Archivo de la categoría: Firma digital

Identidad digital en España y en la UE


Perdonad el poco margen de aviso de la celebración de este evento el próximo martes 7 de noviembre a las 18:00 con posibilidad de acudir telemáticamente o presencialmente al Instituto de Ingeniería de España (Madrid, Calle del General Arrando, 38, 28010). Este es el enlace de inscripción. También se puede llamar para la inscripción al 91 319 74 17.

ORGANIZADO POR:

El Comité de Sociedad Digital del Instituto de Ingeniería de España.

07 de noviembre 18:00 horas

Es posible Inscribirse a la jornada en esta página o en el 91 319 74 17

La jornada presencial se retransmitirá en directo. https://www.iies.es/events/identidad-digital-en-espana-y-en-la-ue

PRESENTACIÓN

El pasado 3 de junio de 2021 la Comisión Europea propuso un marco para una identidad digital europea que estará a disposición de todos los ciudadanos, residentes y empresas en la UE. A través de sus carteras de identidad digital europea, los ciudadanos podrán demostrar su identidad y compartir documentos electrónicos, para lo cual bastará pulsar un botón en el teléfono. Su identificación digital nacional, que estará reconocida en toda Europa, les permitirá acceder a servicios online. El uso de la cartera de identidad digital europea quedará siempre a discreción del usuario. La Comisión Europea está invirtiendo 46 MEUR para probar y mejorar la billetera de identidad digital europea (EUDI) mediante el desarrollo de 4 proyectos piloto paneuropeos que probarán el uso de la billetera EUDI para individuos y empresas en una amplia gama de casos de uso cotidiano.

PROGRAMA

18:00 Bienvenida a los asistentes y presentación de la Jornada.

D. José Trigueros. Presidente del Instituto de la Ingeniería de España.

D. Víctor Izquierdo Loyola. Presidente del Comité de Sociedad Digital del IIE.

18:10 La identidad digital en las relaciones ciudadano – Administración.

D. Miguel Solano Gadea. Experto en Administración Digital. Canal ViCoTAE.

18:40 El Reglamento eIDAS2 y la Wallet de Identidad EUDI.

D. Julián Inza. Presidente de EAD Trust. Director del Laboratorio de Confianza Digital del Observatorio Legaltech & Newlaw Garrigues-ICADE.

19:10 D. Selva Orejón, CEO de onBranding, empresa especializada en la protección de la identidad de marcas y organizaciones.

19:40 Coloquio moderado por: D. Víctor Izquierdo Loyola. Presidente del Comité de Sociedad Digital del IIE.

19:45 Clausura de la jornada

15TH CA-DAY


Hoy, 12 de octubre de 2023, ha tenido lugar el decimoquinto «Dia de los Servicios de Certificación» (15TH CA-DAY). Este evento está asociado con el que se celebró ayer: el noveno Foro de los Servicios de Confianza e Identidad Digital (9th Trust Services and eId Forum).

El principal objetivo de estas jornadas es abordar los últimos avances en el marco de eIDAS2, los servicios de confianza en virtud de la Directiva NIS2, la próxima implementación de la Cartera Digital de la UE, así como la solución tecnológica con el fin de proporcionar servicios en línea seguros a los ciudadanos de la UE.

08:00 – 09:00Registrations and breakfast 
09:00 – 09:15Welcome by D-Trust and TÜVITKim Nguyen
Dirk Kretzschmar
09:15 – 09:30Keynote Andrea Valle, Adobe
09:30 – 09:50eIDAS 2.0 – What is new for TSP? Viky Manaila, Intesi Group
09:50 – 10:10NIS II and eIDAS II: How to audit Trust Services in 2025? Paloma Llaneza González, CerteIDAS
10:10 – 10:30QWACs and QSeals Identifying Reliable SourcesEnrico Entschew, D-Trust
Andreas Wand, D-Trust
10:50 – 11:10Auditing TSP Services in the Cloud Matthias Wiedenhorst, TÜVIT
11:10 – 11:30European Cyber regulations at a glance Slawomir Gorniak, ENISA
11:30 – 11:50Remote identification under eIDAS Jon Olnes, Signicat
11:50 – 12:10Wallet use cases for TSPsMichal Tabor, Obserwatorium.biz
12:30 – 12:50SSI and PKI – enabling attribute attestationsChristian Seegebarth, IDunion
12:50 – 13:10eIDAS 2.0 Toolbox: Selective Disclosure for EAA Sebastian Elfors, IDNow
13:10 – 13:30Post Quantum Cryptography Jan Klaußner, Bundesdruckerei
14:30 – 14:50CAB-Forum Updates and S/MIME Baseline RequirementsDimitris Zacharopoulos, CA/Browser-Forum
14:50 – 15:10International market for trust servicesDean Coclin, DigiCert
15:10 – 15:50Panel Discussion +Q&A: TSP governance – European vs. Root storesDennis Jackson, Mozilla
Jochen Eisinger, GoogleArno Fiedler, Nimbus Technologieberatung
Paul van Brouwershaven, Entrust
Kim Nguyen, D-Trust
15:50 – 16:00Closing remarksKim Nguyen,
Arno Fiedler

Al finalizar estos dos días quedan muchas inquietudes por resolver y algunas ideas:

  • El 4 de noviembre comenzará el debate final de los Trílogos sobre Identidad Digital con previsión de que el nuevo Reglamento (EIDAS2) se publique en Diciembre de 2023.
  • La Cartera Digital enfrenta como mayor reto la adopción.
  • La estructura de Prestadores de Servicios de expedición de testimonios cualificados presenta muchos retos e incertidumbres
  • No está claro aun como se evaluará la seguridad de la Cartera Digital ni los Servicios de expedición de testimonios cualificados.

Laboratorio de Confianza Digital ICADE Garrigues


La Universidad Pontificia Comillas y el despacho de abogados Garrigues, firmaron un convenio para crear el Observatorio ‘Legaltech’, Garrigues-ICADE.

El Observatorio, depende de la Facultad de Derecho (Comillas ICADE), a través del Centro de Innovación del Derecho (CID-ICADE).

En la organización del Observatorio destacan Fernando Vives (Presidente), Iñigo Navarro (Codirector), Moisés Menéndez (Codirector), Ofelia Tejerina (Coordinadora) y Hugo Alonso (Gestión de Proyectos).

Formando parte del Observatorio se han definido ya varios laboratorios:

Ahora se crea el Laboratorio de Confianza Digital ICADE Garrigues y he sido nombrado Director del Laboratorio, lo que para mi es un gran honor.

