Todo sobre ETSI TS 119 461 v2. 1.1: Cambios en Verificación de Identidad

El ETSI (European Telecommunications Standards Institute) es una institución independiente que crea marcos normativos para asegurar y homogeneizar el entorno tecnológico europeo. Dentro de esta labor, el estándar ETSI TS 119 461 detalla los requisitos técnicos de la verificación de identidad aplicados a los servicios digitales de confianza, estructurando cómo validar identidades remotamente de forma segura. Esta regulación resulta prioritaria para la industria bancaria y financiera, donde blindar la seguridad digital es innegociable. De este modo, se asientan los cimientos tecnológicos para combatir el fraude y satisfacer las exigencias legales sobre la prevención del blanqueo de capitales (AML).

La última versión de la especificación, ETSI TS 119 461 v2.1.1, introdujo actualizaciones críticas que mejoran y refuerzan considerablemente los procesos de verificación de identidad frente a nuevas amenazas. Este artículo analiza estas novedades. Explicaremos qué regula exactamente esta normativa, los plazos para su adopción y cómo las empresas pueden garantizar la continuidad operativa y el cumplimiento normativo.

¿Qué es ETSI TS 119 461? Estándar Técnico de Identidad

El estándar ETSI TS 119 461 es un documento de especificaciones técnicas que define los requisitos de políticas y seguridad que deben cumplir los sistemas para realizar la comprobación de identidad de forma segura y homologada. Este marco normativo establece las reglas exactas para verificar de manera fehaciente que una persona física o jurídica es quien dice ser antes de emitirle un certificado digital, abrirle una cuenta bancaria o autorizar la firma de contratos vinculantes.

Esta normativa regula exhaustivamente los diferentes métodos de verificación de identidad, categorizándolos y estableciendo criterios estrictos para cada uno:

• Presenciales: Verificación física tradicional en persona.
• A distancia: Empleo de tecnologías digitales para validar la identidad sin presencia física.
• Asistidos: Procesos de onboarding donde interviene un agente humano en tiempo real, como la video identificación.
• Desatendidos: Flujos completamente automatizados que se apoyan en algoritmos, biometría facial e inteligencia artificial para la validación sin intervención manual.

El alcance del estándar va más allá de enumerar tecnologías permitidas. La ETSI TS 119 461 dicta los niveles máximos tolerables de falsa aceptación. También establece los mecanismos obligatorios para proteger la integridad y confidencialidad de las evidencias recogidas (videos, imágenes, metadatos y documentos de identidad). Además, define cómo deben auditarse estos sistemas para asegurar que no presentan vulnerabilidades frente a intentos de fraude. Entre otros aspectos, el estándar especifica de forma concisa cómo deben capturarse y validarse las evidencias de identidad, el uso de la biometría y de controles de detección de vida, las medidas de prevención del fraude y mitigación de la suplantación, así como los requisitos de seguridad, protección de datos y control de accesos, garantizando siempre niveles de garantía alineados con eIDAS.

eIDAS 2 y ETSI

Lejos de operar en el vacío, ETSI TS 119 461 es la columna vertebral técnica del Reglamento europeo de identificación electrónica, conocido como eIDAS. Desde su primera versión, esta normativa técnica se diseñó con un propósito claro: establecer las instrucciones precisas para que los Prestadores de Servicios de Confianza Cualificados (QTSP) pudieran cumplir la ley.

Estas entidades son las únicas legalmente habilitadas para emitir certificados de firma electrónica cualificada, sellos de tiempo y otros servicios de confianza digital. Sin embargo, antes de otorgar cualquier certificado a un ciudadano, el QTSP tiene la obligación ineludible de verificar su identidad de forma segura, tal y como dicta el artículo 24 del Reglamento eIDAS original.

Con la reciente evolución de este marco normativo hacia eIDAS 2.0, el paradigma de la identidad digital comunitaria sufre una transformación sin precedentes. El nuevo escenario europeo exige un nivel de garantía mucho más riguroso frente a las nuevas amenazas. Por ello, el estándar ETSI ha evolucionado hacia su versión v2.1.1 para alinearse con estas nuevas exigencias.

