El Reglamento eIDAS2 es una iniciativa de la Unión Europea destinada a mejorar y actualizar el marco legal existente para la identificación electrónica y los servicios de confianza en las transacciones electrónicas dentro del mercado único digital europeo. En un mundo cada vez más digitalizado, el Reglamento eIDAS2 busca facilitar las transacciones electrónicas públicas y privadas y dotarlas de una mayor seguridad e interoperabilidad.
En este artículo repasamos las claves principales del Reglamento eIDAS y las novedades que ha traído consigo la versión actualizada del eIDAS2.
Contenido del artículo
¿Qué es el Reglamento eIDAS2?
El Reglamento eIDAS2 (Electronic Identificacion, Authentication and Trust Services) es una revisión y actualización del Reglamento eIDAS original, aprobado y adoptado por la UE en 2014 (su entrada en vigor definitiva se produjo en 2016); este Reglamento establecía un marco común para la identificación electrónica y los servicios de confianza en las transacciones electrónicas, permitiendo a los ciudadanos, empresas y gobiernos europeos a realizar negocios y transacciones de manera segura y eficiente a tanto a nivel interno como a través de las fronteras.
El eIDAS2 es la actualización que amplía y mejora el marco común para las transacciones electrónicas y el uso de identidades electrónicas. Y garantiza más seguridad, interoperabilidad y accesibilidad.
El Reglamento eIDAS2 contiene 74 considerandos (que motivan la necesidad de actualización del reglamento original) y dos artículos; el primero introduce las modificaciones sobre el eIDAS de 2014 y el segundo la fecha de entrada en vigor del eIDAS2.
De esta forma, el eIDAS2 amplía y mejora este marco común, introduciendo nuevas herramientas y normas para garantizar una mayor seguridad, interoperabilidad y accesibilidad en el uso de la identificación electrónica y los servicios de confianza, estableciendo unos mínimos comunes para todos los actores involucrados. Con ello, la revisión y actualización del Reglamento de Identidad Electrónica, Autenticación y Servicios de Confianza busca adaptarse a los rápidos avances tecnológicos y a las nuevas necesidades surgidas en el ámbito digital y subsanar las carencias y problemas que presentaba el Reglamento original.
¿Cuál es el objetivo del Reglamento eIDAS2?
El objetivo principal del Reglamento eIDAS2 es crear un entorno de confianza para las transacciones electrónicas en toda la UE, garantizando la seguridad de las mismas y la privacidad de los datos de los ciudadanos europeos. Esto incluye:
- Fomentar la confianza y la seguridad: Proporcionar un marco legal que garantice la seguridad de las identidades electrónicas o digitales y los servicios de confianza, como las firmas electrónicas y los sellos electrónicos.
- Facilitar el acceso a servicios digitales: Permitir que ciudadanos y empresas europeas puedan acceder a servicios públicos y privados en línea a través de identidades electrónicas emitidas por proveedores de confianza cualificados en cualquier Estado miembro de la UE.
- Promover la interoperabilidad: Asegurar que los sistemas de identificación electrónica y los servicios y proveedores de confianza sean compatibles entre sí en toda la UE, de manera que se puedan realizar transacciones electrónicas transfronterizas sin fricciones.
- Fomentar el uso de las identidades electrónicas: Los Estados miembros deberán promover y fomentar la adopción y uso de las identidades electrónicas entre los ciudadanos, ya que estas no serán obligatorias para ellos.
¿Cómo funciona el Reglamento eIDAS? Resumen
En resumen, el Reglamento eIDAS establece un marco jurídico y técnico para el reconocimiento mutuo de los medios de identificación electrónica y los servicios de confianza en toda la UE. Esto incluye:
- Identificación electrónica (eID): Se facilita la emisión y reconocimiento de la identificación electrónica por parte de los Estados miembros, a través del desarrollo y notificación de los esquemas nacionales de eIDs. Gracias a estas eIDs los ciudadanos podrán acceder a servicios en línea, realizar transacciones seguras o firmar documentos, entre otros, tanto a nivel nacional como transfronterizo con facilidad (por ejemplo, Cartera Digital Beta se basa en este esquema de identificación electrónica, aunque por el momento esté limitada a España y para la verificación de la edad en internet, como parte de la futura ley de protección de menores en entornos digitales y la creación de un entorno digital seguro y saludable para evitar el acceso a contenidos inadecuados por parte de los menores).
- Servicios de confianza: El Reglamento define una serie de servicios de confianza, entre los que se incluyen firmas electrónicas, sellos electrónicos, sellos de tiempo, servicios de entrega electrónica certificada y la autenticación de sitios web. Estos servicios de confianza deben cumplir con una serie de estándares estrictos de seguridad y fiabilidad, que están desarrollados en los anexos del Reglamento (por ejemplo, las listas blancas para la verificación de edad de plataformas o páginas web de contenido para adultos o de aplicaciones para presentación de credenciales de mayoría de edad, serían un servicio de confianza).
- Proveedores de servicios de confianza cualificados: El Reglamento también regula el funcionamiento y actividades de los proveedores de servicios de confianza cualificados (QTSP), que son aquellas entidades autorizadas para emitir certificados cualificados para firmas electrónicas, sellos y el resto de servicios de confianza. Como los servicios de confianza, deben cumplir una serie de requisitos de seguridad y confiabilidad recogidos en los anexos del eIDAS.
- Supervisión y cumplimiento: Los estados miembros deben designar organismos supervisores para garantizar el cumplimiento del Reglamento. Estos organismos supervisan a los servicios y proveedores de servicios de confianza y toman medidas en caso de incumplimiento.
