El reglamento europeo eIDAS 2 sobre identidad digital supone un punto de inflexión en la forma en que empresas y administraciones gestionan la identificación y autenticación digital de usuarios. Adaptarse a este nuevo escenario es clave para garantizar unos servicios seguros y fiables, en los que los usuarios puedan confiar. No se trata solo de crear un entorno en el que todas las partes se encuentren perfectamente protegidas, sino también para asegurar la más satisfactoria experiencia del cliente: poniéndoselo fácil y con todas las garantías.
¿Qué es eIDAS2 y qué cambia respecto al marco anterior?
El reglamento (UE) 2024/1183, conocido como eIDAS 2 y aprobado en 2024, es una revisión del Reglamento (UE) 910/2014, el primer eIDAS, que establecía un marco común para la identificación electrónica y los servicios de confianza en la Unión Europea. Esta nueva versión surge para superar las limitaciones del marco anterior y ampliar su alcance, especialmente en lo relativo a la interoperabilidad, la seguridad y la adopción generalizada de identidades digitales en el ámbito de la UE, para continuar facilitando las transacciones electrónicas transfronterizas, tanto públicas como privadas.
Entre las principales novedades introducidas por eIDAS 2 destacan:
- La inclusión de más tipos de servicios de confianza electrónicos. El reglamento eIDAS original contemplaba firmas electrónicas, sellos electrónicos, sellos de tiempo electrónicos, documentos electrónicos, servicios de entrega electrónica certificada y servicios de certificados para la autenticación de sitios web. La nueva regulación incluye todos ellos, pero también nuevos servicios, en consonancia con los avances tecnológicos que se han producido en la materia: archivo electrónico, declaración electrónica de atributos, dispositivos de creación de firmas electrónicas y de sellos electrónicos, y libros mayores electrónicos.
- La EUDI Wallet o Cartera Europea de Identidad Digital: una completa novedad en este nuevo reglamento es la creación de un medio de identificación electrónica armonizado a disposición del usuario, que le permita gestionar sus datos de identificación personal, autenticarse y firmar electrónicamente en cualquier servicio público y privado. Su desarrollo se ha llevado a cabo a través de la EUDI Wallet, una aplicación móvil. Las empresas podrán desarrollar soluciones compatibles con ella, lo que facilitará trámites como el onboarding digital.
- Mayor interoperabilidad: los sistemas de identificación digital deberán ser reconocidos en todos los Estados miembros, una homogeneización que favorece una mayor capacidad de negocio internacional dentro de la Unión Europea, hacia la creación de un auténtico mercado único digital, pero también que este mercado se desarrolle con la seguridad necesaria para prevenir el fraude.
El reglamento eIDAS2 ya entró en vigor en 2024, pero será de aplicación generalizada en el año 2030, momento en el que se espera que al menos el 80% de los ciudadanos de la UE ya cuenten con un sistema de identificación digital que les permitirá operar en remoto con las administraciones públicas y más empresas de toda la UE.
Impacto del eIDAS 2 en empresas y sectores regulados
Las empresas de banca, seguros, telecomunicaciones o energía deberán adaptar sus procesos a los requisitos del eIDAS 2 para garantizar la prevención del fraude y la protección de datos. Estas organizaciones cuyas operaciones implican procesos de verificación de identidad deberán revisar sus sistemas actuales para prestar servicios de conformidad con la normativa. Pero, ¿qué medidas deberán adoptar las empresas para cumplir las disposiciones del eIDAS2? La situación es distinta para aquellas empresas que prestan servicios de verificación de identidad (QTSP y TSP) y para las que hacen uso de dichos servicios.
Empresas proveedoras de servicios de verificación de identidad: se diferencian entre prestadoras cualificadas (QTSP) y no cualificadas (TSP). Las primeras están registradas oficialmente en los Estados miembro en los que se encuentran establecidas y cuentan con el distintivo de calidad de la UE, lo que implicará la obligación de someterse a auditorías externas por parte de organismos acreditados cada 24 meses. Las no cualificadas podrán operar y deberán cumplir los principios del Reglamento para garantizar la seguridad, protección y transparencia, pero no contarán con el aval legal y reputacional que supone contar con la cualificación oficial.
Empresas prestadoras de servicios que hacen uso de sistemas de identificación digital: son aquellas que prestan servicios que requieren identificar al cliente de forma fehaciente, pues se trata de servicios individualizados de uso personal e intransferible, que habitualmente requieren el tratamiento de datos personales sensibles, lo que los hace especialmente susceptibles de protección contra el fraude. Estas empresas deberán:
- integrar la EUDI Walletcomo método de autenticación a partir de 2026. Para ello, deberán registrarse en el Estado miembro en el que se encuentren establecidas como parte usuaria. No se trata de una obligación generalizada, está dirigida a:
- los organismos del sector público que ofrezcan servicios digitales que requieran una autenticación fuerte.
- Las empresas privadas que presten servicios considerados legalmente significativos (por ejemplo, apertura de cuentas bancarias, firma de contratos de telecomunicaciones, servicios financieros y aseguradores o servicios de salud digital), o que tengan más de 7 millones de usuarios activos en la UE o sus servicios sean clasificados como de alto riesgo según la legislación europea.
