Archivo de la categoría: #eIdaS

AENOR publica la serie de normas UNE-EN 419211

Deja un comentario

La entrada en vigor del nuevo reglamento #eIdAS se acompasa con la publicación de diferentes normas técnicas relativas a la gestión de las firmas electrónicas y otros servicios electrónicos de confianza digital, de gran alcance, especialmente en Europa.

El nuevo marco legal europeo es homogéneo, aunque inestable en el momento actual mientras se esperan normas legales complementarias y la publicación de los estándares de nueva nomenclatura, basados con frecuencia en normas técnicas ya existentes.

Recientemente AENOR ha publicado la serie de normas UNE-EN 419211 «Perfiles de protección para los dispositivos seguros de creación de firma», que se compone de 6 partes que tratan distintos tipos de dispositivos cualificados de creación de firma, especifica los requisitos operacionales y funcionales y los objetos de evaluación para los perfiles de protección de estos dispositivos.

De acuerdo con el Reglamento Europeo (UE) Nº 910/2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento eIDAS), y su desarrollo a través de la Decisión de Ejecución (UE) 2016/650 de la Comisión, estas normas serán utilizadas en la certificación de los dispositivos cualificados de creación de firma, cuando los datos de creación de firma electrónica o los datos de creación de sello electrónico se conserven íntegramente, aunque no necesariamente de forma exclusiva, en un entorno gestionado por el usuario.

Interoperabilidad del certificado de representante (Power of attorney) en #eIdAS

2 respuestas

Para que los certificados de representante sean interoperables a nivel europeo, se propone que en el campo Common Name se incluya la siguiente información:

PoA – P: XXXXX A: YYYYY

Con este significado:

  • PoA (Power of Attorney)
  • P (Principal, Grantor, Donor)
  • A (Attorney-in-fact)
  • XXXX identificación del otorgante (o Poderdante) según norma EN319412
  • YYYY identificación del representante (o Apoderado) según norma EN319412

La información del Poderdante sería la principal del certificado y la del Apoderado podría figurar en Subject Alternative Name

Utilizar una denominación breve en la que figure en primer lugar la identificación del representado facilita el que las personas que actúan con varias representaciones distingan fácilmente el certificado a utilizar cuando se muestra una lista para elegir entre varios. Especialmente si en la lista solo se muestran los primeros caracteres.

Vigencia del Código Seguro de Verificación (CSV)

3 respuestas

El Código Seguro de Verificación de documentos o CSV es un conjunto de dígitos que identifica de forma única los documentos electrónicos auténticos emitidos por una entidad.

El CSV se suele incluir en la parte final de un documento, próximo a la zona en la que se incluye la firma gráfica o la firma electrónica y posibilita el cotejo, a través de la Sede Electrónica de la entidad, de la versión impresa del documento gracias a la descarga del correspondiente documento electrónico original.

Los documentos con CSV se denominan documentos híbridos porque tienen carácter de auténticos tanto en su versión impresa como electrónica, por la posibilidad de cotejarlos contra su matriz.

Para comprobar la autenticidad de un documento, si se pone en duda, se introduce el código CSV que figura en el documento accediendo a la sección de la página web de la entidad destinada al cotejo de documentos. Si el código tecleado corresponde verdaderamente a un documento original la página web ofrecerá su descarga, lo que permitirá comprobar  la coincidencia de contenido del documento en papel con el electrónico.

En ocasiones, el CSV forma parte de una dirección URL que incluye el dominio de la página web de la sede electrónica del organismo, y en estos casos se suele incluir también un código bidimensional (QR) con dicho enlace para facilitar el cotejo con teléfonos móviles que incluyen aplicaciones de lectura de este tipo de códigos.

La razón por la que el enlace con el CSV se incluye en una zona del documento contigua a la de la firma es por que se considera que, como ella, forma parte de la zona del documento denominada escatocolo.

En el ámbito de las administraciones públicas, el CSV se menciona en la Ley 39/2015:

Artículo 27. Validez y eficacia de las copias realizadas por las Administraciones Públicas.

(…)

c) Las copias en soporte papel de documentos electrónicos requerirán que en las mismas figure la condición de copia y contendrán un código generado electrónicamente u otro sistema de verificación, que permitirá contrastar la autenticidad de la copia mediante el acceso a los archivos electrónicos del órgano u Organismo público emisor.

d) Las copias en soporte papel de documentos originales emitidos en dicho soporte se proporcionarán mediante una copia auténtica en papel del documento electrónico que se encuentre en poder de la Administración o bien mediante una puesta de manifiesto electrónica conteniendo copia auténtica del documento original.

A estos efectos, las Administraciones harán públicos, a través de la sede electrónica correspondiente, los códigos seguros de verificación u otro sistema de verificación utilizado.

(…)

El CSV también se menciona en la Ley 40/2015:

Artículo 42. Sistemas de firma para la actuación administrativa automatizada.

