Guía eIDAS: ¿cómo lograr la conformidad?

¿Qué es eIDAS?

eIDAS crea un marco único para que las identidades electrónicas y los servicios de confianza sean reconocidos en toda la Unión. Su objetivo: proteger las transacciones digitales y dotarlas de un valor jurídico claro, sustituyendo la fragmentación de las normativas nacionales.

Distingue la identificación electrónica (acreditar la identidad en línea, con niveles de garantía bajo, sustancial y alto) y los servicios de confianza (firma, sello, sellado de tiempo, envío electrónico certificado y certificados de autenticación de sitio web).

La revisión de 2024, denominada eIDAS 2, supone un punto de inflexión: introduce la cartera europea de identidad digital, que permitirá a cada ciudadano y empresa almacenar y presentar atributos de identidad de forma segura e interoperable.

Los niveles de firma electrónica

La elección del nivel de firma es determinante: define el valor jurídico y el nivel de prueba. Utilizar un nivel inadecuado para la situación es un error frecuente y arriesgado.

Cuanto mayor es el impacto jurídico, más elevado debe ser el nivel de firma: la firma cualificada ofrece la presunción de fiabilidad más sólida.

Los servicios de confianza

eIDAS cubre varios servicios de confianza, cada uno de los cuales puede ser «cualificado» (sujeto a requisitos estrictos y beneficiario de una presunción jurídica reforzada).

• Firma electrónica: compromiso de una persona física.
• Sello electrónico: equivalente para una persona jurídica (garantiza origen e integridad).
• Sello de tiempo electrónico: prueba de la fecha y la hora de un documento.
• Envío certificado electrónico: equivalente al correo postal certificado.
• Certificados de autenticación de sitios web: garantizan la identidad de un sitio.

eIDAS 2 y la cartera de identidad digital

La revisión eIDAS 2 amplía el marco e introduce un elemento clave: el cartera europeo de identidad digital (EUDI Wallet).

• Cada Estado deberá ofrecer un cartera de identidad digital a los ciudadanos y empresas.
• El cartera permitirá identificarse y compartir atributos (títulos, permisos, etc.) de forma segura.
• Numerosos servicios (incluidos algunos grandes actores privados) deberán aceptar este cartera.
• La protección de datos (RGPD) es un elemento central en su concepción.

¿Qué sanciones se aplican en caso de incumplimiento?

eIDAS combina cuestiones jurídicas (valor probatorio) y obligaciones para los prestadores de servicios de confianza, cuyos incumplimientos pueden acarrear sanciones y la pérdida del estatus cualificado.

Cómo lograr la conformidad: la hoja de ruta en 6 pasos

Paso 1 — Cartografiar sus necesidades de confianza

Identifique los procesos que requieren firma, sello, sellado de tiempo o identidad electrónica: contratos, RRHH, facturas, actos jurídicos, acceso a servicios.

Para cada uno, evalúe el alcance jurídico y el nivel de prueba requerido.

• Inventaríe los documentos y procesos a firmar o sellar.
• Evalúe el alcance jurídico de cada uno.
• Identifique sus necesidades de identificación electrónica.

Paso 2 — Elegir el nivel de firma adecuado

Adapte el nivel (simple, avanzada, cualificada) al alcance: un simple consentimiento no requiere una firma cualificada, pero un acto de alto impacto, sí. Es la elección más determinante.

Documente sus normas internas para evitar errores de nivel.

• Reserve la firma cualificada para los actos de alto impacto.
• Utilice la firma avanzada para la mayoría de los contratos.
• Formalice una política interna de firma.

Paso 3 — Elegir proveedores adecuados

Seleccione prestadores de servicios de confianza fiables y, para los usos cualificados, prestadores cualificados que figuren en las listas de confianza nacionales.

El estatus cualificado otorga una presunción jurídica sólida.

• Verifique el estatus (cualificado o no) del prestador.
• Consulte las listas de confianza oficiales.
• Alinee el prestador con el nivel requerido.

Paso 4 — Desplegar e integrar las herramientas

Integre la firma y los servicios de confianza en sus flujos (contratos, RRHH, facturación) y forme a sus equipos en su uso correcto.

Una buena integración evita los desvíos y asegura el valor probatorio.

• Integre los servicios de confianza en sus procesos.
• Forme a los equipos en el uso correcto de las firmas.
• Conserve las pruebas y los registros asociados.

Paso 5 — Anticiparse a eIDAS 2 y a la cartera

Prepárese para la llegada de la cartera europea de identidad digital: identifique si deberá aceptarla y cómo integrarla en sus servicios y en su gestión de datos.

Los actores concernidos tienen interés en anticipar esta evolución estructural.

• Evalúe si deberá aceptar la cartera de identidad.
• Prepare la integración técnica y el recorrido del usuario.
• Articule esta integración con el RGPD.

Paso 6 — Articular con el RGPD

La identidad electrónica y los servicios de confianza tratan datos personales: asegure la base jurídica, la información, la minimización y la seguridad.

La cartera de identidad, en particular, exige una vigilancia reforzada en materia de protección de datos.

• Vincule estos tratamientos a su registro RGPD.
• Aplique la minimización de los datos de identidad.
• Asegure el tratamiento de los atributos compartidos.

Los errores frecuentes que hay que evitar

• Elegir un nivel de firma inadecuado para la importancia del acto, exponiendo el documento a impugnación.
• Creer que cualquier firma electrónica equivale a una firma manuscrita (solo la cualificada tiene dicha equivalencia de pleno derecho).
• Recurrir a un prestador no cualificado para un uso que exige el estatus cualificado.
• Descuidar la articulación con el RGPD en materia de datos de identidad.
• Ignorar eIDAS 2 y la llegada del cartera europeo de identidad digital.
• No conservar las evidencias y registros asociados a las firmas.