¿A quién afecta el Reglamento eIDAS2?
El Reglamento eIDAS2 afectará tanto a ciudadanos como a empresas y entidades públicas:
- Para los ciudadanos, obtener y usar la identidad digital no será obligatorio, pero sí que tiene como fin facilitar el acceso y uso de servicios digitales, tanto públicos como privados, a nivel nacional y transfronterizo. Por ello, los gobiernos de los Estados miembros deberán llevar a cabo iniciativas para promover la adopción y uso de las eIDs.
- Habrá una serie de empresas que estarán obligadas a aceptar el uso de eIDs para interactuar con sus usuarios o clientes, en concreto serán aquellas pertenecientes a los sectores del transporte, la energía, la banca y las finanzas, la seguridad social, la sanidad, suministradoras de agua potable, los servicios postales, las infraestructuras digitales, la educación, las telecomunicaciones y las «grandes plataformas online».
- Las entidades públicas tendrán que facilitar servicios digitales interoperables que acepten las eIDs. Y los Estados miembros deberán proporcionar a los ciudadanos al menos una cartera de identidad. Así mismo, los organismos públicos también deberán emitir de forma gratuita los datos básicos como dirección, edad, estado civil, sexo, nacionalidad, títulos académicos, licencias, etc.
Principales novedades del Reglamento eIDAS2
Cómo decíamos, el Reglamento eIDAS2 es una actualización del Reglamento original de 2014, con la que se ha querido actualizar y mejorar el marco común para la identificación electrónica y los servicios de confianza. Entre las novedades que ha introducido, destacamos las siguientes:
Identidad Digital Europea
Una de las novedades más importantes es la creación de la Cartera de Identidad Digital Europea (EUDI); una cartera electrónica en la que los ciudadanos de la UE podrán almacenar sus «datos de identidad, credenciales y atributos vinculados a su identidad, con el fin de proporcionarlos» a entidades públicas y privadas para la autenticación en línea y fuera de ella, «así como para crear firmas y sellos electrónicos cualificados».
Se trata de carteras digitales que permitirán a las personas tener almacenados en un sitio seguro diferentes atributos personales (por ejemplo, permisos de conducir, títulos universitarios, etc.). Estas carteras digitales serán de uso voluntario para los ciudadanos, pero deberán ser aceptadas por todas las entidades públicas y por ciertos proveedores de servicios privados.
Las carteras digitales de identidad podrán ser emitidas por autoridades públicas como por entidades privadas reconocidas y cualificadas.
Su objetivo fundamental es facilitar las transacciones digitales a nivel nacional y transfronterizo y dar un mayor control a los ciudadanos sobre sus datos al acceder a servicios online, aportando la mínima información personal posible.
Un primer ejemplo de esto lo tenemos con Cartera Digital Beta y como se podrá usar con los sistemas de verificación de edad de páginas y plataformas adheridas al sistema; a través de esta aplicación solo se facilita al sitio online una credencial de mayoría de edad, que solo verifica si el usuario es mayor de edad y puede acceder al sitio, sin aportar ningún dato más (ya que las credenciales son anónimas).
Interoperabilidad
El eIDAS2 refuerza la interoperabilidad entre los diferentes sistemas de identificación electrónica y servicios de confianza en la UE. Esto se logrará mediante la adopción de normas técnicas comunes y la promoción de la cooperación entre los estados miembros.
Seguridad mejorada
El reglamento introduce medidas adicionales para mejorar la seguridad de las identidades digitales y los servicios de confianza. Esto incluye requisitos más estrictos para la autenticación y la gestión de identidades, así como la implementación de tecnologías avanzadas de seguridad, como la criptografía.
Así mismo, los proveedores y servicios de confianza tendrán la obligación de notificar incidentes de seguridad significativos, hacer los correspondientes análisis de riesgos y adoptar las medidas de mitigación adecuadas a partir de sus conclusiones.
Creación de un grupo de cooperación
Se creará un grupo específico sobre Identidad Digital Europea por parte de la Comisión, para fomentar la cooperación entre Estados miembros y facilitar la comunicación entre ellos, así como el intercambio de información sobre los esquemas de identificación electrónica notificados y los servicios de confianza.
Inclusión y accesibilidad
El eIDAS2 pone un fuerte énfasis en la inclusión y accesibilidad, asegurando que las identidades digitales y los servicios de confianza sean accesibles para todos los ciudadanos, incluidos aquellos con discapacidades. Esto incluye el desarrollo de interfaces y tecnologías que sean fáciles de usar para todas las personas.
Ampliación de los servicios de confianza
Se amplía la lista de servicios de confianza, incluyendo la prestación de servicios de archivo electrónico, la gestión de dispositivos remotos de firma electrónica, los libros mayores electrónicos y la creación de sellos electrónicos.
Entrada en vigor del eIDAS2
Tras la propuesta del Reglamento eIDAS2 en junio de 2021 y tras tres años de consulta y revisión, la entrada en vigor del eIDAS2 se produjo el 20 de mayo de 2024, si bien su puesta en marcha será progresiva y en diferentes fases, para facilitar a los Estados miembros, empresas y ciudadanos adoptar de manera estructurada las normas de identidad electrónica actualizadas.
Por lo tanto, se espera que los ciudadanos puedan acceder a las carteras digitales de identidad europea y usarlas a finales de 2026, 24 meses después de la entrada en vigor del nuevo Reglamento.
