Evrópska stafræna auðkennisveskið: Spurningar hvaðanæva úr heiminum

Evrópska stafræna auðkennisveskið (EUDI Wallet) er ein stærsta breytingin á sviði stafrænna auðkenna í Evrópu síðastliðin ár, og eðlilega hefur það vakið upp margar spurningar.

Á vefmálstofum okkar um evrópska stafræna auðkennisveskið hafa fyrirtæki úr ólíkum atvinnugreinum og löndum spurt um allt frá hlutverki veskisins í vistkerfi stafrænna auðkenna til nýskráningar, auðkenningar, reglufylgni, undirritana, greiðslna, persónuverndar og trausts.

Í þessari grein höfum við tekið saman nokkrar af algengustu spurningunum ásamt svörum okkar.

Spurningar úr vefmálstofunni Preparing for EUDI Wallets (maí 2026)

Hvert er hlutverk Signicat í vistkerfi eIDAS og evrópska stafræna auðkennisveskisins?

Eitt af mikilvægustu hlutverkum Signicat í vistkerfi EUDI-auðkennisveskisins er að aðstoða viðskiptavini við að tengjast öllum vottuðum EUDI-auðkennisveskjum. Þetta á jafnt við hvort sem fyrirtækjum ber skylda til að taka við þeim vegna reglufylgni, eða vilja nýta þau til gagnadeilingar, auðkenningar, auðkennisstaðfestingar, sannreynslu gagna eða skjalaundirritunar. Þessi stuðningur verður tryggður í gegnum eID and Wallet Hub.

Signicat mun starfa sem milliliður fyrir viðskiptavini og sjá um milligönguskráningu treystandi aðila (e. relying party) í því aðildarríki þar sem viðkomandi aðili er staðsettur. Skráning í hverju landi fyrir sig veltur á reglum hvers ríkis og hversu tilbúnir innlendir skráningaraðilar eru. Um leið og þetta verður mögulegt (innlendar skrár hafa ekki enn verið stofnaðar), mun Signicat skrá sig þar sem þörf krefur sem milliliður og/eða treystandi aðili.

Við stefnum að því að taka á okkur eins mikla af þeirri umsýslubyrði sem fylgir skráningu treystandi aðila og mögulegt er fyrir hönd viðskiptavina okkar, þar með talinni umsjón með skilríkjum.

Signicat er einnig fullgiltur traustþjónustuveitandi (QTSP) fyrir margvíslega núverandi traustþjónustu, þar á meðal fullgildar rafrænar undirritanir (QES), og mun skrá sig sem QTSP fyrir fullgilda rafræna staðfestingu á eiginleikum (QEAA). Við bjóðum þegar upp á fjartengda útgáfuþjónustu fyrir persónuauðkennisgögn (PID) sem byggir á auðkennisstaðfestingu á hæsta eIDAS-öryggisstigi (Level High), sem aðildarríki og auðkennisveski geta nýtt sér.

Kynntu þér betur hvernig Signicat getur hjálpað þér að undirbúa þig fyrir evrópsku stafrænu auðkennisveskin.

Hvernig munu fyrirtæki styðja evrópsk stafræn auðkennisveski samhliða núverandi rafrænum skilríkjum?

Þegar þú „opnar fyrir“ ólíkar auðkenningaraðferðir í netþjónustu þinni, svo sem rafrænum skilríkjum eða veskjum, er engin leið að vita fyrirfram hvort notandi sé þegar með eina af þeim aðferðum sem þú samþykkir. Sumir notendur kunna að hafa um marga kosti að velja og þurfa að ákveða hvaða aðferð þeir vilja nota.

Flestar þjónustur bjóða því upp á valmynd (felliglugga eða annað) þar sem notandinn getur valið hvernig hann vill innskrá sig. Evrópsk stafræn auðkennisveski geta einfaldlega orðið einn af þessum valkostum. Skrefið sem fylgir í auðkenningarferlinu ræðst af vali notandans og birtir viðeigandi viðmót, til dæmis notendanafn/lykilorð, ferli fyrir innlend rafræn skilríki eða QR-kóða fyrir evrópskt stafrænt veski.

