Calendário eIDAS 2.0: As Datas Que Contam para a Identidade Digital na Europa

O eIDAS 2.0 não é um prazo único. É uma sequência de datas espalhadas por vários regulamentos. Cada uma recai sobre um grupo diferente: Estados-Membros, prestadores de serviços de confiança, bancos, sistemas de saúde e plataformas online. Não perceber como se ligam é um erro de planeamento comum.

Esta página reúne as datas principais numa tabela e explica depois cada fase. As datas foram confirmadas em outubro de 2026. Algumas dependem de atos ainda por adotar, o que assinalamos.

O Calendário Num Relance

Termos Usados Neste Calendário

• Carteira EUDI. A Carteira Europeia de Identidade Digital, uma app ou conjunto de apps disponibilizado sob a autoridade de um Estado-Membro, que permite guardar e partilhar dados de identidade e atestados.
• PID. Dados de identificação pessoal. A credencial base que diz quem é o titular da carteira, emitida pelo Estado-Membro.
• Atestado de atributos. Uma declaração assinada sobre o titular, como uma carta de condução ou um diploma. Quando é emitido por um prestador qualificado de serviços de confiança, é um atestado eletrónico qualificado de atributos, ou QEAA.
• Entidade que confia na carteira. Qualquer organização que pede dados a uma carteira: um banco, um serviço público, uma plataforma. Estas entidades têm de se registar e declarar o que vão pedir.
• Nível de garantia. O eIDAS define três níveis: reduzido, substancial e elevado. A maior parte dos usos regulados exige substancial ou elevado.
• Atos de execução. Regras detalhadas adotadas pela Comissão ao abrigo do eIDAS 2.0. Transformam os princípios do regulamento em requisitos técnicos e processuais.
• QTSP. Prestador qualificado de serviços de confiança. Uma empresa supervisionada ao abrigo do eIDAS que oferece assinaturas, selos, carimbos temporais ou atestados qualificados.
• ARF. O quadro de arquitetura e referência, o desenho técnico em que assentam as carteiras e as entidades que as aceitam.

Fase 1: Bases Legais (2024 a 2025)

O eIDAS 2.0 entrou em vigor a 20 de maio de 2024. Sozinho, definiu princípios. Os pormenores estão nos atos de execução que dizem como funcionam as carteiras, como são certificadas e como se registam as entidades que as aceitam.

A publicação dos primeiros atos a 4 de dezembro de 2024 pôs o relógio a contar. Entraram em vigor a 24 de dezembro de 2024, o que explica os dois prazos de dezembro que se seguem.

Fase 2: Lançamento das Carteiras (2026 e início de 2027)

Cada Estado-Membro tem de disponibilizar pelo menos uma carteira até 24 de dezembro de 2026. A obrigação é de disponibilidade, não de adoção. Em setembro de 2026, Itália, França e Finlândia eram os mais adiantados. A Alemanha aponta para 2 de janeiro de 2027 e a Roménia para 14 de janeiro de 2027. A Suécia não espera lançar antes de 2028.

Há dois prazos relacionados que contam para os fornecedores. As entidades têm de se registar antes de poderem pedir dados. Essas regras aplicam-se a partir de 24 de dezembro de 2026. Os prestadores qualificados que verificam identidades à distância têm de concluir os testes biométricos a ataques de apresentação, ataques de injeção e desempenho da comparação até ao fim de 2026.

Fase 3: Regras Setoriais (2027)

2027 é o ano em que a carteira se cruza com a legislação de cada setor.

• Saúde. O Regulamento de Execução (UE) 2026/2099, adotado a 21 de setembro de 2026, liga o MyHealth@EU aos eID nacionais e à carteira. Começa a 26 de março de 2027 e entra por fases até 2032. Os doentes vão precisar inicialmente de nível substancial, passando a nível elevado a partir de março de 2030.
• Branqueamento de capitais. O Regulamento aplica-se a partir de 10 de julho de 2027. As normas finais da AMLA, enviadas à Comissão a 1 de outubro de 2026, tratam a identificação eletrónica de nível substancial ou elevado, incluindo a carteira, como via padrão para verificar clientes. A Comissão ainda as tem de adotar.
• Inteligência artificial. O Omnibus Digital adiou para 2 de dezembro de 2027 as obrigações de risco elevado para sistemas autónomos, que incluem alguns usos biométricos.

