Ako sa pripraviť na európsku peňaženku digitálnej identity EUDI wallet a čo čaká firmy v roku 2027

Na úspešné overenie údajov z európskej peňaženky digitálnej identity (EUDI wallet) musí nadviazať ich spracovanie v interných systémoch. Ak systém nedokáže údaje priradiť k zákazníkovi alebo z nich pripraviť správnu zmluvu, žiadosť zostane rozpracovaná a vybavenie služby sa zastaví.

Príprava na európsku peňaženku digitálnej identity (EUDI wallet) potrebuje prepojiť právny rozsah, zákaznícky proces, požadované údaje, integráciu, testovanie a prevádzku. Začať sa dá výberom jednej konkrétnej služby a pomenovaním toho, čo má firma po prijatí údajov vedieť urobiť.

1. Posúďte, ktorých služieb sa povinnosť týka

EUDI wallet je európska peňaženka digitálnej identity. Používateľovi má umožniť preukazovať totožnosť, predkladať elektronické osvedčenia a podpisovať dokumenty. Pre firmu predstavuje spôsob, ako od klienta získať a overiť údaje potrebné na poskytnutie služby.

Článok 5f ods. 2 aktualizovaného nariadenia eIDAS zavádza povinnosť akceptovať peňaženky na dobrovoľnú žiadosť používateľa pre dotknutých súkromných poskytovateľov, ktorým silné overenie používateľa pri online identifikácii ukladá európske alebo vnútroštátne právo, prípadne zmluva. Obsahuje výnimku pre mikro a malé podniky. Európska komisia uvádza termín povinnej akceptácie do konca roka 2027.

Právny alebo compliance tím má preto posúdiť jednotlivé služby a situácie, v ktorých organizácia overuje používateľa. Výstupom má byť zdokumentovaný rozsah povinnosti a požiadavky na jeho splnenie. Samotné zaradenie firmy do bankovníctva alebo telekomunikácií neurčuje rovnaký postup pre všetky jej kanály a procesy.

Rozlišuje sa aj harmonogram sprístupnenia peňaženiek členskými štátmi a termín ich prijímania firmami. Pre štáty Komisia uvádza koniec roka 2026. Projekt integrácie má počítať aj s cezhraničným používaním peňaženiek, preto ho treba plánovať v európskom kontexte.

Pre občanov zostáva používanie dobrovoľné. Firma musí pri návrhu zachovať aj prístup prostredníctvom ďalších existujúcich spôsobov identifikácie a autentifikácie.

2. Rozlišujte overenie totožnosti, platby a podpisu zmluvy

Na začiatku projektu pomôže presne pomenovať operáciu, ktorú má peňaženka podporiť. Pri získaní identifikačných údajov firma preveruje, komu údaje patria a či môže dôverovať predloženému osvedčeniu. Následne ich musí priradiť k zákazníckemu prípadu a vykonať kontroly vyžadované danou službou.

Pri autentifikácii platby treba riešiť požiadavky platobných služieb vrátane silnej autentifikácie klienta a tam, kde je vyžadované, dynamického prepojenia potvrdenia s konkrétnou sumou a príjemcom. Technická špecifikácia európskej peňaženky digitálnej identity (EUDI wallet) pre platby tieto postupy rieši samostatne. V návrhu integrácie v bankách preto treba overiť aj podporu príslušného platobného scenára.

Pri uzatváraní zmluvy potrebuje klient dostať správny dokument a vykonať podpisový úkon. Európska peňaženka digitálnej identity (EUDI wallet) má podporovať kvalifikované elektronické podpisy, ich vytvorenie však vyžaduje príslušné certifikáty a podpisové riešenie. Úspešné overenie klientovej identity samo osebe nevytvorí podpísanú zmluvu.