Þegar netþjónusta er í boði er það yfirleitt þjónustuveitandans að ákveða hvaða rafrænu skilríki eru tekin gild. Valið getur ráðist af staðsetningu notenda, hvaða gögnum og eiginleikum skilríkin miðla, eða tilteknum kröfum í rekstri og reglufylgni. Þetta gildir jafnt um auðkennisveski, hvort sem þau hafa hlotið EUDI-vottun eða ekki. Undantekningin liggur hjá þeim sem falla undir skyldu um samþykki samkvæmt nýju eIDAS-reglugerðinni; þeir munu ekki geta handplokkað lausnir, heldur verða að samþykkja öll vottuð evrópsk rafræn auðkennisveski.

Hvert er hlutverk eID and Wallet Hub?

Öll vottuð evrópsk stafræn auðkennisveski verða samþætt inn í eID and Wallet Hub hjá Signicat jafnóðum og þau verða tiltæk. Þetta gerir viðskiptavinum okkar kleift að styðja bæði rafræn skilríki og ný auðkennisveski án þess að breyta núverandi tæknilegum tengingum eða tapa þeirri þekju á auðkennisstaðfestingum sem þegar er til staðar. Lausnin býður upp á blandaðar leiðir (e. hybrid solutions), þar sem notendur geta valið að nota rafræn skilríki eða auðkennisveski eftir því sem þeim hentar, ásamt því að hægt er að auðga færslurnar með nauðsynlegum gögnum ef þær upplýsingar reynast ekki tiltækar í gegnum evrópska stafræna auðkennisveskið sjálft.

eID and Wallet Hub mun annast allar nauðsynlegar sannprófanir sem fylgja samskiptum við evrópska stafræna auðkennisveskið: Það sannreynir vottun veskisins og gildi sjálfs veskiseintaksins, athugar gildi staðfestinga og dulmálsundirritanir þeirra gagnvart útgefendum og traustskráningu þeirra, fylgir öllum reglum um afturköllun og sértæka birtingu gagna, og heldur utan um samþykki endanotandans fyrir gagnadeilingu.

Getur evrópska stafræna auðkennisveskið verið notað fyrir fullgildar rafrænar undirskriftir (QES)?

Evrópska stafræna auðkennisveskið getur verið notað fyrir fullgilda undirritun. Í reynd þýðir þetta að fullgild rafræn undirskrift er búin til á grundvelli þess auðkennis sem er að finna í persónuauðkenninu (PID). Ýmsar leiðir eru færar til að styðja við þetta, allt eftir eiginleikum veskisins og þeim aðstæðum þar sem undirritun á sér stað. Sem dæmi má nefna að European Wallet Consortium (EWC) hefur birt yfirlit yfir þær undirritunaraðferðir sem hægt er að nýta með evrópska stafræna auðkennisveskinu. 

Til að fá frekari upplýsingar um rafrænar undirritanir mælum við með að lesa greinina okkar: Rafræn undirritun: Hvað er það og hvernig er hún notuð.

Hvaða áhrif munu evrópsk stafræn auðkennisveski hafa á sterka auðkenningu viðskiptavina (SCA) og greiðslumiðlun?

Það eru margvíslegar ástæður fyrir því að nota evrópsku stafrænu auðkennisveskin til að heimila greiðslufærslur, en ein þeirra stendur upp úr: Þegar auðkennisstaðfesting og greiðsla eru sameinuð lækkar svikatíðni með ótrúlegum hætti. Framkvæmdastjórn Evrópusambandsins veitir nú leiðbeiningar um notkun evrópskra stafrænna auðkennisveskja fyrir sterka auðkenningu viðskiptavina (SCA), sem gerir kleift að stofna og heimila greiðslur.

Lestu meira í greininni okkar: Sterk auðkenning viðskiptavina (SCA) með evrópskum stafrænum auðkennisveskjum: Það sem fjármálafyrirtæki þurfa að vita.

Hvaða eiginleika munu evrópsku stafrænu auðkennisveskin innihalda?

