La forma de evaluar los sistemas de verificación de identidad a distancia (videoconferencia, videoidentificación y otros sistemas) para la emisión de de certificados cualificados de persona física, cambian tras la publicación de Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.° 910/2014 en lo que respecta al establecimiento del marco europeo de identidad digital
En el artículo 24 del Reglamento EIDAS, modificado por el EIDAS2 cambia la forma de identificar a distancia al solicitante de un certificado y el texto que describía el requisito:
«d) utilizando otros métodos de identificación 𝐫𝐞𝐜𝐨𝐧𝐨𝐜𝐢𝐝𝐨𝐬 𝐚 𝐞𝐬𝐜𝐚𝐥𝐚 𝐧𝐚𝐜𝐢𝐨𝐧𝐚𝐥 que aporten una seguridad equivalente en términos de fiabilidad a la presencia física. La seguridad equivalente será confirmada por un organismo de evaluación de la conformidad»
Pasa a ser:
«c) utilizando otros métodos de identificación 𝐪𝐮𝐞 𝐠𝐚𝐫𝐚𝐧𝐭𝐢𝐜𝐞𝐧 𝐥𝐚 𝐢𝐝𝐞𝐧𝐭𝐢𝐟𝐢𝐜𝐚𝐜𝐢𝐨́𝐧 𝐝𝐞 𝐥𝐚 𝐩𝐞𝐫𝐬𝐨𝐧𝐚 𝐜𝐨𝐧 𝐮𝐧 𝐧𝐢𝐯𝐞𝐥 𝐚𝐥𝐭𝐨 𝐝𝐞 𝐜𝐨𝐧𝐟𝐢𝐚𝐧𝐳𝐚, cuya conformidad será confirmada por un organismo de evaluación de la conformidad»
Entre otros aspectos, establece las condiciones que permitirán el despliegue de la Cartera de Identidad Digital de la Unión Europea (Cartera IDUE), que favorecerá el uso transfronterizo de un sistema digital de gestión de Identidad, por el que los ciudadanos europeos podrán realizar diferentes gestiones de forma digital en su país y fuera de el.
Los países deberán emitir las Carteras Digitales (posiblemente durante el año 2027) y establecer la forma en la que se incorporarán a ella los «Datos de Identificación Personal (DIP)» del ciudadano que haya optado por usar la Cartera. No es obligatorio el uso de la Cartera por los ciudadanos.
También se gestionarán desde la Cartera los Testimonios Electrónicos (Cualificados y No Cualificados) de Atributos (TEA, TECA), para canalizar datos referidos al usuario de la Cartera desde Partes Informantes a Partes Informadas.
De esta manera se llevará el control de todas las cesiones de datos personales que haya autorizado el titular, y se podrá retirar el permiso de uso de esos datos en el futuro, de modo que por fin podremos registrar todas las veces en las que se nos pide información y la damos y decidir el ejercicio de los derechos SOPLAR (o ARCO) desde la propia Cartera.
También permitirá la realización de firmas electrónicas cualificadas (por las las persona físicas) y de sellos electrónicos cualificados (por las persona jurídicas).
Resumen del Reglamento
El Reglamento eIDAS 2 se divide en dos artículos, precedidos de 74 considerandos.
El artículo 1 realiza cincuenta y dos modificaciones en el Reglamento 910/2014. (EIDAS1), por lo que quedará una nueva versión de este reglamento
El artículo 2 establece la entrada en vigor de sus disposiciones a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Además, se modifican los 4 Anexos del Reglamento 910/2014. (EIDAS1) y se añaden 3 más.
Servicios cualificados tras el Reglamento eIDAS2
La lista de servicios cualificados será más amplia:
Certificado de persona física para realizar firmas electrónicas,
Certificado de persona jurídica para realizar sellos electrónicos,
Certificados para la autenticación de sitios web mediante protocolo TLS (QWAC)
Testimonios electrónicos de atributos (declaraciones electrónicas de atributos)
Sellos de tiempo electrónicos,
Servicios de entrega electrónica certificada,
Servicios de custodia digital de documentos (archivo electrónico)
Servicios de registro de transacciones con garantía de orden cronológico
La Cartera de Identidad Digital de la Unión Europea
Gran parte del Reglamento se dedica a la Cartera de Identidad Digital de la Unión Europea de la que hemos hablado bastante en este Blog. Merece la pena ver, por ejemplo, la traducción que he realizado del documento de Arquitectura y Marco de Referencia 1.2 de la citada Cartera.
Los sistemas de verificación de identidad por videoconferencia para la emisión de certificados cualificados.
Una modificación que tendrá gran impacto en España es la que se refiere al artículo 24, apartado 1. La redacción anterior de este apartado indicaba:
Al expedir un certificado cualificado para un servicio de confianza, un prestador cualificado de servicios de confianza verificará, por los medios apropiados y de acuerdo con el Derecho nacional, la identidad y, si procede, cualquier atributo específico de la persona física o jurídica a la que se expide un certificado cualificado.
La información a que se refiere el párrafo primero será verificada por el prestador de servicios de confianza bien directamente o bien por medio de un tercero de conformidad con el Derecho nacional:
a) en presencia de la persona física o de un representante autorizado de la persona jurídica, o
b) a distancia, utilizando medios de identificación electrónica, para los cuales se haya garantizado la presencia de la persona física o de un representante autorizado de la persona jurídica previamente a la expedición del certificado cualificado, y que cumplan los requisitos establecidos con el artículo 8 con respecto a los niveles de seguridad «sustancial» o «alto», o
c) por medio de un certificado de una firma electrónica cualificada o de un sello electrónico cualificado expedido de conformidad con la letra a) o b), o
d) utilizando otros métodos de identificación reconocidos a escala nacional que aporten una seguridad equivalente en términos de fiabilidad a la presencia física. La seguridad equivalente será confirmada por un organismo de evaluación de la conformidad.
