El 1 de julio de 2016, el reglamento de identificación electrónica y servicios de confianza, más comúnmente conocido como eIDAS, sustituyó a la Directiva 1999/93/CE sobre la firma electrónica, de 17 años de antigüedad, y pasó a ser directamente aplicable en 28 Estados miembros de la UE.
Como fabricante de HSM , Utimaco está a la vanguardia de la definición de los requisitos técnicos relacionados y logra la conformidad con los requisitos de eIDAS.
eIDAS - Reglamento de la UE sobre identificación electrónica y servicios de confianza
Módulos de seguridad de hardware como raíz de confianza para proveedores de servicios de confianza
El reglamento eIDAS pretende impulsar el crecimiento económico fomentando la confianza en el mundo digital y en el mercado único digital europeo. La transparencia y los más altos estándares de seguridad son la base para crear este entorno de confianza. Como fabricante de HSM, Utimaco está a la vanguardia de la definición de los requisitos de seguridad correspondientes. El CryptoServer Se-Series Gen2 alcanza la conformidad con eIDAS mediante una certificación Common Criteria según EN 419221-5.
Escuche a Alexander Eßer de Bank-Verlag hablar sobre Bank-Verlag como proveedor de servicios de confianza (TSP), los requisitos normativos establecidos por eIDAS para ofrecer firmas cualificadas y el papel de la criptografía y los HSM de Utimaco:
Adoptado en julio de 2016, el Reglamento (UE) nº 910/2014 sobre la identificación electrónica (eID) y los servicios de confianza (eTS) marcó un hito en el acceso a los servicios públicos y la seguridad de las transacciones en línea a través de las fronteras de los Estados miembros de la UE. En el núcleo del denominado Reglamento eIDAS se facilitarán las interacciones electrónicas entre los ciudadanos, las empresas (especialmente las pymes) y las autoridades públicas. Los principales retos que aborda el reglamento se derivan principalmente de los servicios de confianza regulados anteriormente a nivel nacional. La anterior Directiva de firma electrónica de la UE se centraba únicamente en los certificados para firmas electrónicas. Esto creó sistemas con numerosas diferencias en cuanto a los requisitos de cumplimiento, el estatuto jurídico y la validez de los servicios de confianza.
Los servicios de confianza electrónicos transfronterizos consisten en [según el art. 3 (16) de eIDAS]:
- "la creación, verificación y validación de firmas electrónicas, sellos electrónicos o marcas de tiempo electrónicas, servicios de entrega electrónica certificada y certificados relacionados con estos servicios, o
- la creación, verificación y validación de certificados para la autenticación de sitios web, o
- la conservación de firmas electrónicas, sellos o certificados relacionados con estos servicios"
De cara al futuro, las normas técnicas comunes, así como las normas sobre protección de datos y privacidad, son fundamentales para garantizar un entorno transparente y suficientemente seguro para las transacciones transfronterizas en línea.
El papel de un módulo de seguridad de hardware para los proveedores de servicios de confianza
Para la ejecución segura de sus operaciones y servicios, los proveedores de servicios de confianza pueden confiar en módulos criptográficos que se utilizarán como dispositivos cualificados de creación de firmas electrónicas, como las tarjetas inteligentes o los módulos de seguridad de hardware (HSM). "La conformidad de los dispositivos cualificados de creación de firmas electrónicas con los requisitos [de la UE] [...] será certificada por los organismos públicos o privados adecuados designados por los Estados miembros" (según los artículos 30 y 31 del eIDAS).
En este momento, la definición de los requisitos técnicos detallados está aún en curso (véanse los requisitos actuales en el recuadro de información que figura a continuación). Los perfiles de protección de Common Criteria EN 419221-5 "Módulos criptográficos para servicios de confianza" y EN 419241-2 "Perfil de protección para QSCD para firma de servidor" - que exige un módulo criptográfico certificado según EN 419221-5 - desempeñan un papel fundamental en el cumplimiento de estos requisitos.
Como fabricante de HSM, Utimaco está a la vanguardia de la definición de estos requisitos técnicos, participando en la elaboración de los HSM
- la definición de estos requisitos técnicos participando en el grupo de trabajo CEN TC 224 WG17 y, por tanto
- conformidad con los requisitos eIDAS.
La certificación Common Criteria para Utimaco CryptoServer Se-Series Gen2 según EN 419221-5 anticipa los próximos cambios normativos, así como los requisitos relacionados de socios y clientes.
Requisitos para los dispositivos cualificados de creación de firmas electrónicas [según eIDAS Anexo II]
1. Los dispositivos cualificados de creación de firmas electrónicas garantizarán, mediante los medios técnicos y de procedimiento adecuados, que al menos:
a. la confidencialidad de los datos de creación de firma electrónica utilizados para la creación de firma electrónica esté razonablemente garantizada;
b. los datos de creación de firma electrónica utilizados para la creación de firma electrónica puedan producirse prácticamente una sola vez
c. los datos de creación de la firma electrónica utilizados para la creación de la firma electrónica no pueden, con una garantía razonable, derivarse y la firma electrónica está protegida de forma fiable contra la falsificación utilizando la tecnología actualmente disponible
d. los datos de creación de la firma electrónica utilizados para la creación de la firma electrónica pueden ser protegidos de forma fiable por el firmante legítimo contra su utilización por terceros.
2. Los dispositivos cualificados de creación de firmas electrónicas no alterarán los datos que deban firmarse ni impedirán que dichos datos se presenten al firmante antes de la firma.
3. La generación o gestión de los datos de creación de la firma electrónica en nombre del firmante sólo podrá ser realizada por un prestador cualificado de servicios de confianza.
4. 2. Sin perjuicio de lo dispuesto en el punto 1, letra d), los proveedores de servicios de confianza cualificados que gestionen datos de creación de la firma electrónica en nombre del firmante podrán duplicar los datos de creación de la firma electrónica únicamente a efectos de copia de seguridad, siempre que se cumplan los siguientes requisitos
a. la seguridad de los conjuntos de datos duplicados debe ser del mismo nivel que la de los conjuntos de datos originales;
b. el número de conjuntos de datos duplicados no excederá del mínimo necesario para garantizar la continuidad del servicio.
eIDAS 2.0: el camino hacia la Década Digital centrado en las identidades digitales
En junio de 2021, la Comisión Europea propuso una actualización y modificación del Reglamento eIDAS existente, comúnmente denominado eIDAS 2.0. La actualización propuesta se está debatiendo en la actualidad.
La actualización propuesta se está debatiendo actualmente y se espera que se adopte en un futuro próximo. Su objetivo es seguir mejorando el funcionamiento del mercado único digital, reforzar la seguridad y la privacidad y facilitar las transacciones electrónicas transfronterizas. Esto incluye un Marco Europeo de Identidad Digital cuyo objetivo es proporcionar una forma fiable y segura de autenticar y compartir atributos de datos cualificados en línea a través de un monedero digital.
La primera versión de la arquitectura técnica y el marco para el monedero EUDI se publicó en febrero de 2023.