Vo finančnom sektore sa príprava stretáva aj s nariadením proti praniu špinavých peňazí, AMLR, ktoré sa na banky začne uplatňovať od 10. júla 2027. Pri overovaní totožnosti počíta aj s využitím elektronickej identifikácie spĺňajúcej požiadavky eIDAS. Posúdenie rizika a ostatné povinnosti starostlivosti o klienta však treba zahrnúť do procesu osobitne.

Zmyslom spoločnej prípravy je nájsť použiteľné dátové vstupy a kontroly pre jednotlivé povinnosti. Každý tím musí vedieť, čo prijatie osvedčenia z peňaženky v jeho procese preukazuje a aké rozhodnutie nasleduje.

3. Rozdeľte zodpovednosti a určte výsledok projektu

Projekt potrebuje vlastníka, ktorý dokáže rozhodovať o rozsahu a koordinovať zmeny naprieč oddeleniami. Nasledujúce rozdelenie je praktickým návrhom pre väčšiu organizáciu:

Rola	Za čo zodpovedá v projekte	Konkrétny výstup
Sponzor a vlastník zákazníckeho procesu	Priorita, rozsah, rozpočet a zákaznícky výsledok	Schválené služby a podmienky dokončenia prípadu
Právny a compliance tím, ochrana údajov	Posúdenie povinností, požadovaných údajov a ich spracovania	Pravidlá pre údaje, kontroly a uchovávanie
IT architektúra a integračný tím	Prepojenia medzi peňaženkou, overovacou komponentou a internými systémami	Návrh rozhraní, stavov a spracovania výnimiek
Bezpečnostný tím	Dôveryhodnosť komunikácie, certifikáty, prístupy a bezpečnostné testy	Kontrolné mechanizmy a postup pri incidente
Prevádzka a zákaznícka podpora	Dostupnosť služby, riešenie chýb a pomoc klientom	Prevádzkový postup a eskalačné kontakty

Každý míľnik by mal mať vlastníka. Pri testovaní ním môže byť úspešne dokončený zákaznícky prípad vrátane odovzdania údajov a uloženia dokumentácie.

Pomôže tiež oddeliť technický stav overenia od stavu služby. Informácia „osvedčenie overené“ ešte nemusí znamenať „klient založený“ alebo „zmluva uzatvorená“. Podobné rozdiely rieši aj prehľad nad procesmi s dokumentami, vedenie potrebuje vidieť, čo je dokončené a kde sa čaká na ďalší krok.

4. Určte rozsah údajov a pripravte registráciu

Pri každom požadovanom údaji určte jeho účel, prijateľný zdroj, spôsob kontroly a miesto ďalšieho použitia. Právny a compliance tím má posúdiť právny základ spracovania aj dobu uchovávania.

Rozsah požiadavky závisí od služby. Preukázanie vekovej hranice môže pracovať s obmedzenou informáciou. Identifikácia pri vzniku obchodného vzťahu a bankou potrebuje širšie podklady. Požiadavku preto navrhujte pre konkrétny proces.

Prijímajúca firma vystupuje v ekosystéme ako spoliehajúca sa strana. Registruje sa v členskom štáte, kde je usadená, a uvádza zamýšľané využitie peňaženiek aj požadované údaje. Musí sa identifikovať používateľovi, overovať prijaté údaje a udržiavať registračné informácie aktuálne. Požiadavky nesmú prekračovať deklarovaný rozsah.

Do plánu patria aj prístupové certifikáty a ich správa. Registrácia organizácie, získanie potrebných certifikátov a certifikácia samotnej peňaženky majú v ekosystéme odlišné úlohy. Pri obstarávaní si preto overte, ktorú rolu dodávané riešenie zabezpečuje.

Dostupnosť národného registračného postupu a súvisiacich služieb evidujte ako projektové závislosti. Podklady, dátový návrh a časť integrácie môžete pripravovať vopred. Produkčné spustenie musí mať splnené príslušné predpoklady.