Öll evrópsk stafræn auðkennisveski verða gefin út með grunnvirkni til að miðla persónuauðkennisgögnum (PID), sem nýta má til auðkenningar og auðkennisstaðfestingar, auk eiginleika til aldursstaðfestingar. Sú virkni gerir notendum kleift að sanna að þeir séu „yfir eða undir ákveðnum aldri“ án þess að gefa upp fullt auðkenni sitt eða jafnvel fullan fæðingardag.

Munu öll veski innihalda sömu auðkennisgögn?
Nei. Þau auðkennisgögn sem eru tiltæk í evrópska stafræna auðkennisveskinu ráðast af stjórnvöldum þess lands sem gefur þau út. Ekki eru allar evrópskar ríkisstjórnir í stakk búnar til að veita sömu upplýsingarnar af ýmsum ástæðum. Sem dæmi má nefna að Belgía upplýsir um staðfest lögheimili í sínum innlendu rafrænu skilríkjum og mun líklega gera slíkt hið sama í sínu stafræna auðkennisveski, á meðan Frakkland býr ekki yfir gagnagrunni sem getur veitt staðfest lögheimili.

Fjallað er um þau gögn sem fram koma í PID-staðfestingum í framkvæmdarreglugerð 2024/2977. Sem stendur eru nafn, fæðingardagur, fæðingarstaður og ríkisborgararéttur skilgreind sem skyldubundnir þættir. Í nýlegri tillögu að uppfærslu er gert ráð fyrir að andlitsmynd bætist einnig við sem skylduþáttur.

Þú tekur kannski eftir því að PID-gögnin innihalda ekki „einkvæmt persónuauðkenni“ sem skyldubundinn valkost. Það þýðir samt ekki að ómögulegt sé að auðkenna einstakling með einkvæmum hætti í gegnum evrópsk stafræn auðkennisveski. Sum stjórnvöld munu veita slíkt auðkenni, þar sem það er almennt notað í heimalandinu; önnur munu aðeins gera það samkvæmt sérstakri birtingarstefnu (til dæmis eingöngu fyrir innlendar ríkisstofnanir); og sum munu sleppa því með öllu. Á landsvísu er opinberum stofnunum útveguð tæknileg úrræði til að framkvæma auðkennisjöfnun þvert á landamæri.

Ekki munu öll landsbundin persónuauðkennisgögn (PID) innihalda sama gagnasafnið, og sum þeirra gætu verið of takmörkuð til að hægt sé að framkvæma nákvæma auðkennisjöfnun. Fyrir notkunardæmi sem krefjast fleiri eiginleika, geta þeir komið úr öðrum staðfestingum frá útgefendum í opinbera eða einkageiranum. eID and Wallet Hub frá Signicat býður einnig upp á viðbótarvirkni sem gerir kleift að nýta samþættar gagnaveitur til sannreynslu gagna sem hluta af blönduðum lausnum.

Hvernig verður fyrirkomulaginu háttað fyrir skilríki úr einkageiranum og aðrar staðfestingar innan veskisins?

Ríkisstofnanir geta bætt upplýsingum eins og dvalarleyfi viðkomandi, upplýsingum um skattalega heimilisfesti eða eignarhaldi á fasteignum og ökutækjum við veski notanda. Fyrirtæki geta einnig bætt við upplýsingum eins og lánshæfi og veðupplýsingum. Með þessu móti opnast ekki bara gríðarleg tækifæri fyrir atvinnulífið og opinbera aðila til að deila upplýsingum á einfaldari hátt með íbúum, heldur er þetta líka lykillinn að því að virkja raunverulegan mátt auðkennisveskjanna.

Flest notkunardæmi munu krefjast sértækra upplýsinga, sérstaklega í B2B- og B2C-samhengi. Mörg þessara skilríkja munu verða tiltæk í gegnum útgáfuþjónustu í einkageiranum.

Þetta vekur þó upp þá spurningu hvernig þeir eiga að fá greitt fyrir vikið og hvernig megi hvetja þá til að taka þátt. Við skoðum þetta nánar í greininni okkar: Fíllinn í herberginu þegar kemur að evrópska stafræna auðkennisveskinu: Hvernig geta þátttakendur fengið greitt?

Hver er munurinn á hefðbundnum skilríkjum og stafrænum skilríkjum í evrópska stafræna auðkennisveskinu?

