eIDAS

El Reglamento eIDAS («Servicios electrónicos de identificación, autenticación y confianza») es un reglamento de la Unión Europea cuyo objetivo declarado es regular los « servicios electrónicos de identificación y confianza para las transacciones electrónicas ». Fue aprobado en 2014 y sus disposiciones entraron en vigor entre 2016 y 2018. ^{[ 1 ] [ 2 ]}

El Reglamento eIDAS fue modificado sustancialmente por el Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo , de 11 de abril de 2024. ^{[ 3 ]} El objetivo principal de la modificación es introducir una cartera digital voluntaria (Identidad Digital Europea) que los Estados miembros deben emitir a solicitud de los ciudadanos de la UE . ^{[ 4 ]}

El Reglamento eIDAS supervisa la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior de la Unión Europea . Regula las firmas electrónicas , las transacciones electrónicas, los organismos implicados y sus procesos de integración para proporcionar a los usuarios una forma segura de realizar transacciones en línea, como transferencias electrónicas de fondos o transacciones con servicios públicos . Tanto el firmante como el destinatario pueden disfrutar de mayor comodidad y seguridad . En lugar de depender de métodos tradicionales, como el correo postal o el fax , o de presentarse en persona para entregar documentos en papel, ahora pueden realizar transacciones transfronterizas, como la tecnología " 1-Click ". ^{[ 2 ] [ 5 ]}

eIDAS ha creado estándares para que las firmas electrónicas, los certificados digitales cualificados , los sellos electrónicos , las marcas de tiempo y otros mecanismos de prueba de autenticación permitan transacciones electrónicas, con la misma validez legal que las transacciones realizadas en papel. ^{[ 6 ]}

El reglamento entró en vigor en julio de 2015, con el fin de facilitar transacciones electrónicas seguras y fluidas dentro de la Unión Europea. Los Estados miembros están obligados a reconocer las firmas electrónicas que cumplan con los estándares de eIDAS. ^{[ 2 ] [ 7 ]}

Aspectos regulados en las transacciones electrónicas

El Reglamento proporciona el entorno regulatorio para los siguientes aspectos importantes relacionados con las transacciones electrónicas: ^{[ 2 ]}

• Identidad digital : un marco europeo (Cartera de Identidad Digital Europea, EDIW) ^{[ 8 ]} para la autenticación digital de los ciudadanos, con validez legal. Se han definido nueve principios de la identidad digital europea : ^{[ 9 ]} elección del usuario, privacidad, interoperabilidad y seguridad, confianza, conveniencia, consentimiento y control del usuario, proporcionalidad, conocimiento de la contraparte y escalabilidad global.
• Firma electrónica avanzada (AdES): Una firma electrónica se considera avanzada si cumple ciertos requisitos:
  • Proporciona información de identificación única que la vincula con su firmante.
  • El firmante tiene el control exclusivo de los datos utilizados para crear la firma electrónica.
  • Debe ser capaz de identificar si los datos que acompañan al mensaje han sido manipulados después de haber sido firmados. Si los datos firmados han cambiado, la firma se marca como inválida.
  • Existe un certificado de firma electrónica, una prueba electrónica que confirma la identidad del firmante y vincula los datos de validación de la firma electrónica con esa persona.
  • Las firmas electrónicas avanzadas pueden implementarse técnicamente siguiendo el estándar XAdES , PAdES , CAdES o ASiC Baseline Profile ( Associated Signature Containers ) para firmas digitales, especificado por el ETSI . ^{[ 10 ]}
• Firma electrónica cualificada , una firma electrónica avanzada creada mediante un dispositivo cualificado de creación de firmas electrónicas basado en un certificado cualificado para firmas electrónicas.
• Certificado digital cualificado para firma electrónica , un certificado que acredita la autenticidad de una firma electrónica cualificada y que ha sido emitido por un proveedor de servicios de confianza cualificado.
• Certificado de autenticación de sitio web cualificado , un certificado digital cualificado conforme a los servicios de confianza definidos en el Reglamento eIDAS.
• Un servicio de confianza es un servicio electrónico que crea, valida y verifica firmas electrónicas , marcas de tiempo , sellos y certificados . Además, puede proporcionar autenticación de sitios web y la conservación de las firmas electrónicas, certificados y sellos creados. Este servicio es gestionado por un proveedor de servicios de confianza .
• Listas de confianza de la Unión Europea ( EUTL )

El Reglamento eIDAS evolucionó a partir de la Directiva 1999/93/CE, que estableció un objetivo que los Estados miembros de la UE debían alcanzar en materia de firma electrónica. Los países europeos más pequeños fueron de los primeros en adoptar firmas e identificación digitales; por ejemplo, la primera firma digital de Estonia se emitió en 2002 y la primera de Letonia en 2006. Su experiencia se ha utilizado para desarrollar un reglamento que ahora es de aplicación en toda la UE y que se convirtió en ley vinculante en toda la UE desde el 1 de julio de 2016. ^{[ 13 ]} La Directiva 1999/93/CE hizo que los Estados miembros de la UE fueran responsables de crear leyes que les permitieran alcanzar el objetivo de crear un sistema de firma electrónica dentro de la UE. La directiva también permitió a cada Estado miembro interpretar la ley e imponer restricciones, lo que impidió una interoperabilidad real y condujo a un escenario fragmentado. ^{[ 14 ]} A diferencia de la directiva de 1999, eIDAS garantiza el reconocimiento mutuo de la identificación electrónica para la autenticación entre los estados miembros, ^{[ 15 ]} logrando así el objetivo del Mercado Único Digital .