Dôležité je aj priradenie údajov k existujúcemu zákazníkovi. Pri zmene mena, novom osvedčení alebo rozdiele oproti evidencii potrebuje firma pravidlá, ktorý záznam aktualizovať a kedy prípad odovzdať pracovníkovi. Samotná zhoda mena na takéto rozhodnutie nemusí stačiť.

5. Zvoľte prevádzkový model a prepojte nadväzujúce kroky

Overovacia komponenta, verifikátor, zabezpečuje komunikáciu s peňaženkou a kontroly prijatých osvedčení. V návrhu treba riešiť aj odovzdanie výsledku do interných systémov a reakciu na neúspešné overenie.

Pri výbere riešenia oddeľte spôsob jeho získania od spôsobu prevádzky. Hotový komponent môže firma prevádzkovať interne, vlastné riešenie môže využívať externé služby. Porovnajte zodpovednosti za aktualizácie, dostupnosť, certifikáty, technickú podporu a zmeny štandardov.

Nasadenie vo vlastnej infraštruktúre dáva firme kontrolu nad prevádzkovanou komponentou. Dátový návrh má zároveň zachytiť komunikáciu s peňaženkou, zdrojmi dôveryhodnosti či prípadnou vzdialenou podpisovou službou. Pre každý tok treba vedieť, aké údaje prenáša a kto ich spracúva.

Napríklad ak chce nový klient uzatvoriť zmluvu s telekomunikačným operátorom, po prijatí overených údajov je potrebné:

• založiť alebo dohľadať klienta,
• doplniť parametre služby,
• pripraviť dokumenty,
• získať príslušný podpis
• a odovzdať výsledok prevádzke.

Každý krok potrebuje určený vstup, výstup a reakciu na chybu. Výsledky odovzdávané medzi systémami majú rozlišovať úspešné overenie, klientom prerušený úkon, technickú chybu a požiadavku na manuálne posúdenie. Každý stav potrebuje vlastný ďalší postup.

Tu vzniká priestor na obmedzenie opakovaného prepisovania údajov. Overené údaje sa môžu prenášať do formulárov a dokumentov riadeným spôsobom, so zachovaním informácie o ich pôvode.

Nadväzujúcu prácu s dokumentmi možno riadiť napríklad riešením SIGNATUS, ktoré podporuje automatizáciu a riadenie formulárov, schvaľovania, podpisovania a integrácií. Zapojenie EUDI verifikátora a konkrétnych podpisových služieb treba navrhnúť a overiť pre daný scenár. Súčasťou návrhu zostáva aj poradie schvaľovania a podpisovania dokumentov.

6. Otestujte celý zákaznícky prípad vrátane chýb

Referenčné implementácie umožňujú začať technickú prípravu a skúšať komunikačné postupy. Európska komisia pri testovaní EUDI rozlišuje aj overovanie interoperability medzi reálnymi implementáciami a testovanie s referenčnými nástrojmi.

Do akceptačných podmienok zahrňte podporované scenáre a peňaženky vrátane cezhraničného použitia. Dodávateľ má doložiť, s akými verziami špecifikácií a riešení testoval a čo presne výsledok pokrýva. Popri úspešnom priebehu odporúčame preveriť najmä tieto situácie:

• Exspirované alebo zneplatnené osvedčenie, prípadne nedôveryhodný vydavateľ. Proces musí rozpoznať dôvod zamietnutia a správne s ním naložiť.
• Odmietnutie zdieľania alebo chýbajúci údaj. Klient potrebuje zrozumiteľné vysvetlenie a dostupný ďalší postup.
• Rozpor s existujúcou evidenciou. Systém musí správne priradiť prípad a podľa pravidiel vyžiadať dodatočné posúdenie.
• Prerušená alebo opakovaná požiadavka. Opakovanie nesmie viesť k nechcenému dvojitému založeniu klienta či dokumentu.
• Nedostupná závislá služba. Prevádzka potrebuje poznať dopad, spôsob obnovy a možnosti pomoci klientovi.