Aunque todavía estoy recopilando información para incorporarla a la página web del Laboratorio que se creará en el sitio de la Universidad de Comillas quisiera comentar que en este momento estamos dando prioridad al análisis del futuro Reglamento EIDAS2 y a la formulación de la Cartera IDUE que se espera que en unos dos años esté disponible para todos los ciudadanos europeos.

Hemos creado un Enlace de invitación al Canal de Whatsapp del Laboratorio de Confianza Digital en el que comentaremos novedades y al que se pueden conectar las personas interesadas.

Posteriormente organizaremos eventos presenciales con diversos ponentes en las instalaciones de la Universidad.

Y dado que soy de Pamplona y hoy es 6 de julio, pongo esta fotico del chupinazo que se ha disparado a las 12 de la mañana desde el balcón del ayuntamiento para celebrar que hoy comienzan las fiestas de San Fermín.

Avanza la tramitación del eIDAS2, el reglamento de servicios de confianza e identidad digital


La mañana del 29 de junio de 2023 comenzó con una pequeña celebración en relación con el proceso de aprobación del Reglamento EIDAS2.

El anuncio de que el Consejo y el Parlamento alcanzaban un acuerdo sobre el marco legislativo de la identidad digital europea

Un acuerdo logrado entre las 2 y las 3 de la madrugada para consensuar los aspectos más espinosos del futuro Reglamento. La noticia (publicada en la web de la unión europea alrededor de las 3 y media de la madrugada) matizaba «los representantes de la Presidencia del Consejo y del Parlamento Europeo han alcanzado un acuerdo político provisional sobre los elementos principales de un nuevo marco para una identidad digital europea«.

Lo había anunciado Thierry Breton en el minuto 2:29:29 de este video que recoge el evento Digital Assembly 2023 los dias 15 y 16 de junio de 2023.

El Reglamento revisado impone el instrumento que servirá para gestionar identidad digital en Europa sobre la base de que garantice el acceso universal, de personas y empresas, a una identificación y una autenticación electrónicas seguras y fiables: una cartera digital personal posiblemente instalada en el teléfono móvil.

Cada vez son más las personas que utilizan su identidad y sus credenciales en sus relaciones diarias con entidades públicas y privadas; por lo tanto, es indispensable contar con una cartera europea de identidad digital. Así, de aquí al 2030 al menos el 80 % de los ciudadanos de la UE debería poder utilizar una solución de identidad digital para acceder a servicios públicos esenciales.Erik Slottner, ministro de Administración Pública de Suecia

La cartera europea de identidad digital

Uno de los principales objetivos estratégicos del Reglamento revisado consiste en proporcionar a los ciudadanos y a otros residentes, tal como se definen en el Derecho nacional, un medio de identidad digital europeo normalizado conforme al concepto de una cartera europea de identidad digital.

Al tratarse de un medio de identificación electrónica (eID) expedido con arreglo a sistemas nacionales, la cartera constituiría un medio de identidad por derecho propio. El texto del acuerdo provisional desarrolla aún más el concepto de la cartera y su interacción con los medios de identificación electrónicos nacionales.

Un alto nivel de confianza

El nivel de aseguramiento caracteriza el grado de confianza del medio de identificación electrónica, de modo que se ofrezcan garantías de que la persona que afirma poseer una identidad determinada es ciertamente la persona a la cual se ha atribuido dicha identidad. A este respecto, la cartera se debe emitir con un sistema de identificación electrónica que cumpla el nivel de aseguramiento «alto». El acuerdo provisional aclara asimismo que la emisión, la utilización para autenticación y la revocación de las carteras deben ser gratuitas para las personas físicas. La cartera también ofrecerá a las personas físicas la posibilidad de realizar firmas electrónicas de manera gratuita.

Ampliación de la lista de servicios de confianza

Además, para responder a la dinámica de los mercados y a la evolución tecnológica, el Reglamento revisado amplía la actual lista de servicios de confianza con tres nuevos servicios de confianza cualificados, incluyendo la prestación de servicios de libros registro electrónicos de transacciones y la gestión remota de dispositivos cualificados de creación de firmas y de sellos electrónicos.

Un enfoque armonizado de seguridad

El Reglamento revisado ofrece también un enfoque armonizado con respecto a la seguridad, tanto para los ciudadanos que utilicen su identidad digital europea como para los prestadores de servicios en línea, que podrán confiar en esa identidad digital y aceptarla con independencia de dónde se hayan expedido.

Las nuevas normas implican un cambio para las entidades gestoras de soluciones de identidad digital europea, al proporcionar una arquitectura técnica, un marco de referencia y unas normas comunes que se desarrollarán con los Estados miembros. Así, los usuarios podrán contar con un ecosistema mejorado de identidad electrónica y servicios de confianza reconocidos y aceptados en toda la UE.

Armonización con la legislación vigente en materia de ciberseguridad

El Reglamento revisado debe aprovechar los esquemas de certificación pertinentes y existentes del Reglamento sobre la Ciberseguridad, así como confiar en ellos y exigir su utilización, para certificar que las carteras cumplen los requisitos de ciberseguridad aplicables. Con objeto de armonizar en la medida de lo posible el Reglamento de Identificación Electrónica revisado con la legislación vigente sobre ciberseguridad, los Estados miembros designarán organismos públicos y privados acreditados para certificar la cartera, tal como se contempla en el Reglamento sobre la Ciberseguridad.

Testimonios electrónicos de atributos expedidos por organismos públicos

Se ha mantenido de la propuesta original de la Comisión la expedición de declaraciones electrónicas de atributos, como certificados médicos o cualificaciones profesionales, por prestadores cualificados . De este modo, el texto del acuerdo provisional garantiza un reconocimiento a escala europea de tales credenciales en formato electrónico y permite a los usuarios limitar la cesión de datos de identidad a lo estrictamente necesario para la prestación de un servicio.

Correspondencia entre registros

El marco revisado introduce la obligación de que los Estados miembros lleven a cabo correspondencias inequívocas de identidad para los servicios transfronterizos.

Siguientes etapas

Proseguirán los trabajos técnicos para completar el texto jurídico de conformidad con el acuerdo político. Una vez finalizado, el texto se remitirá a los representantes de los Estados miembros (Coreper) para su refrendo. Tras la formalización jurídico-lingüística, el Reglamento revisado deberá ser adoptado formalmente por el Parlamento y por el Consejo, antes de que pueda publicarse en el Diario Oficial de la UE y entrar en vigor.

Contexto

En junio de 2021, la Comisión propuso un marco de funcionamiento para una identidad digital europea que estaría a disposición de todos los ciudadanos, residentes y empresas de la UE, por medio de una cartera europea de identidad digital.