Este pequeño detalle «métodos de identificación reconocidos a escala nacional» dio pie a que en España se aprobara la Orden ETD/465/2021. Pero ahora, el texto queda así:
«1. Al expedir un certificado cualificado o una declaración electrónica cualificada de atributos, el prestador cualificado de servicios de confianza verificará la identidad y, si procede, cualquier atributo específico de la persona física o jurídica a la que se expida el certificado cualificado o la declaración electrónica cualificada de atributos.
1 bis. La verificación de la identidad a que se refiere el apartado 1 se llevará a cabo por los medios adecuados, por el prestador cualificado de servicios de confianza, bien directamente o bien por medio de un tercero, sobre la base de uno de los siguientes métodos o de una combinación de los mismos cuando sea necesario de conformidad con los actos de ejecución a que se refiere el apartado 1 quater:
a) a través de la cartera europea de identidad digital o de un medio de identificación electrónica notificado que satisfaga los requisitos establecidos en el artículo 8 con respecto al nivel de seguridad alto;
b) por medio de un certificado de una firma electrónica cualificada o de un sello electrónico cualificado expedido de conformidad con la letra a), c) o d);
c) utilizando otros métodos de identificación que garanticen la identificación de la persona con un nivel alto de confianza, cuya conformidad será confirmada por un organismo de evaluación de la conformidad;
d) a través de la presencia física de la persona física o de un representante autorizado de la persona jurídica, mediante pruebas y procedimientos adecuados, de conformidad con el Derecho nacional.
Es decir, este nuevo reglamento desplaza la Orden ETD/465/2021 y la conformidad se establecerá a través de la norma europea de ETSI ETSI TS 119 461, ya publicada.
Un acuerdo logrado entre las 2 y las 3 de la madrugada para consensuar los aspectos más espinosos del futuro Reglamento. La noticia (publicada en la web de la unión europea alrededor de las 3 y media de la madrugada) matizaba «los representantes de la Presidencia del Consejo y del Parlamento Europeo han alcanzado un acuerdo político provisional sobre los elementos principales de un nuevo marco para una identidad digital europea«.
“Con la aprobación del Reglamento de Identidad Digital Europea damos un paso fundamental para que los ciudadanos puedan disponer de una identidad digital europea única y segura. Se trata de un avance clave para que la Unión Europea sea un referente en el ámbito digital protegiendo nuestros derechos y valores democráticos”, ha afirmado la vicepresidenta Nadia Calviño.
Al trílogo han asistido también el comisario europeo de Mercado Interior, Thierry Breton, y los colegisladores de este reglamento, los eurodiputados Cristian-Silviu Buşoi y Romana Jerković.
Durante estos dos años, se ha venido trabajando en el Parlamento Europeo, en el Consejo de la UE y en la Comisión Europea para alcanzar, tras 19 reuniones técnicas bajo la Presidencia española del Consejo de la UE, un acuerdo de texto final que será de obligado cumplimiento en todos los Estados miembros de la Unión Europea. celebración en relación con el proceso de aprobación del Reglamento EIDAS2.
El texto fue aprobado por la Comisión de Industria, Investigación y Energía del Parlamento Europeo (ITRE) el 7 de diciembre de 2023 y por el Comité de Representantes Permanentes de los Estados miembros de la UE (COREPER) el 6 de diciembre de 2023.
El Pleno de Parlamento Europeo lo aprobó el 29 de febrero de 2024 (335 votos a favor, 190 votos en contra y 31 abstenciones).
¡Con esta votación histórica se da otro paso en el desarrollo de una identidad digital europea para todos los ciudadanos europeos, válida y reconocida en toda Europa!
Con las nuevas normas, se establece un nuevo estándar mundial sobre cómo será en el futuro una identidad digital fiable, segura y fácil de usar.
El 26.03.2024, en el penúltimo paso para la publicación del EIDAS2 en el Diario Oficial, el Consejo de la Unión Europea adoptó el texto que modifica el Reglamento eIDAS.
El Reglamento revisado constituye un claro cambio de paradigma para la identidad digital en Europa. Su objetivo es garantizar que las personas y las empresas de toda Europa tengan acceso universal a una identificación y autenticación electrónicas seguras y fiables.
Principales elementos del Reglamento revisado:
🔹 El lanzamiento del monedero europeo de identidad digital.
🔹 Los testimonios electrónicos cualificados de atributos (TECA)
🔹 Cualquier persona puede utilizar una firma electrónica cualificada gratuita en la Cartera IDUE para uso no profesional.
El 11.04.024 se firma por los Presidentes del Parlamento Europeo y del Consejo Europeo el texto final del Reglamento EIDAS 2 que se publicará en el Diario Oficial de la Unión Europea.
En el siguiente diagrama se describen los hitos ya logrados y se detallan los procesos en curso
Durante la tramitación del Reglamento eIDAS2, la Agencia Ejecutiva Europea en los ámbitos de la Salud y Digital (HaDEA) licitó el desarrollo de «Grandes Proyectos Piloto» que dio lugar a la aparición de cuatro grandes consorcios con participación Publico / Privada que han ido desarrollando sus proyectos desde mayo de 2023. Contemplan 11 casos de uso: diplomas universitarios, carné de conducir, identificaciones nacionales, apertura de cuentas bancarias…
Estos consorcios son Potential, Nobid, EWC o DC4EU, con presencia española en los dos últimos.
