Maturidade eIDAS · Proteção e gestão das identidades digitais dos cidadãos
Sua gestão de identidades digitais, situada em relação ao eIDAS e traduzida em plano de ação detalhado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade eIDAS · Proteção e gestão das identidades digitais dos cidadãos
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento (UE) n.º 910/2014 (eIDAS), revisado pelo Regulamento (UE) 2024/1183 (eIDAS 2) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma um diagnóstico em trajetória.
O nível de garantia exigido para o acesso a cada serviço digital está definido e sendo aplicado?
- N1
Nenhuma classificação dos serviços digitais por nível de garantia. O meio de identificação escolhido depende do projeto e de seu integrador.
- N2
Parte dos serviços digitais está classificada em um documento de referência, mas a classificação não é retomada nos projetos e convive com práticas herdadas.
- N3
Cada serviço digital está vinculado a um nível baixo, substancial ou elevado, com base em análise documentada. A classificação é aplicada na entrada em produção, com exceções pontuais.
- N4
A classificação condiciona sistematicamente a configuração do provedor de identidade. Os desvios são detectados automaticamente e registrados, as exceções validadas pelo nível hierárquico adequado.
- N5
A classificação é revisada periodicamente conforme a evolução dos usos, dos incidentes e do marco regulatório, com histórico de revisões e mensuração do efeito sobre a taxa de conclusão das jornadas.
Ação para passar de N2 a N3
Completar o mapeamento dos serviços digitais com o nível de garantia exigido e seu motivo, incluí-lo como critério bloqueante na revisão de arquitetura, e verificar sua aplicação no comitê digital trimestral.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem eIDAS.
Do que trata esse referencial
O Regulamento (UE) n.º 910/2014, conhecido como eIDAS, organiza o reconhecimento mútuo dos meios de identificação eletrônica entre os Estados membros da União Europeia e regula cinco famílias de serviços de confiança: assinatura eletrônica, selo eletrônico, carimbo de tempo, serviço de envio registrado eletrônico e certificado de autenticação de site. Ele distingue três níveis de garantia para a identificação (baixo, substancial, elevado) e separa prestadores qualificados de prestadores não qualificados, sendo os primeiros supervisionados e inscritos nas listas de confiança nacionais. Para quem exporta serviços digitais ou atende cidadãos europeus online, o eIDAS determina quem pode acessar o quê, com qual nível de prova, e qual valor jurídico decorre disso.
Na prática, o tema costuma ser mal gerenciado porque atravessa várias áreas. A TI cuida da federação de identidade, o jurídico cuida do valor probatório, a área de atendimento ao usuário cuida da jornada de cadastro, a segurança cuida da autenticação. As dúvidas concretas sempre voltam: qual nível de garantia cada um dos seus serviços digitais realmente exige, e em que análise essa exigência se baseia? Suas jornadas aceitam os meios de identificação notificados pelos demais Estados membros, ou apenas o seu próprio? Suas assinaturas são avançadas, qualificadas, ou simplesmente eletrônicas no sentido mais amplo, e você sabe distingui-las em seus fluxos?
A revisão em vigor desde 2024 muda a escala do tema. O Regulamento (UE) 2024/1183 obriga cada Estado membro a oferecer ao menos uma carteira europeia de identidade digital, e obriga um amplo conjunto de atores públicos e privados a aceitá-la para a autenticação dos usuários. Ele introduz a atestação eletrônica de atributos, que permite comprovar um diploma, uma idade ou uma qualificação profissional sem revelar o restante da identidade. A confusão mais comum é reduzir o eIDAS à assinatura eletrônica. A parte de identificação, por muito tempo discreta, passa a ser o centro do dispositivo e agora envolve as próprias jornadas de acesso.
Uma auditoria de conformidade faz uma pergunta binária: o serviço atende à exigência, sim ou não. O diagnóstico de maturidade faz outra pergunta: em que nível de domínio a prática se encontra, e qual ação específica leva ao próximo nível. Entre uma organização que aceita um meio de identificação transfronteiriço caso a caso e uma organização que o integrou à sua base de autenticação, a diferença não é de conformidade, é de maturidade. O diagnóstico torna isso visível, tema por tema, e quantifica o esforço associado.
No Datamensio, esse referencial já vem pronto para uso e pode ser modificado. A IA ajusta os temas, reformula as perguntas no vocabulário de sua organização e refina os níveis segundo a metodologia CMMI. Ela também pode construir uma versão personalizada a partir de seus próprios documentos: política de autenticação, mapeamento dos serviços digitais, diretrizes de identidade digital. O referencial obtido continua sendo seu, pronto para publicar junto às suas unidades de negócio ou entidades.