El nuevo marco propuesto modificará el Reglamento de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento eIDAS), que sentó las bases para acceder de forma segura a los servicios y realizar transacciones en línea y transfronterizas en la UE.

Mediante esta propuesta se exige a los Estados miembros que expidan una cartera europea de identidad digital, en el marco de un sistema de identidad electrónica notificado (requisito anterior para los sistemas de identidad digital nacionales), con arreglo a normas técnicas comunes y tras una certificación obligatoria. A fin de establecer la arquitectura técnica necesaria, acelerar la aplicación del Reglamento revisado, impartir directrices a los Estados miembros y evitar la fragmentación de solucione de identidad, la propuesta iba acompañada de una Recomendación sobre la creación de un conjunto de instrumentos (Toolbox) de la Unión que ha definido las especificaciones técnicas de la cartera y que sigue en evolución.

Tras el madrugador anuncio, que muchos pensábamos que prácticamente dejaba aprobado el nuevo Reglamento listo para su publicación en el Diario Oficial vinieron algunas pertinentes aclaraciones de RomanaJerković después de las 16:00 horas:

Los eurodiputados y la Presidencia sueca del Consejo alcanzaron el jueves un acuerdo provisional sobre los elementos clave de la legislación, durante las negociaciones interinstitucionales.

La Cartera de Identidad Digital permitirá a los ciudadanos identificarse y autenticarse en línea sin tener que recurrir a los servicio de identificación de grandes portales, como ocurre hoy en día, una práctica que plantea problemas de confianza, seguridad y privacidad. También dará a los usuarios más control sobre sus datos personales y les permitirá decidir qué información personal ceden y a quién.

La ponente Romana Jerković (S&D, HR) celebró el progreso realizado en las negociaciones con el Consejo el jueves: «Tenemos un acuerdo político sobre los elementos clave de la propuesta. El Marco Europeo de Identidad Digital es una legislación que cambiará las reglas del juego e impulsará la digitalización del sector público y de la sociedad en su conjunto. Queda trabajo por hacer, pero estamos muy cerca de alcanzar un acuerdo definitivo sobre todo el paquete. Estoy muy satisfecha con el resultado del diálogo a tres bandas (trílogos), en el que todas las instituciones reafirmaron su compromiso político con la necesidad de garantizar unos niveles elevados de protección de datos, privacidad y ciberseguridad como condiciones previas para la confianza», añadió.

«En el fondo, el objetivo primordial de esta legislación es mejorar la vida cotidiana de los ciudadanos de la UE. Pretende facilitarles el acceso a los servicios del sector público y privado, no sólo en sus propios países, sino también durante sus viajes y estancias en otros Estados miembros de la UE. Las posibilidades son ilimitadas, garantizando que los ciudadanos puedan ejercer plenamente sus derechos dondequiera que vayan», afirmó.

Durante las negociaciones, los eurodiputados se aseguraron de que la Cartera Europea de Identidad Digital se convierta en una herramienta multiuso que también pueda permitir interacciones entre particulares, utilizar firmas electrónicas para firmar los documentos y generar seudónimos. Los eurodiputados también impulsaron medidas para reforzar la privacidad y la ciberseguridad, así como para exigir que las partes informadas que van a recibir datos de la Cartera se registren ante las autoridades nacionales antes de interactuar con la Cartera.

La certificación de la Cartera Europea de Identidad Digital conforme al Reglamento General de Protección de Datos (RGPD) sería voluntaria, aunque con una cláusula de revisión. A través del denominado cuadro de mandos de privacidad, los usuarios tendrán la posibilidad de solicitar a través de la Cartera que se eliminen datos que anteriormente cedieron haciendo más efectivo el ejercicio de los derechos previstos en la normativa RGPD.

El uso de la Cartera de la UE será siempre voluntario. Los eurodiputados también quieren garantizar que los ciudadanos que decidan no adoptarlo no reciban un trato diferente al de los que sí lo hagan. El sistema obliga a cada Estado miembro a notificar al menos una «Cartera» en el marco de un sistema nacional de identificación electrónica que sería interoperable en toda la UE.

El proyecto legislativo incluye disposiciones para solicitar, obtener, almacenar, combinar y utilizar de forma segura datos de identificación personal y certificados electrónicos, que pueden utilizarse para autenticarse en línea y fuera de línea y para acceder a servicios públicos y privados.

Próximos pasos

Habrá que seguir debatiendo con el Consejo para ultimar el expediente. A continuación, el Parlamento y el Consejo tendrán que aprobarlo este mismo año antes de que se convierta en ley.

Antecedentes

Un estudio del servicio de estudios del Parlamento Europeo destaca que, desde la pandemia, la prestación de servicios públicos y privados se ha ido digitalizando cada vez más. Al mismo tiempo, entidades como bancos, proveedores de servicios de comunicación electrónica y empresas de servicios públicos, algunas de las cuales están obligadas a recopilar atributos de identidad, están actuando como prestadores de identidad verificada.

Las soluciones de Cartera digital existentes suelen estar vinculadas a soluciones de pago y permiten a los usuarios almacenar y vincular datos en un único entorno orientado a su sencillez de uso en teléfonos móviles. Sin embargo, según la Comisión, esta comodidad se produce a costa de la pérdida de control sobre los datos personales, mientras que estas soluciones están desconectadas de una identidad física verificada, lo que hace más difícil mitigar las amenazas de fraude y ciberseguridad.

Conclusión

Tras el anuncio a mediados de junio de que entre los días 28 y 30 de junio de 2023 se completaría el acuerdo de los trílogos respecto al Reglamento EIDAS2, parecía que el texto final de Reglamento se adoptaría durante la presidencia Sueca de la Unión Europea. Pero todavía quedan aspectos pendientes, por lo que una estimación anterior de que adopción del Reglamento se completaría durante la Presidencia Española parece ya fuera de toda duda. La fecha probable podría ser septiembre u octubre de 2023.

Y a partir de ese momento se consideran los plazos para promulgar las normas de implementación de la Unión Europea que finalmente conduzcan a la disponibilidad de la Cartera IDUE (EUDI Wallet).

EADTrust se incorpora al Grupo Garrigues


Garrigues ha adquirido una participación del 51% en EAD Trust, compañía especializada en el desarrollo de productos y la prestación de servicios de confianza digital registrada como Prestador Cualificado de Servicios Electrónicos de Confianza en el Ministerio de Asuntos Económicos y Transformación Digital.