Fase 4: Aceitação Obrigatória (Dezembro de 2027)

Até 24 de dezembro de 2027, as entidades privadas que por lei ou contrato têm de usar autenticação forte passam a ter de aceitar a carteira quando o utilizador o pede. Abrange banca e serviços financeiros, pagamentos, telecomunicações, energia, transportes, saúde, segurança social, educação, serviços postais e infraestruturas digitais. As plataformas online de muito grande dimensão também têm de a aceitar para autenticação.

A banca tem uma segunda camada. O Regulamento dos Serviços de Pagamento, com acordo político a 27 de novembro de 2025, vai substituir grande parte da DSP2. No outono de 2026, a publicação no Jornal Oficial ainda era esperada e o cumprimento estava previsto para cerca de 2028. Convém confirmar o estado antes de planear.

O Que Dezembro de 2027 Significa em Cada Setor

A obrigação de aceitação está escrita em termos gerais. O efeito depende de como cada setor autentica hoje os clientes.

• Banca e pagamentos. Os bancos já usam autenticação forte ao abrigo da DSP2, por isso estão claramente abrangidos. A carteira tem de ser aceite para entrar na conta e aprovar operações quando o cliente o pede. A abertura de conta é tratada pelas regras de branqueamento descritas acima.
• Telecomunicações. Muitos Estados-Membros exigem verificação de identidade para registar cartões SIM ou celebrar contratos. Os operadores que autenticam clientes de forma forte online vão ter de aceitar a carteira. O registo de cartões SIM foi um dos casos testados nos primeiros pilotos de grande escala.
• Energia e serviços públicos. Os fornecedores de energia autenticam clientes para contratos, mudança de comercializador e acesso a dados de consumo. Na Alemanha, há investigadores a estudar identidades digitais para instalações de energia e garantias de origem, o que pode alargar a carteira das pessoas a dispositivos e organizações.
• Transportes. Os operadores ferroviários, aéreos e de transportes públicos que exigem autenticação forte para contas ou passes estão abrangidos. As credenciais digitais de viagem seguem uma via paralela, ligada às regras de fronteira e aviação.
• Educação. Universidades e escolas que exigem autenticação forte nos serviços aos estudantes têm de aceitar a carteira. São também emissores naturais de diplomas e atestados de matrícula.
• Saúde e segurança social. Ambos constam da lista de setores. Na saúde, as regras do MyHealth@EU acrescentam um caminho próprio e faseado para o acesso transfronteiriço.
• Plataformas online de muito grande dimensão. As plataformas designadas ao abrigo do Regulamento dos Serviços Digitais têm de aceitar a carteira para autenticação quando o utilizador o pede. Pode ser aqui que muitas pessoas usem a carteira pela primeira vez fora dos serviços públicos.

Em todos os setores, a obrigação aplica-se quando o utilizador o pede. Uma empresa pode manter os seus métodos de autenticação atuais. Não pode recusar a carteira.

Fase 5: Aprofundamento (2028 a 2032)

Depois de 2027, o trabalho passa a ser de profundidade. As obrigações deixam de ser sobre se uma carteira existe ou é aceite e passam a ser sobre o que consegue fazer. É aí que está a maior parte do valor a longo prazo e também a maioria das questões de desenho por resolver.

O ritmo desta fase vai depender tanto dos emissores como dos reguladores. Cada diploma, carta ou qualificação disponível como atestado dá às pessoas uma nova razão para abrir a carteira. Cada entidade que aceita esses atestados dá aos emissores uma razão para produzir mais. Os países que montarem este ciclo cedo vão ter uma adoção mais rápida. Entram mais atestados na carteira, como os atributos de saúde a partir de março de 2029. Os níveis de garantia sobem na saúde. O uso transfronteiriço cresce à medida que mais países se ligam.

Que Datas São Fixas e Quais Podem Mudar

Nem todas as datas da tabela têm o mesmo peso.

