Maturidade eIDAS · Proteção e gestão das identidades digitais dos cidadãos

O Regulamento (UE) n.º 910/2014, dito eIDAS, organiza o reconhecimento mútuo dos meios de identificação eletrónica entre Estados-Membros e enquadra cinco famílias de serviços de confiança: assinatura eletrónica, selo eletrónico, carimbo temporal, serviço de envio registado eletrónico e certificado de autenticação de sítios web. Distingue três níveis de garantia para a identificação (baixo, substancial, elevado) e separa os prestadores qualificados dos não qualificados, sendo os primeiros supervisionados e inscritos nas listas de confiança nacionais. Para uma administração ou empresa que disponibiliza serviços em linha a cidadãos, o eIDAS determina quem pode aceder a quê, com que nível de prova, e que valor jurídico daí decorre.

Na prática, o tema é difícil de gerir porque atravessa várias direções. A DSI trata da federação de identidade, o jurídico trata do valor probatório, a direção de serviços aos utentes trata do percurso de registo, a segurança trata da autenticação. As questões concretas repetem-se sempre: que nível de garantia exige realmente cada um dos seus teleserviços, e em que análise assenta essa exigência? Os seus percursos aceitam os meios de identificação notificados pelos outros Estados-Membros, ou apenas o seu próprio? As suas assinaturas são avançadas, qualificadas, ou simplesmente eletrónicas no sentido mais amplo, e sabe distingui-las nos seus fluxos?

A revisão em vigor desde 2024 muda a escala do tema. O Regulamento (UE) 2024/1183 obriga cada Estado-Membro a disponibilizar pelo menos uma carteira europeia de identidade digital, e obriga um vasto conjunto de entidades públicas e privadas a aceitá-la para a autenticação dos utilizadores. Introduz a atestação eletrónica de atributos, que permite provar um diploma, uma idade ou uma qualidade profissional sem divulgar o resto da identidade. A confusão mais frequente consiste em reduzir o eIDAS à assinatura eletrónica. A parte de identificação, durante muito tempo discreta, torna-se o cerne do dispositivo e passa a envolver os próprios percursos de acesso.

Uma auditoria de conformidade coloca uma questão binária: o serviço cumpre a exigência, sim ou não. O diagnóstico de maturidade coloca outra questão: em que nível de domínio se situa a prática, e que ação concreta permite passar ao nível seguinte. Entre uma organização que aceita um meio de identificação transfronteiriço caso a caso e uma organização que o integrou na sua base de autenticação, a diferença não é de conformidade, é de maturidade. O diagnóstico torna-a visível, domínio a domínio, e quantifica o esforço associado.

No Datamensio, este referencial está pronto a usar e é modificável. A IA ajusta os domínios, reformula as perguntas com o vocabulário da sua organização e afina os níveis segundo a metodologia CMMI. Pode também construir uma variante a partir dos seus próprios documentos: política de autenticação, mapeamento dos teleserviços, doutrina de identidade digital. O referencial obtido continua a ser seu, publicável junto das suas unidades de negócio ou entidades.