(…)

b) Código seguro de verificación vinculado a la Administración Pública, órgano, organismo público o entidad de Derecho Público, en los términos y condiciones establecidos, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente.

(…)

Es un error habitual considerar el CSV un sistema de firma, y aparte de en esta reciente Ley 40/2015, este error también se producía en la Ley 11/2007, claro antecedente en la regulación del CSV.

En el ámbito privado, el CSV lo utilizan los Prestadores de Servicios de Confianza Digital (en terminología acuñada por el Reglamento Europeo UE 910/204) para identificar documentos electrónicos auténticos accesibles a través de sus sistemas de Custodia Digital. Los documentos en papel que contienen transcripciones de documentos electrónicos suelen denominarse «albalá» o Copia Constatable si figura en ellos el Código Seguro de Verificación (CSV).

El Código Seguro de Verificación no es suficiente para identificar un documento, sino que esta información debe ir acompañada de la identificación por su URL de la sede electrónica de la entidad a la que se puede acceder para el cotejo del documento al que corresponde. La excepción está constituida por los Códigos Seguros de Verificación enrutables (o con información de encaminamiento) a los que me referiré en otro artículo.

El código seguro de verificación es unívoco para un documento determinado y no puede haber dos documentos con el mismo código (lo que se denomina una «colisión») en una misma entidad. Este es uno de los motivos por los que los CSV tienen validez ilimitada y forman parte de la identificación del documento desde su gestión en la fase activa del procedimiento administrativo hasta su custodia en la fase de archivo.

Por dicho motivo, los archiveros exigen que en el protocolo de cesión de documentos electrónicos que pasan a estar bajo su custodia se incluyan las medidas de seguridad y control que garantizan la correcta identificación del CSV de todos los documentos del lote transferido, asi como que existen medidas adicionales de control en la gestión de documentos en la fase activa que permiten garantizar que no se generarán códigos CSV coincidentes con otros asignados a los documentos transferidos para su archivo.

He escrito más artículos con temática conexa a la del CSV:

Reunión de Prestadores de Servicios de Certificación en AMETIC

Deja un comentario

El Minsiterio de Industria, Energía y Turismo está dando pasos para facilitar la adopción del Reglamento UE 910/2014 en España.

El próximo 1 de julio es un hito importante porque entran en vigor la mayor parte de los aspectos relevantes del Reglamento europeo y se deroga la Directiva 1999/93 cuya transposición dio lugar a la Ley 59/2003 que quedará igualmente derogada en su mayor parte.

Se prevé que se publique una nueva norma, posiblemente una Ley que cubra los aspectos regulatorios que el Reglamento reserva a los paises miembros, pero no podrá solaparse con lo que ya está cubierto por el Reglamento.

Para intentar armonizar en lo posible las voces del sector de los Prestadores de Servicios de Confianza Digital, se va a mantener en breve una reunión de PSCD en las instalaciones de AMETIC. Al finalizar, aquellos PSDC que lo dessen podrán formalizar la fundación del Grupo de Trabajo de Prestadores del que hemos venido hablando los últimos meses unos cuantos PSDC. Es recomendable que los Fundadores hayan formalizado previamente su incorporación a AMETIC (los que falten por hacerlo).

Este Grupo de Trabajo canalizará hacia el Minetur las inquietudes del sector de la Confianza Digital, bajo el auspicio de AMETIC, la patronal más relevante del sector de las Tecnologías de la Información y de las Comunicaciones.

La fecha será el 29 de marzo de 2016 a las 11:00 horas en la sede de AMETIC de Madrid. Se habilitará la posibilidad de participación a distancia por medios digitales.

Para manifestar este interés podéis enviarme un mensaje a julian (punto) inza (arroba) eadtrust (dot) eu, precediendo en el texto del asunto la etiqueta [PSDC]  o podéis llamar al número 91 7160555. para que tomen nota de vuestros datos.

 

 

Reglamento de Ejecución (UE) 2015/806 de la Comisión, de 22 de mayo de 2015

Deja un comentario

El Parlamento Europeo y  El Consejo de la Unión Europea adoptaron en el verano de 2014 el Reglamento 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza en las transacciones electrónicas en el mercado interior (etiquetado #eIdAS o #eIdaTS).

El objetivo del Reglamento es el establecimiento de un marco jurídico claro que garantice el reconocimiento transfronterizo de identidades electrónicas, la interoperabilidad de la firma electrónica y otros servicios de confianza digital tales como los sellos electrónicos, los sellos de tiempo, la custodia de documentos electrónicos o las notificaciones fehacientes, posibilitando las comunicaciones electrónicas entre ciudadanos, empresas y Administraciones públicas y potenciando el comercio y la administración electrónica.

images-eIdaTSMás recientemente, en el Reglamento de ejecución (UE) 2015/806 de la Comisión de 22 de mayo de 2015, se establecen las especificaciones relativas a la forma de la nueva “etiqueta de confianza” «UE» para “servicios de confianza” cualificados.

