Level of Assurance
Level of assurance, često skraćeno LoA, govori koliko povjerenja pouzdavajuća strana može imati u tvrđeni identitet. eIDAS definira tri razine: nisku, značajnu i visoku.
Razina se određuje s dvije stvari: koliko je temeljito osoba identificirana prilikom prvog izdavanja vjerodajnice i koliko je dobro vjerodajnica zaštićena i vezana uz nju nakon toga. Provedbena uredba Komisije (EU) 2015/1502 utvrđuje tehničke kriterije u četiri područja: upis, samo elektroničko sredstvo identifikacije, način na koji se nositelj autenticira njime te način na koji tijelo koje izdaje upravlja cijelim procesom i revidira ga. Niska razina obuhvaća samoprijavljenu registraciju uz malu ili nikakvu provjeru prijavljenog identiteta; značajna razina zahtijeva dokaz da je identitet stvaran, tipično provjeren prema dokumentu ili registru, i prijavu koja koristi više od jednog faktora; visoka razina dodatno zahtijeva da je identitet provjeren prema autoritativnom izvoru, osobno ili istovrijednim udaljenim postupkom usporedive pouzdanosti, te da vjerodajnica boravi u hardveru otpornom na neovlaštene izmjene, poput sigurnosnog elementa. Ovo je važno jer određuje za što se vjerodajnica smije koristiti: države članice moraju međusobno priznavati prijavljene sheme eID-a na značajnoj ili visokoj razini za prekogranični pristup javnim uslugama prema izvornoj uredbi eIDAS iz 2014., a eIDAS 2.0 zahtijeva da sam EUDI novčanik bude izdan na visokoj razini, jer je PID sidro na kojem se temelji svaka druga atestacija u novčaniku. Oslonjena strana izvan javnog sektora nije vezana istom obvezom priznavanja i može tražiti razinu kakvu zahtijeva vlastiti rizik: usluga koja samo provjerava da je korisnik stariji od 18 godina može prihvatiti nižu razinu ili pojedinačni atribut, dok će usluga koja provodi postupak sprječavanja pranja novca inzistirati na visokoj razini jer je pravna posljedica pogrešnog utvrđivanja identiteta daleko veća.
Povezani pojmovi
Može li oslonjena strana izvan javnog sektora zahtijevati višu razinu osiguranja od one koju propisuje eIDAS?
Da. eIDAS postavlja donju granicu: javne usluge moraju prihvatiti prijavljene sheme na značajnoj ili visokoj razini, a EUDI novčanik mora biti izdan na visokoj razini. Privatna oslonjena strana slobodna je tražiti razinu kakvu zahtijeva vlastiti rizik, prihvaćajući nižu razinu za nešto poput provjere dobi, a zahtijevajući visoku razinu, uz odgovarajuće dokaze, za sprječavanje pranja novca ili otvaranje financijskog računa.