Pe scurt
Identitatea digitală este, în sectoare reglementate precum cel financiar, sănătatea și energia, mult mai mult decât o simplă autentificare cu nume de utilizator și parolă — aceasta nu mai este de mult suficientă. Cei care verifică, administrează sau transferă identități digitale în aceste domenii trebuie să respecte cerințe legale suplimentare — de la prevenirea spălării banilor, la protecția datelor până la siguranța în exploatare a infrastructurilor critice. Furnizorii de servicii de încredere calificați (QTSP) oferă baza tehnică și juridică pentru a implementa verificarea identității digitale, semnăturile electronice și managementul accesului în aceste sectoare, într-un mod valabil din punct de vedere legal și trasabil.
Un telefon vineri după-amiază
Este ora 16:45, iar directoarea IT a unui furnizor de energie de talie medie primește un telefon de la autoritatea de supraveghere: în cadrul unui control de rutină, s-a constatat că, de câteva luni, jurnalele de acces la sistemul de comandă prezintă lacune. Nu se mai poate reconstitui complet cine s-a autentificat, când și cu ce nivel de autorizare. Ceea ce pentru o companie de software ar fi o problemă neplăcută, dar rezolvabilă, reprezintă pentru un operator de infrastructură critică un risc de conformitate concret — cu posibile amenzi, obligații de raportare și pierderea încrederii clienților.
Scenarii similare se petrec în bănci, societăți de asigurări și spitale. Întrebarea aproape niciodată nu este dacă o companie folosește identități digitale — astăzi o fac, practic, toate. Întrebarea este dacă procedurile utilizate rezistă, în caz de necesitate, la un test juridic, tehnic și organizatoric.
De ce aceste sectoare funcționează diferit
Sectorul financiar, sănătatea și sectorul energetic au un lucru în comun: sunt supuse unor reglementări specifice sectorului, care depășesc cu mult cerințele generale de protecție a datelor. În domeniul financiar, Regulamentul european privind combaterea spălării banilor (AMLR) impune o verificare solidă a identității la deschiderea unui cont și ulterior — inclusiv obligația de a dovedi cine a efectuat verificarea, când și ce anume a verificat. În sănătate se aplică, în plus, cerințe stricte pentru protecția datelor pacienților, deosebit de sensibile, în timp ce în sectorul energetic și în numeroase alte sectoare se aplică Directiva NIS2, privind protecția entităților critice și importante.
În sectorul financiar se adaugă, prin DORA (Digital Operational Resilience Act), un nou nivel de cerințe foarte concrete. DORA obligă băncile, societățile de asigurări și alte instituții financiare să își securizeze demonstrabil stabilitatea operațională digitală — inclusiv managementul riscului TIC, raportarea incidentelor și acordarea unei atenții deosebite riscului generat de furnizorii terți și externalizări. Identitatea digitală joacă aici un rol dublu: pe de o parte, face parte din controlul accesului la sistemele TIC critice, iar pe de altă parte, companiile trebuie să poată demonstra că și serviciile externalizate de verificare a identității și de semnătură respectă cerințele DORA privind disponibilitatea, autenticitatea și trasabilitatea. Cei care lucrează cu furnizori externi de servicii de încredere trebuie, așadar, să monitorizeze și reziliența, și auditabilitatea acestora.
Pentru sectorul energetic — și, între timp, pentru un cerc mult mai extins de companii din numeroase alte sectoare — NIS2 este cerința centrală. Directiva impune operatorilor de entități esențiale și importante un management sistematic al riscurilor pentru sistemele lor IT și OT, incluzând explicit managementul identității și al accesului ca element central al măsurilor tehnice și organizatorice. Concret, aceasta înseamnă: accesul la sistemele de comandă, la controlul rețelei sau la sistemele administrative sensibile trebuie securizat prin proceduri de autentificare adecvate și înregistrat complet, fără lacune. În plus, NIS2 prevede termene de raportare reduse pentru incidentele de securitate — cel care nu poate reconstitui rapid, în caz de urgență, ce identitate s-a autentificat, când și cu ce nivel de autorizare, pierde timp prețios la raportare și la analiza cauzelor. NIS2 pune, de asemenea, un accent mult mai mare pe responsabilitatea conducerii companiei: un management al identității absent sau insuficient nu mai poate fi tratat ca simplu subiect operațional de IT, ci devine o chestiune de guvernanță corporativă.
Ceea ce leagă aceste reglementări — AMLR, DORA, NIS2 și cerințele specifice de protecție a datelor din sănătate — este exigența trasabilității. Nu este suficient ca un acces să aibă loc — trebuie să se poată dovedi, la nevoie, cine a autorizat acel acces, cu ce dovadă de identitate și dacă procedurile tehnice utilizate corespund stadiului actual al tehnologiei. Exact în acest punct eșuează multe companii: confundă procesele funcționale cu procesele valabile din punct de vedere juridic.
Erori tipice în gestionarea identității digitale
Un tipar recurent în practică este autoevaluarea: „Noi folosim deja semnături electronice și autentificare cu doi factori — ar trebui să fie suficient.” Poate fi suficient, dar nu este obligatoriu să fie. Pentru că nu orice semnătură electronică este automat valabilă din punct de vedere juridic în sensul Regulamentului eIDAS, și nu orice procedură de autentificare satisface cerințele privind o verificare solidă a identității conform AMLR sau altor reglementări similare.
O a doua eroare frecventă este analiza izolată a etapelor procesului. O companie investește într-o procedură modernă de onboarding, dar neglijează întrebarea despre modul în care datele de identitate sunt actualizate pe tot parcursul relației cu clientul și, la nevoie, verificate din nou. Mai ales în sectorul financiar, obligația de due diligence impune mai mult decât o verificare unică la momentul încheierii contractului.
