eIDAS-konferansen 2026 oppsummert

Denne uken deltok jeg på eIDAS-konferansen i Sogndal i regi av Digitaliseringsdirektoratet, på vegne av en kunde. Ettersom konsekvensene av arbeidet som omtales på konferansen kan bli inngripende for både privatpersoner, bedrifter og offentlige virksomheter, er det passende med en oppsummering av hva som skjer i markedet for digital identitet og digitale lommebøker. Konferansen kan sees i sin helhet på nett.

For snart to år siden skrev jeg veilederen «Alt du trenger å vite om eID, e-signering og digitale lommebøker», en veileder som har blitt mye nedlastet og åpenbart har truffet et viktig tema. Den burde strengt tatt oppdateres med tanke på utviklingen som har vært i markedet siden den ble skrevet, men det får komme senere. En mye nedlastet veileder forteller meg at det jeg skriver i veilederen treffer behovene i markedet: At det å kjenne sine kunder blir viktigere i en stadig mer polarisert verden og med et geopolitisk trusselbilde som ikke har vært like kritisk siden andre verdenskrig. Det å kunne bevise at du er du og at det du har med deg av digitale identiteter og digitale dokumenter er ekte, blir stadig viktigere. Eller, som direktør i Datatilsynet Line Coll uttalte på konferansen, «eID er kjernen i samfunnets funksjonalitet». Men, som også Coll trakk frem i sitt innlegg, så er det også viktig å huske på at det ikke følger en formålsutglidning ved bruk av eID: At noe er mulig betyr ikke at noe er lurt eller lov. Man skal ikke legitimere folk uten at det foreligger et behov. Retten til å orientere og bevege seg på nett anonymt er essensielt.

Hva skjer i EU?

EU-forordningen som heter eIDAS 2.0 beskriver nettopp digitale identiteter og digitale lommebøker der du skal kunne oppbevare både din ID og digitale dokumenter slik som vitnemål, førerkort og mye, mye mer. Hvorvidt de digitale lommebøkene kommer til å bli en suksess eller floppe, handler etter mitt perspektiv om utbredelse. Nok privatpersoner og nok bedrifter må ta i bruk den digitale lommeboken, og for at de skal gidde det, må lommeboken løse et tydelig problem for dem. Det er nemlig ikke gitt, til tross for at det ikke er mangel på «use cases» på hva man kan tenke seg å bruke lommeboken til. Det er nemlig stor forskjell på hva man tror er et problem, og hva som faktisk er et problem. På konferansen ble det presentert et estimat for gevinstrealisering på 1 milliard kroner, med digitalisering av fører- og vognkort som største enkeltpost. Blir lommeboken en suksess tror jeg potensialet er større.

Hva skjer i Norge?

Som en konsekvens av det som skjer i EU, vil Norge bli påvirket. Det virker kanskje rart i et land der nær 100 % av den voksne befolkningen har en eID og vi har digitalisert store deler av offentlig sektor, men dette er langt fra tilfellet i EU. På eIDAS-konferansen snakket jeg med Daniel Fett fra tyske SPRIND som innfører eIDAS i Tyskland. Der kommuniserer de fortsatt med faks. Du leste riktig: faks. Tyskland har heller ikke et folkeregister slik vi har i Norge.

Til tross for at spennet mellom landene som skal innføre eIDAS er stort, vil det også medføre endringer for Norge. Staten har ansvaret for ID-forvaltningen i Norge, og staten tenker å ta en større rolle i utstedelsen av eID, uten at det offentliggjort hvordan de tenker at det skal skje. Skal de insource hele jobben selv, skal de outsource alt til en eksisterende markedsaktør, eller finner de en mellomting? Det pågår i disse dager ferdigstillelse av en konseptvalgutredning som skal svare på blant annet dette, eller i det minste gi en pekepinn på hvilken retning man tar i det videre arbeidet. Innbyggerne skal altså ha en digital lommebok — i praksis en app på telefonen — der de kan oppbevare eID og digitale dokumenter, såkalte «digitale bevis». Heller ikke dette er endelig utredet hvordan innføringen skal løse dette i Norge. Men at digital lommebok blir en greie som man må forholde seg til, både som privatperson og bedrift, fremstår akkurat nå som ganske sikkert. Men det forutsetter som jeg skriver at man løser ekte problemer for ekte mennesker og ekte bedrifter. Hvis ikke risikerer man som nevnt at det flopper.