De este modo, el prestigioso despacho de abogados se posiciona en un mercado clave como es el de la confianza digital en el contexto del próximo reglamento eIDAS2 (Electronic IDentification, Authentication and Trust Services 2), una iniciativa de la Unión Europea para actualizar la normativa actual de servicios de confianza e identidad digital y conseguir un marco legal más adecuado a las necesidades de empresas y ciudadanos en una sociedad cada vez más conectada y digitalizada.

Con cerca de 15 años de historia, EAD Trust desarrolla servicios y productos digitales y proyectos a medida.

Su compromiso con la calidad y la innovación se refleja en su reconocimiento como Prestador Cualificado de Servicios Electrónicos de Confianza que opera en toda Europa, tras superar exigentes auditorías de cumplimiento, que se suman a sus certificaciones ISO 9001, ISO 27001, ISO 20000-1 y ENS de nivel medio.

La compañía emite certificados cualificados de persona física y jurídica, sellos de tiempo cualificados y certificados cualificados de sitio web, además de dar soporte a sellos y firmas electrónicas cualificadas en la nube y prestar servicios de contratación online y de interposición en las comunicaciones.

La labor de los proveedores de servicios de confianza como EAD Trust cobrará mayor relevancia con la próxima entrada en vigor del nuevo reglamento europeo –previsiblemente, este año–, que redefinirá el mercado. De hecho, este cambio regulatorio supondrá un desarrollo clave de la cartera europea de identidad digital IDUE (EUID Wallet), en la que EAD Trust está trabajando activamente. 

La entrada de Garrigues en su capital supone un reenfoque estratégico para EAD Trust, que se reflejará en los próximos meses en el lanzamiento de nuevos productos y servicios para fortalecer su posicionamiento en el mercado de la confianza digital tanto en España como en el resto de los países en los que está presente el despacho.

La amplia experiencia en economía digital de Garrigues y su visión regulatoria desde todas las perspectivas del derecho de los negocios constituyen una garantía de seguridad jurídica para los nuevos productos y servicios.

Fernando Vives, presidente ejecutivo de Garrigues, destaca que “la economía digital experimenta un crecimiento sin precedentes, lo que conlleva la necesidad de asegurar la seguridad jurídica en cada transacción digital. La inversión en EAD Trust constituye un paso muy relevante en la estrategia del despacho para desarrollar y habilitar infraestructuras digitales legales en los próximos años. Confiamos en que, de la mano de EAD Trust, seremos capaces de brindar soluciones innovadoras y seguras a nuestros clientes, fortaleciendo así la confianza en las transacciones digitales”.

Julián Inza, presidente de EAD Trust, explica que “nuestra misión es impulsar la sociedad del futuro con ideas, productos y servicios capaces de minimizar aquellas transacciones que mantienen el uso de papel por si fuera necesario su valor probatorio, dado que ya es posible generar, custodiar y presentar evidencias digitales de cualquier actividad o relación con las que dar respuesta técnica a todas las necesidades jurídicas. Estamos en un mundo que necesita pasar de un paradigma físico a otro digital y es preciso garantizar la aplicabilidad de las herramientas de seguridad jurídica en ambos. Con el apoyo de Garrigues, estamos listos para pasar al siguiente nivel”. 

Algunos puntos de interés:

  • Registrada como Prestador Cualificado de Servicios Electrónicos de Confianza por el Ministerio de Asuntos Económicos y Transformación Digital, EAD Trust es una compañía especializada en el desarrollo de productos digitales y proyectos a medida, con énfasis en su validez legal
  • Como resultado de esta alianza, en los próximos meses tendrá lugar el lanzamiento de nuevos productos y servicios relacionados con la confianza digital en el contexto del próximo reglamento europeo sobre identidad digital, eIDAS2
  • Formar parte del Grupo Garrigues representa un enorme potencial para difundir las herramientas que permiten la Transformación DIgital de la Sociedad, sin merma del valor probatorio

Normas ETSI TS 119 462, ETSI TS 119 471 y ETSI TS 119 472 para la Cartera IDUE


En el contexto del desarrollo de la Cartera IDUE de la que ya he hablado en este Blog hay varias iniciativas en marcha que contribuyen a elevar las expectativas y a acelerar el proyecto. Un gran reto para un proyecto complejo, especialmente considerando su carácter transfronterizo.

Uno de los aspectos de los que se esperan avances es el de la estandarización.

El organismo ETSI ha desarrollado diferentes normas técnicas en el contexto del Reglamento (UE) 910/2014 (EIDAS) y también está activo preparando las normas técnicas que se aplicarán una vez que se apruebe el Reglamento EIDAS 2, lo cual puede suceder antes de que se acabe el primer semestre de 2023.

Las normas orientadas a EIDAS 2 (y a la Cartera IDUE) son, entre otras, la ETSI TS 119 462, la ETSI TS 119 471 y la ETSI TS 119 472 de las que incluyo una breve explicación.

ETSI TS 119 462 Cartera IDUE – Interfaces de cartera para servicios de confianza y firma electrónica (EUDI Wallet -Wallet interfaces for trust services and electonic signature)

El objetivo de esta norma es especificar las interfaces que permiten la interacción de los servicios de cartera y los de confianza digital, incluida la firma electrónica. Más concretamente, esta norma especificará:

  • Una interfaz de cartera para prestadores de servicios de confianza con el fin de emitir testimonios de atributos y certificados en la cartera ;
  • Una interfaz del cartera para los prestadores de servicios de confianza cuando actúen como parte informante en la prestación de sus servicios;
  • Una interfaz para la creación de firma electrónica cuando el QSCD (dispositivo cualificado de creación de firma) sea gestionado por el Prestador de servicios de Confianza;
  • Otros casos de uso para la creación de firmas electrónicas y otros servicios de confianza y posibles requisitos para las interfaces;

Este elemento de trabajo tendrá en cuenta el trabajo concurrente sobre las políticas de testimonio de atributos y los perfiles de los testimonios de atributos que se recogen en otras normas, como la TS 119 471 y la TS 119 472.

TS 119 471 Policy and Security requirements for Attribute Attestation Services (Política y requisitos de seguridad para los servicios de testimonio de atributos)

Imagen de la Cartera de Identidad, cortesía de Michał Tabor

El objetivo de esta futura norma de ETSI es especificar los requisitos de política y seguridad de los prestadores de servicios de confianza de testimonio de atributos y los servicios de testimonio de atributos que proporcionan.

Contendrá:

  • Los requisitos de política y seguridad sobre la verificación de atributos y la generación de testimonios por parte del prestador de servicios de confianza;
  • Los requisitos de política y seguridad sobre los servicios de validación del estado de los Testimonios de Atributos;
  • Los requisitos para evaluar la fiabilidad de los Testimonios de Atributos; y
  • Los requisitos sobre el tratamiento de datos personales.