Esta “etiqueta de confianza” distingue claramente los “servicios de confianza” cualificados de los demás “servicios de confianza”, contribuyendo así a la transparencia en el mercado y fomentando, la confianza en los servicios en línea y la conveniencia de éstos, aspectos esenciales para que los usuarios los aprovechen plenamente y confíen sin reservas en los servicios electrónicos.

La denominación completa de la norma es ta siguiente: Reglamento de Ejecución (UE) 2015/806 de la Comisión, de 22 de mayo de 2015, por el que se establecen especificaciones relativas a la forma de la etiqueta de confianza «UE» para servicios de confianza cualificados.

Publicado en: «DOUE» núm. 128, de 23 de mayo de 2015 (DOUE-L-2015-80992)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) no 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (1), y, en particular, su artículo 23, apartado 3,

Considerando lo siguiente:

(1)

El Reglamento (UE) no 910/2014 establece que los proveedores de servicios de confianza cualificados podrán utilizar una etiqueta de confianza para los servicios de confianza cualificados a fin de reforzar la confianza y la conveniencia para los usuarios. Esta etiqueta de confianza distingue claramente los servicios de confianza cualificados de los demás servicios de confianza, contribuyendo así a la transparencia en el mercado y fomentando por ende la confianza en los servicios en línea y la conveniencia de estos, aspectos esenciales para que los usuarios los aprovechen plenamente y confíen sin reservas en los servicios electrónicos.

(2)

La Comisión organizó un concurso para estudiantes de arte y diseño de los Estados miembros, a fin de recibir propuestas sobre un nuevo logotipo. Un jurado de expertos seleccionó las tres mejores propuestas sobre la base de los criterios especificados en el pliego de condiciones técnicas y de diseño de la «e-Mark U Trust Competition». Se celebró una consulta en línea entre el 14 de octubre y el 14 de noviembre de 2014. El logotipo propuesto, elegido por la mayoría de los visitantes del sitio web durante dicho período y respaldado por una decisión final del jurado, debe ser ahora adoptado como nueva etiqueta de confianza «UE» para servicios de confianza cualificados.

(3)

A fin de que el logotipo pueda utilizarse tan pronto como sea aplicable con arreglo a la legislación de la Unión y de garantizar el funcionamiento efectivo del mercado interior y la competencia leal y proteger los intereses de los consumidores, la nueva etiqueta de confianza «UE» para servicios de confianza cualificados ha sido registrada como marca colectiva en la Oficina de Propiedad Intelectual del Reino Unido, por lo que está en vigor, es utilizable y está protegida. El logotipo será registrado también en los registros de la Unión e internacionales.

(4)

Las medidas previstas en el presente Reglamento se ajustan al dictamen del Comité establecido por el artículo 48 del Reglamento (UE) no 910/2014.

HA ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1

La etiqueta de confianza «UE» para servicios de confianza cualificados será de la forma que se indica en los anexos I y II, sin perjuicio de lo dispuesto en el artículo 2.

Artículo 2

1. Los colores de referencia de la etiqueta de confianza «UE» para servicios de confianza cualificados serán Pantone no 654 y no 116; o azul (100 % cian + 78 % magenta + 25 % amarillo + 9 % negro) y amarillo (19 % magenta + 95 % amarillo), en caso de utilizarse la cuatricromía; cuando se utilicen colores RGB, los colores de referencia serán azul (43 rojo + 67 verde + 117 azul) y amarillo (243 rojo + 202 verde + 18 azul).

2. La etiqueta de confianza «UE» para servicios de confianza cualificados podrá utilizarse solo en blanco y negro, según se muestra en el anexo II, si no resulta práctico utilizar el color.

3. Si la etiqueta de confianza «UE» para servicios de confianza cualificados se utiliza sobre fondo oscuro, podrá utilizarse en formato negativo empleando el mismo color de fondo, tal como se muestra en los anexos I y II.

4. Si la etiqueta de confianza «UE» para servicios de confianza cualificados se utiliza en color sobre un fondo coloreado que dificulte su visualización, podrá utilizarse una línea de delimitación alrededor de dicha etiqueta a fin de mejorar el contraste con los colores del fondo.

Artículo 3

La etiqueta de confianza «UE» para servicios de confianza cualificados tendrá una dimensión mínima que garantice la conservación de los atributos visuales y formas clave, pero su tamaño no será inferior a 64 × 85 píxeles 150 dpi.

Artículo 4

La etiqueta de confianza «UE» para servicios de confianza cualificados se utilizará de una manera que permita reconocer claramente los servicios cualificados que corresponden a la etiqueta. La etiqueta de confianza podrá ir acompañada de elementos gráficos o textuales que indiquen claramente los servicios de confianza cualificados para los que se utiliza, a condición de que no modifiquen la naturaleza de la etiqueta de confianza «UE» para servicios de confianza cualificados ni alteren el vínculo con las listas de confianza aplicables a que se refiere el artículo 23, apartado 2, del Reglamento (UE) no 910/2014.