Los cuatro proyectos piloto a gran escala son:
El Consorcio de Carteras de Identidad Digital de la UE (EWC)se centra en definir credenciales de viaje digitales en todos los Estados miembros. El EWC tiene la intención de basarse en la aplicación de Carterade referencia para permitir los usos relacionados con las credenciales de viaje digitales.
El Consorcio Potential tiene como objetivo fomentar la innovación, la colaboración y el crecimiento en seis sectores que hacen uso de la identidad digital: administración pública, banca, telecomunicaciones, licencias de conducción móvil, firmas electrónicas y salud.
EL Consorcio NOBID se impulsa desde algunos países nórdicos y bálticos que, junto con Italia y Alemania, pondrán a prueba el uso de la cartera de identidad digital de la UE para gestión de pagos en un contexto de uso bancario.
En el Consorcio DC4EU (Digital Credentials for Europe) colaboran el sector público y el sector privado incluyendo el ámbito educativo y la seguridad social mediante el despliegue y el acceso a infraestructuras de servicios digitales interoperables en un marco de confianza transfronterizo.
Entre unos y otros, los pilotos están explorando el uso de la cartera digital en estas 11 áreas:
Acceso a los servicios públicos: Acceso seguro a servicios públicos digitales, como solicitar un pasaporte o licencia de conducir, presentar impuestos o acceder a la información de seguridad social.
Apertura de una cuenta bancaria: Verificación de la identidad de un usuario al abrir una cuenta bancaria en línea, eliminando la necesidad de que el usuario proporcione repetidamente su información personal
Registro de tarjeta SIM: Prueba de identidad a efectos de contratos de tarjeta SIM pre y postpago (registro y activación), reduciendo el fraude y los costes para los operadores de redes móviles de telecomunicaciones.
Licencia de conducción móvil: El almacenamiento y la presentación del carnet de conducir móvil en interacciones tanto en línea como presenciales (fuera de línea), por ejemplo mostrando a un agente el carnet de conducir.
Firma de contratos: Crear firmas digitales seguras para firmar contratos en línea, eliminando la necesidad de documentos en papel y firmas manuscritas.
Presentación de recetas: Proporcionar detalles de prescripción médica de medicamentos a las farmacias para que estas puedan dispensarlas.
Documentación de viaje: Para presentar información de documentos de viaje (por ejemplo, pasaporte, visado), lo que permite un acceso rápido y fácil cuando se pasa por los controles de seguridad de aeropuertos y aduanas.
Identidades digitales organizativas: Para demostrar el otorgamiento de poderes a los representantes de las empresas.
Pagos: Verificación de la identidad de un usuario al iniciar un pago en línea.
Certificación de educación: Prueba de posesión de títulos y diplomas educativos, para acreditarlos en la solicitud de empleo o al inscribirse en un nuevo proceso formativo.
Seguridad Social: La cartera de identidad digital de la UE permite acreditar la cobertura de un seguro para acceder a las prestaciones de seguridad social de un usuario (por ejemplo, pensiones o prestaciones por discapacidad) en su país o en otro, por ejemplo . acogiendo la tarjeta sanitaria europea.
Además, la la Agencia Ejecutiva Europea en los ámbitos de la Salud y Digital (HaDEA) licitó el desarrollo del código fuente de referencia de la Cartera IDUE que fue adjudicado a la empresa sueca Scytale AB y que esta ha liberado como primera versión en el portal GitHub: EUDI Wallet Reference Implementation
Si tu empresa utiliza sistemas de identificación digital y queréis ver como podéis prepararos para ser parte del nuevo ecosistema que se ha de crear en torno a la Cartera IDUE contacta con EADTrust en el +34 917160555 (o por email: infor (sin r) at eadtrust punto eu) y explora los servicios que podemos ofreceros.
Ya somos Prestador Cualificado de Servicios de Confianza y algunos de nuestros servicios cualificados pueden resolver ya retos que os estéis planteando.
10:00 Cuarto Panel: Estándares, Identidad Digital y Servicios de Pago
Presenta y modera: Dra. Mª José Vañó Vañó, Profesora Titular de Derecho Mercantil en la Universidad de Valencia e investigadora en LegalCripto
PSD3 en el contexto de los criptoactivos con función de pago — Dra. Lucía Alvarado Herrera, Profesora Titular de Derecho Mercantil en la Universidad Pablo de Olavide de Sevilla y colaboradora en LegalCripto.
Orden en el caos: Evaluación de conformidad en entornos complejos — Dña. Ainhoa Inza Blasco, Chief Executive Officer del Trust Conformity Assessment Body (tCAB).
Marcos de referencia en seguridad como camino a seguir — D. Pablo López, Jefe del Área de Normativa y Servicios de Ciberseguridad del Centro Criptológico Nacional (CCN).
La futura regulación europea sobre identidad digital y su impacto en los medios de pago — Dña. Mª Cristina Timón López, Investigadora doctoral en la Universidad de Murcia, consultora de pagos digitales para la firma holandesa Explicit Selection y colaboradora en iDerTec y LegalCripto.
Durante el fin de semana del 4 y 5 de noviembre de 2023 se ha publicado un «Joint Statement» impulsado por Mozilla e Internet Society, como parte de su esfuerzo de influenciar el desarrollo legislativo del Reglamento EIDAS2 en fase de Trílogos.