Bezpečnostné testy majú preveriť aj naviazanie odpovede na príslušnú požiadavku a ochranu pred jej neoprávneným opakovaným použitím. Pri platobných a podpisových scenároch pridajte kontroly špecifické pre daný úkon.

Za dokončený test považujte až prípad, pri ktorom je overený aj výsledok v interných systémoch, dokumentácia a potrebné záznamy. Zlyhanie posledného kroku má mať určeného vlastníka rovnako ako zlyhanie komunikácie s peňaženkou.

7. Pripravte prevádzku, podporu a meranie nákladov

Pred spustením určte, kto sleduje platnosť certifikátov, rieši aktualizácie a zmeny špecifikácií, vyhodnocuje incidenty a komunikuje s dodávateľmi. Dohodnite dostupnosť podpory aj postup pri prerušení služby.

Zákaznícka podpora potrebuje rozlišovať technickú chybu, chýbajúci údaj a neúspešné splnenie podmienok služby. Pri nedokončenom overení má vedieť klientovi vysvetliť jeho možnosti bez toho, aby zbytočne opakovala celý proces.

Rozsah auditných a prevádzkových záznamov nastavte podľa účelu. Potrebujete vedieť, čo sa overovalo a ako proces pokračoval. Zároveň treba riadiť prístupy a uchovávanie osobných údajov.

Oddeľte technické logy od evidencie podkladov klientov a pre každú skupinu určte účel, prístupy a dobu uchovávania. Technické potvrdenie zdieľania v peňaženke nezbavuje firmy potreby posúdiť pravidlá ďalšieho spracovania.

Do ekonomického hodnotenia zahrňte integráciu, prevádzku, podporu, aktualizácie, prípadné poplatky a manuálne zásahy. Užitočnou jednotkou je náklad na úspešne dokončený zákaznícky prípad, pri ktorom máte jasne určený rozsah zahrnutých nákladov.

Sledujte aj čas overenia a celkový čas vybavenia, podiel nedokončených žiadostí, počet výnimiek a potrebu opakovaného kontaktu s klientom. Tak zistíte, či sa prínos prejavil v celej službe alebo či sa čakanie presunulo do ďalšej fázy.

8. Zostavte projekt podľa preukázateľných míľnikov

Harmonogram prispôsobte rozsahu služieb, počtu integrácií a dostupnosti potrebných súčastí ekosystému. Nasledujúce fázy poskytujú rámec na plánovanie práce a rozhodovanie o pokračovaní.

Fáza	Čo má byť pripravené	Podklad na rozhodnutie o pokračovaní
Posúdenie a návrh	Rozsah povinností, vybrané služby, vlastník, údaje a závislosti	Schválené zadanie a zodpovednosti
Integrácia a registrácia	Rozhrania, registračné podklady, potrebné certifikáty a testovacie prostredie	Funkčný priechod vybraným procesom a overené predpoklady
Testovanie a pilot	Interoperabilita, chybové situácie, bezpečnostné a používateľské testy	Doložené výsledky a vyriešené prekážky spustenia
Spustenie a prevádzka	Podpora, monitoring, alternatívne postupy a meranie	Prevzatie zodpovednosti prevádzkou a pripravenosť služby

Pilotný projekt využite na overenie postupu. Plán nasadenia musí do príslušnej lehoty zahrnúť všetky služby, pri ktorých ste identifikovali povinnosť akceptácie. Pri každej fáze evidujte otvorené závislosti a rozhodnutia.

Zmeny štandardov alebo integračného rozhrania potrebujú vlastníka a postup na vyhodnotenie dopadu. V harmonograme nechajte rezervu na opravy a opakované testovanie pred príslušnou zákonnou lehotou. O pripravenosti firmy má rozhodnúť dôkaz, že klient dokáže prejsť danou službou, kontroly fungujú, výsledky sa správne evidujú a prevádzka vie riešiť výnimky.

Často kladené otázky o európskej peňaženke digitálnej identity (EUDI wallet)