Förordningen om elektronisk identifiering, autentisering och betrodda tjänster

Du driver en onlinetjänst som autentiserar användare eller begär attribut från EU:s digitala identitetsplånbok. Om dina användare loggar in med plånboken, delar en åldersattestering eller signerar ett dokument via din plattform är du en förlitande part — och eIDAS 2.0 har mycket specifika åsikter om hur du ska göra det.

Dina skyldigheter

• Registrera dig som förlitande part hos den medlemsstat där du är etablerad (art. 5b) — oregistrerade parter får inte begära plånboksattribut
• Ange det avsedda ändamålet för varje attributförfrågan och vilken rättslig grund du åberopar (art. 5b(2)) — inga fiskeexpeditioner
• Tillämpa dataminimering: begär endast attribut som är strikt nödvändiga för tjänsten (art. 5b(2)(b)) — 'födelsedatum' ska inte betyda 'fullständig adress plus skattenummer'
• Kombinera inte attribut från plånboken med data från andra källor för att profilera användare (art. 5b(3)) — korsreferering är uttryckligen förbjuden
• Om du verkar i en obligatorisk sektor (art. 6a), acceptera EUDI Wallet kostnadsfritt för användarautentisering när genomförandeakterna trätt i kraft
• Visa ett tydligt, igenkännbart betrott märke (trust-mark) när du begär plånboksattribut (art. 5b(5)) — användare måste veta att de interagerar med en registrerad part
• Logga och bevara minsta möjliga information som krävs för att styrka din registrering och rättsliga grund (art. 5b(4)) — revisionsspår, men med dataminimering

Nyckelartiklar

Du bygger eller driver en europeisk digital identitetsplånbok på uppdrag av en medlemsstat (eller via notifiering från en). Det är en kort lista — vanligen nationella eID-myndigheter eller utsedda offentliga/privata leverantörer — men skyldigheterna är intensiva, eftersom du driver den enskilt mest känsliga identitetsinfrastrukturen i EU.

Dina skyldigheter

• Uppfyll de funktionella kraven i art. 5a — säker lagring av attribut, selektiv utlämning, pseudonym autentisering, nollkunskaps­bevis där så är tillämpligt
• Få formell certifiering mot EUDI Toolbox ARF (Architecture and Reference Framework) — kommissionens genomförandeförordning 2024/2977 m.fl.
• Säkerställ interoperabilitet med plånböcker från andra medlemsstater (art. 5a(5)) — användare måste kunna autentisera gränsöverskridande
• Tillhandahåll plånboken kostnadsfritt till alla fysiska personer och, där så är lämpligt, juridiska personer (art. 5a(2))
• Spara inte transaktionsdata och profilera inte användare (art. 5a(4)) — plånboksleverantören får inte se vilka förlitande parter en användare interagerar med
• Publicera betrodda märken, logotyper och kryptografiska verifikationsdata så att förlitande parter kan verifiera plånbokspresentationer (art. 5a(8))
• Rapportera säkerhetsincidenter och bedrägeriförsök till tillsynsmyndigheten (art. 5e) — tidsfrister för anmälan anges i genomförandeakter

Nyckelartiklar

Du tillhandahåller kvalificerade eller icke-kvalificerade betrodda tjänster under eIDAS — elektroniska underskrifter, elektroniska stämplar, tidsstämplar, elektroniska rekommenderade leveranser, webbcertifikat eller elektroniska attesteringar av attribut. Kvalificerade TSP:er står på EU:s Trusted List och deras tjänster har en rättslig presumtion om giltighet i hela EU.

Dina skyldigheter

• Uppnå och bibehåll kvalificerad status genom årlig överensstämmelsebedömning av ett ackrediterat överensstämmelsebedömningsorgan (art. 20–21)
• Genomför tekniska och organisatoriska åtgärder proportionerliga mot riskerna (art. 24.2) — inklusive säker kryptografisk nyckelhantering
• Anmäl säkerhetsincidenter och förlust av integritet till tillsynsmyndigheten inom 24 timmar (art. 19.2) — snävare än GDPR
• Upprätthåll ett återställbart register över utfärdade certifikat och deras giltighetsstatus (art. 24.2(h)) — livstidsretention för kvalificerade underskrifter
• Säkerställ att certifikat uppfyller de tekniska standarderna i bilaga I (underskrifter), III (stämplar), IV (webbautentisering), V (attesteringar av attribut)
• Finnas med på den nationella Trusted List i din medlemsstat (art. 22) — icke-listade TSP:er kan inte göra anspråk på kvalificerad status
• Erbjud gränsöverskridande interoperabla tjänster — kvalificerade underskrifter utfärdade i en medlemsstat är giltiga i alla (art. 25.3)

Nyckelartiklar

Du är EU-medborgare, invånare eller juridisk person med rätt till en kostnadsfri europeisk digital identitetsplånbok. Du kan använda den för att logga in på offentliga och privata onlinetjänster, bevisa attribut om dig själv (ålder, yrke, körkort), lagra officiella dokument och signera elektroniskt — allt med starka integritetsgarantier.

Dina rättigheter

• Du har rätt till en kostnadsfri EUDI Wallet utfärdad av din medlemsstat (art. 5a(2))
• Du styr själv vilka attribut du delar med varje förlitande part — plånboken upprätthåller selektiv utlämning (art. 5a(4))
• Du har rätt att använda plånboken för att autentisera dig mot alla tjänster med obligatorisk acceptans (art. 6a) — banker, telekom, hälso- och sjukvård m.fl.
• Du har rätt till pseudonym autentisering där tjänsten inte rättsligt kräver en verklig identitet (art. 5a(4)(h))
• Din plånboksleverantör och förlitande parter får inte profilera eller spåra dig (art. 5a(4), art. 5b(3))
• Du kan ladda ned dina data och överföra dem till en annan plånbok (interoperabilitet, art. 5a(5))
• Du kan lämna in klagomål till din nationella tillsynsmyndighet om en förlitande part samlar in för mycket eller en plånbok beter sig felaktigt

Nyckelartiklar

Tillgängliga verktyg

• Registeringsspårare för förlitande part — registrera din art. 5b-registrering, begärda attribut och rättslig grund per flöde
• Kontroll av obligatorisk acceptans (art. 6a) — sektorsklassificerare + tidsfristkalkylator baserad på genomförandeakter
• Matris för attributminimering — motivering per flöde för varje attributförfrågan
• Beredskap för plånboksintegration — checklista som täcker ARF-överensstämmelse, placering av betrott märke, selektiv utlämning
• QTSP-register — spåra dina kvalificerade betrodda tjänster, överensstämmelsebedömningar och Trusted List-status
• Mallar för policy för elektroniska underskrifter — avancerade vs kvalificerade underskrifter (matris art. 26 / 46)
• Playbook för incidentanmälan — 24-timmars anmälan för TSP (art. 19.2), snävare än GDPR

AI-assisterade funktioner

• AI-bedömning av förlitande part — 6-stegs guide för art. 5b-efterlevnad, attributminimering, art. 6a-sektor och art. 5b(3) no-combination-policy
• AI-bedömning av tillhandahållare av betrodda tjänster — 5-stegs guide för art. 19/24-skyldigheter och gap-analys för art. 26/46-underskrifter
• AI-granskning av attributminimering — granskar dina faktiska plånboksförfrågningar och flaggar översamling
• Semantisk sökning i eIDAS 2.0-artiklar och genomförandeakter