Principales novedades de la versión v2.1.1 de ETSI frente a la v1.1.1

La versión 2.1.1 de la ETSI 119 461 introduce varias actualizaciones orientadas a mejorar los procesos de verificación de identidad y dar respuesta a las necesidades actuales de empresas y sectores tecnológicos. Estas son las principales novedades que afectan a las entidades que utilizan estos servicios para el alta y registro de clientes en sectores altamente regulados, como la banca y los servicios financieros:

1. Clasificación de documentos elegibles: Divide los documentos válidos en dos grandes categorías: físicos (como el DNI o pasaportes tradicionales) y digitales (identificaciones electrónicas o pasaportes biométricos con chip).
2. Tipología de los métodos de validación: Clasifica los procesos operativos en manuales (gestionados íntegramente por operadores humanos), automáticos (gestionados por sistemas y algoritmos) e híbridos (combinación de intervención manual y automatizada).
3. Validación criptográfica mediante NFC: Introduce directrices más estrictas y estandarizadas para la lectura de los chips embebidos en los documentos de identidad, asegurando una extracción segura de los datos y de la biometría original del usuario.
4. Lucha contra el fraude avanzado y los deepfakes: Exige la implementación de algoritmos avanzados en los sistemas de verificación capaces de detectar inteligencia artificial generativa y medios sintéticos, analizando inconsistencias visuales, anomalías de iluminación o asincronías de audio.
5. Detección de ataques de inyección: Obliga a incluir mecanismos de seguridad y criptografía robustos para bloquear el uso de emuladores móviles o cámaras virtuales que intenten manipular el flujo de vídeo enviando archivos pregrabados al servidor.
6. Nuevas exigencias en la prueba de vida (Liveness Detection): Endurece los controles para garantizar la presencia física del usuario durante el onboarding, alineándose con estándares como ISO/IEC 30107-3 y exigiendo una resistencia real y auditada frente a ataques de presentación (como caretas o pantallas).
7. Reutilización de identidades y portabilidad: Aclara y regula las condiciones de seguridad bajo las cuales es posible reutilizar una verificación de identidad previa o apoyarse en un tercero de confianza, un avance clave para reducir la fricción en la experiencia de usuario.

Todas estas incorporaciones tecnológicas consolidan a la versión v2.1.1 como el marco definitivo para hacer frente a los enormes desafíos actuales de la ciberseguridad. Gracias a este enfoque normativo e integral, las entidades financieras y corporativas logran blindar sus procesos de onboarding contra el fraude más sofisticado, asegurando un estricto cumplimiento legal que las prepara de manera inmediata para la integración con el nuevo entorno de identidad digital europea.

El papel del nuevo estándar ETSI v2.1.1 en el lanzamiento del EUDI Wallet

EUDI Wallet representa el proyecto estrella y el pilar fundamental de la Comisión Europea en materia de digitalización y soberanía tecnológica. En la práctica, consiste en una aplicación móvil, proporcionada y respaldada por cada Estado miembro, donde los ciudadanos europeos podrán almacenar de forma segura su identidad digital, gestionar credenciales verificables (como el carnet de conducir, títulos universitarios o recetas médicas) y firmar documentos electrónicamente con plena validez legal a nivel transfronterizo. Sin embargo, para que un usuario pueda descargar, configurar y vincular esta cartera con sus datos personales de manera lícita, la normativa exige un proceso de onboarding inicial que garantice un nivel de seguridad alto. Es precisamente en este punto crítico de activación donde radica la importancia vital del ETSI TS 119 461 v2.1.1, ya que establece las directrices tecnológicas innegociables para evitar cualquier fisura de seguridad durante la creación de la identidad.

A nivel técnico y operativo, la arquitectura de referencia del EUDI Wallet exige que la emisión de los Datos de Identificación Personal cuente con el máximo grado de certeza jurídica y técnica. La versión v2.1.1 del estándar se convierte así en el marco operativo obligatorio que tanto los Estados miembros como los proveedores privados deben cumplir para certificar que el proceso de alta es totalmente legítimo. Por lo tanto, alinearse con esta nueva actualización no es una simple mejora opcional, sino un requisito indispensable para cualquier entidad que aspire a emitir credenciales o prestar servicios dentro del nuevo ecosistema de billeteras digitales europeas.

Plazos de aplicación: ¿Cuándo es obligatorio el cambio?

Uno de los aspectos más relevantes de la nueva versión es su calendario de aplicación, diseñado para ofrecer una transición gradual y sin interrupciones. Se ha fijado un periodo de adopción estratégico que proporciona a los organismos de acreditación, laboratorios y proveedores el margen necesario para implantar y probar los nuevos requisitos antes de su entrada en vigor definitiva en agosto de 2027. De este modo, se garantiza que las organizaciones puedan prepararse plenamente para cumplir las especificaciones sin enfrentarse a obligaciones de implementación inmediatas.