Við búumst við því að stjórnvöld og fullgildir traustþjónustuveitendur (QTSP) muni útvega mörg núverandi efnisleg skilríki á stafrænu formi: stafræn ökuskírteini, stafræn vegabréf, tryggingakort og fleira. Hægt verður að nota þessi skilríki í erópskun satfrænum auðkennisveskjum sem valkost við efnislegu kortin, en þau eru ekki það sama. Munur getur verið á gildistíma og lagalegu samhengi notkunar, sem dæmi er notkun stafrænna skilríkja í stafrænum auðkennisveskjum alfarið valfrjáls.

Hvaða áhrif munu evrópsku stafrænu auðkennisveskin hafa á nýskráningu viðskiptavina samkvæmt nýju peningaþvættisreglugerð ESB (AMLR)?

eIDAS er kjarninn í regluvörslu við rafræna nýskráningu viðskiptavina samkvæmt nýju Evrópureglugerðinni um aðgerðir gegn peningaþvætti (AMLR). Evrópsku stafrænu auðkennisveskin eru langódýrasti kosturinn, en þau munu ekki ná til allra evrópskra borgara um mitt ár 2027 þegar AMLR tekur gildi. Og þegar þau verða aðgengileg gætu þau mögulega ekki nátt yfir allar nauðsynlegar staðfestingar.

Fyrir fyrirtæki og stofnanir sem vinna að AMLR-viðbúnaði er því líklegt að núverandi rafræn skilríki, evrópsk stafræn auðkennisveski, fullgildar rafrænar undirritanir (QES) og blandaðar auðkennislausnir muni þurfa að vera í notkun samhliða um nokkurt skeið.

Fyrir frekari upplýsingar um AMLR-regluvörslu og eIDAS-verkfærakistuna skaltu lesa greinina okkar: Frá brotakendu regluverki yfir í einn sameiginlegan leiðarvísi: eIDAS og framtíð regluvörslu gegn peningaþvætti í Evrópu.

Hvernig styðja evrópsk stafræn auðkennisveski við stafrænt fullveldi Evrópu gagnvart tæknirisum?

Sjálf viðleitnin á bak við evrópska stafræna auðkennisveskið grundvallast á þeim metnaði að bjóða upp á trausta, evrópska valkosti á tímum þar sem auðkennisveski tæknirisanna (sem oft eru notuð fyrir greiðslur) eru að ryðja sér til rúms. Það er ljóst að mörg núverandi veski tæknirisanna eru fyllilega fær um að sinna notkunardæmum evrópska stafræna auðkennisveskisins án mikillar fyrirhafnar, þá sýnir reynslan að það er þrautin þyngri að láta þá fylgja evrópskum kröfum um vernd og

Evrópsku stafrænu auðkennisveskin lúta mjög ströngu regluverki þegar kemur að öryggi, persónuvernd og trausti, og þeim er fylgt stíft eftir samkvæmt evrópskri löggjöf til að tryggja að farið sé eftir öllum kröfum. Þetta breytir því hins vegar ekki að veskin eru notuð í snjallsímum og öðrum tækjum sem eru ekki evrópsk, og eiga samskipti við vefsíður og þjónustu, sem netvafraforrit og önnur forrit veita aðgang að, sem eru háð tækni utan Evrópu.

Öryggi og traust: Er virkilega hægt að treysta evrópskum stafrænum auðkennisveskjum?

Töluverðar áhyggjur eru uppi um það hversu örugg og áreiðanleg evrópsku stafrænu auðkennisveskin eru, og á hversu marga vegu hægt sé að brjótast inn í þau, sérstaklega í ljósi þess að þau geyma mjög viðkvæm og persónuleg gögn. Þess vegna eru mjög strangar tæknilegar og lagalegar kröfur í gildi, sem tryggja eins og framast er unnt að bæði notendur og þjónustuveitendur njóti verndar.