TS 119 472 Profiles for Attribute Attestations (Perfiles para los Testimonios de atributos)

El objetivo de esta norma es especificar los perfiles para los testimonios de atributos.

Más concretamente, especificará:

  • La Semántica para los componentes de los Testimonios de Atributos. Esto incluirá, entre otros, la información enumerada en el anexo V del Reglamento eIDAS 2.0 (pendiente de aprobación).
  • Vinculación de la semántica a una o más sintaxis.

La norma evaluará una serie de sintaxis tales como credenciales verificables de W3C, SAML, JWT (JSON Web Tokens), certificados de atributos X.509 (X.520) y otras.

La norma no limitará los tipos de atributos incluidos en una declaración de atributos (en relación con la identidad alegada).

Puede ser necesaria una normalización separada para definir interfaces para la gestión y el uso de Testimonios de Atributos.

Situación actualizada a noviembre de 2022 del proceso legislativo para reformar el Reglamento EIDAS


  1. La Comisión adoptó la propuesta de Reglamento sobre la identidad digital europea (identificación electrónica europea) el 3 de junio de 2021. La iniciativa modifica el Reglamento eIDAS de 2014, que sentó las bases necesarias para acceder de forma segura a los servicios y realizar transacciones en línea y a través de las fronteras en la UE. 
  • La propuesta, basada en el artículo 114 del TFUE, exige a los Estados miembros que emitan una cartera europea de identidad digital con arreglo a un sistema de identificación electrónica notificado, basado en normas técnicas comunes, tras la certificación obligatoria. Con el fin de establecer la arquitectura técnica necesaria, acelerar la aplicación del Reglamento revisado, proporcionar directrices a los Estados miembros y evitar la fragmentación, la propuesta iba acompañada de una Recomendación para el desarrollo de un conjunto de instrumentos de la Unión (Toolbox). 
  • El Reglamento propuesto tiene por objeto garantizar el acceso universal de las personas y las empresas a una identificación y autenticación electrónicas seguras y fiables mediante una cartera digital personal en un teléfono móvil. 

II. TRABAJO EN LAS DEMÁS INSTITUCIONES

  1. En el Parlamento Europeo, la propuesta se remitió a la Comisión de Industria, Investigación y Energía (ITRE), y se solicitó opinión a tres comisiones, a saber, la Comisión de Mercado Interior y Protección del Consumidor (IMCO), la Comisión de Asuntos Jurídicos (JURI) y la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE). La ponente del expediente es Romana Jerković (S&D, Croacia). La Comisión ITRE aún no ha aprobado su informe.
  • El 15 de julio de 2021, se invitó al Comité Económico y Social Europeo a emitir su dictamen sobre la propuesta, que se presentó posteriormente el 20 de octubre de 2021. El Comité Europeo de las Regiones emitió espontáneamente un dictamen sobre la propuesta el 12 de octubre de 2021.
  • El Supervisor Europeo de Protección de Datos (SEPD) publicó observaciones formales sobre la propuesta el 28 de julio de 2021.

III. SITUACIÓN EN EL CONSEJO 

  1. En el Consejo, la propuesta ha sido examinada en el Grupo «Telecomunicaciones y Sociedad de la Información» (WP TELECOM), que inició los debates bajo la Presidencia portuguesa en junio de 2021. El análisis de la propuesta continuó en WP TELECOM bajo la Presidencia eslovena, y la primera lectura concluyó con éxito el 15 de noviembre de 2021.
  • La Presidencia francesa presentó su primera propuesta transaccional los días 15 de febrero y 5 de abril de 2022, y la segunda se debatió los días 23 de mayo y 9 de junio de 2022. En relación con un debate de orientación celebrado en WP TELECOM el 19 de julio de 2022, la Presidencia checa, basándose en el trabajo de la Presidencia francesa, destacó las principales cuestiones pendientes de alto nivel y pidió a las delegaciones que expresaran sus opciones preferidas, con vistas a volver a redactar las partes pertinentes de la segunda propuesta transaccional en consecuencia. La versión revisada dio lugar a una tercera propuesta de compromiso que fue presentada por la Presidencia checa en el WP TELECOM de los días 5 y 8 de septiembre de 2022. Las iteraciones adicionales y los ajustes conexos fomentaron con éxito un nivel más profundo de convergencia en la mayoría de las cuestiones pendientes. 
  • Sin embargo, la cuarta propuesta transaccional, presentada a las delegaciones en el WP TELECOM de 28 de septiembre de 2022, reveló una divergencia persistente entre los Estados miembros en torno a una cuestión de alto nivel en particular, a saber, el nivel de aseguramiento («LoA») elegido para la cartera de identidad digital europea. Algunos de los Estados miembros que ya cuentan con un sistema nacional de identificación electrónica adoptaron inicialmente, y posteriormente invirtieron, en un Nivel de Aseguramiento (LoA – Level of Assurance) «sustancial», mientras que en la propuesta actual de identificación electrónica se requiere un LOA de nivel «alto». Consciente de que ya existe un elevado número de medios de identificación electrónica de LoA «sustanciales» emitidos en algunos Estados miembros, la Presidencia checa ha propuesto además un mecanismo para facilitar el registro de usuarios, contribuyendo así a la adopción de las carteras de identidad digital europeas. La disposición permite a los usuarios inscribirse en la cartera de identidad digital europeo utilizando los medios nacionales de identificación electrónica existentes en base a LoA «sustanciales» junto con procedimientos adicionales de obtención remota de la identidad digital que conjuntamente permiten cumplir los requisitos de LoA «alto». Las especificaciones técnicas y operativas requerida están sujetas al desarrollo de legislación de aplicación para ello y deberá ser posible la certificación de la conformidad con los requisitos, llevada a cabo por un Organismo de Evaluación.
  • La quinta propuesta de compromiso se discutió durante la reunión de WP TELECOM del 25 de octubre de 2022. Durante la reunión de WP TELECOM del 8 de noviembre de 2022, la Presidencia checa presentó los limitados cambios introducidos y, además de los comentarios adicionales y las sugerencias de redacción recibidas de las Delegaciones, preparó la versión final del texto transaccional con vistas a presentarlo al Coreper
  • El 18 de noviembre de 2022, el Coreper examinó esta propuesta transaccional y acordó por unanimidad presentarla al Consejo TTE (Telecomunicaciones), sin ningún cambio, con vistas a una orientación general en su reunión del 6 de diciembre de 2022.