Entre otras afirmaciones, dice:
«Después de leer el texto casi definitivo, estamos profundamente preocupados por el texto propuesto para el artículo 45. La propuesta actual amplía radicalmente la capacidad de los gobiernos para vigilar tanto a sus propios ciudadanos como a los residentes en toda la UE, proporcionándoles los medios técnicos para interceptar el tráfico web cifrado, además de socavar los mecanismos de supervisión existentes en los que confían los ciudadanos europeos»
El artículo 45 se formuló de la siguiente forma en la versión inicial de la propuesta de reglamento:
«Artículo 45
Requisitos de los certificados cualificados de autenticación de sitios web
Los certificados cualificados de autenticación de sitios web cumplirán los requisitos establecidos en el anexo IV. Se presumirá el cumplimiento de los requisitos establecidos en el anexo IV cuando un certificado cualificado de autenticación de sitios web se ajuste a las normas a que se refiere el apartado 3.
Los navegadores web reconocerán los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1. Con este fin, los navegadores web garantizarán que los datos de identificación proporcionados mediante cualquiera de los métodos se muestren al usuario de un modo fácil de entender. Los navegadores web garantizarán la compatibilidad e interoperabilidad con los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1, con la excepción de las empresas consideradas microempresas y pequeñas empresas de conformidad con la Recomendación 2003/361/CE de la Comisión en sus primeros cinco años de actividad como prestadores de servicios de navegación web.
Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión dispondrá, por medio de actos de ejecución, las especificaciones y los números de referencia de las normas para los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.»
A lo largo del proceso legislativo se han propuesto algunos cambios, entre otras razones porque la actuación del lobby no es de ahora y se pensó en aceptar lo aceptable de sus planeamientos. Al inicio de los debates de los trílogos (en marzo de 2023) el texto propuesto era:
«Article 45
Requirements for qualified certificates for website authentication
Qualified certificates for website authentication shall allow the authentication and identification of the natural or legal person to whom the certificate was issued with a high level of assurance. Qualified certificates for website authentication shall also meet the requirements laid down in Annex IV. Qualified certificates for website authentication shall be deemed compliant with this paragraph and the requirements laid down in Annex IV where they meet the standards referred to in paragraph 3.
Qualified certificates for website authentication referred to in paragraph 1 shall be recognised by web-browsers. Web browsers shall not be prevented from taking measures that are both necessary and proportionate to address substantiated risks of breaches of security, user’s privacy and loss of integrity of certificates provided such measures are duly reasoned. In such a case, the web browser shall notify the Commission, ENISA and the qualified trust service provider that issued that certificate or set of certificates without delay of any measure taken. Such recognition means that web-browsers shall ensure that the relevant identity data and electronic attestation of attributes provided is displayed in a user friendly manner, where possible, consistent manner, that reflects the state-of-the-art regarding accessibility, user awareness and cybersecurity according to best industry standards. Web-browsers shall ensure support and interoperability with qualified certificates for website authentication referred to in paragraph 1, with the exception of enterprises, considered to be microenterprises and small enterprises in accordance with Commission Recommendation 2003/361/EC in the first 5 years of operating as providers of web-browsing services.
By … [12 months after the date of entry into force of this amending Regulation], the Commission shall, by means of implementing acts, provide the specifications and reference numbers of standards for qualified certificates for website authentication referred to in paragraph 1 and 2. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).»
El texto final se ha acordado en los debates de trílogos y la reunión final para decidir su aprobación está prevista para el miércoles 8 de noviembre, bajo la presidencia española. No sé exactamente el texto acordado pero será parecido al ya indicado.
La dureza (y falsa información) del ataque de Mozilla e «Internet Society» ha motivado que un grupo de prestadores de servicios de certificación europeos («European Signature Dialog») hayan preparado un documento de respuesta.
Los diversos documentos difundidos por «Mozilla», son básicamente falsos. Combinan mentiras y desinformación y atacan el hecho de que una norma tan importante como un Reglamento Europeo obligue a que los navegadores web estén obligados a reconocer los certificados cualificados de autenticación de sitios web.
Sin embargo esto se reconoce en el contexto de los Prestadores de Servicios de Confianza Digital Cualificados como una necesidad inaplazable.
Lo que pasa en realidad es que los Prestadores de Servicios de Confianza (entre los cuales están los Servicios de Certificación, entre los cuales los certificados para servidores web son un caso particular) deben superar un duro proceso de revisión que incluye una auditoría bienal (por un Organismo Evaluador de Conformidad, CAB) para todos sus servicios cualificados más una auditoría anual para los servicios de emisión de certificados de sitio web.
Luego deben presentar el Informe de Evaluación de Conformidad (CAR) al Organismo Supervisor del país en el que prestan sus servicios (que podría imponer requisitos adicionales).
Y ADEMÁS deben solicitar al organismo de Evaluación que genere un CAR parecido con algunos requisitos ligeramente diferentes para la inclusión de sus certificados en las listas de confianza de los navegadores a través de ciertos mecanismos como la base de datos CCADB y la plataforma de gestión de errores Bugzilla. Esta plataforma, auspiciada por Mozilla, la usan otras entidades que desarrollan navegadores web.
En la evaluación de conformidad se toman en consideración las normas de ETSI EN 319 401, EN 319 411 (1 y 2, especialmente -1-), EN 319 412 (1 a 5, especialmente -4-) y TS 119 403-2 que a su vez subsumen las normas de CABForum «Baseline requirements» y «Extended Validation Guidelines».
Un proceso que se ha impuesto desde la entrada en vigor del Reglamento EIDAS (1) publicado en 2014 y con el que llevamos casi 10 años. Es un proceso claramente redundante que además tiene un alto grado de inseguridad jurídica porque en las discusiones de Bugzilla opinan quienes tanto tienen conocimientos adecuados como los que no los tienen, lo que lleva a veces a no permitir alegar a los prestadores cuando se les acusa de un comportamiento inadecuado y donde aparecen requisitos no escritos porque a alguien se le ocurre.