Aðildarríkin verða að votta öll evrópsk stafræn auðkennisveski til að tryggja að þau standist kröfur löggjafarinnar. Þá þurfa fullgildir útgefendur staðfestinga að gangast undir úttekt á tveggja ára fresti, svo víst sé að gripið sé til réttra öryggisráðstafana gegn hvers kyns áhættu. Jafnframt verða allir þjónustuveitendur sem nýta gögn úr veskinu, svokallaðir traustaðilar (relying parties), að skrá starfsemi sína og lýsa því yfir hvernig þeir ætla að nota upplýsingarnar. Allt þetta er órjúfanlegur hluti af þeim traustinnviðum sem mynda evrópska stafræna auðkennisrammann.

Að sjálfsögðu er hægt að brjótast inn í öll kerfi og netglæpir eru í stöðugri þróun. En skoðum nokkur dæmi um hvernig evrópsku stafrænu auðkennisveskin marka ákveðna framför á þeim lausnum sem við notum í dag til auðkenningar og gagnadeilingar.

Þú deilir aðeins því sem nauðsynlegt er. Ef þú skráir þig inn með rafrænum skilríkjum er heildargagnasettinu alltaf miðlað, í hvert einasta skipti. Ef þú þarft að framvísa vegabréfi eða öðrum skilríkjum er öllum upplýsingum deilt. Með evrópska stafræna auðkennisveskinu geturðu hins vegar valið að miðla eingöngu því sem beðið er um. Valkvæð miðlun gagna gerir traustaðilum einnig auðveldara fyrir að uppfylla kröfur persónuverndarreglugerðarinnar (GDPR) um lágmörkun gagna. Þeir gætu viljað nota tiltekin gögn úr vegabréfi, en að krefjast vegabréfsins í heild sinni er oft brot á þeirri kröfu. Evrópska stafræna auðkennisveskið gerir þeim kleift að afmarka nákvæmlega það sem þeir þurfa og ekkert umfram það.

Útgefendum staðfestinga er óheimilt að vita hvar upplýsingarnar sem þeir létu í té eru notaðar. Þeir geta ekki rakið slóð notandans á milli ólíkra þjónustuleiða. Þegar þú skráir þig inn með rafrænum skilríkjum veit miðlæg auðkenningarþjónusta viðkomandi skilríkja nákvæmlega í hvaða þjónustu þú auðkennir þig, hvenær og hversu oft.

Hægt er að binda staðfestingar dulritunarlega við persónuauðkenni (PID) notandans, við aðrar staðfestingar, við veskið sjálft eða jafnvel við tækið. Þetta gerir öðrum mjög erfitt fyrir að nota staðfestingarnar þínar,  nema auðvitað að þú hjálpir til við það.

Fyrir frekari upplýsingar um persónuvernd, öryggi og traustlíkanið á bak við evrópskum stafrænum auðkennisveskjum geturðu kynnt þér leiðbeiningar framkvæmdastjórnar Evrópusambandsins um evrópsk stafræn auðkennisveski, eða kafað dýpra í tæknilegu útfærslurnar á öryggi og traustlíkaninu í viðmiðunarramma arkitektúrsins (ARF)

Spurningar úr vefmálstofunni Navigating the Wallet Era webinar (maí 2025)

Er veskið einungis ætlað ríkisborgurum ESB, eða líka fyrir þá sem hafa búsetu í ESB?

Gert er ráð fyrir að aðildarríkin (MS) útfæri marga ólíka þætti löggjafarinnar. Þau ákveða hvort auðkennisveski verði gefin út til þeirra sem hafa búsetu í landinu samhliða ríkisborgurum, alveg eins og þau gera með innlend rafræn skilríki.

Ef einstaklingur er með ríkisborgararétt í mörgum löndum, myndi það þýða að hann hefði mörg evrópsk stafræn veski sem starfa sjálfstætt og eru ekki samstillt á vettvangi ESB?

Um fyrirsjáanlega framtíð verður þetta raunin, þar sem núverandi fyrirkomulag við vottun auðkennisveskja, sem nær yfir útgáfu persónuauðkennis (PID) og nýskráningu notenda á landsvísu, leyfir ekki að persónuauðkenni sé gefið út inn í veski frá öðru aðildarríki.

Munu lönd utan ESB eins og Noregur taka þátt í evrópska stafræna auðkennisveskinu?

