Madurez eIDAS · Protección y gestión de las identidades digitales de los ciudadanos

El Reglamento (UE) n.º 910/2014, conocido como eIDAS, organiza el reconocimiento mutuo de los medios de identificación electrónica entre Estados miembros y regula cinco familias de servicios de confianza: firma electrónica, sello electrónico, sellado de tiempo, servicio de envío certificado electrónico y certificado de autenticación de sitio web. Distingue tres niveles de seguridad para la identificación (bajo, sustancial, alto) y separa a los prestadores cualificados de los no cualificados, estando los primeros supervisados e inscritos en las listas de confianza nacionales. Para una administración o una empresa que expone servicios en línea a ciudadanos, eIDAS determina quién puede acceder a qué, con qué nivel de prueba, y qué valor jurídico se deriva de ello.

En la práctica, el asunto se gestiona mal porque atraviesa varias direcciones. El departamento de TI aporta la federación de identidad, el departamento jurídico aporta el valor probatorio, la dirección de servicios al usuario aporta el recorrido de alta, la seguridad aporta la autenticación. Las preguntas concretas siempre reaparecen: ¿qué nivel de seguridad exige realmente cada uno de sus teleservicios, y en qué análisis se basa esta exigencia? ¿Sus recorridos aceptan los medios de identificación notificados por otros Estados miembros, o solo el suyo? ¿Sus firmas son avanzadas, cualificadas, o simplemente electrónicas en el sentido más amplio, y sabe distinguirlas en sus flujos?

La revisión que entró en vigor en 2024 cambia la escala del asunto. El Reglamento (UE) 2024/1183 obliga a cada Estado miembro a ofrecer al menos una cartera europea de identidad digital, y obliga a un amplio conjunto de actores públicos y privados a aceptarla para la autenticación de los usuarios. Introduce la certificación electrónica de atributos, que permite acreditar un título, una edad o una condición profesional sin divulgar el resto de la identidad. La confusión más frecuente consiste en reducir eIDAS a la firma electrónica. La parte de identificación, durante mucho tiempo discreta, se convierte en el núcleo del dispositivo y afecta ahora a los propios recorridos de acceso.

Una auditoría de conformidad plantea una pregunta binaria: el servicio cumple la exigencia, sí o no. El diagnóstico de madurez plantea otra pregunta: en qué nivel de dominio se sitúa la práctica, y qué acción concreta permite pasar al nivel siguiente. Entre una organización que acepta un medio de identificación transfronterizo caso por caso y una organización que lo ha integrado en su base de autenticación, la diferencia no es una diferencia de conformidad, es una diferencia de madurez. El diagnóstico la hace visible, ámbito por ámbito, y cuantifica el esfuerzo asociado.

En Datamensio, este marco de referencia está listo para usar y es modificable. La IA ajusta los ámbitos, reformula las preguntas con el vocabulario de su organización y afina los niveles según el método CMMI. También puede construir una variante a partir de sus propios documentos: política de autenticación, cartografía de los teleservicios, doctrina de identidad digital. El marco de referencia obtenido sigue siendo suyo, publicable ante sus unidades de negocio o entidades.