EUs digitale identitetslommebøker (EUDI Wallets): Spørsmål fra hele verden

EUs digitale identitetslommebøker (EUDI Wallets) er en av de største endringene innen digital identitet i Europa de siste årene, og naturlig nok har dette generert mange spørsmål.

Gjennom våre EUDI Wallet-webinarer har bedrifter fra ulike bransjer og land spurt om alt fra lommebokens rolle i det digitale identitetsøkosystemet til onboarding, autentisering, compliance, signering, betalinger, personvern og tillit.

I denne artikkelen har vi samlet noen av de vanligste spørsmålene og våre svar.

Spørsmål fra webinaret "Preparing for EUDI Wallets" (mai 2026)

Hva er Signicats rolle i eIDAS- og EUDI Wallet-økosystemet?

En av Signicats viktigste roller i EUDI Wallet-økosystemet er å hjelpe kunder med å ta i bruk alle sertifiserte EUDI Wallets, enten de må akseptere dem på grunn av compliance-krav, eller ønsker å bruke dem for datadeling, autentisering, identitetskontroll, dataverifisering eller signering av dokumenter. Dette vil støttes gjennom eID og Wallet Hub.

Signicat vil fungere som mellomledd for kunder og forenkle registrering som avhengig part i medlemslandet der den avhengige parten er etablert. Registrering i hvert land avhenger av nasjonale retningslinjer og registrenes beredskap. Så snart dette blir mulig (nasjonale registre er ikke etablert ennå), vil Signicat registrere seg der det er nødvendig som mellomledd og/eller avhengig part.

Vi har som mål å ta på oss så mye som mulig av den administrative byrden knyttet til registrering som avhengig part på vegne av kundene, inkludert sertifikathåndtering.

Signicat er også en kvalifisert tillitstjenesteleverandør (QTSP) for ulike eksisterende tillitstjenester, inkludert kvalifiserte elektroniske signaturer (QES), og vil registrere seg som en QTSP for Qualified Electronic Attestations of Attributes (QEAA). Vi tilbyr allerede en tjeneste for utstedelse av Person Identification Data (PID) basert på identitetsverifisering på tillitsnivå høyt (eIDAS Level High) som kan brukes av medlemsland og lommebøker.

Lær mer om hvordan Signicat kan hjelpe deg med å forberede deg på EUDI Wallets.

Hvordan vil bedrifter støtte EUDI Wallets ved siden av eksisterende eID-løsninger?

Når du "åpner opp" din nettbaserte tjeneste for ulike autentiseringsmetoder – som eID-løsninger eller lommebøker – er det ingen måte å vite på forhånd om en bruker allerede har en av dine tillatte metoder. Noen brukere kan ha flere alternativer tilgjengelig og må velge hvilken de vil bruke.

De fleste tjenester tilbyr derfor en meny (nedtrekksmeny eller lignende) som lar brukeren velge hvordan de vil logge inn. EUDI Wallets kan ganske enkelt bli et av de tilgjengelige alternativene. Avhengig av brukerens valg, vil neste trinn i autentiseringsflyten presentere det relevante grensesnittet, for eksempel brukernavn/passord, en nasjonal eID-flyt, eller en QR-kode for en EUDI Wallet.

Når man tilbyr en nettbasert tjeneste, er det generelt tjenesteleverandørens beslutning hvilke eID-løsninger som skal aksepteres. Organisasjoner kan velge basert på hvor brukerne deres befinner seg, hvilke attributter ulike eID-løsninger kan tilby, eller spesifikke forretnings- og compliance-krav. Det samme gjelder for lommebokbaserte løsninger, enten de er EUDI-sertifiserte eller ikke. Bedrifter som er underlagt krav om obligatorisk aksept i henhold til den reviderte eIDAS-forordningen, vil imidlertid ikke kunne velge og vrake – de må akseptere alle sertifiserte EUDI Wallets.

Hva er rollen til eID og Wallet Hub?