Já. eIDAS-regluverkið gildir um ESB og Evrópska efnahagssvæðið (EES): Ísland, Liechtenstein og Noreg, sem gerir samtals 30 útgáfulönd.  Aðildarríki ESB verða að gefa út veskin fyrir desember 2026, á meðan EES-ríkin fá eins árs viðbótarfrest til að uppfylla  skilyrðin.

Verða auðkennisveski líka í boði fyrir fyrirtæki?

Auðkennisveski lögaðila eru hluti af eIDAS-regluverkinu en þarfnast frekari prófana. Viðamikil tilraunaverkefni (LSP), líkt og WE Build, þar sem Signicat er meðal þátttakenda, vinna nú að því að prófa raunveruleg notkunardæmi. Aðildarríkin munu gefa út (lagaleg) persónuauðkenni (PID) inn í auðkennisveski lögaðila, líklega í samstarfi við fyrirtækjaskrár á landsvísu.

Þurfa allar eftirlitsskyldar atvinnugreinar að samþykkja veskið á sama tíma?

Allar eftirlitsskyldar atvinnugreinar verða að samþykkja evrópska stafræna veskið fyrir sterka auðkenningu viðskiptavina (SCA) fyrir desember 2027. (Grein 5.f)

Mun evrópska veskið gera núverandi evrópsk rafræn skilríki óþörf?

Einstaklingur sem notar evrópskt stafrænt auðkennisveski þarf ekki að nota önnur rafræn skilríki samhliða því. Í þeim skilningi eru þau óþörf. Hins vegar mun ekki vera mögulegt eða æskilegt fyrir alla að nota evrópskt stafrænt auðkennisveski. Að leggja núverandi lausnir fyrir rafræn skilríki niður er ekki einfalt verk. Þess vegna gerum við ráð fyrir að núverandi rafræn skilríki verði við lýði í lengri tíma og verði samhliða evrópsku stafrænu auðkennisveskjunum.

Þetta eru einnig ólíkar lausnir. Auðkennið í evrópsku stafrænu auðkennisveski byggir á sérstakri tegund staðfestingar sem kallast PID (persónuauðkenni). Útgáfa PID getur farið fram í gegnum núverandi rafræn skilríki, en hvert aðildarríki mun setja upp og votta sín eigin ferli fyrir þetta. Málsmeðferð við tilkynningu á innlendum rafrænum skilríkjum er áfram aðskilinn hluti af eIDAS.

Hvaða eIDAS-samhæfðu lausnir eða Signicat-lausnir hjálpa fjármálastofnunum að nálgast persónuupplýsingar sem vantar (eins og fæðingarstað) til að uppfylla kröfur um peningaþvættisvarnir, án þess að krefjast viðbótarskjala?

Gagnastaðfestingarþjónusta Signicat veitir aðgang að yfir 200 innlendum og alþjóðlegum gagnaskrám fyrir áreiðanleikakannanir (KYC) og peningaþvættisvarnir (AML). Allar fjármálastofnanir geta sjálfvirknivætt uppflettingar á þeim gögnum sem upp á vantar, svo sem fæðingarstað, lánshæfi og athugunum á stjórnmálatengdum einstaklingum (PEP) og þvingunaraðgerðalistum, úr þessum gagnaveitum án þess að krefjast viðbótarskjala frá viðskiptavininum. Þetta dregur gríðarlega úr núningi í hinu stafræna ferli viðskiptavinarins.

Auk þess hjálpar Signicat útgefendum auðkennisveskja, fyrirtækjum og stofnunum, og gagnaskráafyrirtækjunum sjálfum að gefa út þau gögn sem uppá vantar inn í stafrænt veski notandans (þar með talið evrópska stafræna auðkennisveskið).

eID and Wallet Hub hjá Signicat veitir eins og er aðgang að 35 evrópskum rafrænum skilríkjum. Við það úrval munu bætast evrópska stafræna auðkennisveskið ásamt öðrum stafrænum veskjum, sem tryggir hnökralausa yfirfærslu yfir í framtíð sem byggir á auðkennisveskjum.

Hvernig samræmist þetta persónuverndarreglugerðinni (GDPR) þegar svo mikið af persónuupplýsingum er aðgengilegt?

