eIDAS 2.0 er den største endringen i europeisk regelverk for digital identitet på ti år. Forordningen er allerede i kraft, og de første harde fristene inntreffer i løpet av det neste året. For norske virksomheter er dette ikke et spørsmål om hvorvidt, men om når – og hvor godt forberedt dere er når kravene treffer. Denne artikkelen tar for seg det som faktisk er nytt. Er du usikker på hva eIDAS er i utgangspunktet, kan du lese mer om eIDAS-forordningen først.
eIDAS 2.0 – formelt forordning (EU) 2024/1183 – er en revisjon av den opprinnelige eIDAS-forordningen fra 2014. Den trådte i kraft 20. mai 2024 og etablerer det som kalles det europeiske rammeverket for digital identitet.
Den opprinnelige forordningen ga EU juridisk anerkjente elektroniske signaturer og et system for gjensidig anerkjennelse av nasjonale eID-er og løste 2.0-problemet som aldri ble løst: at nasjonale identitetsløsninger i praksis ikke snakket godt nok sammen på tvers av landegrensene og at privat sektor tok dem lite i bruk.
| eIDAS (2014) | eIDAS 2.0 (2024) | |
| Digital identitet | Nasjonale eID-ordninger, gjensidig anerkjennelse | Én felles europeisk digital identitetslommebok, tilgjengelig for alle |
| Bruk i privat sektor | Frivillig | Påbudt for regulerte sektorer og svært store plattformer |
| Tillitstjenester | Signatur, segl, tidsstempel, nettstedsautentisering | Utvidet med kvalifisert elektronisk arkivering, elektroniske hovedbøker og attestering av attributter (QEAA) |
| Krav til tilbydere | Kvalifiserte tillitstjenestetilbydere (QTSP) | Skjerpede og oppdaterte krav, samt nye tjenestekategorier |
| Signering for privatpersoner | Kvalifisert signatur ofte tungvint å skaffe | QES gjøres tilgjengelig gratis for privatpersoner via lommeboken |
Den mest konkrete nyheten for virksomheter er utvidelsen av tillitstjenestene. Kvalifisert elektronisk arkivering og elektroniske hovedbøker er nå juridisk anerkjente byggeklosser i hele EU/EØS – tjenester det tidligere ikke fantes noen felles rettslig ramme for.
Kjernen i eIDAS 2.0 er den europeiske digitale identitetslommeboken, EUDI Wallet. Det er en mobilapp der innbyggere og virksomheter kan oppbevare og dele verifiserte opplysninger om seg selv: nasjonal ID, førerkort, vitnemål, profesjonelle kvalifikasjoner, fullmakter.
Tre prinsipper er verdt å merke seg:
Selektiv deling. Brukeren deler bare det som faktisk kreves – for eksempel at man er over 18, uten å oppgi fødselsdato.
Ingen sentral database. Opplysningene ligger lokalt hos brukeren, ikke i et fellesregister.
Brukeren har kontrollen. Lommeboken har et innebygd oversiktspanel som viser hvem som har fått tilgang til hvilke data.
Lommeboken skal også kunne brukes til å avgi kvalifisert elektronisk signatur (QES) – gratis for privat bruk.
Norge er EØS-land (ikke EU-medlem) og har som Island og Liechtenstein fått ett års utsettelse på fristen for å tilby lommebok. Norge deltar likevel allerede aktivt i nordisk-baltisk pilotarbeid rundt EUDI Wallet.
Utsettelsen betyr ikke at norske virksomheter kan vente. Handler dere med motparter i EU, vil dere møte lommeboken fra kundens side lenge før den norske fristen løper ut.
For elektronisk signering peker eIDAS 2.0 i én retning: kvalifisert elektronisk signatur blir mer tilgjengelig, og dermed mer vanlig.
QES er det eneste signaturnivået som etter loven har samme rettsvirkning som en håndskrevet signatur i hele EU/EØS. Frem til nå har terskelen for å ta det i bruk vært høy. Når enhver innbygger med en digital identitetslommebok kan avgi QES gratis, faller den terskelen bort.
Konsekvensen for norske virksomheter:
Bruker dere allerede en e-signeringsløsning, er ikke dette en omveltning. Det er en utvidelse – forutsatt at leverandøren deres er en kvalifisert tillitstjenestetilbyder og følger utviklingen tett.
1. Kartlegg dagens prosesser for identifisering og signering. Hvor identifiserer dere kunder eller ansatte i dag, og hvilket signaturnivå bruker dere hvor? De fleste virksomheter har ikke oversikten samlet noe sted.
2. Vurder hvilke avtaler som bør opp på QES-nivå. Se særlig på avtaler med høy verdi, avtaler over landegrensene, og avtaler i regulerte sektorer.
3. Sjekk at leverandøren din er kvalifisert. En kvalifisert tillitstjenestetilbyder (QTSP) er oppført i EUs offisielle tillitsliste. Er ikke leverandøren din det, kan de ikke levere QES.
4. Sjekk at systemene tåler flere identitetsmetoder. Bygger dere integrasjoner nå, bør de være fleksible nok til å ta imot lommebokbaserte identiteter senere – uten at alt må gjøres om.
Vil du gå dypere i hva som kreves av en tillitstjenestetilbyder, les mer i vårt Trust Centre og hva er en kvalifisert elektronisk signatur.
Scrive er en kvalifisert tillitstjenestetilbyder (QTSP) under eIDAS, oppført i den norske tillitslisten, og leverer alle tre signaturnivåer – SES, AES og QES. Vi følger utviklingen i eIDAS 2.0 tett og rådgir kundene våre om hvilket nivå som er riktig for hvilke avtaler.
Snakk med en ekspert