Artículo 5

El presente Reglamento entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 22 de mayo de 2015.

Por la Comisión

El Presidente

Jean-Claude JUNCKER

__________

(1) DO L 257 de 28.8.2014, p. 73.

ANEXO I

Etiqueta de confianza «UE» para servicios de confianza cualificados en color

images-eIdaTS

ANEXO II

Etiqueta de confianza «UE» para servicios de confianza cualificados en blanco y negro

eIdaTS-black-and-white

Adopción de la norma ISO / IEC 29115: 2013 e ITU X.1254 en el marco del Reglamento UE 910/2014 #eIdAS – #eIdaTS

Deja un comentario

La norma ISO / IEC 29115: 2013 – Entity Authentication Assurance Framework es esencial para el cumplimiento de diversas disposiciones legales, en particular el  Reglamento Europeo UE 910/2014 como referencia a los niveles de garantía de la identificación electrónica (LoA Levels of Assurance), y como referencia para los niveles de garantía identificadas que marquen la evolución del sistema Cl@ve, cuyo funcionamiento se encuentra regulado por la Orden PRE/1838/2014, de 8 de octubre, por la que se publica el Acuerdo de Consejo de Ministros, de 19 de septiembre de 2014, por el que se aprueba Cl@ve, la plataforma común del Sector Público Administrativo Estatal para la identificación, autenticación y firma electrónica mediante el uso de claves concertadas.

Esta norma se deriva de la norma ITU X.1254 : Entity authentication assurance framework

El nivel de garantía (Level of Assurance LoA) al que hace mención esta Norma Internacional se refiere a la confianza que merecen los procesos, las actividades de gestión y tecnologías utilizados para establecer y gestionar de forma efectiva  la identidad de una entidad para su uso en las transacciones de autenticación.

La Norma Internacional ISO / IEC 29115: 2013 ofrece una guía fundamental para la gestión de la garantía de la autenticación de entidad en un contexto dado. En particular, se centra en los:

  • Cuatro niveles de garantía de la autenticación de la entidad;
  • Criterios y directrices para y el logro de cada uno de los cuatro niveles de garantía de la autenticación de la entidad;
  • Orientación para la correspondencia de otros sistemas de garantía de autenticación a los cuatro niveles de garantía especificados ;
  • Orientación para el intercambio de los resultados de autenticación que se basa en los cuatro niveles de garantía ;
  • Orientación en cuanto a los controles que se deben utilizar para mitigar las amenazas relativas a la autenticación.

Utilizando los cuatro niveles especificados de garantía (LoAs), el documento presenta las pautas relativas a las tecnologías de control, los procesos y las actividades de gestión, así como los criterios de garantía de que se deben utilizar para mitigar las amenazas relativas a la autenticación con el fin de poner en práctica los cuatro niveles de garantía.

También proporciona una idea sobre la forma en que se corresponden otros sistemas de garantía de autenticación con los cuatro niveles especificados  en la norma y orientas obre la forma de intercambiar resultados de una transacción de autenticación. Por último, esta Norma Internacional proporciona orientación informativa relativa a la protección de la información de identificación personal asociado con el proceso de autenticación.

La norma ISO / IEC 29115: 2013 ayuda a lograr:

  • Establecimiento el servicio
  • Cumplimiento Legal y Contractual
  • Disposiciones financieras
  • Gestión de la seguridad de la información y de auditoría
  • Componentes de servicios externos
  • Métricas de capacidades operativas

La norma se destina  principalmente a proveedores de servicios de credenciales (CSP-Credential Service Providers) y a quienes tengan interés en sus servicios, por ejemplo las partes que confian, asesores y auditores de esos servicios.

Los niveles son los siguientes:

  1. LoA 1 – Garantía Baja – Low – Little or no confidence in the asserted identity
  2. LoA 2 – Garantía Media – Medium – Some confidence in the asserted identity
  3. LoA 3 – Garantía Alta–  High – High confidence in the asserted identity
  4. LoA 4 – Garantía Muy alta – Very high – Very high confidence in the asserted identity

El impacto de los errores de autenticación seá mínimo, moderado, sustancial o alto según el LoA requerido.

El modelo actual de Cl@ve todavía no contempla la estructura de 4 niveles de aseguramiento o de garantía, pero deberá evolucionar de forma que, en el futuro, pueda ser notificado como sistema de identificación y autenticación a la Comisión Europea, según lo definido en el Regla,emto UE 910/2014. Una vez que se de ese paso, el sistema de gestión de identidades español deberá ser asumido por el resto de países de la Unión Europea.

En la actualidad, el uso de las claves concertadas y los servicios de firma en la nube del servicio Cl@ve requiere que los ciudadanos se registren previamente en el sistema, aportando los datos de carácter personal necesarios. Este registro puede hacerse de manera presencial o telemática.

