DÁP keretszolgáltatások - 1. rész: eAzonosítás

Az eAzonosítás az egyik legszélesebb körben előírt DÁP keretszolgáltatás. Mind a digitális szolgáltatás nyújtására köteles szerveknek (államigazgatás, önkormányzatok, igazságszolgáltatás, stb.), mind a digitális szolgáltatás biztosítására kötelezett piaci szervezeteknek (bankok, biztosítók, közüzemi szolgáltatók, telekommunikációs szolgáltatók, stb.) tudniuk kell nyújtani. Ez azt jelenti, hogy amennyiben az ügyfél a DÁP alkalmazáson keresztül szeretné elvégezni önmaga azonosítását, hitelesítését egy ügyben, akkor azt a fent említett kör köteles befogadni, integráltan kezelni.

Mi az eAzonosítás DÁP keretszolgáltatás?

Az eAzonosítás megkönnyíti az állampolgárok biztonságos azonosítását és hitelesítését a piaci és közigazgatási szolgáltatások igénybevételéhez. Az azonosítás és hitelesítés a szolgáltatónak és az állampolgárnak is kulcsfontosságú. A Digitális Állampolgárság Szolgáltató (ami a 138/2024. (VI. 28.) Korm rendelet szerint az IdomSoft Zrt.) ellenőrzi az állampolgár személyazonosságát a szolgáltató (a kötelezetti kör) számára. Az állampolgár pedig ellenőrizheti, hogy milyen szolgáltatóval lép kapcsolatba és milyen adatokat oszt meg.
Az eAzonosítással az állampolgárok a személyes megjelenéssel egyenértékűen igazolhatják személyazonosságukat. További ellenőrzéseket vagy adatigényléseket a piaci szolgáltatóknak nem kell végezniük.

Mely piaci cégek és mikortól kötelesek - mint szolgáltatók - biztosítani az eAzonosítás keretszolgáltatást?

Erről a DÁP törvény (2023. évi CIII. törvény a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól) Ötödik Része rendelkezik. A 80. § sorolja a kötelezetti kört. A jogszabályi felsorolás közérthetőbb fordításban a következő:

a-h) közüzemi és közszolgáltatók: hulladékgazdálkodási közszolgáltatást végzők, távhőszolgáltatók, gázszolgáltatók, víziközmű-szolgáltatók, nem vezetékes szennyvíz begyűjtést és elszállítást végzők, kéményseprőipari szolgáltatók, egyetemes postai szolgáltatást nyújtók, villamosenergia-szolgáltatók,

i-n) pénzügyi szektor: bankok, pénzügyi vállalkozások, pénzkibocsátók, biztosítók, befektetési vállalkozások, árutőzsdei szolgáltatók, magánpénztárak,

o) telekommunikációs szolgáltató cégek.

A DÁP törvény ebben a körben 2025. június 1-jén lép hatályba. Nem egyértelmű, hogy mikortól kell az ügyek teljes körében biztosítani az eAzonosítást, az IdomSoft tájékoztatása szerint ugyanis a szolgáltatás kezdetben csak az online térben lesz használható. A fizikai térben történő használatot – pl. azonosítás egy bankfiókban – később vezetik be.
Nem jelenthet kibúvót a kötelezettség alól az, ha egy érintett cégnél már van bejáratott elektronikus azonosítási megoldás. Ilyen esetben a törvény úgy fogalmaz, hogy az azonos funkciót betöltő szolgáltatás mellett vagy helyett kell biztosítani az eAzonosítási funkciók használatát is ügyfeleik számára. Tehát a DÁP megoldása mellett szabadon használhatják egyéb auditált elektronikus hírközlő eszközeiket is.

A DÁP keretszolgáltatásokkal kapcsolatban egyelőre több nyitott kérdés is van. Ezen kérdések megválaszolásában a DEÜSZ Egyesület szeptemberi konferenciája segíthet. A konferenciára meghívtuk a Digitális Magyarország Ügynökség és az IdomSoft képviselőit is, várjuk továbbá közüzemi szolgáltatók, az MNB, a Bankszövetség és a MABISZ részvételét is. A regisztráció megnyílt, már lehet jelezni a részvételi szándékot!

Konkrétan mire lesz használható az eAzonosítás?