IV. PRINCIPALES ELEMENTOS DE LA PROPUESTA TRANSACCIONAL      

1. La cartera europea de identidad digital

Uno de los principales objetivos políticos de la propuesta de la Comisión de una cartera de identidad digital europea («cartera») es el de proporcionar a los ciudadanos y otros residentes, tal como se definen en la legislación nacional, un medio europeo armonizado de identidad digital basado en el concepto de una cartera europea de identidad digital. Como medio de identificación electrónica («medio de identificación electrónica») emitido en virtud de sistemas nacionales con nivel de aseguramiento «alto», la cartera sería un medio de identificación electrónica por derecho propio basado en la emisión de datos de identificación personal y de la propia cartera por parte de los Estados miembros.

2. Nivel de aseguramiento de la cartera europea de identidad digital

Los niveles de aseguramiento («LoA») deben determinar el grado de confianza en los medios de identificación electrónica para establecer la identidad de una persona, proporcionando así garantías de que la persona que reivindica una identidad determinada es, de hecho, la persona a la que se asignó dicha identidad.

Sobre la base del amplio apoyo registrado en las reuniones del Grupo de Trabajo y en el debate del Coreper del 14 de octubre de 2022, la cartera deberá expedirse dentro de un sistema de identificación electrónica que cumpla con el nivel de aseguramiento «alto». Además, se ha añadido al artículo 6 bis una disposición específica sobre el registro de usuarios. Este cambio tiene por objeto abordar las preocupaciones de los Estados miembros en los que ya se ha emitido un número significativo de medios nacionales de identificación electrónica en base a niveles de aseguramiento «sustanciales». La disposición permite a un usuario utilizar sus medios nacionales de identificación electrónica junto con procedimientos adicionales para darse de alta de forma remota y hacer posible la prueba de identidad en base a un nivel de aseguramiento «alto» y, en última instancia, a obtener una cartera. Dado que el proyecto de Reglamento sobre identificación electrónica se basa en esquemas de certificación de ciberseguridad que deben aportar un nivel armonizado de confianza en la seguridad de las carteras de identidad digitales europeas, también se espera que el almacenamiento seguro de material criptográfico esté sujeto a certificación de ciberseguridad tras un proceso de evaluación. Por consiguiente, la Presidencia ha propuesto un nuevo considerando 10 ter que  aborde estas condiciones técnicas previas para lograr un nivel de aseguramiento «alto» y permita un proceso de seguimiento dentro de la aplicación de las carteras de identidad digitales europeas.

3. Notificación a las partes informadas

3.1 Se ha reformulado el artículo 6ter, relativo a la notificación a las partes informadas (las que reciben algún tipo de testimonio o información de la cartera, denominadas a veces «partes que confían»). Como norma general, el proceso de notificación mediante el cual la parte informada comunica su intención de confiar en la cartera debe ser rentable, proporcional al riesgo y debe garantizar que la parte informada proporciona al menos la información necesaria para autenticarse frente a la cartera. De forma predeterminada, solo se requiere mínima información, y la notificación debe permitir el uso de procedimientos automatizados o simples de autonotificación. 

3.2 Sin embargo, puede ser necesario un régimen específico debido a requisitos sectoriales, como los aplicables al tratamiento de categorías especiales de datos personales. Por lo tanto, se ha introducido una disposición para ello que tiene por objeto cubrir los casos en que se requiere un procedimiento de registro o autorización más estricto. A la inversa, cuando el Derecho de la Unión o nacional no establezca requisitos específicos para acceder a la información facilitada a través de la cartera, los Estados miembros podrán eximir a dichas partes informadas de la obligación de notificar su intención de confiar en las carteras.

4. Certificación

4.1 El Reglamento debe aprovechar, basarse y exigir el uso de esquemas de certificación de la normativa de Ciberseguridad pertinentes y existentes, o partes de los mismos, para certificar el cumplimiento de las Carteras, o partes de los mismos, con los requisitos de ciberseguridad aplicables, por ejemplo, la de ser considerado un dispositivo cualificado de gestión de claves privadas. En consecuencia, se aplica plenamente el marco de la normativa europea de Ciberseguridad, incluido el mecanismo de revisión inter pares entre las autoridades nacionales de certificación de la ciberseguridad previsto en la normativa europea de Ciberseguridad. Con el fin de armonizar en la medida de lo posible el Reglamento sobre identificación electrónica y la normativa europea de ciberseguridad, los Estados miembros designarán organismos públicos y privados acreditados para evaluar certificar las carteras según lo dispuesto en el Reglamento de ciberseguridad. 

4.2 Además, se anima a la Comisión a encargar a ENISA que emprenda el desarrollo y la adopción de un esquema específico de la normativa europea de Ciberseguridad para la certificación de la ciberseguridad de la Cartera. Hasta que se desarrolle dicho esquema, el esquema EUCC (esquema europeo de certificación de ciberseguridad basado en criterios «Common Criteria») publicado en virtud de la normativa europea de Ciberseguridad se utilizará como metodología de referencia para la certificación de la cartera. Para los requisitos no relacionados con la ciberseguridad, en particular los que cubren otros aspectos funcionales y operativos de la Cartera, debe establecerse una lista de especificaciones, procedimientos y normas de referencia. Estos requisitos están sujetos a certificación.

5. Plazo para la provisión de la Cartera

Sobre la base de las orientaciones de los Estados miembros, se ha propuesto que el período de ejecución de 24 meses que determina la obligación de que los estados miembros ofrezcan su Cartera, se empiece a contar a partir de la adopción de los actos de ejecución a los que se refieren el artículo 6 bis, apartado 11, y  el artículo 6 quater, apartado 4

6. Tarifas

En el artículo 6 bis, apartado 6 bis, y en el considerando correspondiente se ha aclarado  que la expedición, el uso para la autenticación y la revocación de carteras deben ser gratuitos para las personas físicas. Excepto cuando se utilizan Carteras para la autenticación, los servicios que dependen del uso de la Cartera pueden incurrir en costes, por ejemplo, la emisión de los certificados electrónicos de atributos para su gestión por una Cartera. 

7. Acceso a las funciones de hardware y software, incluido el «elemento seguro»

La Presidencia ha sugerido establecer una articulación explícita con el Reglamento (UE) 2022/1925, que garantiza el acceso a las funciones de hardware y software como parte de los servicios básicos de plataforma proporcionados por los guardianes de acceso a los servicios en Internet. El artículo 12 ter, recientemente añadido, aclara que los proveedores de carteras y los emisores de medios de identificación electrónica notificados que actúen a título comercial o profesional son usuarios profesionales de los guardianes de acceso a los servicios en Internet en el sentido de la definición respectiva de la DMA (Digital Markets Act). Se ha añadido una redacción del considerando para esbozar las implicaciones de la interconexión con la DMA, a saber, que debe exigirse a los guardianes de acceso a los servicios en Internet que garanticen, de forma gratuita, la interoperabilidad efectiva con las mismas características del sistema operativo, hardware o software que estén disponibles o se utilicen a efectos de interoperabilidad en la prestación de sus propios servicios complementarios y de apoyo.