Alle sertifiserte EUDI Wallets vil bli integrert i Signicats eID og Wallet Hub etter hvert som de blir tilgjengelige. Dette lar våre kunder støtte både eID-løsninger og nye lommebøker uten å endre eksisterende integrasjoner eller miste dekningsgrad for verifisering. Det legger til rette for hybridløsninger, der brukere kan velge å bruke sin eID eller en EUDI Wallet etter eget ønske, og gir muligheten til å berike transaksjoner med nødvendig data når dette ikke er tilgjengelig gjennom EUDI Wallet.

eID og Wallet Hub vil håndtere alle nødvendige verifiseringer som er en del av samhandlingen med EUDI Wallet: den verifiserer sertifiseringen av EUDI Wallet og gyldigheten til selve lommebokinstansen, sjekker attestasjonene for gyldighet og de kryptografiske signaturene på attestasjonene mot utstederne og deres tillitsregistrering, overholder alle retningslinjer for tilbakekalling og selektiv deling, og håndterer sluttbrukerens samtykke for datadeling.

Kan EUDI Wallet brukes til kvalifiserte elektroniske signaturer (QES)?

EUDI Wallet kan brukes til kvalifisert signering. I praksis betyr dette at en QES opprettes basert på identiteten som finnes i PID-en. Det finnes ulike alternative måter å støtte dette på, basert på lommeboken og brukstilfellet som krever signering. Som et eksempel har European Wallet Consortium (EWC) publisert en oversikt over signeringsmetoder for bruk med EUDI Wallets.

For mer informasjon om elektroniske signaturer, les vår artikkel: Elektronisk signatur: hva er det og hvordan fungerer det.

Hvordan vil EUDI Wallets påvirke sterk kundeverifisering (SCA) og betalinger?

Bruken av EUDI Wallets for å autorisere betalingstransaksjoner har et bredt spekter av motivasjoner, men én skiller seg ut: når identitetsverifisering kombineres med en betaling, synker svindelratene betraktelig. Retningslinjer for bruk av EUDI Wallets for sterk kundeverifisering (SCA), som tillater betalingsinitiering og autorisasjon, blir gitt av EU-kommisjonen.

Les mer i vår artikkel: Sterk kundeverifisering (SCA) med EUDI Wallets: hva finansbransjen må vite.

Hvilke attributter vil EUDI Wallets inneholde?

Alle EUDI Wallets vil lanseres med grunnleggende funksjoner for å levere identitetsattributter (PID), som kan brukes for autentisering og identitetskontroll, samt aldersverifisering som gjør det mulig å bevise "over/under en viss alder" uten å oppgi full identitet eller nøyaktig fødselsdato.

Vil alle lommebøker inneholde de samme identitetsdataene?
Nei. Identitetsattributtene som er tilgjengelige i EUDI Wallet, avhenger av de nasjonale myndighetene som utsteder dem. Ikke alle europeiske myndigheter kan tilby den samme informasjonen av ulike årsaker. Som et eksempel tilbyr Belgia en verifisert bostedsadresse i sin nasjonale eID og vil sannsynligvis gjøre det samme i sin EUDI Wallet, mens Frankrike ikke har en datakilde som kan levere en verifisert bostedsadresse.

Dataene som gis i PID-attestasjoner dekkes av Gjennomføringsforordning 2024/2977. Den inneholder for øyeblikket navn, fødselsdato, fødested og nasjonalitet som obligatoriske elementer. I et nylig foreslått oppdatering vurderes også et portrettbilde som et obligatorisk element.

Du legger kanskje merke til at PID ikke inkluderer et nasjonalt ID-nummer som et obligatorisk alternativ. Dette betyr ikke at det er umulig å identifisere en person unikt gjennom en EUDI Wallet. Noen myndigheter vil tilby en slik identifikator, ettersom det er vanlig i deres land; andre vil kun gjøre det under en spesifikk policy for deling (for eksempel kun til nasjonale offentlige organisasjoner); og noen vil utelate det helt. På nasjonalt nivå tilbys løsninger for offentlige organisasjoner for å foreta identitetsmatching på tvers av landegrenser.

Ikke alle nasjonale PID-er vil inneholde det samme datasettet, og noen av PID-ene kan være for begrensede til å utføre nøyaktig identitetsmatching. For brukstilfeller som trenger flere attributter, kan disse komme fra andre attestasjoner utstedt av private eller offentlige aktører. Signicats eID og Wallet Hub tilbyr også tilleggsfunksjoner som muliggjør bruk av integrerte datakilder for dataverifisering som en del av hybridløsninger.