• Fixadas por lei. 24 de dezembro de 2026 para a disponibilidade das carteiras, 10 de julho de 2027 para o Regulamento de branqueamento e 24 de dezembro de 2027 para a aceitação obrigatória estão escritas em regulamentos já em vigor. Mudá-las exigiria nova legislação. Convém planear a partir delas.
• Fixas, mas a entrega pode atrasar. Os lançamentos nacionais podem derrapar mesmo quando o prazo legal não muda. A Suécia já disse que a sua carteira não chega antes de 2028. A Alemanha vai lançar poucos dias depois do prazo. Devem surgir mais anúncios deste tipo nas últimas semanas de 2026.
• Dependentes de adoção. As normas da AMLA ainda precisam de ser adotadas pela Comissão e o texto pode mudar. O Regulamento dos Serviços de Pagamento ainda não estava publicado no Jornal Oficial em outubro de 2026. O seu conteúdo deve ser tratado como provável, não como certo. Convém voltar a confirmar no início de 2027.
• Faseadas de propósito. As regras do MyHealth@EU distribuem as obrigações por cinco anos de forma deliberada. As primeiras fases dão a direção. As seguintes sobem a fasquia.

Esta distinção ajuda a definir orçamentos. O trabalho ligado a datas legais fixas entra no plano principal. O trabalho ligado a datas dependentes fica numa reserva, libertada quando o texto for definitivo. Convém rever essa reserva todos os trimestres, porque vários destes textos podem ficar fechados durante 2027.

Portugal no Calendário

Portugal parte com vantagens. As duas credenciais principais, a Chave Móvel Digital e o Cartão de Cidadão, já estão notificadas com nível elevado. A app gov.pt já reúne 51 tipos de documentos. Bancos e serviços públicos já integram o Autenticação.gov.

O que Portugal ainda não tinha publicado em outubro de 2026 era um nome ou uma data de lançamento para a sua Carteira EUDI. Para as entidades portuguesas, isto torna a data de 24 de dezembro de 2026 menos informativa do que a obrigação de aceitação de dezembro de 2027, que se aplica seja qual for a data da carteira nacional. As carteiras de outros Estados-Membros também vão chegar aos serviços portugueses através do uso transfronteiriço.

Como Usar Este Calendário

• Setor público. Concentrar-se em 24 de dezembro de 2026 e nos meses seguintes. Os dados de utilização do início de 2027 vão pesar no financiamento e no apoio político.
• Bancos e fintechs. Tratar 10 de julho e 24 de dezembro de 2027 como um único programa. A mesma integração com a carteira serve a diligência devida e a autenticação.
• Sistemas de saúde. Começar por 26 de março de 2027. Os prazos de atributos em 2028 e 2029 exigem já trabalho de governação de dados.
• Fornecedores de tecnologia. Os ciclos de certificação e testes são longos. O prazo ETSI do fim de 2026 está muito perto.
• Sociedade civil e investigadores. Os primeiros meses depois do lançamento são o momento certo para testar na prática as promessas de privacidade. Análises independentes sobre a forma como as carteiras tratam o rastreio, a recuperação e os pedidos de dados vão pesar mais na confiança pública do que qualquer declaração oficial. Publicar resultados antes da obrigação de dezembro de 2027 dá tempo aos reguladores para agir.

Lista de Tarefas por Trimestre para 2027

• Primeiro trimestre. Confirmar o registo como entidade que aceita a carteira. Testar com as primeiras carteiras nacionais lançadas. Rever as normas da AMLA quando a Comissão as adotar. As organizações de saúde devem preparar o 26 de março.
• Segundo trimestre. Fechar os procedimentos de diligência devida para 10 de julho. Decidir o âmbito da aceitação da carteira: abertura de conta, autenticação, assinatura ou pagamentos. Recolher experiência dos primeiros a adotar nas conferências da primavera, incluindo a LisbonID, a 25 e 26 de maio.
• Terceiro trimestre. Aplicar o Regulamento de branqueamento a partir de 10 de julho. Levar a aceitação da carteira para os sistemas de produção. Atualizar a comunicação com clientes e a formação das equipas.
• Quarto trimestre. Fazer testes completos com o maior número possível de carteiras nacionais. Preparar as obrigações de risco elevado do Regulamento da IA a 2 de dezembro. Pôr a aceitação da carteira em produção antes de 24 de dezembro.

Cada trimestre deve terminar com uma revisão curta: o que foi entregue, que datas mudaram e que pressupostos se alteraram. Num ano com tantas peças em movimento, a revisão conta tanto como o plano.

Uma equipa que siga esta sequência chega a dezembro de 2027 com um único programa integrado, em vez de três projetos separados a correr em paralelo.

Perguntas Frequentes