Transacciones más seguras en internet

PUNTOS CLAVE

Carteras europeas de identidad digital

• Los Estados miembros deberán introducir las carteras europeas de identidad digital a más tardar en diciembre de 2026. Las carteras permitirán a los usuarios identificarse de forma segura o confirmar determinada información personal para acceder a servicios públicos y privados, tanto en línea como fuera de línea, así como almacenar, presentar y compartir documentos digitales en toda la UE.
• La conformidad de las carteras europeas de identidad digital y del sistema de identificación electrónica en virtud del cual se proporcionan será certificada por organismos de evaluación de la conformidad designados por los Estados miembros.

Identificación electrónica

• La IDE emitida por un Estado miembro debe ser reconocida por todos los demás. Esto es así solo si la IDE cumple los requisitos del Reglamento y ha sido notificada a la Comisión y publicada en una lista. El reconocimiento mutuo de las IDE ha sido obligatorio desde el 28 de septiembre de 2018 y facilita las transacciones electrónicas seguras en la UE.
• Un sistema de IDE debe especificar uno de los tres niveles deseguridad (bajo, sustancial o alto) para la forma de identificación electrónica emitida en virtud de dicho sistema. El reconocimiento mutuo solo es obligatorio cuando el organismo pertinente del sector público utiliza los niveles «sustancial» o «alto» para acceder a ese servicio en línea.
  • A la hora de notificar a la Comisión los sistemas de IDE, los Estados miembros deben aportar información sobre aspectos como:
  • el nivel de seguridad y el emisor de la IDE recogidos en el sistema,
  • los sistemas aplicables de supervisión y responsabilidad, y
  • el organismo que gestiona el registro de datos únicos de identificación personal.

Servicios de confianza

El Reglamento sobre la Identidad Digital Europea define los servicios de confianza como servicios, prestado habitualmente a cambio de una remuneración, que incluyen:

• la expedición de certificados de firma electrónica, certificados de sello electrónico, certificados de autenticación de sitios web o certificados para la prestación de otros servicios de confianza;
• la validación de certificados de firma electrónica, certificados de sello electrónico, certificados de autenticación de sitios web o certificados para la prestación de otros servicios de confianza;
• la creación de firmas electrónicas o sellos electrónicos;
• la validación de firmas electrónicas o sellos electrónicos;
• la conservación de firmas electrónicas, sellos electrónicos, certificados de firma electrónica o certificados de sello electrónico;
• la gestión de dispositivos de creación de firma electrónica a distancia o dispositivos de creación de sello electrónico a distancia;
• la expedición de declaraciones electrónicas de atributos;
• la validación de declaraciones electrónicas de atributos;
• la creación de sellos de tiempo electrónicos;
• la validación de sellos de tiempo electrónicos;
• la prestación de servicios de entrega electrónica certificada;
• la validación de los datos transmitidos a través de servicios de entrega electrónica certificada y las pruebas correspondientes;
• el archivo electrónico de datos y documentos electrónicos;
• la actividad de registro de datos electrónicos en un libro mayor electrónico.

Los prestadores de servicios de confianza con sede en la UE se consideran «cualificados» si cumplen los requisitos aplicables del Reglamento sobre la Identidad Digital Europea. Están legalmente capacitados para ofrecer servicios de confianza cualificados (por ejemplo, firmas, sellos o certificados electrónicos cualificados) en todos los Estados miembros.

En cuanto a los aspectos internacionales, los servicios de confianza ofrecidos por prestadores de servicios de terceros países se considerarán legalmente equivalentes a los servicios de confianza cualificados prestados por prestadores cualificados de servicios de confianza establecidos en la UE mediante actos de ejecución o tras un acuerdo entre la UE y el país no perteneciente a la UE o una organización internacional.

Supervisión

• Los Estados miembros deberán designar uno o más organismos de supervisión para que se encarguen de las actividades de supervisión de las carteras europeas de identidad digital y los servicios de confianza recogidas en este Reglamento. Cuando proceda, estos organismos deben cooperar con las autoridades de protección de datos y las autoridades encargadas de la ciberseguridad.
• Todos los prestadores de servicios de confianza están sujetos a supervisión y a obligaciones relacionadas con la gestión de riesgos y la notificación de violaciones de la seguridad.
• Los prestadores de servicios de confianza con sede en la UE están sujetos a una estricta supervisión. Así, son sometidos a una autorización previa por parte de los organismos de supervisión y a una auditoría al menos una vez cada dos años por parte de un organismo de evaluación de la conformidad que evalúa si cumplen los requisitos estipulados en el Reglamento.
• Los prestadores no cualificados de servicios de confianza están sujetos a una supervisión «ligera», es decir, el organismo de supervisión solo actúa cuando se le informa de que dichos prestadores o los servicios de confianza que prestan no cumplen presuntamente los requisitos establecidos en el presente Reglamento.

Gobernanza

El Grupo de Cooperación sobre la Identidad Digital Europea («Grupo de Cooperación») se establece con el fin de apoyar y facilitar la cooperación transfronteriza y el intercambio de información entre los Estados miembros en materia de servicios de confianza, carteras europeas de identidad digital y sistemas de identificación electrónica notificados.

Actos de ejecución

Para garantizar la aplicación uniforme y correcta del Reglamento sobre la Identidad Digital Europea en toda la UE, la Comisión ha adoptado actos de ejecución por los que se establecen normas técnicas, de procedimiento y de organización detalladas.

En conjunto, estos actos de ejecución complementan y hacen operativo el Reglamento en una amplia variedad de ámbitos y especifican, entre otras cuestiones, los requisitos de interoperabilidad, las normas de seguridad y certificación, los procedimientos de notificación e intercambio de información, los formatos de las listas de confianza, las respuestas a las violaciones de la seguridad, las disposiciones de gobernanza y supervisión, y las disposiciones operativas para los sistemas de identificación electrónica, los servicios de confianza y las carteras europeas de identidad digital.

Los actos de ejecución cubren un amplio conjunto de aspectos técnicos y operativos y no se limitan a las áreas enumeradas anteriormente. Se actualizan periódicamente para reflejar los desarrollos tecnológicos, los riesgos de seguridad emergentes y la evolución de las normas; abarcan el Marco de Arquitectura y Referencia (ARF, por sus siglas en inglés) elaborado conjuntamente por la Comisión y los Estados miembros y se aplican directamente en todos ellos.