eIDAS

El Reglamento eIDAS (por sus siglas en inglés, Electronic IDentification, Authentication and Trust Services) es un reglamento de la UE cuyo objetivo declarado es regular la identificación electrónica y los servicios de confianza para las transacciones electrónicas . Se aprobó en 2014 y sus disposiciones entraron en vigor entre 2016 y 2018. ^{[1] [2]}

El eIDAS supervisa la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior de la Unión Europea . Regula las firmas electrónicas , las transacciones electrónicas, los organismos implicados y sus procesos de incorporación para proporcionar a los usuarios una forma segura de realizar operaciones en línea, como transferencias electrónicas de fondos o transacciones con servicios públicos . Tanto el firmante como el destinatario pueden disfrutar de una mayor comodidad y seguridad . En lugar de depender de métodos tradicionales, como el correo postal o el fax , o presentarse en persona para presentar documentos en papel, ahora pueden realizar transacciones transfronterizas, como la tecnología " 1-Click ". ^{[2] [3]}

eIDAS ha creado estándares para que las firmas electrónicas, los certificados digitales cualificados , los sellos electrónicos , las marcas de tiempo y otros mecanismos de prueba de autenticación permitan las transacciones electrónicas, con el mismo valor legal que las transacciones que se realizan en papel. ^[4]

El reglamento entró en vigor en julio de 2015 como un medio para facilitar las transacciones electrónicas seguras y sin problemas dentro de la Unión Europea. Los Estados miembros deben reconocer las firmas electrónicas que cumplan con los estándares del eIDAS. ^{[2] [5]}

La ley fue establecida en el Reglamento (UE) 910/2014 del 23 de julio de 2014 sobre identificación electrónica y derogada la 1999/93/CE del 13 de diciembre de 1999. ^{[1] [2]}

Entró en vigor el 17 de septiembre de 2014 y se aplica desde el 1 de julio de 2016, excepto ciertos artículos, que se enumeran en su artículo 52. ^[6] Todas las organizaciones que prestan servicios digitales públicos en un estado miembro de la UE deben reconocer la identificación electrónica de todos los estados miembros de la UE a partir del 29 de septiembre de 2018. Se aplicó a todos los países del Mercado Único Europeo . ^{[7] [8]}

En julio de 2024, la asociación go.eIDAS lanzó el primer banco de pruebas eIDAS con varias empresas tecnológicas y fundaciones alemanas para emitir credenciales PID para billeteras compatibles con la arquitectura y el marco de referencia (ARF). ^[9]

El eIDAS es el resultado de la atención que presta la Comisión Europea a la Agenda Digital de Europa. Con la supervisión de la Comisión, el eIDAS se implementó para estimular el crecimiento digital dentro de la UE. ^[10]

El objetivo del eIDAS es impulsar la innovación. Al adherirse a las directrices establecidas para la tecnología en virtud del eIDAS, las organizaciones se ven impulsadas a utilizar niveles más elevados de seguridad de la información e innovación . Además, el eIDAS se centra en lo siguiente: ^{[5] [11]}

• Interoperabilidad : los Estados miembros deben crear un marco común que reconozca los documentos de identidad electrónicos de otros Estados miembros y garantice su autenticidad y seguridad. Esto facilita a los usuarios realizar transacciones comerciales a través de las fronteras.
• Transparencia : eIDAS ofrece una lista clara y accesible de servicios de confianza que pueden utilizarse en el marco de firma centralizada. Esto permite a las partes interesadas en la seguridad entablar un diálogo sobre las mejores tecnologías y herramientas para proteger las firmas digitales.

El Reglamento establece el marco regulatorio para los siguientes aspectos importantes relacionados con las transacciones electrónicas: ^[2]