Hvordan vil private verifiserte opplysninger og andre attestasjoner fungere i lommeboken?

Offentlige etater kan legge til informasjon som en persons oppholdstillatelse, skattemessig bosted, eller eiendoms- og kjøretøyeierskap i brukerens lommebok. Bedrifter kan også legge til verifiserte opplysninger som kreditt- og boliglånsinformasjon. Dette åpner ikke bare opp for betydelige muligheter for at bedrifter og offentlig sektor kan dele informasjon mer sømløst med innbyggerne, men bidrar også til å frigjøre det sanne potensialet til lommebøkene.

De fleste brukstilfeller vil kreve spesifikk informasjon, spesielt i B2B- og B2C-sammenhenger. Mange av disse verifiserte opplysningene vil bli gjort tilgjengelig gjennom utstedelsestjenester i privat sektor.

Dette reiser imidlertid spørsmålet om hvordan de kan få betalt for å gjøre det, og hvordan man kan motivere dem til å delta – et tema vi har utforsket nærmere i vår artikkel: Elefanten i EUDI Wallet-rommet: hvordan kan aktører få betalt?

Hva er forskjellen mellom fysiske og digitale verifiserte opplysninger i EUDI Wallet?

Vi forventer at myndigheter og QTSP-er vil tilby mange eksisterende fysiske dokumenter i et digitalt format: mobile førerkort, digitale pass, forsikringskort og andre. Disse kan brukes med EUDI Wallets som et alternativ til de fysiske kortene, men de er ikke de samme. Det kan være forskjeller i gyldighetsperiode og den juridiske konteksten for bruk — for eksempel er bruken av en digital legitimasjon i en EUDI Wallet helt frivillig.

Hvordan vil EUDI Wallets påvirke onboarding av kunder under den nye AMLR i EU?

eIDAS er kjernen i compliant onboarding av kunder under EUs antihvitvaskingsforordning (AMLR). EUDI Wallets er de desidert billigste alternativene å bruke, men de vil ikke dekke alle europeiske borgere innen midten av 2027 når AMLR trer i kraft. Og når de er tilgjengelige, vil de kanskje ikke dekke alle nødvendige attestasjoner.

For organisasjoner som forbereder seg på AMLR, vil eksisterende eID-løsninger, EUDI Wallets, kvalifiserte elektroniske signaturer (QES), og hybride identitetstilnærminger derfor sannsynligvis sameksistere en stund fremover.

For mer om compliance og eIDAS, les vår artikkel: Fra fragmenterte regler til én felles standard: eIDAS og fremtiden for anti-hvitvasking i Europa.

Hvordan støtter EUDI Wallets europeisk digital suverenitet mot Big Tech?

Selve arbeidet med EUDI Wallet er basert på ambisjonen om å tilby europeiske, pålitelige alternativer til identitetslommebøker i en tid der big tech-lommebøker (ofte brukt til betaling) vokser frem. Det er tydelig at mange eksisterende big tech-lommebøker er godt i stand til å dekke EUDI Wallet-brukstilfeller uten for mye innsats, men erfaring viser at det er veldig vanskelig å holde dem ansvarlige for europeiske krav til innbyggervern.

EUDI Wallets er underlagt et svært strengt regime når det gjelder sikkerhet, personvern og tillit, og er juridisk forpliktet til å overholde europeisk lovgivning som sikrer compliance. Dette endrer imidlertid ikke det faktum at disse lommebøkene opererer på mobiler og andre enheter som ikke er europeiske, og samhandler med nettsteder og tjenester (gjort tilgjengelig via nettlesere og andre applikasjoner) som er avhengige av ikke-europeisk teknologi.

Sikkerhet og tillit: kan EUDI Wallets virkelig stoles på?

Det er en del bekymringer rundt hvor sikre EUDI Wallets er og de mange måtene de kan bli kompromittert på, spesielt siden de inneholder svært relevant og personlig data. Derfor er det svært strenge tekniske og juridiske krav på plass, som i størst mulig grad sikrer at både brukere og tjenesteleverandører er beskyttet.