8. Posibilidades alternativas para emitir los testimonios electrónicos de atributos por parte de los organismos públicos

Se ha mantenido la posibilidad de emitir testimonios electrónicos cualificados de atributos por parte de prestadores cualificados, incluida la obligación de los Estados miembros de garantizar que los atributos puedan verificarse con una fuente auténtica dentro del sector público. Además, se ha introducido la posibilidad de que los testimonios electrónicos de atributos no cualificados puedan tener los mismos efectos jurídicos que los testimonios electrónicos cualificados de atributos cuando sean expedidos a una Cartera directamente por el organismo del sector público responsable de la fuente auténtica o por un organismo designado del sector público en nombre de un organismo del sector público responsable de una fuente auténtica,  siempre que se cumplan los requisitos necesarios. La propuesta se refleja en los nuevos artículos 45 bis y 45 quinquies y en el anexo VII.

9. Verificación de registros

El artículo 11 bis original  ha pasado a llamarse «Record Matching» (Comprobación de anotaciones registrales) ya que refleja mejor el objetivo de la disposición. Sobre la base de la discusión, el concepto de identificador único y persistente se ha mantenido para las carteras. La definición respectiva aclara que el identificador puede consistir en una combinación de varios identificadores nacionales y sectoriales, siempre que sirva a su propósito. Se establece explícitamente que la verificación de registros puede facilitarse mediante los testimonios electrónicos cualificados de atributos. Además, se ha incorporado al artículo 11 bis una disposición de salvaguardia  según la cual los Estados miembros garantizarán la protección de los datos personales y evitarán la elaboración de perfiles de los usuarios. Por último, los Estados miembros, en su calidad de partes informadas, garantizarán la verificación de anotaciones registrales.

     VI. CONCLUSIÓN 

1. A la luz de lo anterior, se invita al Consejo a: 


Aspectos interesantes de la Ley de Medidas de Eficiencia Digital del Servicio Público de Justicia.


Desde hace meses está en trámite parlamentario la Ley de Medidas de Eficiencia Digital del Servicio Público de Justicia.

Del texto disponible en el Parlamento voy a entresacar algunos artículos interesantes. Puede ser que el texto definitivo cambie al finalizar el proceso legislativo.

Artículo 13. La Carpeta en el ámbito de la Administración de Justicia.

1. La Carpeta Justicia será un servicio único, personalizado, dentro del Punto de Acceso General de la Administración de Justicia, que facilitará el acceso a los servicios, procedimientos e informaciones accesibles de la Administración de Justicia que afecten a un ciudadano o ciudadana cuando sea parte o justifique un interés legítimo y directo en un procedimiento o actuación judicial. Dicho servicio podrá ofrecerse a través de un sistema común, a través de las respectivas sedes judiciales electrónicas de cada uno de los territorios, o a través de ambos sistemas. Para ello el ciudadano o ciudadana y su profesional autorizado o autorizada deberá identificarse previamente en alguna de las formas previstas en esta ley.

2. Reglamentariamente, y previo informe del Comité técnico estatal de la Administración judicial electrónica, se establecerán los requisitos que deberá cumplir la Carpeta Justicia en el ámbito de todo el territorio del Estado.

3. De conformidad con los acuerdos que se adopten en el Comité técnico estatal de la Administración judicial electrónica, la Carpeta Justicia será gestionada para asegurar la completa y exacta incorporación de la información y accesos publicados en ésta, bajo responsabilidad del Ministerio de Justicia.

4. En todo aquello que no esté regulado en esta ley o en su desarrollo reglamentario, se aplicarán las disposiciones reglamentarias establecidas para la Carpeta Ciudadana del Sector Público Estatal, siempre que por su naturaleza resulten compatibles.

5. La Carpeta Justicia será interoperable con la Carpeta Ciudadana del Sector Público Estatal.

Artículo 19. Sistemas de identificación admitidos por la Administración de Justicia.

La identificación en las actuaciones procesales y judiciales se realizará conforme a lo establecido en el artículo 9 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las administraciones públicas, y en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE y la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, sin perjuicio del reconocimiento de los sistemas de identificación de otros países con los que la Administración de Justicia pueda llegar a un acuerdo, en el marco de lo establecido por la Comisión Europea. Por vía reglamentaria podrán habilitarse otros sistemas de identificación digital.

Artículo 20. Sistemas de firma admitidos por la Administración de Justicia.

1. La firma en las actuaciones procesales y judiciales se realizará conforme a lo establecido en el artículo 10 de la Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las administraciones públicas, y en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, y la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza sin perjuicio del reconocimiento de los sistemas de firma de otros países con los que la Administración de Justicia pueda llegar a un acuerdo, en el marco de lo establecido por la Comisión Europea. Por vía reglamentaria podrán habilitarse otros sistemas de firma.

En el marco del Comité técnico estatal de la Administración judicial electrónica podrá determinarse el nivel de firma aplicable en cada una de las actuaciones en el ámbito de la Administración de Justicia. Dicha determinación deberá realizarse en la Guía de Interoperabilidad y Seguridad de autenticación, certificados y firma electrónica, en proporción al nivel de seguridad que se estime necesario para cada clase de actuación.

2. Cuando así lo disponga expresamente la normativa reguladora aplicable, la Administración de Justicia podrá admitir los sistemas de identificación contemplados en esta ley como sistemas de firma cuando permitan acreditar la autenticidad de la expresión de la voluntad y consentimiento de los ciudadanos, ciudadanas y de los profesionales que se relacionan con la Administración de Justicia.

3. Cuando se utilice un sistema de firma de los previstos en este artículo para relacionarse con la Administración de Justicia, la identidad se entenderá ya acreditada mediante el propio acto de la firma.

Artículo 21. Sistemas de firma para las personas jurídicas y entidades sin personalidad jurídica.

Las personas jurídicas y las entidades sin personalidad jurídica podrán utilizar sistemas de firma electrónica con atributo de representante para todos los procedimientos y actuaciones ante la Administración de Justicia, siempre que ello sea conforme con las leyes procesales.

Artículo 22. Uso de los sistemas de identificación y firma en la Administración de Justicia.

1. La Administración de Justicia admitirá y requerirá la firma electrónica en todos los casos en que, de conformidad con las leyes procesales, los órganos judiciales requieran la firma, sin perjuicio de lo dispuesto en el artículo 29.1.