El registro presencial, inicialmente está limitado, de modo que actuan como Oficinas de Registro únicamente la red de oficinas de la Agencia Estatal de Administración Tributaria y de las Entidades Gestoras y Servicios Comunes de la Seguridad Social. En el futuro, se podrá ampliar la red de Oficinas de Registro con aquellos organismos públicos que dispongan de despliegue territorial y cumplan los requisitos técnicos necesarios establecidos por la Resolución de 28 de septiembre de la Dirección de Tecnologías de la Información y las Comunicaciones, por la que se establecen las condiciones para actuar como oficina de registro presencial del sistema Cl@ve .

En su rol de «broker de identidades» el sistema Cl@ve deberá evolucionar para incorporar en el futuro, conforme se vayan integrando en el sistema de reconocimiento transfronterizo de identidades electrónicas previsto en la citada regulación europea, mecanismos de identificación de otros países de la Unión Europea.

Cambios en la Ley de Firma Electrónica (Ley 59/2003)

4 respuestas

Aunque la técnica legislativa de mezclar «churras» con «merinas» se produce en algunas de las leyes publicadas en España, no nos acostumbramos a encontrar determinados aspectos legales de ciertos tipos en leyes que no tienen mucho que ver con el asunto.

Una de las últimas ocasiones en las que esto se produce es en la Ley 25/2015, de 28 de julio, de mecanismo de segunda oportunidad, reducción de la carga financiera y otras medidas de orden social, que modifica algunos aspectos de la Ley 59/2003 para favorecer el uso de sistemas de firma centralizada.

En mi opinión es una reforma innecesaria o insuficiente, porque aunque parafrasea alguna de sus definiciones parece ignorar la existencia del Reglamento europeo UE 910/2014, que en su exposición de motivos (considerandos 51 y 52) ya da por sobreentendido que es admisible la firma mediante sistemas de firma en la nube o firma centralizada o firma SOA, y no menciona modificaciones tan importantes como la denominación de certificados y firmas electrónicas que deben denominarse «cualificados» en vez de «reconocidos«.

Para los que solo conocen la Ley 59/2003, no obstante, resuelve la supuesta controversia de si la Ley de firma electrónica permite o no la firma a distancia con claves hospedadas por el prestador, lo que para muchos, ya permitía la redacción anterior.

Este es el texto:

Disposición final cuarta. Modificación de la Ley 59/2003, de 19 de diciembre, de firma electrónica.

La Ley 59/2003, de 19 de diciembre, de firma electrónica, queda modificada como sigue:

Uno. El apartado 2 del artículo 3, queda redactado del siguiente modo:

«2. La firma electrónica avanzada es la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede utilizar, con un alto nivel de confianza, bajo su exclusivo control.»

Dos. El apartado 2 del artículo 6, queda redactado del siguiente modo:

«2. El firmante es la persona que utiliza un dispositivo de creación de firma y que actúa en nombre propio o en nombre de una persona física o jurídica a la que representa.»

Tres. El apartado 2 del artículo 7, queda redactado como sigue:

«2. La custodia de los datos de creación de firma asociados a cada certificado electrónico de persona jurídica o, en su caso, de los medios de acceso a ellos será responsabilidad de la persona física solicitante, cuya identificación se incluirá en el certificado electrónico.»

Cuatro. La letra c) del artículo 12, queda redactada en los siguientes términos:

«c) Asegurarse de que el firmante tiene el control exclusivo sobre el uso de los datos de creación de firma correspondientes a los de verificación que constan en el certificado.»

Cinco. La letra a) del artículo 18, queda redactada en los siguientes términos:

«a) No almacenar ni copiar, por sí o a través de un tercero, los datos de creación de firma de la persona a la que hayan prestado sus servicios, salvo en caso de su gestión en nombre del firmante. En este caso, se aplicarán los procedimientos y mecanismos técnicos y organizativos adecuados para garantizar que el firmante controle de modo exclusivo el uso de sus datos de creación de firma.

Solo los prestadores de servicios de certificación que expidan certificados reconocidos podrán gestionar los datos de creación de firma electrónica en nombre del firmante. Para ello, podrán efectuar una copia de seguridad de los datos de creación de firma siempre que la seguridad de los datos duplicados sea del mismo nivel que la de los datos originales y que el número de datos duplicados no supere el mínimo necesario para garantizar la continuidad del servicio. No podrán duplicar los datos de creación de firma para ninguna otra finalidad».

Seis. El punto 1.º de la letra b), del artículo 18, queda redactado como sigue:

«1.º Las obligaciones del firmante, la forma en que han de custodiarse los datos de creación de firma, el procedimiento que haya de seguirse para comunicar la pérdida o posible utilización indebida de dichos datos, o, en su caso, de los medios que los protegen, así como información sobre los dispositivos de creación y de verificación de firma electrónica que sean compatibles con los datos de firma y con el certificado expedido.»