Los Proveedores de Servicios de Confianza (QTSPs) mantienen obligaciones de reporte a corto plazo para demostrar la conformidad continuada de sus procesos de verificación. Durante este periodo de coexistencia normativa, las entidades podrán seguir operando con normalidad apoyándose en versiones anteriores del estándar o en esquemas nacionales reconocidos. Esta flexibilidad asegura que las organizaciones puedan planificar su adaptación regulatoria de manera progresiva, garantizando la continuidad del negocio mientras se alinean de forma coherente con las futuras exigencias europeas.

Sin embargo, este margen no debe inducir a la relajación: las empresas que deban renovar su acreditación como QTSP tendrán que pasar obligatoriamente la auditoría bajo la nueva v2.1.1. Aquellas plataformas que no actualicen su tecnología a tiempo perderán su cualificación legal para operar procesos de onboarding cualificados (QES) y no podrán homologarse para los nuevos servicios de eIDAS 2.0.

Beneficios de la nueva ETSI 119 461

Adaptarse a esta actualización tecnológica y regulatoria supone un salto de calidad fundamental para las entidades. Más allá de evitar sanciones o la pérdida de acreditaciones, la implementación de la nueva versión ofrece ventajas estratégicas e inmediatas para los procesos de onboarding:

• Mayor seguridad y precisión: Implementa sistemas de verificación mucho más fiables y seguros que reducen drásticamente los errores humanos y mejoran la precisión en la autenticación de la identidad de los usuarios.
• Reducción del fraude: Establece procesos más robustos que permiten detectar y prevenir actividades fraudulentas de última generación, bloqueando eficazmente el uso de deepfakes y medios manipulados por inteligencia artificial para evitar el fraude sintético.
• Cumplimiento normativo simplificado: Al estar muy alineadas con normativas como eIDAS 2.0, el RGPD (GDPR) y la Sexta Directiva contra el Blanqueo de Capitales (AMLD6), estas especificaciones facilitan el cumplimiento legal, reducen riesgos, generan confianza y simplifican las auditorías. A nivel nacional, esto garantiza a las entidades una conformidad directa y sin fisuras con los requerimientos del SEPBLAC y la Ley 10/2010 de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo en España.
• Mejor experiencia de usuario y mayor conversión: La validación NFC y la reutilización de identidades previas reducen la fricción del registro. Esto agiliza el onboarding, disminuye la tasa de abandono e impulsa la captación de clientes.
• Escalabilidad e interoperabilidad europea: Un marco técnico unificado en la UE permite una expansión transfronteriza rápida. Los procesos de identificación son válidos en cualquier mercado comunitario, facilitando la entrada a nuevos países sin rediseñar la tecnología.

¿Cómo preparar a tu empresa para cumplir con ETSI?

Adaptarse a esta nueva versión no debe verse como un simple trámite administrativo, sino como una oportunidad estratégica para modernizar la infraestructura de la compañía. El primer paso indispensable es realizar una auditoría interna de los flujos de registro e involucrar desde el inicio a los equipos de Compliance, Legal y Operaciones. Identificar las brechas entre los sistemas heredados y las nuevas exigencias de gestión de riesgos permitirá a la empresa establecer una hoja de ruta clara, optimizar el presupuesto y evitar migraciones precipitadas que puedan poner en peligro la continuidad del negocio antes de que expiren los plazos regulatorios.

A nivel de ejecución, desarrollar soluciones propias desde cero para superar auditorías tan rigurosas supone un desgaste enorme en tiempo y recursos de ingeniería. Por ello, la estrategia más eficiente pasa por evaluar y seleccionar partners tecnológicos que ofrezcan plataformas escalables bajo un enfoque de "cumplimiento por diseño". Apoyarse en proveedores que ya hayan absorbido esta complejidad técnica y regulatoria garantiza un despliegue ágil, reduce los costes operativos y asegura que la organización mantenga su captación de clientes ininterrumpida y alineada con los más altos estándares europeos.

En este escenario de transformación, contar con un aliado de garantías marca la diferencia para liderar el mercado**. Tecalis ofrece herramientas avanzadas,** como validación biométrica antifraude, lectura NFC y vídeo identificación remota, para optimizar tus métodos de verificación y preparar tu infraestructura para las normativas del futuro, como los nuevos requisitos de ETSI o la regulación AML.