EUDI Wallets må sertifiseres av medlemslandene for å sikre at de oppfyller kravene i lovgivningen. Kvalifiserte utstedere av attestasjoner vil bli revidert annethvert år for å sikre at nødvendige sikkerhetstiltak iverksettes for å håndtere alle risikoer. Hver tjenesteleverandør som stoler på informasjonen i lommeboken, også kjent som avhengige parter, må registrere sine aktiviteter og deklarere hvordan de vil bruke EUDI Wallet-dataene. Alt dette er forankret i tillitsinfrastrukturen i det europeiske rammeverket for digital identitet.

Selvfølgelig kan alt hackes og nettkriminalitet er i utvikling. Men ta en titt på noen eksempler på hvordan EUDI Wallets er en forbedring av våre nåværende løsninger for autentisering og datadeling.

Du deler bare det som er nødvendig. Hvis du logger på med en eID, deles alltid hele datasettet, hver gang. Hvis du må levere et pass eller annet dokument, deles all informasjon. Med EUDI Wallet kan du velge kun det som etterspørres. Selektiv deling lar også avhengige parter overholde GDPR-kravene for dataminimering lettere. De ønsker kanskje å bruke data fra et pass, men å be om hele passet er ofte et brudd på det kravet. EUDI Wallet lar dem målrette nøyaktig hva de trenger, og ingenting mer.

Utstedere av attestasjoner har ikke lov til å vite hvor informasjonen de ga, blir brukt. De kan ikke spore en bruker på tvers av tjenester. Når du logger på med en eID, vet den sentrale autentiseringstjenesten for den eID-en nøyaktig hvilken tjeneste du autentiserer deg for – og når og hvor ofte.

Attestasjoner kan kryptografisk bindes til brukerens identitet (PID), til andre attestasjoner, til lommeboken, eller til og med til enheten. Dette gjør det vanskelig for noen andre å bruke dine attestasjoner, med mindre du samarbeider, selvfølgelig.

For flere detaljer om personvern, sikkerhet og tillitsmodellen bak EUDI Wallets, les mer i EU-kommisjonens veiledning om EUDI Wallets, eller dykk ned i de tekniske detaljene om sikkerhet og tillitsmodellen i Architecture Reference Framework (ARF)

Spørsmål fra webinaret "Navigating the Wallet Era" (mai 2025)

Er lommeboken kun for EU-borgere, eller for fastboende også?

Mange ulike aspekter av lovgivningen er overlatt til medlemslandene å fastsette. De bestemmer om de vil utstede lommebøker til fastboende ved siden av statsborgere, akkurat som de gjør med nasjonale eID-løsninger. 

Hvis en person har flere statsborgerskap, betyr det at de har flere EUDI Wallets som fungerer uavhengig av hverandre og ikke er synkronisert på EU-nivå?

I nær fremtid vil dette være tilfelle, fordi den nåværende tilnærmingen for sertifisering av lommebøker, som inkluderer utstedelse av PID og onboarding av brukere på nasjonalt nivå, ikke vil tillate utstedelse av PID i en lommebok fra et annet medlemsland. 

Vil ikke-EU-land som Norge delta i EUDI Wallet?

Jo. eIDAS gjelder for EU og Det europeiske økonomiske samarbeidsområdet (EØS): Island, Liechtenstein og Norge, totalt 30 utstederland. EU-landene må utstede lommebøker innen desember 2026, mens EØS-landene får et ekstra år til å etterleve kravene. 

Vil det komme lommebøker for bedrifter?

Organisasjonslommebøker er en del av eIDAS, men krever ytterligere testing. Storskalapiloter, som WE Build, som inkluderer Signicat, tester aktivt brukstilfeller fra den virkelige verden. Medlemslandene vil utstede (juridisk) Person Identification Data (PID) i organisasjonslommebøker, sannsynligvis i samarbeid med nasjonale selskapsregistre. 

Må alle regulerte bransjer akseptere lommeboken samtidig?

Alle regulerte bransjer må akseptere EUDI Wallet for sterk kundeverifisering (SCA) innen desember 2027. (Artikkel 5.f)

Vil EU-lommeboken gjøre de eksisterende europeiske eID-løsningene overflødige?