El artículo 45 dice, básicamente, que si un prestador de servicios de confianza ya se ha auditado en base a todos los requisitos que aplican y su Organismo Supervisor lo ha validado hasta el punto de incluirlo en la TSL (Lista de Servicios de Confianza), entonces los navegadores deben aceptarlo e incluirlo en sus propias listas de Confianza.
Si una vez en vigor el nuevo artículo 45 alguien (un particular, una universidad o un fabricante de navegadores) detecta un problema en un servicio de emisión de certificados europeo, solo tiene que notificarlo motivadamente al Organismo Supervisor que actuará en consecuencia solicitando información al prestador, y retirándole la confianza si fuera preciso, eliminándolo de la TSL. Seguramente se puede automatizar el aviso desde Bugzilla para que los navegadores acostumbrado a ese mecanismo no tengan que cambiar sus procedimientos.
Hoy, 12 de octubre de 2023, ha tenido lugar el decimoquinto «Dia de los Servicios de Certificación» (15TH CA-DAY). Este evento está asociado con el que se celebró ayer: el noveno Foro de los Servicios de Confianza e Identidad Digital (9th Trust Services and eId Forum).
El principal objetivo de estas jornadas es abordar los últimos avances en el marco de eIDAS2, los servicios de confianza en virtud de la Directiva NIS2, la próxima implementación de la Cartera Digital de la UE, así como la solución tecnológica con el fin de proporcionar servicios en línea seguros a los ciudadanos de la UE.
08:00 – 09:00
Registrations and breakfast
09:00 – 09:15
Welcome by D-Trust and TÜVIT
Kim Nguyen Dirk Kretzschmar
09:15 – 09:30
Keynote
Andrea Valle, Adobe
09:30 – 09:50
eIDAS 2.0 – What is new for TSP?
Viky Manaila, Intesi Group
09:50 – 10:10
NIS II and eIDAS II: How to audit Trust Services in 2025?
Paloma Llaneza González, CerteIDAS
10:10 – 10:30
QWACs and QSeals Identifying Reliable Sources
Enrico Entschew, D-Trust Andreas Wand, D-Trust
10:50 – 11:10
Auditing TSP Services in the Cloud
Matthias Wiedenhorst, TÜVIT
11:10 – 11:30
European Cyber regulations at a glance
Slawomir Gorniak, ENISA
11:30 – 11:50
Remote identification under eIDAS
Jon Olnes, Signicat
11:50 – 12:10
Wallet use cases for TSPs
Michal Tabor, Obserwatorium.biz
12:30 – 12:50
SSI and PKI – enabling attribute attestations
Christian Seegebarth, IDunion
12:50 – 13:10
eIDAS 2.0 Toolbox: Selective Disclosure for EAA
Sebastian Elfors, IDNow
13:10 – 13:30
Post Quantum Cryptography
Jan Klaußner, Bundesdruckerei
14:30 – 14:50
CAB-Forum Updates andS/MIME Baseline Requirements
Dimitris Zacharopoulos, CA/Browser-Forum
14:50 – 15:10
International market for trust services
Dean Coclin, DigiCert
15:10 – 15:50
Panel Discussion +Q&A: TSP governance – European vs. Root stores
Dennis Jackson, Mozilla Jochen Eisinger, GoogleArno Fiedler, Nimbus Technologieberatung Paul van Brouwershaven, Entrust Kim Nguyen, D-Trust
15:50 – 16:00
Closing remarks
Kim Nguyen, Arno Fiedler
Al finalizar estos dos días quedan muchas inquietudes por resolver y algunas ideas:
El 4 de noviembre comenzará el debate final de los Trílogos sobre Identidad Digital con previsión de que el nuevo Reglamento (EIDAS2) se publique en Diciembre de 2023.
La Cartera Digital enfrenta como mayor reto la adopción.
La estructura de Prestadores de Servicios de expedición de testimonios cualificados presenta muchos retos e incertidumbres
No está claro aun como se evaluará la seguridad de la Cartera Digital ni los Servicios de expedición de testimonios cualificados.
En la organización del Observatorio destacan Fernando Vives (Presidente), Iñigo Navarro (Codirector), Moisés Menéndez (Codirector), Ofelia Tejerina (Coordinadora) y Hugo Alonso (Gestión de Proyectos).
Formando parte del Observatorio se han definido ya varios laboratorios:
Ahora se crea el Laboratorio de Confianza Digital ICADE Garrigues y he sido nombrado Director del Laboratorio, lo que para mi es un gran honor.
Aunque todavía estoy recopilando información para incorporarla a la página web del Laboratorio que se creará en el sitio de la Universidad de Comillas quisiera comentar que en este momento estamos dando prioridad al análisis del futuro Reglamento EIDAS2 y a la formulación de la Cartera IDUE que se espera que en unos dos años esté disponible para todos los ciudadanos europeos.
Posteriormente organizaremos eventos presenciales con diversos ponentes en las instalaciones de la Universidad.
Y dado que soy de Pamplona y hoy es 6 de julio, pongo esta fotico del chupinazo que se ha disparado a las 12 de la mañana desde el balcón del ayuntamiento para celebrar que hoy comienzan las fiestas de San Fermín.
Hoy, 27 de abril de 2023 (cuarto jueves del mes de abril), aprovechando que es el día internacional de chicas en las TIC (International Girls in ICT Day) quiero presentaros a una persona que conozco bien y que puede ser un referente para las chicas que se empiezan a plantear su futuro y empiezan a decidir a qué se van a dedicar los próximos años. Mi sugerencia es que se podrían dedicar al mundo de las Tecnología de la Información y las Comunicaciones.