Breytta útgáfan af eIDAS-regluverkinu (að meðtöldum framkvæmdagerðunum) samræmist persónuverndarreglugerðinni (GDPR) að fullu. Aðgengi að gögnunum einskorðast við notanda veskisins og þeim má aðeins deila með treystandi aðilum (sem verða að vera skráðir í aðildarríki) að fengnu afdráttarlausu samþykki notandans. Gögnin eru vistuð í símanum eða í gagnageymslu sem er aðgengileg í gegnum veskið (þetta verður breytilegt eftir ólíkum veskislausnum og getur verið dreifstýrt) og eru eingöngu aðgengileg notandanum og afdulritanleg af honum.

Með því að bjóða notendum sínum upp á að nota evrópsk stafræn auðkennisveski geta þjónustuveitendur uppfyllt kröfur persónuverndarreglugerðarinnar (GDPR), svo sem um lágmörkun gagna, á auðveldari hátt. Þeir geta þannig byggt á afar áreiðanlegum staðfestingum á lágmarksfullyrðingum og valkvæmri miðlun gagna.

Ef evrópsk stafræn veski eru innlend, hver ber þá ábyrgð á óheimilli notkun veskja milli landa?

Löggjöfin tekur ekki beint á ábyrgð sem stendur. eIDAS skilgreinir þó öryggisstig (LOA) og þær kröfur sem til þeirra eru gerðar, telur upp ábyrgð í vottunarkerfi veskja og tekur á ábyrgð veitenda traustþjónustu ef þeir brjóta gegn regluvörslu.

Þarf treystandi aðili (RP) að skrá sig á heimsvísu eða á Evrópuvísu, og hvernig getur Signicat aðstoðað?

Framkvæmdarreglugerðin um skráningu treystandi aðila veskja kveður á um að komið verði á fót opinberum skrám á landsvísu í aðildarríkjunum. Þar verður treystandi aðili (RP) að skrá sig og nálgast aðgangsskilríki. Hvert aðildarríki mun hafa sína eigin stefnu hvað þetta varðar, sem getur falið í sér útgáfu skráningarskilríkja. Einungis treystandi aðilar með aðgangsskilríki geta átt í samskiptum við evrópsk stafræn auðkennisveski.

Ef treystandi aðili (RP) starfar með millilið (líkt og Signicat), tekur Signicat að sér skráningarábyrgðina fyrir þann treystandi aðila. Þessu er lýst í kafla 3.11 í ARF (athugið að ARF er uppfært reglulega).

Núverandi löggjöf tekur ekki á jafningjasamskiptum (frá veski til veskis milli einstaklinga). Það er hluti af „umræðuefnum“ í ARF.

Hvað verður um einkarekin veski á borð við Google Wallet? Munu þau líka verða hluti af evrópskum stafrænum auðkennisveskjum?

Aðildarríkin bera ábyrgð á útgáfu og vottun evrópskra stafrænna veskja á landsvísu. Hvert aðildarríki mun hafa sína eigin nálgun í þessum efnum. Það getur falið í sér útgáfu á þeirra eigin þróaða veski eða útnefningu á þriðja aðila (opinberum eða einkareknum) til að gera það fyrir þeirra hönd. Sum aðildarríki munu vera með stefnur sem leyfa vottun á hvaða veski sem er, svo lengi sem það uppfyllir kröfur þeirra. Þetta mun gera hvaða veski sem er úr einkageiranum kleift að sækja um vottun sem evrópskt stafrænt veski. (Þar sem það verður þá vottað sem sérstakt innlent veski.)

Hefur árangur náðst varðandi rafræna undirritun á upplýsingum, svo sem tölvupóstum eða miðlum, til að staðfesta auðkenni?

Öll gögn í veskinu eru undirrituð með dulritun og færslur með veskinu byggja sömuleiðis á dulritunarundirskriftum. Þetta tryggir áreiðanlegar og sannreynanlegar upplýsingar um innihaldið (og að ekki hafi verið átt við það) og ábyrgan uppruna gagnanna. Öllum þessum upplýsingum má einnig tengja með dulritun við persónuauðkenni (PID) notandans, veskið sjálft eða jafnvel tækið sem hýsir það.