• Identidad digital : un marco europeo (European Digital Identity Wallet, EDIW) ^[12] para la autenticación digital de los ciudadanos, con validez legal. Se han definido nueve principios de identidad digital europea : ^[13] elección del usuario, privacidad, interoperabilidad y seguridad, confianza, conveniencia, consentimiento del usuario y control, proporcionalidad, conocimiento de la contraparte y escalabilidad global.
• Firma electrónica avanzada (AdES): Una firma electrónica se considera avanzada si cumple ciertos requisitos:
  • Proporciona información de identificación única que lo vincula con su firmante.
  • El firmante tiene el control exclusivo de los datos utilizados para crear la firma electrónica.
  • Debe ser capaz de identificar si los datos que acompañan al mensaje han sido alterados después de ser firmado. Si los datos firmados han cambiado, la firma se marca como no válida.
  • Existe un certificado de firma electrónica, prueba electrónica que confirma la identidad del firmante y vincula los datos de validación de la firma electrónica a esa persona.
  • Las firmas electrónicas avanzadas se pueden implementar técnicamente, siguiendo el estándar XAdES , PAdES , CAdES o ASiC Baseline Profile ( Associated Signature Containers ) para firmas digitales, especificado por el ETSI . ^[14]
• Firma electrónica cualificada , firma electrónica avanzada que se crea mediante un dispositivo cualificado de creación de firmas electrónicas basado en un certificado cualificado para firmas electrónicas.
• Certificado digital cualificado de firma electrónica , certificado que da fe de la autenticidad de una firma electrónica cualificada que ha sido emitida por un prestador de servicios de confianza cualificado.
• Certificado cualificado de autenticación de sitio web , un certificado digital cualificado conforme a los servicios de confianza definidos en el Reglamento eIDAS.
• Servicio de confianza , un servicio electrónico que crea, valida y verifica firmas electrónicas , sellos de tiempo , sellos y certificados . Además, un servicio de confianza puede proporcionar autenticación de sitios web y conservación de firmas electrónicas, certificados y sellos creados. Lo gestiona un proveedor de servicios de confianza .
• Listas de confianza de la Unión Europea ( EUTL )

El Reglamento eIDAS evolucionó a partir de la Directiva 1999/93/CE, que estableció un objetivo que se esperaba que los estados miembros de la UE alcanzaran con respecto a la firma electrónica. Los países europeos más pequeños estuvieron entre los primeros en comenzar a adoptar firmas digitales e identificación, por ejemplo, la primera firma digital estonia se dio en 2002 y la primera firma digital letona se dio en 2006. Su experiencia se ha utilizado para desarrollar un reglamento ahora de alcance europeo , que se convirtió en ley vinculante en toda la UE desde el 1 de julio de 2016. ^[15] La Directiva 1999/93/CE hizo que los estados miembros de la UE fueran responsables de crear leyes que les permitieran cumplir el objetivo de crear un sistema de firma electrónica dentro de la UE. La directiva también permitió que cada estado miembro interpretara la ley e impusiera restricciones, impidiendo así la interoperabilidad real y conduciendo a un escenario fragmentado. ^[16] A diferencia de la directiva de 1999, eIDAS garantiza el reconocimiento mutuo del eID para la autenticación entre los estados miembros, ^[17] logrando así el objetivo del Mercado Único Digital .

El eIDAS ofrece un enfoque escalonado del valor jurídico. Exige que no se pueda negar a ninguna firma electrónica efecto jurídico o admisibilidad en los tribunales únicamente por no ser una firma electrónica avanzada o cualificada. ^[18] Las firmas electrónicas cualificadas deben tener el mismo efecto jurídico que las firmas manuscritas. ^[19]

En el caso de los sellos electrónicos (versión de las firmas de las personas jurídicas), se aborda explícitamente el valor probatorio , ya que los sellos deben gozar de la presunción de integridad y de la exactitud del origen de los datos adjuntos. ^[20]

En junio de 2021, la Comisión propuso una modificación y publicó una recomendación. ^{[21] [22] [23]}

En 2023, se examinó un cambio propuesto a la ley, ya que potencialmente permitiría a los gobiernos de la UE realizar ataques de intermediarios , incluidas comunicaciones cifradas. ^[24] La propuesta fue condenada por grupos de investigadores de ciberseguridad, ONG y la sociedad civil, como una amenaza a los derechos humanos, la privacidad y la dignidad. ^{[25] [26] [27] [28]} La propuesta funcionó a través del mismo mecanismo que un intento de vigilancia masiva de 2019 en Kazajstán .

En el centro de esta controversia se encuentra el segundo párrafo de la reforma al artículo 45, que establece: ^[29]

"Los certificados cualificados para la autenticación de sitios web a que se refiere el apartado 1 deberán ser reconocidos por los navegadores web. [...] Los navegadores web garantizarán la compatibilidad y la interoperabilidad con los certificados cualificados para la autenticación de sitios web a que se refiere el apartado 1, con excepción de las empresas consideradas microempresas y pequeñas empresas de conformidad con la Recomendación 2003/361/CE de la Comisión durante los cinco primeros años de funcionamiento como proveedores de servicios de navegación web."

