Level of Assurance
Level of assurance, často zkracovaný na LoA, říká, jakou důvěru může spoléhající se strana vložit do tvrzené identity. eIDAS definuje tři úrovně: nízkou, značnou a vysokou.
Úroveň záruky je určena dvěma věcmi: jak důkladně byla osoba identifikována při prvním vydání pověření a jak dobře je pověření následně chráněno a svázáno s ní. Prováděcí nařízení Komise (EU) 2015/1502 stanovuje technická kritéria ve čtyřech oblastech: registrace, samotný prostředek elektronické identifikace, způsob, jakým se držitel s jeho pomocí ověřuje, a jak vydávající orgán celý proces řídí a audituje. Úroveň nízká pokrývá vlastní registraci s malým nebo žádným ověřením deklarované totožnosti; úroveň značná vyžaduje důkaz, že je totožnost pravá, obvykle ověřený oproti dokladu nebo registru, a přihlášení používající více než jeden faktor; úroveň vysoká navíc vyžaduje, aby byla totožnost ověřena oproti autoritativnímu zdroji, osobně nebo rovnocenným vzdáleným postupem se srovnatelnou zárukou, a aby pověření sídlilo v hardwaru odolném proti neoprávněné manipulaci, jako je secure element. Záleží na tom, protože to určuje, k čemu lze pověření použít: členské státy si musí navzájem uznávat notifikovaná schémata eID na úrovni značná nebo vysoká pro přeshraniční přístup k veřejným službám podle původního nařízení eIDAS z roku 2014, a eIDAS 2.0 vyžaduje, aby byla samotná EUDI Wallet vydávána na úrovni vysoká, protože PID je kotva, na které staví každá další atestace v peněžence. Spoléhající se strana mimo veřejný sektor není touto uznávací povinností vázána a může požadovat jakoukoli úroveň, kterou vyžaduje její vlastní riziko: služba kontrolující jen to, že je zákazník starší 18 let, může přijmout nižší úroveň nebo jediný atribut, zatímco služba provádějící onboarding proti praní špinavých peněz (AML) bude trvat na úrovni vysoká, protože právní důsledek chyby v totožnosti je mnohem větší.
Související pojmy
Může spoléhající se strana mimo veřejný sektor požadovat vyšší úroveň záruky, než vyžaduje eIDAS?
Ano. eIDAS stanovuje minimum: veřejné služby musí přijímat notifikovaná schémata na úrovni značná nebo vysoká a EUDI Wallet musí být vydávána na úrovni vysoká. Soukromá spoléhající se strana může volně požadovat jakoukoli úroveň, kterou vyžaduje její vlastní riziko, a přijmout nižší úroveň pro něco jako ověření věku, zatímco pro onboarding proti praní špinavých peněz (AML) nebo otevření finančního účtu bude trvat na úrovni vysoká s odpovídajícím důkazem.