TCAB es un Organismo de Evaluación de Conformidad (en inglés «Conformity Assessment Body») especializado en auditorías relativas a Reglamento UE 910/2014 (eIdAS). Uno de los cuatro organismos acreditados en España.
TCAB ofrece servicios de evaluación de conformidad de Prestadores de Servicios Electrónicos de Confianza que deseen cumplir con el citado Reglamento UE 910/2014 (eIdAS).
La propia TCAB cumple con las normas EN 319 403 e ISO 17065 y evalúa conforme a las normas EN 319 401, EN 319 411 y EN 319 421, por citar solo las normas principales. También lleva a cabo otras auditorías y evaluaciones de seguridad.
Ainhoa Inza, se licenció en la Universidad Rey Juan Carlos con doble titulación, como Ingeniera Química y Licenciada en Administración de Empresas.
Aunque trabajó en empresas del sector químico, su mayor desarrollo profesional se ha producido en empresas del sector tecnológico convirtiéndose en una de las mayores especialistas en los aspectos tecnológicos y legales de los sistemas de confianza, en especial los derivados de la normativa europea:
En el ámbito de los negocios internacionales trabajó en el Programa ICEX, con una fase académica especializada (ICEX-CECO), otra fase focalizada en la Oficina Económica y Comercial de España en Chicago, y otra fase en actividades empresariales internacionales a su vuelta a España.
En el ámbito de la ciberseguridad, ostenta las certificaciones de ISACA:
Pensando en optimizar las auditorías de entornos Blockchain.
En relación con las actividades de TCAB con AMETIC, la patronal de la industria digital en España, Ainhoa Inza participó en la jornada informativa sobre el nuevo reglamento europeo “Cybersecurity Act”. El Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo de 17 de abril de 2019 relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 («Reglamento sobre la Ciberseguridad»).
La Comisión adoptó la propuesta de Reglamento sobre la identidad digital europea (identificación electrónica europea) el 3 de junio de 2021. La iniciativa modifica el Reglamento eIDAS de 2014, que sentó las bases necesarias para acceder de forma segura a los servicios y realizar transacciones en línea y a través de las fronteras en la UE.
La propuesta, basada en el artículo 114 del TFUE, exige a los Estados miembros que emitan una cartera europea de identidad digital con arreglo a un sistema de identificación electrónica notificado, basado en normas técnicas comunes, tras la certificación obligatoria. Con el fin de establecer la arquitectura técnica necesaria, acelerar la aplicación del Reglamento revisado, proporcionar directrices a los Estados miembros y evitar la fragmentación, la propuesta iba acompañada de una Recomendación para el desarrollo de un conjunto de instrumentos de la Unión (Toolbox).
El Reglamento propuesto tiene por objeto garantizar el acceso universal de las personas y las empresas a una identificación y autenticación electrónicas seguras y fiables mediante una cartera digital personal en un teléfono móvil.
II. TRABAJO EN LAS DEMÁS INSTITUCIONES
En el Parlamento Europeo, la propuesta se remitió a la Comisión de Industria, Investigación y Energía (ITRE), y se solicitó opinión a tres comisiones, a saber, la Comisión de Mercado Interior y Protección del Consumidor (IMCO), la Comisión de Asuntos Jurídicos (JURI) y la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE). La ponente del expediente es Romana Jerković (S&D, Croacia). La Comisión ITRE aún no ha aprobado su informe.
El 15 de julio de 2021, se invitó al Comité Económico y Social Europeo a emitir su dictamen sobre la propuesta, que se presentó posteriormente el 20 de octubre de 2021. El Comité Europeo de las Regiones emitió espontáneamente un dictamen sobre la propuesta el 12 de octubre de 2021.
El Supervisor Europeo de Protección de Datos (SEPD) publicó observaciones formales sobre la propuesta el 28 de julio de 2021.
III. SITUACIÓN EN EL CONSEJO
En el Consejo, la propuesta ha sido examinada en el Grupo «Telecomunicaciones y Sociedad de la Información» (WP TELECOM), que inició los debates bajo la Presidencia portuguesa en junio de 2021. El análisis de la propuesta continuó en WP TELECOM bajo la Presidencia eslovena, y la primera lectura concluyó con éxito el 15 de noviembre de 2021.
La Presidencia francesa presentó su primera propuesta transaccional los días 15 de febrero y 5 de abril de 2022, y la segunda se debatió los días 23 de mayo y 9 de junio de 2022. En relación con un debate de orientación celebrado en WP TELECOM el 19 de julio de 2022, la Presidencia checa, basándose en el trabajo de la Presidencia francesa, destacó las principales cuestiones pendientes de alto nivel y pidió a las delegaciones que expresaran sus opciones preferidas, con vistas a volver a redactar las partes pertinentes de la segunda propuesta transaccional en consecuencia. La versión revisada dio lugar a una tercera propuesta de compromiso que fue presentada por la Presidencia checa en el WP TELECOM de los días 5 y 8 de septiembre de 2022. Las iteraciones adicionales y los ajustes conexos fomentaron con éxito un nivel más profundo de convergencia en la mayoría de las cuestiones pendientes.
