eIDAS er EU's regelsæt for elektronisk identifikation og tillidstjenester. Det er grunden til, at et dansk MitID kan bruges over for en myndighed i et andet EU-land, og det er stedet, hvor sikringsniveauerne Lav, Betydelig og Høj er defineret.
eIDAS 1
Forordning (EU) nr. 910/2014 af 23. juli 2014 trådte i kraft 17. september 2014 og blev anvendt fra 1. juli 2016.
De tre sikringsniveauer står ikke i selve forordningen, men i Kommissionens gennemførelsesforordning (EU) 2015/1502 af 8. september 2015. Kravene er kumulative, så Høj indeholder alt det, Betydelig kræver. I Danmark hedder den nationale udmøntning NSIS.
Notificering er det, der giver anerkendelse
Et land kan notificere sin nationale ordning. Er en ordning notificeret, skal de øvrige medlemsstater anerkende den. Den danske ordning MitID fik sin notificering 24. oktober 2022, og den gælder Betydelig og Høj.
Andre eksempler:
- itsme i Belgien, notificeret på Høj 18. december 2019
- Freja i Sverige, notificeret 14. december 2020 på Betydelig og Høj
- FranceConnect+ i Frankrig, notificeret på Betydelig 2. februar 2021
- mojeID i Tjekkiet, notificeret 27. september 2021 på alle tre niveauer
Det siger ikke noget om udbredelse. Svenske BankID står ikke som notificeret ordning i Kommissionens oversigt, og i Holland er det DigiD der er notificeret, ikke bankernes iDIN. Freja er derimod den eneste svenske e-legitimation i oversigten.
Tillidstjenester
Den anden halvdel af forordningen handler om tillidstjenester: elektroniske signaturer, segl, tidsstempler og websitecertifikater. En udbyder kan opnå status som kvalificeret tillidstjenesteudbyder, en QTSP, og komme på EU's Trusted List. Signicat har haft den status siden november 2018.
eIDAS 2 og tegnebogen
eIDAS 2 er forordning (EU) 2024/1183 af 11. april 2024, offentliggjort 30. april 2024 og i kraft 20. maj 2024. Den store nyhed er kravet om, at hver medlemsstat skal levere mindst én EU Digital Identity Wallet. Gennemførelsesretsakterne trådte i kraft 24. december 2024, og fristen er 24 måneder derefter, altså omkring december 2026. Private parter, der er forpligtet til stærk kundeautentifikation, skal acceptere tegnebogen omkring december 2027.
Forordningen forbyder også, at brugervalgte pseudonymer afvises.
Hvorfor det betyder noget for identitetskontrol
Når hvidvaskloven § 11 tillader elektroniske identifikationsmidler som kilde ved KYC, er det eIDAS-niveauet, der afgør, hvor meget kilden er værd. Et notificeret eID på Betydelig eller Høj er kontrolleret ved udstedelsen af nogen andre end jer. Det er derfor, det tæller som pålideligt og uafhængigt.