Az eAzonosítás használatához az állampolgárnak rendelkeznie kell digitális állampolgársággal, illetve DÁP mobilalkalmazással. A DÁP mobilalkalmazással egy QR-kód beolvasásával kezdetben az alábbi esetekben lesz igazolható a személyazonosság:
- Bejelentkezés a magyarorszag.hu-n és egyéb állami weboldalakon és mobilalkalmazásokban (pl. EgészségAblak).
- Regisztráció és bejelentkezés pénzintézetek, közművek és telekommunikációs szolgáltatók weboldalain és mobilalkalmazásaiban (2025. júniustól).
- Egyszeri vagy időszakos ügyfélátvilágításhoz szükséges adatok átadása a piaci szolgáltatónak (2025. júniustól).

Szolgáltatók csatlakozása az eAzonosítás keretszolgáltatáshoz

A szolgáltatónak előzetesen el kell végeznie a regisztrációs folyamatot, ennek eredményeképpen kerülhet be a Hitelesség ellenőrzés szolgáltatásba, és csak ezt követően használhatja az eAzonosítás szolgáltatást.
A szolgáltatónak biztosítania kell a regisztráció során megadott adatai naprakészen tartását, és minden megismert adatot a vonatkozó jogszabályoknak megfelelően kell kezelnie, különös tekintettel a GDPR rendelkezéseire.

A digitális szolgáltatás nyújtását önként vállalókkal szemben, az ehhez szükséges engedély kiadását további feltételekhez kötik. Ilyen a többi között a kiberbiztonsági követelményeknek történő megfelelés és a kiberbiztonsági audit lefolytatása, valamint elektronikus regisztráció, a szolgáltatási feltételek elfogadása, a meghatározott műszaki követelmények teljesítése, illetve a később meghatározásra kerülő szolgáltatási díj megfizetése.

eAzonosítás a gyakorlatban - Hogyan zajlik a folyamat?

Az ábra bemutatja az eAzonosítás folyamat szereplőit és a folyamat lépéseit. (Forrás: IdomSoft Zrt.)

1. A felhasználó igénybe szeretné venni a piaci szolgáltató online felületein a DÁP eAzonosítást.
2. A piaci szolgáltató meghatározza az attribútum kéréseket, amelyekre szüksége van, és kérés formájában elküldi a DÁP mobilalkalmazás felé.
   Szabvány: OpenID for Verifiable Credentials az eIDAS2-ben használt aktuálisan publikált verzió szerint
   Protokoll: OpenID for Verifiable Presentations

3. A DÁP mobilalkalmazás ellenőrzi a szolgáltató hitelességét.
4. A felhasználó azonosítja magát a saját DÁP mobilalkalmazásában. Fogadja a kérést, átnézi az igényelt adatok listáját, majd elfogadja vagy megtagadja az adatok átadását.
5. Elfogadás esetén a DÁP összeállítja a prezentációt a szolgáltató számára.
   Szabvány: OpenID for Verifiable Credentials az eIDAS2-ben használt aktuálisan publikált verzió szerint
   Protokoll: OpenID for Verifiable Presentations

6. A szolgáltató ellenőrzi a mobilalkalmazás és az attribútum válaszok hitelességét.

A szolgáltató lényegében egy, az azonosítandó személy által felmutatott QR kód alapján jeleníti meg és ellenőrzi a közhiteles nyilvántartásban szereplő adatokat. Tehát nem maga az irattárca tárolja és jelzi ki ezen adatokat, hanem minden alkalommal az adatot tároló nyilvántartásból történik az információigény kiszolgálása.

Műszaki, informatikai háttér

• DÁP IDP

A DÁP IDP (DÁP Identity Provider) egy modern, digitális identitáskezelő rendszer, amely lehetővé teszi az azt igénybe vevő vállalatok számára, hogy biztonságosan és hitelesen igazolják az ügyfeleiket a különböző online szolgáltatásoknál.
A rendszer az OpenID4VC (OpenID for Verifiable Credentials) protokollokra épül. Biztosítja a hitelesíthető igazolások kiadását és bemutatását, és teljes mértékben megfelel az elektronikus azonosításra és bizalmi szolgáltatásokra vonatkozó eIDAS- rendelet előírásainak.

• OpenID for Verifiable Credentials

Az OpenID4VC szabvány célja, hogy lehetővé tegye a felhasználók számára a digitális hitelesítő adatok egyszerű és biztonságos megosztását különböző szolgáltatásokkal. Ezzel a szabvánnyal a felhasználók megbízható módon mutathatják be digitális igazolásaikat. Az OpenID4VC az OAuth 2.0-ra épül, így kihasználva annak biztonságos és fejlesztőbarát alapjait.