Siete. La letra e) del apartado 1 del artículo 20, queda redactada como sigue:

«e) Tomar medidas contra la falsificación de certificados y, en el caso de que el prestador de servicios de certificación genere datos de creación de firma, garantizar su confidencialidad durante el proceso de generación y su entrega por un procedimiento seguro al firmante. Si el prestador de servicios gestiona los datos de creación de firma en nombre del firmante, deberá custodiarlos y protegerlos frente a cualquier alteración, destrucción o acceso no autorizado, así como garantizar su continua disponibilidad para el firmante.»

Ocho. Las letras c) y d) del apartado 1 del artículo 23, quedan redactadas en los siguientes términos:

«c) Negligencia en la conservación de sus datos de creación de firma, en el aseguramiento de su confidencialidad y en la protección de todo acceso o revelación de éstos o, en su caso, de los medios que den acceso a ellos.

d) No solicitar la suspensión o revocación del certificado electrónico en caso de duda en cuanto al mantenimiento de la confidencialidad de sus datos de creación de firma o, en su caso, de los medios que den acceso a ellos.»

Nueve. Se añade un apartado 5 al artículo 29 con el siguiente contenido:

«5. Podrá requerirse la realización de pruebas en laboratorios o entidades especializadas para acreditar el cumplimiento de determinados requisitos. En este caso, los prestadores de servicios correrán con los gastos que ocasione esta evaluación.»

Al margen de estas pequeñas pautas, conviene no olvidar que la Ley 59/2003 como expresión de la transposición de la Directiva 1999/93/CE  quedará derogada en breve, y que en el marco del nuevo reglamento hay que tener en cuenta, en lo que se refiere a la firma en servidor,  la norma EN 419 241 Security requirements for trustworthy systems supporting server signing (signature generation services)

Por cierto, otra de las modificaciones de las que van cayendo gota a gota de la Ley de Firma Electrónica es la que hace unos pocos meses se encargó de extender la validez de los certificados cualificados a cinco años, para simplificar la gestión del DNI electrónico 3.0 y que ya mencioné en este blog.

Diferencias del EJIS respecto al ENI y al ENS

Deja un comentario

Recientemente el CTEAJE (Comité Técnico Estatal de la Administración Judicial Electrónica) ha publicado las bases del Esquema Judicial de Interoperabilidad y Seguridad de 6 de julio de 2015.

El EJIS (Esquema Judicial de Interoperabilidad y Seguridad) se inspira en el Esquema Nacional de Interoperabilidad (ENI) y en el Esquema Nacional de Seguridad (ENS), con algunas diferencias determinadas por las leyes procesales y la Ley marco de la digitalización de la Justicia, la Ley 18/11, de 5 de julio, que singulariza para el ámbito de la Justicia algunas de las principales aportaciones de la Ley 11/2007.

Algunas de las diferencias más reseñables respecto al ENI (RD 4/2010) son las siguientes:

  • Catálogo de Estándares: EJIS presenta compatibilidad con los formatos utilizados en el marco de AGE (Administración General del Estado). Además, permite al CTEAJE definir el suyo si se diera el caso.
  • Interoperabilidad: La redacción del EJIS es aclaratoria de las dimensiones de la interoperabilidad del Esquema Nacional centrado en el ámbito de la Administración de justicia (AJ) ya que tiene en cuenta las peculiaridades del ámbito de justicia en sus tres ámbitos (con la Administración de Justicia, con los ciudadanos y profesionales y con el resto de Administraciones Públicas)
  • Inventarios de información Administrativa: En enfoque se realiza sobre el Test de Compatibilidad del CGPJ (Consejo general del Poder Judicial) dado que los procedimientos serán los que figuren en los inventarios de información judicial de acuerdo con las leyes procesales y el Test de Compatibilidad.
  • Activos Semánticos del Test de Compatibilidad del CGPJ, modelo de datos lógico para conseguir un intercambio de información entre sistemas (asuntos, recursos y exhortos).
  • Firma Electrónica:
    • Alineamiento con el Reglamento europeo UE 910/2014.
    • Política única de firma electrónica para toda la AJ (Administración de justicia).
    • Simplificación de certificados de firma y sello asociados a órganos judiciales.
    • Accesibilidad: admisión amplia de firmas de ciudadanos.
    • Diferencia la autenticación de la firma electrónica
    • Admisión de prestadores de cualquier país de la Unión Europea.
  • Digitalización Certificada: se contempla procedimiento de homologación. No existe el concepto en la AGE, sólo digitalización «que garantizará la imagen fiel», en justicia se permite certificar el software con el que se digitaliza.
  • Declaración de Conformidad: en la AGE es genérica dado que es una mera declaración; en la AJ hay un índice de aspectos de cumplimiento que permiten acreditarlo en mayor o menor medida.
  • Custodia Documental (Conservación): se indica la presunción de mantenimiento de integridad y autenticidad del EJE (Expediente Judicial Electrónico) y del DJE (Documento Judicial Electrónico), acompañadas de medidas de seguridad