En person som bruker en EUDI Wallet trenger ikke samtidig å bruke andre eID-løsninger. Slik sett er de overflødige. Det vil imidlertid ikke være mulig eller ønskelig for alle personer å bruke en EUDI Wallet. Å fase ut eksisterende eID-løsninger er ikke en enkel oppgave. Derfor forventer vi at de eksisterende eID-løsningene vil være til stede i lang tid fremover, og sameksistere med EUDI Wallets. 

Dette er også forskjellige løsninger. Identiteten i en EUDI Wallet er basert på en spesifikk type attestasjon kalt PID (Person Identification Data). Utstedelsen av PID kan gjøres gjennom eksisterende eID-løsninger, men hvert medlemsland vil sette opp og sertifisere sine egne prosesser for dette. Prosedyrene for notifisering av nasjonale eID-løsninger forblir en egen del av eIDAS. 

Hvilke eIDAS-kompatible løsninger eller løsninger fra Signicat hjelper finansinstitusjoner med å innhente manglende ID-data (som fødested) for AML-compliance uten å be om ekstra dokumenter?

Signicats tjeneste for dataverifisering tilbyr tilgang til over 200 nasjonale og internasjonale dataregistre for KYC- og anti-hvitvaskingskontroller via Signicat-plattformen. Enhver finansinstitusjon kan automatisere søk etter manglende dataelementer som fødested, kredittverdighet og PEP- og sanksjonssjekker fra disse datakildene uten å be om supplerende dokumenter fra kunden. Dette reduserer friksjonen i den digitale kundereisen dramatisk. 

I tillegg hjelper Signicat lommebokutstedere, organisasjoner og disse dataregisterselskapene selv med å utstede denne typen manglende data til en brukers digitale lommebok (inkludert EUDI Wallet). 

Signicats eID og Wallet Hub gir for øyeblikket også tilgang til 35 europeiske eID-løsninger som vil bli utvidet med EUDI Wallets og andre lommebøker for å sikre en sømløs, lommebokbasert fremtid. 

Hvordan er dette GDPR-compliant når så mye personopplysninger er tilgjengelig?

Den endrede versjonen av eIDAS (inkludert gjennomføringsrettsaktene) er i fullt samsvar med GDPR. Tilgangen til dataene er begrenset til brukeren av lommeboken og kan bare deles med avhengige parter (som må være registrert i et medlemsland) med brukerens eksplisitte samtykke. Dataene lagres på smarttelefonen eller på lagring som er tilgjengelig gjennom lommeboken (dette vil variere mellom ulike lommebokløsninger og kan være desentralisert) og er bare tilgjengelige for og kan dekrypteres av brukeren. 

Ved å la brukerne sine benytte en EUDI Wallet, kan tjenesteleverandører enklere oppfylle regler for konfidensialitet og GDPR-krav for dataminimering, fordi de kan stole på høysikkerhetsbekreftelser av minimale krav og selektiv deling. 

Hvis EUDI Wallets er nasjonale, hvem er ansvarlig for uautorisert bruk av lommeboken på tvers av landegrenser?

Ansvar er ikke direkte adressert i gjeldende lovgivning. eIDAS definerer imidlertid tillitsnivåer (og kravene til disse), inkluderer ansvar i sertifiseringsordningen for lommebøker, og adresserer ansvaret for tillitstjenesteleverandører i tilfelle manglende compliance. 

Må en avhengig part (RP) registrere seg globalt eller felles-europeisk, og hvordan kan Signicat hjelpe?

Gjennomføringsforordningen for registrering av avhengige parter for lommebøker beskriver at det vil være nasjonale registre i medlemslandene der den avhengige parten (RP) må registrere seg og innhente et tilgangssertifikat. Hvert medlemsland vil ha sine egne retningslinjer for dette, noe som kan inkludere utstedelse av registreringssertifikater. Kun RP-er med et tilgangssertifikat vil kunne samhandle med EUDI Wallets.   

Hvis en RP samarbeider med et mellomledd (som Signicat), vil Signicat ta over registreringsansvaret for den RP-en. Dette er beskrevet i seksjon 3.11 av ARF (vær oppmerksom på at ARF oppdateres jevnlig). 

Dagens lovgivning dekker ikke "peer-to-peer"-interaksjon (fra lommebok til lommebok av fysiske personer). Det er en del av "diskusjonstemaene" i ARF.

