Tornar-se relying party do EUDI Wallet é a parte do eIDAS 2.0 que cai sobre as equipas de engenharia, e é também a que tem recebido menos atenção. Até 24 de dezembro de 2026, cada Estado-Membro tem de disponibilizar uma Carteira Europeia de Identidade Digital conforme aos seus cidadãos e residentes. O prazo é vinculativo ao abrigo do Regulamento (UE) 2024/1183, os atos de execução estão publicados e já houve testes de interoperabilidade transfronteiriça entre Estados-Membros.
A maior parte da cobertura tem-se centrado na carteira em si: o que guarda, como os cidadãos a usam, como se comporta a arquitetura de privacidade. O problema complementar recebe bem menos atenção, embora seja onde o trabalho de engenharia realmente está. Uma carteira só é útil se as organizações a conseguirem aceitar.
Aceitá-la significa trabalho de integração, registo junto de uma autoridade nacional e, em muitos casos, redesenhar fluxos de identidade que nunca foram construídos para um modelo baseado em atributos. Este artigo dá seguimento ao Guia de implementação do eIDAS 2.0, que cobriu o enquadramento regulatório e as obrigações organizacionais. Aqui ficamos na questão técnica.
O que é uma relying party EUDI Wallet e por que importa
Três tipos de atores fazem o ecossistema funcionar, e a distinção conta porque as obrigações diferem bastante entre eles.
Quem faz verificação de identidade num sector regulado vai acabar na terceira categoria. É dessa posição que este artigo é escrito.
As normas técnicas que uma relying party EUDI Wallet tem de suportar
Aceitar credenciais da carteira implica implementar uma pilha específica. Há sobreposição com o trabalho existente em OAuth e OpenID Connect, mas não é um superconjunto dele.
Remoto e proximidade são dois projetos diferentes
As equipas muitas vezes orçamentam um projeto e descobrem dois. Um fluxo de abertura de conta em linha e uma verificação de balcão partilham os formatos de credencial e a infraestrutura de confiança, mas quase nada da camada de transporte ou da experiência de utilização. Se os dois canais estão em âmbito, precisam de estimativas separadas, planos de teste separados e comportamentos de recurso separados. O ARF e o ato de execução sobre protocolos e interfaces tratam-nos como distintos, por isso um plano que coloca a proximidade numa fase posterior é mais fácil de defender do que um que assume que ela vem de graça.
O que a divulgação seletiva muda para uma relying party EUDI Wallet
A divulgação seletiva permite ao titular provar um atributo sem entregar o resto da credencial. O mecanismo merece precisão, porque é frequentemente descrito de forma vaga. O SD-JWT e o mdoc permitem divulgar elementos de dados individuais mantendo os restantes ocultos e a assinatura do emissor válida. Provar que alguém é maior de 18 anos sem revelar a data de nascimento funciona porque a própria credencial transporta elementos discretos como idade superior a 18, emitidos pela autoridade. A carteira divulga esse elemento e retém a data.
Onde a mudança se sente nos seus sistemas
Modelo de dados. Registos construídos em torno de tipo de documento, número e digitalização passam a ter de acomodar prova baseada em atributos. O registo de verificação torna-se um conjunto de declarações provadas, com emissor e momento.
KYC e AML As credenciais da carteira têm validade jurídica ao abrigo do eIDAS 2.0, embora as equipas de conformidade tenham ainda de se convencer de que as atestações de atributos cumprem os seus próprios procedimentos de diligência devida. Nos bancos, essa revisão demora mais do que o trabalho de engenharia, por isso deve começar em paralelo e não depois.
Percurso do utilizador. Uma apresentação não é um upload. O titular abre a carteira, escolhe a credencial, revê os atributos pedidos e aprova. Os ecrãs de cada lado desse momento precisam de redesenho, e o texto precisa de explicar por que estão a ser pedidos menos campos do que antes.
Caminhos de falha. Apresentações parciais, consentimento recusado, credenciais expiradas e carteiras indisponíveis precisam todos de comportamento definido. Durante a transição isto importa mais do que o caminho feliz, porque o caminho feliz é o caso mais raro.
Registo de relying party EUDI Wallet junto da autoridade nacional
O registo é o passo que as equipas esquecem quando dimensionam o trabalho. Antes de poder solicitar apresentações, uma relying party tem de se registar junto da sua autoridade nacional de supervisão, identificando-se como entidade legal, declarando que atributos vai pedir e indicando as finalidades. Existe um ato de execução dedicado ao registo de relying parties, pelo que o processo está definido a nível europeu mesmo onde a implementação nacional ainda está atrasada.
Seguem-se duas consequências. Primeiro, isto é um pré-requisito e não uma formalidade, porque a infraestrutura de confiança verifica o registo durante o fluxo de apresentação. Segundo, os testes de ponta a ponta não podem acontecer antes de o registo existir, o que o coloca no caminho crítico e não na coluna da papelada. As organizações que operam em vários Estados-Membros podem ter de se registar em cada um, e os processos nacionais ainda não estão todos especificados de forma uniforme.
Uma avaliação honesta da preparação dos Estados-Membros
Uma avaliação independente publicada em abril de 2026 analisou o progresso rumo ao prazo de disponibilidade de dezembro de 2026. Três Estados-Membros pareciam quase certos de chegar com funcionalidade completa, cinco muito prováveis, oito prováveis com reservas, e onze enfrentavam graus variados de risco.
Um plano que assuma 27 carteiras plenamente funcionais no primeiro dia não sobrevive ao contacto com a realidade. Algumas estarão completas, outras chegarão com funcionalidade reduzida e algumas chegarão tarde. Para uma relying party, isto é um argumento para construir primeiro o caminho de recurso e tratar a aceitação da carteira como um canal adicional em vez de uma substituição.
Portugal está entre os Estados melhor preparados, em parte porque a infraestrutura existente é madura. O middleware do Cartão de Cidadão, que construímos, está em uso em toda a população, e essa continuidade torna o calendário nacional mais previsível do que a maioria. As nossas notas do LisbonID 2026 mostram onde estava a conversa europeia no início deste ano, e o nosso trabalho de identidade digital em Cabo Verde mostra a mesma arquitetura aplicada fora da UE.
Lista de verificação para integração de relying party EUDI Wallet
Cinco questões, por ordem de importância.
O que o eID Box faz neste contexto
eID Box é o nosso middleware de identidade digital. Integra autenticação por cartão inteligente em aplicações empresariais e está implementado no sistema nacional de cartão de identidade português, usado por toda a população. A transição para o eIDAS 2.0 é o capítulo seguinte do mesmo trabalho, não um desvio.
Para as organizações que estão a atravessar a integração, avaliamos os fluxos atuais de verificação de identidade e identificamos o que tem de mudar, construímos ou integramos os componentes necessários para verificar apresentações da carteira, apoiamos o processo de registo junto da autoridade nacional competente e desenhamos os caminhos de recurso para utilizadores cuja carteira nacional não está pronta. Vinte anos a construir este tipo de infraestrutura para o sector público e para clientes empresariais portugueses é o que trazemos.
Perguntas frequentes
party EUDI Wallet: o essencial
O que é uma relying party no ecossistema EUDI Wallet?
Quando é que as organizações têm de aceitar o EUDI Wallet?
Normas e divulgação seletiva
Que normas técnicas tem uma relying party de implementar?
O que é a divulgação seletiva no EUDI Wallet?
Prazos e caminhos de recurso
O EUDI Wallet substitui os métodos de verificação de identidade existentes?
O EUDI Wallet estará disponível nos 27 Estados-Membros a partir de dezembro de 2026?