Norma de referência: Regulamento (UE) n.º 910/2014 (eIDAS), revisado pelo Regulamento (UE) 2024/1183 (eIDAS 2)
Os temas avaliados
Governança da identidade digital
Diretrizes formalizadas, designação de um responsável, articulação entre TI, segurança, jurídico e áreas de negócio, decisão sobre níveis de garantia, orçamento dedicado.
Identificação eletrônica e níveis de garantia
Classificação dos serviços digitais por nível baixo, substancial ou elevado, justificativa da escolha, conformidade com o regulamento de execução 2015/1502, revisão periódica.
Cadastro e verificação de identidade
Procedimentos de verificação remota e presencial, provas de identidade aceitas, detecção de fraude documental, rastreabilidade do cadastro.
Autenticação e gestão do ciclo de vida
Mecanismos de autenticação multifator, gestão de permissões, suspensão, revogação e renovação dos meios, gestão de delegações e procurações.
Interoperabilidade transfronteiriça
Aceitação dos meios de identificação notificados por outros Estados membros, conexão ao nó eIDAS, correspondência de atributos, tratamento de falhas de pareamento.
Carteira europeia de identidade digital
Preparação para aceitação da carteira, atestações eletrônicas de atributos, gestão do consentimento do usuário, registro das partes usuárias.
Serviços de confiança
Uso da assinatura, do selo, do carimbo de tempo, do envio registrado eletrônico e dos certificados de autenticação de site, escolha entre qualificado e não qualificado, verificação das listas de confiança.
Valor probatório e conservação
Política de assinatura, validação e revalidação das assinaturas ao longo do tempo, arquivamento com valor probatório, capacidade de produzir prova em caso de contestação.
Proteção de dados e minimização
Articulação com a LGPD e o RGPD, minimização dos atributos transmitidos, informação às pessoas, prazos de conservação, gestão de solicitações de exercício de direitos.
Monitoramento, incidentes e melhoria
Indicadores de acompanhamento, registro de logs, detecção e notificação de incidentes e violações, testes regulares das jornadas, retornos de experiência e atualização das diretrizes.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
O eIDAS é certificável?
O regulamento não certifica as organizações que usam serviços de confiança. Ele prevê uma qualificação para os prestadores de serviços de confiança, concedida após auditoria por um organismo de avaliação da conformidade e inscrição na lista de confiança nacional. O diagnóstico Datamensio mede a maturidade de suas práticas e prepara essas tratativas, mas não concede qualificação alguma.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria conclui por uma lacuna ou uma conformidade em relação a uma exigência específica. O diagnóstico situa cada prática em uma escala progressiva e indica a ação que leva ao próximo nível. Os dois se complementam: o diagnóstico constrói a trajetória, a auditoria valida o resultado.
Quanto tempo leva a avaliação?
A versão resumida é preenchida em uma única sessão de trabalho. A versão completa, no modo colaborativo, se estende por uma a duas semanas: a maior parte do tempo é usada para coletar informações junto à TI, ao jurídico e às áreas de negócio. Os prazos dependem da disponibilidade dos participantes.
É possível adaptar o referencial ao nosso contexto?
Sim. As perguntas, os níveis e os temas podem ser modificados, e você pode acrescentar os seus próprios. A IA reformula o conteúdo no vocabulário de sua organização ou constrói uma versão personalizada a partir de seus documentos internos. O referencial publicado continua sob seu controle.
O diagnóstico cobre a revisão eIDAS 2 e a carteira europeia?
Sim, um dos temas trata especificamente da preparação para a aceitação da carteira europeia de identidade digital e das atestações eletrônicas de atributos. As perguntas distinguem o que já faz parte da base existente do que depende da adequação ao Regulamento (UE) 2024/1183.
É preciso ter conhecimento técnico para responder?
As perguntas tratam de práticas de gestão, não de configurações de protocolos. Um gestor de projeto digital ou um auditor interno pode responder à maior parte delas. O modo colaborativo permite atribuir as perguntas técnicas a um responsável identificado.
Como comparar várias entidades entre si?
O mesmo referencial é aplicado a cada unidade de negócio ou entidade, e os resultados são comparados por tema. Um roteiro transversal consolida depois os planos de ação sem duplicar as iniciativas comuns, por exemplo a conexão ao nó eIDAS.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.