eIDAS proporciona un enfoque escalonado del valor jurídico. Requiere que ninguna firma electrónica pueda ser rechazada como firma jurídica o admisible en un tribunal únicamente por no ser una firma electrónica avanzada o cualificada. ^{[ 16 ]} Las firmas electrónicas cualificadas deben tener el mismo efecto jurídico que las firmas manuscritas. ^{[ 17 ]}

Para los sellos electrónicos (la versión de las firmas de las entidades legales), se aborda explícitamente el valor probatorio , ya que los sellos deben gozar de la presunción de integridad y la corrección del origen de los datos adjuntos. ^{[ 18 ]}

En 2023, se examinó una propuesta de modificación de la ley, ya que potencialmente permitiría a los gobiernos de la UE realizar ataques de intermediario , incluidas comunicaciones encriptadas. ^{[ 28 ]} La propuesta fue condenada por grupos de investigadores de ciberseguridad, ONG y la sociedad civil, como una amenaza a los derechos humanos, la privacidad y la dignidad. ^{[ 29 ] [ 30 ] [ 31 ] [ 32 ]} La propuesta funcionaba mediante el mismo mecanismo que un intento de vigilancia masiva en Kazajstán en 2019 .

En el centro de esta controversia se encuentra el segundo párrafo de la enmienda al artículo 45, que establece: ^{[ 33 ]}

Los certificados cualificados para la autenticación de sitios web a que se refiere el apartado 1 deberán ser reconocidos por los navegadores web.  [...] Los navegadores web deberán garantizar la compatibilidad y la interoperabilidad con los certificados cualificados para la autenticación de sitios web a que se refiere el apartado 1, con excepción de las empresas consideradas microempresas y pequeñas empresas de conformidad con la Recomendación 2003/361/CE de la Comisión durante los primeros 5 años de funcionamiento como proveedores de servicios de navegación web.

Los críticos afirmaron que permitir que las autoridades de certificación (CA) emitan certificados sin pasar por los procedimientos de auditoría y verificación establecidos por los proveedores de navegadores puede poner en peligro la seguridad de Internet en su conjunto y abrir la puerta a ataques de intermediario . ^{[ 34 ] [ 35 ]} Esto posiblemente permitiría a las CA autorizadas por el gobierno emitir certificados para cualquier nombre de dominio y usarlos para la suplantación de identidad y, lo que es más importante, sin que los navegadores puedan eliminarlos como confiables. ^{[ 34 ]} Esto se considera particularmente preocupante en países con un estado de derecho más débil, donde el Estado y los actores vinculados al Estado podrían usar la ley para espiar a sus propios ciudadanos con fines de represión política y beneficio personal. Existía la preocupación adicional de que esto permitiera a actores privados con conexiones estatales obtener acceso al poder y abusar de él para sus propios fines. ^{[ 29 ] [ 31 ]}

Sin embargo, en el borrador final se incluyeron disposiciones para permitir que los proveedores de navegadores continuaran implementando medidas de seguridad que, en la práctica, dificultarían este tipo de interceptación sin ser descubiertos. ^{[ 36 ]} Específicamente, el texto del borrador final establece que:

No obstante lo dispuesto en el párrafo 1, y únicamente en caso de que existan preocupaciones fundadas relacionadas con violaciones de seguridad o pérdida de integridad de un certificado o conjunto de certificados identificados, los navegadores web podrán adoptar medidas de precaución en relación con dicho certificado o conjunto de certificados.

lo cual se ha interpretado como permitir que los proveedores de navegadores continúen utilizando mecanismos como la transparencia de certificados para mantener la seguridad del navegador. ^{[ 36 ]} La declaración de la Comisión Europea sobre la modificación del artículo 45 aclara esta afirmación e indica que, mediante un acuerdo con los proveedores de navegadores, no se imponen restricciones a las "propias políticas de seguridad" de los navegadores. ^{[ 37 ]}

• AdES y validación a largo plazo (LTV)
• PADES
• autenticación multifactor
• Puerta de enlace digital única
• China: RealDID de China
• EE. UU.: Ley de Firmas Electrónicas en el Comercio Global y Nacional y Ley Uniforme de Transacciones Electrónicas ( UETA )

• Reglamento (UE) n.º 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y a los servicios de confianza para las transacciones electrónicas en el mercado interior sobre EUR-Lex.
• Reglamento (UE) 2024/1183, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento del Marco Europeo de Identidad Digital en EUR-Lex.