Sin embargo, la cuarta propuesta transaccional, presentada a las delegaciones en el WP TELECOM de 28 de septiembre de 2022, reveló una divergencia persistente entre los Estados miembros en torno a una cuestión de alto nivel en particular, a saber, el nivel de aseguramiento («LoA») elegido para la cartera de identidad digital europea. Algunos de los Estados miembros que ya cuentan con un sistema nacional de identificación electrónica adoptaron inicialmente, y posteriormente invirtieron, en un Nivel de Aseguramiento (LoA – Level of Assurance) «sustancial», mientras que en la propuesta actual de identificación electrónica se requiere un LOA de nivel «alto». Consciente de que ya existe un elevado número de medios de identificación electrónica de LoA «sustanciales» emitidos en algunos Estados miembros, la Presidencia checa ha propuesto además un mecanismo para facilitar el registro de usuarios, contribuyendo así a la adopción de las carteras de identidad digital europeas. La disposición permite a los usuarios inscribirse en la cartera de identidad digital europeo utilizando los medios nacionales de identificación electrónica existentes en base a LoA «sustanciales» junto con procedimientos adicionales de obtención remota de la identidad digital que conjuntamente permiten cumplir los requisitos de LoA «alto». Las especificaciones técnicas y operativas requerida están sujetas al desarrollo de legislación de aplicación para ello y deberá ser posible la certificación de la conformidad con los requisitos, llevada a cabo por un Organismo de Evaluación.
La quinta propuesta de compromiso se discutió durante la reunión de WP TELECOM del 25 de octubre de 2022. Durante la reunión de WP TELECOM del 8 de noviembre de 2022, la Presidencia checa presentó los limitados cambios introducidos y, además de los comentarios adicionales y las sugerencias de redacción recibidas de las Delegaciones, preparó la versión final del texto transaccional con vistas a presentarlo al Coreper.
El 18 de noviembre de 2022, el Coreper examinó esta propuesta transaccional y acordó por unanimidad presentarla al Consejo TTE (Telecomunicaciones), sin ningún cambio, con vistas a una orientación general en su reunión del 6 de diciembre de 2022.
IV. PRINCIPALES ELEMENTOS DE LA PROPUESTA TRANSACCIONAL
1. La cartera europea de identidad digital
Uno de los principales objetivos políticos de la propuesta de la Comisión de una cartera de identidad digital europea («cartera») es el de proporcionar a los ciudadanos y otros residentes, tal como se definen en la legislación nacional, un medio europeo armonizado de identidad digital basado en el concepto de una cartera europea de identidad digital. Como medio de identificación electrónica («medio de identificación electrónica») emitido en virtud de sistemas nacionales con nivel de aseguramiento «alto», la cartera sería un medio de identificación electrónica por derecho propio basado en la emisión de datos de identificación personal y de la propia cartera por parte de los Estados miembros.
2. Nivel de aseguramiento de la cartera europea de identidad digital
Los niveles de aseguramiento («LoA») deben determinar el grado de confianza en los medios de identificación electrónica para establecer la identidad de una persona, proporcionando así garantías de que la persona que reivindica una identidad determinada es, de hecho, la persona a la que se asignó dicha identidad.
Sobre la base del amplio apoyo registrado en las reuniones del Grupo de Trabajo y en el debate del Coreper del 14 de octubre de 2022, la cartera deberá expedirse dentro de un sistema de identificación electrónica que cumpla con el nivel de aseguramiento «alto». Además, se ha añadido al artículo 6 bis una disposición específica sobre el registro de usuarios. Este cambio tiene por objeto abordar las preocupaciones de los Estados miembros en los que ya se ha emitido un número significativo de medios nacionales de identificación electrónica en base a niveles de aseguramiento «sustanciales». La disposición permite a un usuario utilizar sus medios nacionales de identificación electrónica junto con procedimientos adicionales para darse de alta de forma remota y hacer posible la prueba de identidad en base a un nivel de aseguramiento «alto» y, en última instancia, a obtener una cartera. Dado que el proyecto de Reglamento sobre identificación electrónica se basa en esquemas de certificación de ciberseguridad que deben aportar un nivel armonizado de confianza en la seguridad de las carteras de identidad digitales europeas, también se espera que el almacenamiento seguro de material criptográfico esté sujeto a certificación de ciberseguridad tras un proceso de evaluación. Por consiguiente, la Presidencia ha propuesto un nuevo considerando 10 ter que aborde estas condiciones técnicas previas para lograr un nivel de aseguramiento «alto» y permita un proceso de seguimiento dentro de la aplicación de las carteras de identidad digitales europeas.
3. Notificación a las partes informadas
3.1 Se ha reformulado el artículo 6ter, relativo a la notificación a las partes informadas (las que reciben algún tipo de testimonio o información de la cartera, denominadas a veces «partes que confían»). Como norma general, el proceso de notificación mediante el cual la parte informada comunica su intención de confiar en la cartera debe ser rentable, proporcional al riesgo y debe garantizar que la parte informada proporciona al menos la información necesaria para autenticarse frente a la cartera. De forma predeterminada, solo se requiere mínima información, y la notificación debe permitir el uso de procedimientos automatizados o simples de autonotificación.
3.2 Sin embargo, puede ser necesario un régimen específico debido a requisitos sectoriales, como los aplicables al tratamiento de categorías especiales de datos personales. Por lo tanto, se ha introducido una disposición para ello que tiene por objeto cubrir los casos en que se requiere un procedimiento de registro o autorización más estricto. A la inversa, cuando el Derecho de la Unión o nacional no establezca requisitos específicos para acceder a la información facilitada a través de la cartera, los Estados miembros podrán eximir a dichas partes informadas de la obligación de notificar su intención de confiar en las carteras.