Algunas de las diferencias más reseñables del EJIS respecto al ENS (RD 3/2010) son las siguientes:

  • Categorías de los Sistemas:
    • EJIS añade la dimensión de seguridad CONSERVACIÓN que viene contemplada en la propia Ley 18/2011. El concepto de archivo judicial se extiende a períodos de conservación que en el ámbito administrativo se considerarían prescritos y sin necesidad de conservación.
    • Se aclara la forma de determinar los niveles de las dimensiones y las categorías.
  • Auditoría: Se elimina la auditoria como requisito del EJIS, ya que es una competencia del CGPJ.
  • Medidas de Seguridad:
    • Se mantienen las medidas de seguridad como marco de requisitos a cumplir por los órganos judiciales.
    • Se refuerza la exigencia de algunas medidas, en especial en firma electrónica y en custodia de evidenciaselectrónicas.
  • Guía Técnica de Seguridad: se prevé la publicación de nueva norma específica para ampliar el detalle de la sección de seguridad del EJIS, que amplia la normativa de seguridad del Test de compatibilidad.
  • Coordinación: el CTEAJE coordinará la gestión de incidentes entre los órganos que los sufran y los servicios prestados por el Centro Criptológico Nacional

Se puede ampliar la información en esta interesante presentación sobre la Modernización de la Administración de Justicia

REGLAMENTO DE EJECUCIÓN (UE) 2015/806 DE LA COMISIÓN de 22 de mayo de 2015 por el que se establecen especificaciones relativas a la forma de la etiqueta de confianza «UE» para servicios de confianza cualificados

1 respuesta

Se acaba de publicar el REGLAMENTO DE EJECUCIÓN (UE) 2015/806 DE LA COMISIÓN de 22 de mayo de 2015 por el que se establecen especificaciones relativas a la forma de la etiqueta de confianza «UE» para servicios de confianza cualificados con arreglo al artículo 23, apartado 3, del Reglamento (UE) no 910/2014 del Parlamento Europeo y del Consejo relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Texto pertinente a efectos del EEE)

REGLAMENTO DE EJECUCIÓN (UE) 2015/806 DE LA COMISIÓN de 22 de mayo de 2015 por el que se establecen especificaciones relativas a la forma de la etiqueta de confianza «UE» para servicios de confianza cualificados

(Texto pertinente a efectos del EEE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) no 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (1), y, en particular, su artículo 23, apartado 3,

Considerando lo siguiente:

(1)

El Reglamento (UE) no 910/2014 establece que los proveedores de servicios de confianza cualificados podrán utilizar una etiqueta de confianza para los servicios de confianza cualificados a fin de reforzar la confianza y la conveniencia para los usuarios. Esta etiqueta de confianza distingue claramente los servicios de confianza cualificados de los demás servicios de confianza, contribuyendo así a la transparencia en el mercado y fomentando por ende la confianza en los servicios en línea y la conveniencia de estos, aspectos esenciales para que los usuarios los aprovechen plenamente y confíen sin reservas en los servicios electrónicos.

(2)

La Comisión organizó un concurso para estudiantes de arte y diseño de los Estados miembros, a fin de recibir propuestas sobre un nuevo logotipo. Un jurado de expertos seleccionó las tres mejores propuestas sobre la base de los criterios especificados en el pliego de condiciones técnicas y de diseño de la «e-Mark U Trust Competition». Se celebró una consulta en línea entre el 14 de octubre y el 14 de noviembre de 2014. El logotipo propuesto, elegido por la mayoría de los visitantes del sitio web durante dicho período y respaldado por una decisión final del jurado, debe ser ahora adoptado como nueva etiqueta de confianza «UE» para servicios de confianza cualificados.

(3)

A fin de que el logotipo pueda utilizarse tan pronto como sea aplicable con arreglo a la legislación de la Unión y de garantizar el funcionamiento efectivo del mercado interior y la competencia leal y proteger los intereses de los consumidores, la nueva etiqueta de confianza «UE» para servicios de confianza cualificados ha sido registrada como marca colectiva en la Oficina de Propiedad Intelectual del Reino Unido, por lo que está en vigor, es utilizable y está protegida. El logotipo será registrado también en los registros de la Unión e internacionales.

(4)

Las medidas previstas en el presente Reglamento se ajustan al dictamen del Comité establecido por el artículo 48 del Reglamento (UE) no 910/2014.

HA ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1

La etiqueta de confianza «UE» para servicios de confianza cualificados será de la forma que se indica en los anexos I y II, sin perjuicio de lo dispuesto en el artículo 2.