În al treilea rând, dimensiunea organizatorică este frecvent subestimată. Soluțiile tehnice nu rezolvă o problemă de conformitate dacă procesele interne, responsabilitățile și instruirea angajaților nu țin pasul. Dacă, în caz de necesitate, nimeni din companie nu poate explica ce procedură se aplică, când și de ce, nici cea mai bună tehnologie nu ajută prea mult.
Ce contează cu adevărat în caz de necesitate
Într-un control al autorității, un audit sau un litigiu, la final contează, mai ales, un singur lucru: posibilitatea de a face dovada (trasabilitatea/probabilitatea). Cine poate demonstra, în caz de litigiu, că o declarație de voință provine efectiv de la persoana autorizată? Cine poate arăta că accesul la sisteme sensibile a fost autorizat corespunzător? Aici se decide dacă o procedură rezistă în practică.
Din punct de vedere juridic, contează dacă procedurile de semnătură și de identificare utilizate corespund nivelurilor de încredere prevăzute — precum semnătura electronică calificată (SEC/QES) pentru declarațiile care necesită o formă specială. Din punct de vedere tehnic, contează dacă verificarea identității, crearea semnăturii și arhivarea sunt înregistrate complet, fără lacune și rămân verificabile pe durata perioadelor prevăzute. Din punct de vedere organizatoric, contează dacă este clar definit cine, în cadrul companiei, este responsabil pentru fiecare etapă — și dacă aceste responsabilități sunt și puse efectiv în practică.
Ce cerințe minime se aplică astăzi
Chiar dacă cerințele concrete diferă în funcție de sector, se pot observa câteva cerințe de bază, valabile în mai multe sectoare. În primul rând: o verificare a identității corespunzătoare riscului real al operațiunii respective — de la o simplă înregistrare până la identificarea calificată în cazul tranzacțiilor puternic reglementate. În al doilea rând: semnături electronice cu nivelul de încredere adecvat, corespunzător actului juridic respectiv. În al treilea rând: o înregistrare (logare) completă și rezistentă la manipulare a tuturor etapelor relevante, care să rămână trasabilă și utilizabilă în instanță, inclusiv după mai mulți ani. În al patrulea rând, în special sub incidența DORA și NIS2: dovada că și serviciile externalizate — de exemplu, cele ale furnizorilor de servicii de încredere — satisfac cerințele privind disponibilitatea, reziliența și auditabilitatea și sunt integrate într-un management al riscului la nivel general.
Odată cu cadrul european al identității digitale și cu EUDI Wallet, se adaugă o dimensiune nouă: companiile din sectoarele reglementate vor trebui, tot mai mult, să acționeze și ca așa-numite relying parties, capabile să verifice fiabil dovezile de identitate digitală din portofel și să le integreze în procesele existente. Cei care se pregătesc din timp pentru acest lucru obțin un avantaj clar.
Unde susțin concret furnizorii de servicii de încredere calificați
Exact în aceste puncte intervin furnizorii de servicii de încredere calificați. Ei nu oferă doar module tehnice individuale, ci o combinație între proceduri de semnătură recunoscute din punct de vedere juridic, metode de identificare verificate și documentare completă, fără lacune — adaptate la cerințele specifice fiecărui sector.
Pentru sectorul financiar, aceasta înseamnă, de exemplu, o verificare KYC care se integrează fără probleme în procesele existente de onboarding și, în același timp, satisface cerințele Regulamentului privind combaterea spălării banilor. Pentru sănătate, înseamnă gestionarea datelor pacienților și a consimțămintelor, astfel încât acestea să reziste atât din perspectiva protecției datelor, cât și din cea a cerințelor de formă din dreptul medical. Pentru sectorul energetic, înseamnă autentificarea și înregistrarea accesului la sistemele critice, astfel încât acestea să reziste unui control NIS2 — și astfel încât, în cazul unui incident de securitate, să se poată furniza informații solide despre identități și autorizări, în termenele prevăzute. În sectorul financiar, astfel de soluții contribuie, de asemenea, la asigurarea trasabilității cerute de DORA, inclusiv pentru procesele de identitate și semnătură externalizate, de exemplu, prin niveluri de servicii (SLA) garantate contractual și dovezi periodice privind stabilitatea operațională.
În calitate de QTSP, astfel de furnizori se ocupă și de dezvoltarea tehnologică ulterioară — de exemplu, în privința EUDI Wallet — astfel încât companiile nu trebuie să replanifice de la zero la fiecare modificare de reglementare, ci pot folosi o infrastructură concepută încă de la început pentru valabilitate juridică și durabilitate în timp.
Primul pas către mai multă siguranță
Identitatea digitală nu este, în sectoarele reglementate, un subiect pur tehnic, ci o chestiune de reziliență a afacerii. Cine stabilește astăzi direcția corectă își scutește ziua de mâine de corecții costisitoare, amenzi sau — și mai grav — de pierderea încrederii clienților și partenerilor.
Primul pas este, de multe ori, o evaluare sinceră a situației actuale: ce proceduri de verificare a identității și de semnătură sunt folosite în prezent, și rezistă acestea, în realitate, unei verificări mai atente? Companiile care nu pot răspunde încă, în mod definitiv, la această întrebare ar trebui să solicite sprijinul unor furnizori de servicii de încredere cu experiență, înainte ca autoritatea de supraveghere sau un litigiu să impună un răspuns. Cine dorește să obțină o imagine de ansamblu structurată poate găsi, în materiale de specialitate corespunzătoare și în consultații personale, o orientare valoroasă pentru pasul următor.