4. Certificación
4.1 El Reglamento debe aprovechar, basarse y exigir el uso de esquemas de certificación de la normativa de Ciberseguridad pertinentes y existentes, o partes de los mismos, para certificar el cumplimiento de las Carteras, o partes de los mismos, con los requisitos de ciberseguridad aplicables, por ejemplo, la de ser considerado un dispositivo cualificado de gestión de claves privadas. En consecuencia, se aplica plenamente el marco de la normativa europea de Ciberseguridad, incluido el mecanismo de revisión inter pares entre las autoridades nacionales de certificación de la ciberseguridad previsto en la normativa europea de Ciberseguridad. Con el fin de armonizar en la medida de lo posible el Reglamento sobre identificación electrónica y la normativa europea de ciberseguridad, los Estados miembros designarán organismos públicos y privados acreditados para evaluar certificar las carteras según lo dispuesto en el Reglamento de ciberseguridad.
4.2 Además, se anima a la Comisión a encargar a ENISA que emprenda el desarrollo y la adopción de un esquema específico de la normativa europea de Ciberseguridad para la certificación de la ciberseguridad de la Cartera. Hasta que se desarrolle dicho esquema, el esquema EUCC (esquema europeo de certificación de ciberseguridad basado en criterios «Common Criteria») publicado en virtud de la normativa europea de Ciberseguridad se utilizará como metodología de referencia para la certificación de la cartera. Para los requisitos no relacionados con la ciberseguridad, en particular los que cubren otros aspectos funcionales y operativos de la Cartera, debe establecerse una lista de especificaciones, procedimientos y normas de referencia. Estos requisitos están sujetos a certificación.
5. Plazo para la provisión de la Cartera
Sobre la base de las orientaciones de los Estados miembros, se ha propuesto que el período de ejecución de 24 meses que determina la obligación de que los estados miembros ofrezcan su Cartera, se empiece a contar a partir de la adopción de los actos de ejecución a los que se refieren el artículo 6 bis, apartado11, y el artículo 6 quater, apartado 4.
6. Tarifas
En el artículo 6 bis, apartado 6 bis, y en el considerando correspondiente se ha aclarado que la expedición, el uso para la autenticación y la revocación de carteras deben ser gratuitos para las personas físicas. Excepto cuando se utilizan Carteras para la autenticación, los servicios que dependen del uso de la Cartera pueden incurrir en costes, por ejemplo, la emisión de los certificados electrónicos de atributos para su gestión por una Cartera.
7. Acceso a las funciones de hardware y software, incluido el «elemento seguro»
La Presidencia ha sugerido establecer una articulación explícita con el Reglamento (UE) 2022/1925, que garantiza el acceso a las funciones de hardware y software como parte de los servicios básicos de plataforma proporcionados por los guardianes de acceso a los servicios en Internet. El artículo 12 ter, recientemente añadido, aclara que los proveedores de carteras y los emisores de medios de identificación electrónica notificados que actúen a título comercial o profesional son usuarios profesionales de los guardianes de acceso a los servicios en Internet en el sentido de la definición respectiva de la DMA (Digital Markets Act). Se ha añadido una redacción del considerando para esbozar las implicaciones de la interconexión con la DMA, a saber, que debe exigirse a los guardianes de acceso a los servicios en Internet que garanticen, de forma gratuita, la interoperabilidad efectiva con las mismas características del sistema operativo, hardware o software que estén disponibles o se utilicen a efectos de interoperabilidad en la prestación de sus propios servicios complementarios y de apoyo.
8. Posibilidades alternativas para emitir los testimonios electrónicos de atributos por parte de los organismos públicos
Se ha mantenido la posibilidad de emitir testimonios electrónicos cualificados de atributos por parte de prestadores cualificados, incluida la obligación de los Estados miembros de garantizar que los atributos puedan verificarse con una fuente auténtica dentro del sector público. Además, se ha introducido la posibilidad de que los testimonios electrónicos de atributos no cualificados puedan tener los mismos efectos jurídicos que los testimonios electrónicos cualificados de atributos cuando sean expedidos a una Cartera directamente por el organismo del sector público responsable de la fuente auténtica o por un organismo designado del sector público en nombre de un organismo del sector público responsable de una fuente auténtica, siempre que se cumplan los requisitos necesarios. La propuesta se refleja en los nuevos artículos 45 bis y 45 quinquies y en el anexo VII.
9. Verificación de registros
El artículo 11 bis original ha pasado a llamarse «Record Matching» (Comprobación de anotaciones registrales) ya que refleja mejor el objetivo de la disposición. Sobre la base de la discusión, el concepto de identificador único y persistente se ha mantenido para las carteras. La definición respectiva aclara que el identificador puede consistir en una combinación de varios identificadores nacionales y sectoriales, siempre que sirva a su propósito. Se establece explícitamente que la verificación de registros puede facilitarse mediante los testimonios electrónicos cualificados de atributos. Además, se ha incorporado al artículo 11 bis una disposición de salvaguardia según la cual los Estados miembros garantizarán la protección de los datos personales y evitarán la elaboración de perfiles de los usuarios. Por último, los Estados miembros, en su calidad de partes informadas, garantizarán la verificación de anotaciones registrales.
VI. CONCLUSIÓN
1. A la luz de lo anterior, se invita al Consejo a:
que confirme una orientación general sobre la propuesta de Reglamento sobre la identidad digital europea (identificación electrónica europea) en la reunión del Consejo de TTE (Telecomunicaciones) que se va a celebrar el 6 de diciembre de 2022.
La versión anterior (llamémosle v0.9, aunque no consta ninguna) se publicó el 22 de febrero de 2022 y de ella hice una traducción al español hace unos meses.
A lo largo del fin de semana he realizado la traducción al español de la nueva versión y la pongo a disposición de los interesados en el desarrollo del Juego Herramientas de la Identidad Digital europea.
Todo es electrónico 