Seguridad en medios de identificación electrónicos

 

Los niveles de seguridad 

• deben caracterizar el grado de confianza de un medio de identificación electrónica 
• para establecer la identidad de una persona, 
• garantizando así que la persona que afirma poseer una identidad determinada es de hecho la persona a quien se ha atribuido dicha identidad. 

El nivel de seguridad 

• depende del grado de confianza que aporte el medio de identificación electrónica sobre la identidad pretendida o declarada por una persona, 
• teniendo en cuenta 

• los procedimientos técnicos, (por ejemplo, prueba y verificación de la identidad, autenticación), 
• las actividades de gestión (como la entidad que expide los medios de identificación electrónica, el procedimiento para expedir dichos medios) 
• y los controles aplicados. 

Como resultado de las actividades la normalización y las actividades internacionales de la financiación de la Unión de proyectos piloto a gran escala, existen varias definiciones y descripciones técnicas de niveles de seguridad. 

Los proyectos piloto a gran escala STORK e ISO 29115 se refieren, -entre otros-, a los niveles 2, 3 y 4, que deben tenerse en cuenta en la máxima medida para establecer 

• los requisitos técnicos mínimos, 
• las normas y 
• los procedimientos para los niveles de seguridad 
• bajo, 
• sustancial y 
• alto, 

garantizando al mismo tiempo la aplicación coherente del REGLAMENTO (UE) No 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE, en particular con respecto al nivel de seguridad alto en relación con la acreditación de identidad para la expedición de certificados cualificados. 

Los requisitos que se establezcan deberán ser tecnológicamente neutros. 

Debe ser posible cumplir los requisitos de seguridad necesarios mediante diversas tecnologías.



Los Estados miembros deben fomentar que el sector privado utilice voluntariamente los medios de identificación electrónica amparados en un sistema notificado a efectos de identificación cuando sea necesario para 

• servicios en línea o 
• transacciones electrónicas. 

La posibilidad de utilizar estos medios de identificación electrónica permitiría al sector privado:

• recurrir a una identificación y autenticación electrónicas ampliamente utilizadas ya en muchos Estados miembros, -al menos para los servicios públicos-, 
• y facilitar el acceso de las empresas y ciudadanos a sus servicios en línea a través de las fronteras. 

Para facilitar el uso por parte del sector privado de tales medios de identificación electrónica a través de las fronteras, debe estar disponible la posibilidad de autenticación ofrecida por cualquier Estado miembro para las partes usuarias del sector privado establecidas fuera del territorio de dicho Estado miembro en las mismas condiciones aplicadas a las partes usuarias del sector privado establecidas dentro de dicho Estado miembro. 

Por consiguiente, por lo que respecta a las partes usuarias del sector privado, el Estado miembro que efectúa la notificación podrá definir condiciones de acceso a los medios de autenticación. Estas condiciones de acceso podrán informar de si en un momento dado los medios de autenticación relacionados con el sistema notificado están disponibles para las partes usuarias del sector privado.


El Reglamento establece la responsabilidad 

• del Estado miembro que efectúa la notificación, 
• de la parte que expide los medios de identificación electrónica 
• y de la parte que realiza el procedimiento de autenticación 

en caso de incumplimiento de las obligaciones pertinentes dispuestas en el mismo. 

El Reglamento debe aplicarse en consonancia con las normas nacionales sobre responsabilidad. No afectará a dichas normas nacionales, por ejemplo sobre la definición de daños y perjuicios o sobre las normas de procedimiento aplicables, incluida la carga de la prueba.

La seguridad de los sistemas de identificación electrónica es esencial para la confianza en el reconocimiento transfronterizo recíproco de los medios de identificación electrónica. 

Los Estados miembros deben cooperar en relación con 

• la seguridad 
• y la interoperabilidad de los sistemas de identificación electrónica en el plano de la Unión. 

Toda vez que los sistemas de identificación electrónica puedan requerir el empleo de equipos o programas informáticos específicos por las partes usuarias a escala nacional, la interoperabilidad transfronteriza exige que los Estados miembros no impongan tales requisitos y los costes asociados a las partes usuarias establecidas fuera de su territorio. En tal caso, se deben debatir y desarrollar soluciones adecuadas dentro del ámbito de aplicación del marco de interoperabilidad. Sin embargo, resultan inevitables los requisitos técnicos derivados de las especificaciones intrínsecas de los medios de identificación electrónica nacionales (por ejemplo tarjetas inteligentes), que pueden afectar a los titulares de esos medios electrónicos.


La cooperación de los Estados miembros debe contribuir a la interoperabilidad técnica de los sistemas de identificación electrónica notificados con vistas a fomentar un nivel de confianza y seguridad elevados, adaptados al grado de riesgo. 

Debe facilitar dicha cooperación

• el intercambio de información 
• y de las mejores prácticas entre los Estados miembros con miras a su reconocimiento mutuo.

REGLAMENTO (UE) No 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE