay;
• waliduj zaufanego emitenta, podpis i ważność poświadczenia;
• nie umieszczaj danych osobowych w adresach URL ani komunikatach błędów;
• zaprojektuj wylogowanie, cofnięcie zgody i obsługę utraty urządzenia;
• utrzymuj alternatywną ścieżkę dla awarii i osób bez portfela.

07

Rekomendacja WEBee: przeprowadź pilotaż w sześciu krokach

Wybierz proces o wyraźnej korzyści, ale ograniczonym wpływie na klienta. Nie zaczynaj od zastąpienia wszystkich metod logowania. Pilotaż powinien sprawdzić nie tylko pozytywny scenariusz, lecz także odmowę udostępnienia danych, nieważne poświadczenie, utratę połączenia i powrót użytkownika do przerwanej sesji.

Testuj na telefonach, w przeglądarce i w aplikacji, z uwzględnieniem dostępności oraz portfeli z innego państwa. Zmierz czas ukończenia, odsetek rezygnacji, liczbę ręcznych kontroli, błędy walidacji i próby ponowienia. Dopiero po wyniku zdecyduj o rozszerzeniu.

• wybierz jeden przypadek użycia i właściciela biznesowego;
• ustal minimalne atrybuty, cel i okres przechowywania;
• potwierdź rolę podmiotu polegającego i ścieżkę rejestracji;
• zbuduj integrację oraz bezpieczną obsługę wyjątków;
• wykonaj testy bezpieczeństwa, dostępności i interoperacyjności;
• porównaj wynik z obecną metodą i udokumentuj decyzję.