- Transparencia y minimización de datos, cumpliendo las directrices del RGPD. Solo se podrán solicitar los datos estrictamente necesarios conforme al principio de minimización y de limitación a la finalidad, y deberán tratarse con transparencia. Otro requisito es mantener una separación lógica entre los datos personales tratados para servicios de identidad digital y otros datos que posean.
- Evaluación y auditoría para asegurar la transparencia y la protección de los datos. Las empresas deberán realizar evaluaciones del impacto en protección de datos y consultar a las autoridades competentes si el tratamiento implica riesgos elevados
- Notificación de incidentes. Cualquier vulneración de seguridad o interrupción significativa del servicio deberá notificarse, con un plazo máximo de 24 horas.
Todo ello se aplica también a las empresas intermediarias que actúan en nombre de la empresa principal, lo que las compañías proveedoras de servicios outsourcing también deberán seguir estas directrices.
Cumplimiento normativo y prevención del fraude digital
La adaptación a las directrices del eIDAS2 tiene grandes implicaciones más allá de la obligatoriedad del cumplimiento normativo legal. El objetivo del reglamento es continuar facilitando un mercado internacional paneuropeo, y esto se traduce en ventajas operativas para las empresas:
- Acceso a nuevos mercados y fomento de la competitividad empresarial: la interoperabilidad permite el intercambio comercial con garantías legales en otros países de la UE, facilitando la expansión internacional. La unificación de criterios en el uso de las distintas soluciones de identidad digital reconocidas en toda la UE permite un intercambio más seguro y eficiente, lo que agiliza el tráfico internacional.
- Reducción de costes operativos. Se espera que el uso de carteras europeas de identidad digital reduzca significativamente los costes asociados a la incorporación de nuevos clientes y a la gestión de datos, especialmente en sectores como banca, salud, educación y servicios públicos.
- Reducción de los riesgos de fraude y prevención de ciberdelitos. Al adoptar mecanismos de identificación robustos y estandarizados, y mantener estrictos controles y supervisión en los procesos, se minimizan los vectores de suplantación de identidad y accesos no autorizados, el robo de datos y el fraude en línea, lo que es esencial para proteger tanto a las empresas como a sus clientes.
- Mejora de la experiencia del usuario: la autenticación digital segura, ágil y sin errores mejora la conversión en procesos como el onboarding o la firma de contratos.
- Ventaja competitiva: las empresas que más rápidamente logren adaptarse podrán ofrecer servicios más seguros y ágiles, diferenciándose en sectores donde la confianza es clave.
Sin embargo, en la otra cara de la moneda, el incumplimiento del eIDAS2 implica distintas consecuencias muy gravosas para las empresas:
- Suspensión o retirada del registro. Si se detecta uso fraudulento o ilegal, el Estado miembro puede suspender o retirar el registro de la empresa como parte usuaria.
- Exclusión en mecanismos de autenticación. Las partes usuarias pueden ser excluidas del mecanismo de autenticación hasta que se subsanen las irregularidades, lo que impediría la continuidad normal de las operaciones.
- Sanciones administrativas. En caso de infracción grave, las empresas pueden enfrentarse a multas millonarias.
Soluciones de validación documental y biométrica con Servinform
El proceso de adaptación a las directrices del eIDAS 2 no es inmediato, pero sí urgente: el reglamento ya está en vigor y los plazos de implementación están en marcha. En este contexto, en Servinform nos posicionamos como partner de referencia como empresa proveedora de soluciones que permiten a las organizaciones adaptarse de forma ágil y segura a los nuevos requisitos. Gracias a nuestra alianza con Signicat, integramos soluciones de:
- Validación documental automatizada. Con tecnología IDP, somos capaces de procesar y cotejar documentos, incluso manuscritos, para extraer y validar datos de forma automática.
- Videoidentificación. Revisamos la autenticidad del documento de identidad y la correspondencia entre el documento y la persona, para verificar su identidad con precisión y rapidez, sin necesidad de costosos trámites presenciales. Lo hacemos mediante la grabación de un vídeo completo, ya que se trata de uno de los requisitos de la normativa para la identificación mediante documento físico de identidad para los servicios de confianza cualificados
- Autenticación biométrica avanzada. Autenticación mediante datos biométricos almacenados en los dispositivos móviles, para una gestión sin necesidad de contraseñas que nos permite lograr un nivel adicional de seguridad.
Logramos que gestiones tan habituales y voluminosas como el onboarding, la contratación de servicios o los trámites administrativos se lleven a cabo de una forma ágil, eficiente y segura. Con más de 450 mil casos tratados en 2024, la flexibilidad de poder asumir 50 mil nuevos casos en tan solo una semana, y con una tasa de éxito del 98%.
Estas herramientas no solo aseguran el cumplimiento de eIDAS 2, sino que también preparan a las empresas para construir un entorno digital más seguro, competitivo y centrado en la confianza. En Servinform ayudamos a las empresas a cumplir con el reglamento eIDAS 2 y a prevenir el fraude digital mediante soluciones de validación documental, videoidentificación y autenticación biométrica.