Athugið að þetta snýst um undirritun gagna og færslna. Einnig er til traustþjónusta sem snýst um stafrænar undirskriftir, en þar er um að ræða undirritun skjals eða skrár með auðkenni undirritara.

Mun veskið gera kleift að sannreyna umboð notenda fyrir hönd lögaðila þvert á ESB, svipað og eHerkenning?

Þetta er einmitt kjarninn í þeirri vinnu sem á sér stað varðandi auðkenni fyrirtækja og stofnana og veski þeirra. Þessi hugtök eru hluti af eIDAS, en þetta svið þarfnast meiri rannsókna og reynslu. Verið er að vinna að þessu í ýmsum aðildarríkjum og í stórum tilraunaverkefnum. European Wallet Consortium (EWC), sem nú hefur lokið störfum, hafði rýnt í auðkenni lögaðila (og veski stofnana og fyrirtækja) sem eitt af sínum áhersluatriðum, og það er lykilviðfangsefnið í WE Build, sem er yfirstandandi stórt tilraunaverkefni. Birgjar eHerkenning munu eiga í samstarfi innan WE Build til að vinna að lausnum sem geta samþætt eHerkenning við evrópska stafræna veskið.

Hvert verður viðskiptalíkan einkageirans fyrir evrópska stafræna auðkennisveskið?

Það er of snemmt að segja til um það. Persónuverndarreglugerðir, líkt og þær sem koma í veg fyrir að útgefendur geti rakið hvar staðfestingar eru notaðar, gera beina tekjuöflun erfiða. Hins vegar eru frumkvæðisverkefni að skoða „gjaldskylda atburði“ og EWC gaf út skýrslu um viðskiptalíkan vistkerfisins. Til að kafa dýpra má lesa bloggfærslu Signicat um Fílinn í herberginu. Að endingu munu stefnur hvers aðildarríkis fyrir sig ráða úrslitum um viðskiptalega hagkvæmni.

Gæti gervigreindarfulltrúi (AI Agent) notað auðkennisveskið þitt til að koma fram fyrir þína hönd á stafrænan hátt?  

Auðkennisveski virka sem sterkt auðkennisakkeri, sem gerir þau að frábærum verkfærum fyrir gervigreindaraðstoðarmenn framtíðarinnar. Þótt gervigreindarfulltrúar sem byggja á slíkum veskjum séu enn sem komið er aðeins á hugmyndastigi, megum við búast við því að þeir komi fram eftir því sem evrópsku stafrænu auðkennisveskin þroskast.

Hvar má finna frekari upplýsingar?

Það er ekki auðvelt að finna einföld svör í þessu flókna regluverki. Fyrir allar tæknilegar upplýsingar má vísa í kjarnareglugerð eIDAS, lagarammann um stafræn auðkenni (EDI), og viðmiðunarrammann um arkitektúr (ARF). Fyrir einfaldari yfirferð má lesa bloggið okkar: „10 grundvallaratriði sem fyrirtæki þurfa að vita um evrópska stafræna veskið“.

Lokaorð

Fyrir banka, fjártæknifyrirtæki og ríkisstjórnir er evrópska stafræna auðkennisveskið stefnumarkandi breyting, en ekki bara einfalt tækniverkefni. Við hjá Signicat aðstoðum fyrirtæki við að aðlagast, innleiða lausnirnar og dafna í þessum nýja veskjavædda heimi.

Um höfundinn

Esther Makaay er Framkvæmdastjóri stafrænna auðkenna hjá Signicat, leiðandi hugsuður á sviði evrópska stafræna auðkennisveskisins og handhafi heiðursverðlauna IDnext fyrir ævistarf sitt og framlag til þróunar á stafrænum auðkennum. Hún er einnig stjórnarmaður í EU Wallet Consortium (EWC) og tekur virkan þátt í nokkrum stórum tilraunaverkefnum (LSP) í tengslum við evrópska stafræna auðkennisveskið. Hún sést reglulega deila innsýn sinni um evrópska veskið á ýmsum ráðstefnum.