En annen risiko for at eIDAS blir marginalisert i utbredelse kommer fra teknologigigantene som videreutvikler sine lommebøker, for eksempel Apple og Google. Ser man for eksempel på Apple så har de allerede annonsert Digital ID, hvor man i USA kan skanne passet og legge det inn i Apple Wallet. Apple markedsfører dette kraftig, og det skal bli spennende å se om de også åpner opp for å legge til andre ID-er i Apple Wallet. Lykkes Apple og Google med dette, er det ikke sikkert at eIDAS får det momentet EU ønsker seg, til tross for at det er sikkerhetsmessige forskjeller på ID-en som beskrives i eIDAS og den du får hos Apple. Min påstand er at sikkerhetsnivåer alene neppe er tilstrekkelig «moat», men at «godt nok» er nettopp godt nok for de aller fleste bedrifter som skal identifisere kunder. De stoler på at Apple har gjort jobben «godt nok». Hva skal du med en EU-lommebok når du kan benytte den du allerede har på telefonen?

Mangler ved eIDAS

To store snakkiser som jeg selv har trukket frem når jeg har holdt foredrag om digital lommebok, er mangelen på antisvindelløsninger i eIDAS. Uten å gå inn på detaljene er det store mangler i de grunnleggende prinsippene som potensielt fører til mer svindel. Dette er en showstopper for innføring av digitale lommebøker, og uten ytterligere tiltak tror jeg det vil bli en økning i svindel.

eIDAS har også manglet betraktninger om hvordan markedsaktører skal kunne tjene penger i et økosystem der det eksplisitt er besluttet at visse transaksjoner skal være gratis. «Gratis å ha, gratis å bruke» heter det. Men hvilken bedrift gidder å levere tjenester inn i et økosystem uten betalingsvilje eller rom for innovasjon? Selv har jeg ingen problemer med å se minst en håndfull steder hvor det er mulig å tjene gode penger, men disse stedene drukner liksom litt i mantraet «gratis å ha, gratis å bruke».

Hva skjer når?

eIDAS skjer nå. EU-medlemslandene innfører digital lommebok innen utgangen av 2026, her hjemme har vi en litt annen tidslinje enn EU ettersom vi ikke er EU-medlem. Det snakkes om innføring senest 2030. Det høres lenge ut, men tiden løper. Når det er sagt så kommer ingen EU-land til å være eIDAS-compliant med en digital lommebok ved utløpet av 2026, selv om de har fått den ut i markedet. Først må de få den til å fungere mellom alle involverte parter internt i et land, og så må de få den til å fungere på tvers av landegrensene. Det er det ingen som tror vil skje i år. Og så var det dette med utbredelsen da. Du får ikke en hel nasjon til å laste ned en digital lommebok over natten. Adopsjon vil ta tid, både hos privatpersoner som skal ha appen og hos bedrifter som skal koble seg til den.

Dette må du forholde deg til

Som privatperson eller ansatt i en privat bedrift, er det lite du trenger å forholde deg til ennå, med mindre du ser at det du driver med enten avhenger av digitale identiteter eller du produserer eller konsumerer digitale identiteter eller dokumenter. Og gjør du det så kan jeg hjelpe deg.

Var dette nyttig? Trenger du å kunne mer om digitale lommebøker, eID, eIDAS eller eSignering? Jeg har arbeidet innen disse domenene i mange år, og jeg har jobbet helt spesifikt med dette det siste halvannet året. Fra og med mai er jeg ledig for nye oppdrag, og jeg håper at du som leser dette tar kontakt for en kopp kaffe og en prat om hvilke problemer du trenger å få løst — enten innenfor dette området, eller andre områder jeg arbeider. Du treffer meg på 93055510 eller martin@nivlheim.no.