欧盟：数字身份框架框架计划最新进展，适应网络安全法

近日，欧洲理事会通过了《关于欧洲数字身份（eID）框架的拟议立法的共同立场》（以下简称称《共同立场》）。修订后的法规旨在确保个人和企业通过手机上的个人数字钱包能够普遍获得安全可靠的电子识别和认证。

2021年6月，欧盟委员会提出了一个欧洲数字身份框架，所有欧盟公民、居民和企业都可以使用欧洲数字身份钱包。

拟议的新框架修订了eIDAS法规，该法规为在欧盟安全获取公共服务和在线和跨境交易奠定了基础。

(相关资料图)

该提案要求成员国在强制认证后，根据建立在共同技术标准上的通知eID计划发行数字钱包。为了建立必要的技术架构，加快实施修订后的法规，为成员国提供指导方针并避免碎片化，该提案还建议开发一个定义钱包技术规范的欧盟工具箱。

欧洲数字身份钱包

该文本的主要政策目标之一是根据国家法律的定义，为公民和其他居民提供基于欧洲数字身份钱包概念的统一的欧洲数字身份手段。

作为在“高”保证级别的国家计划下发布的电子身份识别手段(“eID”)，基于成员国发布的个人身份数据和钱包，钱包本身就是一种eID手段。因此，理事会《共同立场》进一步发展了钱包的概念及其与国家电子身份识别手段的相互作用。

保证级别

保证级别应说明对电子身份识别手段的可信程度，从而保证声称某一特定身份的人实际上是该身份所指代的人。在这方面，钱包必须在符合“高”保证级别的电子识别系统中发行。

此外，还增加了关于用户登录的具体规定以解决成员国的担忧，其中已经发布了大量保证级别的国家eID手段。

该条款使用户能够使用其国家eID手段与其他远程登录程序相结合，使保证级别“高”的身份证明成为可能，并最终获得钱包。

由于eID法规草案依赖于网络安全认证计划，该计划应该为钱包的安全性带来统一的信任度，因此预计加密材料的安全存储也将受到网络安全认证的制约。

因此，该文本包含一个新的条款，解决了实现保证级别“高”的技术的前提条件，并在欧洲数字身份钱包的实施中实现了后续过程。

依赖方的通知

文本中关于依赖方通知的部分进行了修改。作为一项规则，依赖方传达其依赖钱包的通知程序应当具有成本效益、与风险相称并确保依赖方至少提供必要的信息，以便向钱包进行认证。

默认情况下，只需要最低限度的信息，通知应允许使用自动或简单的自我报告程序。

然而，由于部门要求，例如适用于特殊类别的个人数据的要求，可能需要特定的制度。因此，引入了一项规定，旨在涵盖需要更严格的登记或授权程序的情况。

相反，如果没有规定获取通过钱包提供的信息的具体要求，成员国可以免除这些依赖方通知其依赖钱包的义务。

认证

该法规应利用、依赖并授权使用相关和现有的《网络安全法》认证计划或其部分，以证明钱包或其中一部分符合适用的网络安全要求。

因此，《网络安全法》框架完全适用，包括《网络安全法》中规定的国家网络安全认证机构之间的同行评审机制。

为了尽可能使eID法规和《网络安全法》保持一致，成员国将按照《网络安全法》的规定，指定授权的公共和私人机构对钱包进行认证。

提供钱包和费用的执行期

根据成员国的指导意见，理事会的《共同立场》建议，24个月的执行期从执行法案通过之日起计算。

文中还明确，钱包的发行、认证使用和吊销应当对自然人免费。

但是，当使用钱包进行身份验证时，依赖使用钱包的服务可能会产生费用，例如，向钱包发放电子属性证明的费用。

获得硬件和软件功能

该文本规定了与现有立法的明确衔接，确保获得硬件和软件功能，从而作为看门人提供的核心平台服务的一部分。

一个新增加的条款澄清了钱包提供商和以商业或专业身份行事的通知电子识别手段的发行者是《数字市场法》（DMA）中定义的看门人的商业用户。

《共同立场》还增加了一些措辞，概述了与DMA相互联系的含义，即要求看门人免费确保与提供其自身补充和支持服务的相同操作系统、硬件或软件功能的有效互操作性，以及为其互操作性目的对其的访问。

公共机构签发电子属性证明的替代可能性

该文本保留了由合格供应商签发合格的电子属性证明，包括成员国有义务确保能够根据公共部门内的真实来源核实属性。

此外，还引入了一种可能性，即在满足必要要求的情况下，由负责真实来源的公共部门机构或由制定的公共部门机构向钱包签发与合格的电子属性证明具有相同法律效力的电子属性证明。

记录匹配

关于记录匹配，钱包保留了唯一和持久标识符的概念。相关定义明确了如果符合其目的，标识符可以由若干国家和部门的标识符组合而成。

《共同立场》明确指出，合格的电子属性证明可以促进记录匹配。此外，还增加了一项保障条款。根据该条款，成员国必须确保对个人数据的保护，并防止对用户进行分析。最后，作为依赖方的成员国必须确保记录匹配。

后续步骤

一旦欧洲议会通过自己的立场文件，该文本的通过将允许欧洲理事会能够与欧洲议会进行谈判（“三方”），以期就拟议的法规达成协议。

*来源：Europeaon Council

标签： 网络安全法 网络安全 公共部门