Hva vil skje med private lommebøker som Google Wallet? Vil de også bli inkludert som EUDI Wallets?

Medlemslandene er ansvarlige for å utstede og sertifisere EUDI Wallets på nasjonalt nivå. Hvert medlemsland vil ha sin egen tilnærming til dette. Dette kan være utstedelse av deres egenutviklede lommebok eller at de utpeker en tredjepart (offentlig eller privat) til å gjøre det på deres vegne. Noen medlemsland vil ha retningslinjer som åpner for sertifisering av enhver lommebok som oppfyller kravene deres. Dette vil gjøre det mulig for alle private lommebøker å søke om sertifisering som en EUDI Wallet. (Hvor den deretter vil bli sertifisert som en spesifikk nasjonal lommebok.) 

Er det fremskritt på området for digital signering av informasjon, som e-post eller media, for å verifisere identitet?

All data i lommeboken er kryptografisk signert, og transaksjonene med lommeboken fungerer også med kryptografiske signaturer. Dette gir garantert og verifiserbar informasjon om innholdet (manipuleringssikker) og den eller de ansvarlige kildene. All denne informasjonen kan også kryptografisk knyttes til brukerens identitet (PID), til lommeboken eller til og med til lommebokens enhet.  

Merk at dette handler om signering av data og transaksjoner. Det finnes også tillitstjenester som involverer digitale signaturer, men det handler om signering av et dokument eller en fil med identiteten til den som signerer. 

Vil lommeboken tillate verifisering av brukerautorisasjon for juridiske enheter på tvers av EU, tilsvarende eHerkenning?

Dette er kjernen av det som det arbeides med innen organisasjonsidentitet og organisasjonslommebøker. Disse er en del av eIDAS, men dette området krever mer forskning og erfaring. Det arbeides med dette i ulike medlemsland og storskalapiloter. EWC, som nå er avsluttet, har hatt et fokusområde på identitet for juridiske personer (og organisasjonslommebøker), og det er hovedtemaet for WE Build, en pågående storskalapilot. eHerkenning-leverandørene vil samarbeide i WE Build for å jobbe med tilnærminger som kan integrere eHerkenning med EUDI Wallet. 

Hva vil forretningsmodellen for EUDI Wallet være for privat sektor?

Det er for tidlig å vite. Regler for konfidensialitet – som hindrer utstedere i å spore hvor attestasjoner brukes – gjør direkte inntektsgenerering vanskelig. Det pågår imidlertid initiativer for å utforske "fakturerbare hendelser", og EWC leverte en rapport om forretningsmodellen i økosystemet. For et dypere dykk, les Signicats blogginnlegg Elefanten i rommet. Til syvende og sist vil de enkelte medlemslandenes retningslinjer diktere den kommersielle levedyktigheten. 

Kan en AI-agent bruke lommeboken din til å representere deg digitalt?

Lommebøker gir et sterkt identitetsanker, noe som gjør dem til utmerkede verktøy for fremtidige AI-assistenter. Selv om lommebokbaserte AI-agenter for øyeblikket bare er et konsept, forventer vi at de dukker opp etter hvert som EUDI Wallets modnes.

Hvor finner du mer informasjon

Å finne enkle svar i disse komplekse forskriftene er vanskelig. For fulle tekniske detaljer, se selve eIDAS-forordningen, det juridiske EDI-rammeverket, og Architectural Reference Framework (ARF). For en enklere oppsummering, les bloggen vår: “10 fundamental things businesses need to know about the EUDI Wallet”. 

Avsluttende tanker

For banker, fintech-selskaper og myndigheter er EUDI Wallet et strategisk skifte, ikke bare et IT-prosjekt. I Signicat hjelper vi bedrifter med å tilpasse seg, integrere og lykkes i denne nye lommebokbaserte verdenen. 

Om forfatteren

Esther Makaay er VP of Digital Identity i Signicat, en anerkjent ekspert innen EUs digitale identitetslommebøker og vinner av IDnexts "Lifetime Achievement Award" for sitt bidrag til fagfeltet digital identitet. Hun er også medlem av EU Wallet Consortium (EWC) og er aktivt involvert i flere storskalapiloter for EUDI Wallet (LSP-er). Hun deler ofte sin innsikt om EUDI Wallet på ulike konferanser.