Artículo 2

1.   Los colores de referencia de la etiqueta de confianza «UE» para servicios de confianza cualificados serán Pantone no 654 y no 116; o azul (100 % cian + 78 % magenta + 25 % amarillo + 9 % negro) y amarillo (19 % magenta + 95 % amarillo), en caso de utilizarse la cuatricromía; cuando se utilicen colores RGB, los colores de referencia serán azul (43 rojo + 67 verde + 117 azul) y amarillo (243 rojo + 202 verde + 18 azul).

2.   La etiqueta de confianza «UE» para servicios de confianza cualificados podrá utilizarse solo en blanco y negro, según se muestra en el anexo II, si no resulta práctico utilizar el color.

3.   Si la etiqueta de confianza «UE» para servicios de confianza cualificados se utiliza sobre fondo oscuro, podrá utilizarse en formato negativo empleando el mismo color de fondo, tal como se muestra en los anexos I y II.

4.   Si la etiqueta de confianza «UE» para servicios de confianza cualificados se utiliza en color sobre un fondo coloreado que dificulte su visualización, podrá utilizarse una línea de delimitación alrededor de dicha etiqueta a fin de mejorar el contraste con los colores del fondo.

Artículo 3

La etiqueta de confianza «UE» para servicios de confianza cualificados tendrá una dimensión mínima que garantice la conservación de los atributos visuales y formas clave, pero su tamaño no será inferior a 64 × 85 píxeles 150 dpi.

Artículo 4

La etiqueta de confianza «UE» para servicios de confianza cualificados se utilizará de una manera que permita reconocer claramente los servicios cualificados que corresponden a la etiqueta. La etiqueta de confianza podrá ir acompañada de elementos gráficos o textuales que indiquen claramente los servicios de confianza cualificados para los que se utiliza, a condición de que no modifiquen la naturaleza de la etiqueta de confianza «UE» para servicios de confianza cualificados ni alteren el vínculo con las listas de confianza aplicables a que se refiere el artículo 23, apartado 2, del Reglamento (UE) no 910/2014.

Artículo 5

El presente Reglamento entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 22 de mayo de 2015.

Por la Comisión

El Presidente

Jean-Claude JUNCKER

(1)  DO L 257 de 28.8.2014, p. 73.

ANEXO I

Etiqueta de confianza «UE» para servicios de confianza cualificados en color

confianza-ue-color

 

ANEXO II

Etiqueta de confianza «UE» para servicios de confianza cualificados en blanco y negro

confianza-ue-negro

 

¿Donde están las TSL europeas?

4 respuestas

La recientemente publicada Ley 15/2014 señala:

En lo que respecta a la firma electrónica en la Administración pública, se modifica la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, para asegurar el uso de una única relación de certificados electrónicos reconocidos en todas las Administraciones Públicas, de manera que se liberen recursos administrativos para otros fines más productivos y se eliminen los costes y cargas que su aceptación en cada Administración Pública supone para los prestadores de servicios. Esa lista será la lista de confianza de prestadores de servicios de certificación establecidos en España que mantiene el Ministerio de Industria, Energía y Turismo, que contiene, de manera diferenciada, los certificados electrónicos reconocidos correspondientes a los sistemas de firma electrónica avanzada admitidos por las Administraciones Públicas. Dicha lista sustituye a las relaciones de prestadores de servicios de certificación que cada Administración puede crear en la actualidad, por lo que decae la necesidad de publicarlas a que se refería el artículo 15.2 de la Ley 11/2007, de 22 de junio.

Aunque no es objeto de la regulación contenida en la presente disposición, debe tenerse en cuenta que se está tramitando un Reglamento europeo sobre identificación electrónica y servicios de confianza para las transacciones en el mercado interior, que obligará a las Administraciones Públicas a admitir también los certificados electrónicos reconocidos emitidos por prestadores de servicios que figuren en las listas de confianza de otros Estados miembros de la Unión Europea en los términos que prevea dicha norma comunitaria, por lo que las Administraciones Públicas deberán ir planteándose la adaptación de sus sistemas a dicha circunstancia, contando para ello con el sistema nacional de verificación de certificados electrónicos en las Administraciones Públicas.

Lo cierto es que a la fecha de publicación en el BOE de dicha norma (el 17 de septiembre de 2014) ya se había publicado el Reglamento UE 910/2014 (en el DOUE  núm. 257, de 28 de agosto de 2014) por lo que ya es de aplicación la obligación de aceptar los certificados recogidos en todas las TSL europeas-

¿Como encontrar todas las TSL?  No es difícil. Seguidamente las indicaré. Agradecería que en lo comentarios incluyáis, quienes la sepáis, la respuesta a la pregunta ¿Como encontrar todas las TSL? porque existen varios métodos.

Austria

Bélgica

Bulgaria

Chipre

Chequia

Alemania

Dinamarca

Estonia

Grecia

España

Finlandia

Francia

Croacia

Hungría

Irlanda

Islandia

Italia

Liechtenstein

Luxemburgo

Latvia

Malta

Holanda

Noruega

Polonia

Portugal

Rumanía

Suecia

Eslovenia

Eslovaquia

Reino Unido