Los críticos afirmaron que permitir que las autoridades de certificación (AC) emitan certificados sin pasar por los procedimientos de auditoría y verificación establecidos por los proveedores de navegadores puede poner en peligro la seguridad de Internet en su conjunto y abrir la puerta a ataques de intermediarios . ^{[30] [31]} Esto posiblemente permitiría a las AC autorizadas por el gobierno emitir certificados para cualquier nombre de dominio y utilizarlo para suplantar la identidad, y lo más crítico, sin que los navegadores puedan eliminarlos como confiables. ^[30] Esto se considera particularmente preocupante en países con un estado de derecho más débil, donde el estado y los actores conectados con el estado podrían usar la ley para espiar a sus propios ciudadanos con fines de represión política y beneficio personal. Había preocupación adicional de que esto permitiera a actores privados con conexiones estatales obtener acceso y hacer un mal uso del poder para sus propios fines. ^{[25] [27]}

Sin embargo, en el borrador final se incluyeron disposiciones que permitieran a los proveedores de navegadores seguir implementando disposiciones de seguridad que en la práctica harían que este tipo de interceptación fuera difícil de realizar sin ser descubierto. ^[32] En concreto, el texto del borrador final establece que:

No obstante lo dispuesto en el apartado 1 y únicamente en caso de preocupaciones justificadas relacionadas con violaciones de seguridad o pérdida de integridad de un certificado o conjunto de certificados identificados, los navegadores web podrán tomar medidas de precaución en relación con dicho certificado o conjunto de certificados.

lo que se ha interpretado como que permite a los proveedores de navegadores seguir utilizando mecanismos como la transparencia de los certificados para mantener la seguridad del navegador. ^[32] La declaración de la Comisión Europea sobre la modificación del artículo 45 aclara esta declaración y denota que a través de un acuerdo con los proveedores de navegadores, no se imponen restricciones a las "propias políticas de seguridad" de los navegadores. ^[33]

La información de una base de datos debe estar vinculada a algún tipo de número de identidad . Para certificar que una persona tiene derecho a acceder a cierta información personal se requieren varios pasos.

• Conectar a una persona a un número, lo que se puede hacer a través de métodos desarrollados en un país, como los certificados digitales .
• Conectar un número a información específica, realizada en bases de datos.
• Para eIDAS es necesario conectar el número utilizado por un país que tiene información, con el número utilizado por el país que emite los certificados digitales.

El sistema eIDAS tiene como concepto mínimo de identidad el nombre y la fecha de nacimiento . Pero para acceder a información más sensible se necesita algún tipo de certificación de que los números de identidad emitidos por dos países se refieren a la misma persona. ^[34]

En octubre de 2019, investigadores de seguridad descubrieron dos fallas de seguridad en eIDAS-Node (una implementación de muestra del perfil eID eIDAS proporcionado por la Comisión Europea ^{[35] ); ambas vulnerabilidades fueron parcheadas para la versión 2.3.1 de eIDAS-Node. [36]}

La Unión Europea comenzó ^{[ ¿cuándo? ]} a crear un Marco Europeo de Identidad Autosoberana (ESSIF) compatible con eIDAS, ^{[ cita requerida ]} pero en muchos países los usuarios deben ser clientes de Google o Apple para utilizar los servicios eIDAS.

Las Listas de Confianza de la Unión Europea (EUTL) son una lista pública de más de 200 proveedores de servicios de confianza (TSP) activos y antiguos que están específicamente acreditados para ofrecer los más altos niveles de cumplimiento con la regulación de firma electrónica eIDAS de la UE. ^[37]

• China: China RealDID
• AdES y validación a largo plazo (LTV)
• PAdES
• Autenticación multifactor
• Puerta de enlace digital única
• Estados Unidos: Ley de Firmas Electrónicas en el Comercio Global y Nacional y Ley Uniforme de Transacciones Electrónicas ( UETA )

• Reglamento (UE) n.º 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, en EUR-Lex
• Reglamento (UE) 2024/1183, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento del Marco Europeo de Identidad Digital en EUR-Lex