eIDAS explicado: la arquitectura europea de la confianza.
Identificación, servicios de confianza, niveles y supervisión: cómo se arma el modelo europeo.
Cuando se habla de firma electrónica en cualquier parte del mundo, tarde o temprano aparece una sigla: eIDAS. El marco europeo se volvió una referencia obligada, incluso para países que no tienen ninguna relación jurídica con la Unión Europea. No porque sea perfecto, sino porque resolvió de manera ordenada una pregunta difícil: cómo hacer que veintisiete países con leyes, idiomas y tecnologías distintas confíen en las firmas y las identidades de los demás.
De una directiva a un reglamento
El primer intento fue la Directiva 1999/93/CE sobre firma electrónica. Como toda directiva, cada país la trasladó a su propia ley, y el resultado fue un mosaico: una firma válida en un país no siempre era reconocida en el vecino. El Reglamento (UE) 910/2014, conocido como eIDAS, cambió el instrumento. Un reglamento se aplica directamente en todos los Estados, con el mismo texto. Ese fue su primer gran aporte: una sola regla para todo el mercado. En 2024 fue ampliado por el Reglamento (UE) 2024/1183, que mantiene la arquitectura y la extiende a nuevos servicios y a una cartera de identidad digital para cada ciudadano.
Dos pilares
- Identificación electrónica. Los sistemas nacionales de identidad digital que un país notifica pueden usarse para acceder a servicios públicos de otros países, según su nivel de seguridad: bajo, sustancial o alto.
- Servicios de confianza. Firmas, sellos de organización, sellos de tiempo, entrega electrónica certificada, certificados de autenticación de sitios web, y la validación y conservación de firmas. La reforma de 2024 agregó, entre otros, las declaraciones electrónicas de atributos, el archivo electrónico y los libros mayores electrónicos.
Tres niveles de firma
| Nivel | Qué exige | Efecto jurídico |
|---|---|---|
| Simple | Datos electrónicos que el firmante usa para firmar. | No puede rechazarse sólo por ser electrónica; su valor se aprecia caso por caso. |
| Avanzada | Vinculada al firmante de manera única, permite identificarlo, creada con medios bajo su control exclusivo y ligada a los datos de forma que se detecte cualquier cambio. | Más fuerte como prueba, sin presunción legal general. |
| Cualificada | Avanzada, con certificado cualificado y creada con un dispositivo cualificado. | Efecto equivalente al de la firma manuscrita y reconocimiento en todos los Estados. |
El mismo esquema se aplica a los sellos de organización, que el reglamento llama «sellos electrónicos» y son el equivalente para las personas jurídicas: una organización no firma, pone su sello de organización.
La supervisión: lo que da sustento a la confianza
Un nivel cualificado no se autoproclama. El prestador que quiere ofrecer servicios cualificados debe ser auditado por un organismo de evaluación de la conformidad, al menos cada veinticuatro meses, y obtener ese estado de un organismo de supervisión nacional. Una vez reconocido, figura en la lista de confianza de su país, que es pública y legible por máquinas. Los validadores consultan esas listas para decidir, de forma automática, si una firma es cualificada.
- Normas técnicas. El ETSI y el CEN describen en detalle cómo deben ser los formatos, los dispositivos y los procesos.
- Auditoría. Un organismo acreditado comprueba que el prestador las cumple.
- Supervisión. El Estado otorga, supervisa y puede retirar el estado cualificado.
- Publicación. La lista de confianza informa a todos, en todo momento, quién está habilitado.
Lo que otros países pueden tomar
La lección de eIDAS no está en copiar su texto, sino en su arquitectura: neutralidad para el nivel básico, presunciones claras para los niveles superiores, normas técnicas abiertas, auditoría independiente y listas de confianza públicas. El propio reglamento prevé que firmas y servicios de países fuera de la Unión puedan reconocerse mediante acuerdos internacionales, siempre que ofrezcan garantías equivalentes. Un país que construye su marco con esas piezas facilita, el día de mañana, ese reconocimiento.
eIDAS es un reglamento europeo con dos pilares, identificación electrónica y servicios de confianza. Define tres niveles de firma, simple, avanzada y cualificada, con efectos jurídicos crecientes, y sostiene el nivel cualificado con auditoría, supervisión y listas de confianza públicas. Su mayor aporte exportable es esa arquitectura.