2. En los demás casos, para realizar actuaciones o acceder a servicios ante la Administración de Justicia será suficiente acreditar previamente la identidad a través de cualquiera de los medios de identificación previstos en esta ley.

El régimen de acceso a los servicios electrónicos en el ámbito de la Administración de Justicia para los supuestos de sustitución entre profesionales, así como para la habilitación de sus empleados, se regulará por la respectiva Administración competente mediante disposiciones reglamentarias.

3. El uso de la firma electrónica no excluye la obligación de incluir en el documento o comunicación electrónica los datos de identificación que sean necesarios de acuerdo con la legislación aplicable.

4. Los órganos de la Administración de Justicia u organismos públicos vinculados o dependientes podrán tratar los datos personales consignados, a los efectos de la verificación de la firma.

Artículo 23. Sistema de identificación seguro en videoconferencias.

1. En los casos en que lo determine el juez o tribunal, representante del Ministerio fiscal o letrado de la Administración de Justicia que en cada caso dirija las actuaciones y procedimientos judiciales llevados a cabo por videoconferencia, o el personal al servicio de la Administración de Justicia que en ausencia de aquellos atienda la actuación o preste el servicio presencial, se podrá usar un sistema de información para la identificación y firma no criptográfica, en los términos y condiciones de uso establecidos en la regulación sobre identificación digital tanto nacional como de la Unión Europea.

2. El sistema servirá para acreditar ante cualquier órgano u oficina judicial o fiscal la identificación electrónica en el procedimiento judicial.

3. El Ministerio de Justicia posibilitará la prestación de un servicio ajustado a las características indicadas en este artículo a las administraciones públicas con competencia en medios materiales y personales de la Administración de Justicia que decidan hacer uso del mismo, de conformidad con las condiciones que se determinen en el Comité técnico estatal de la Administración judicial electrónica.

Artículo 24. Sistemas de identificación de la Administración de Justicia.

La Administración de Justicia podrá identificarse mediante los sistemas de identificación establecidos en el artículo 40 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Artículo 25. Sistemas de firma de la Administración de Justicia.

1. La Administración de Justicia podrá hacer uso de certificados cualificados de sello electrónico de entidad contemplados en el Reglamento UE Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, asociados a la sede judicial o a otros órganos a los que se adscriba la sede, para generar documentos electrónicos sellados.

2. Para la identificación del ejercicio de la competencia en la actuación judicial automatizada, las administraciones públicas con competencia en medios materiales y personales de la Administración de Justicia podrán hacer uso de los siguientes sistemas de firma electrónica:

a) Certificados cualificados de sello electrónico de Administración Pública, de acuerdo con lo dispuesto en el artículo 42 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, o conforme a lo previsto en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE.

b) Sistemas de Código Seguro de Verificación.

3. El uso de los certificados a que se refiere el apartado anterior deberá incluir la información necesaria para determinar el ámbito organizativo, territorial o de la propia naturaleza de la actuación.

Artículo 26. Sistemas de Código Seguro de Verificación.

1. Las administraciones públicas con competencias en medios materiales y personales de la Administración de Justicia podrán gestionar sistemas de Código Seguro de Verificación que, cuando figuren en un documento electrónico o en su versión impresa, permitan el cotejo de la autenticidad e integridad del documento. El cotejo de los documentos con Código Seguro de Verificación se realizará en la sede judicial electrónica correspondiente al órgano que emitió el documento, así como en la Carpeta Justicia.

2. La inclusión de Códigos Seguros de Verificación en los documentos se acompañará de la dirección electrónica en la que poder realizar el cotejo.

3. Los Códigos Seguros de Verificación se codificarán de conformidad con los términos que se definan en el marco del Comité técnico estatal de la Administración judicial electrónica.

4. Se podrán establecer requisitos restrictivos de identificación o similares sobre algunos documentos, para evitar que sean accesibles únicamente por su Código Seguro de Verificación, cuando existan razones de protección de la información.

5. Se podrán habilitar mecanismos que ofrezcan el documento en una versión anonimizada. Los documentos electrónicos podrán contener medidas de seguridad tales como marcas de agua, sistemas anti-copia o versiones personalizadas de documentos que permitan detectar la persona concreta que hubiera difundido un documento de forma no autorizada.

Artículo 27. Sistemas de firma de quienes prestan servicio en la Administración de Justicia.

1. En los casos en los que la presente ley no disponga otra cosa, la actuación del órgano u oficina judicial o fiscal, cuando utilice medios electrónicos, se realizará mediante firma electrónica del titular del órgano u oficina o funcionario público, de acuerdo con lo dispuesto en los siguientes apartados.

2. El Comité técnico estatal de la Administración judicial electrónica determinará los sistemas de firma que deben utilizar los fiscales, letrados y letradas de la Administración de Justicia y demás personal al servicio de la Administración
de Justicia
. Dichos sistemas podrán identificar de forma conjunta al titular y el cargo, e identificar también a la oficina u órgano judicial o fiscal en la que presta sus servicios. Los sistemas de firma electrónica de jueces, juezas, magistrados y magistradas serán determinados por el Consejo General del Poder Judicial.

3. Las administraciones públicas, en el ámbito de sus competencias, dotarán de sistemas de firma electrónica que cumplan lo previsto en la presente ley a quienes tengan atribuida la defensa y representación del Estado y del sector público, a los que se refiere el artículo 551 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. Los sistemas de firma electrónica de jueces y magistrados serán los que provea el Consejo General del Poder Judicial. Este podrá establecer, a través de convenios, que el proveedor sea la Administración competente.

Artículo 28. Admisión de los sistemas de firma e identificación electrónica notificados a la Comisión Europea.

Sin perjuicio de la obligación de firma electrónica prevista en el artículo 27.1 de esta ley para todos los casos en que proceda conforme a las leyes procesales, la Administración de Justicia admitirá todos los sistemas de firma e identificación electrónica incluidos en la lista publicada por la Comisión Europea en el Diario Oficial de la Unión Europea a la que se refiere el apartado 2 del artículo 9 del Reglamento (UE) Nº 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE.

Artículo 29. Identificación de los ciudadanos y ciudadanas por funcionario público.

1. En los supuestos en que para la realización de cualquier actuación por medios electrónicos se requiera la identificación del ciudadano o ciudadana en los términos previstos en esta ley, y estos no dispongan de tales medios, la identificación y autenticación podrá ser válidamente realizada por personal funcionario público habilitado al efecto, mediante el uso del sistema de firma electrónica del que esté dotado.

2. Para la eficacia de lo dispuesto en el apartado anterior, el ciudadano o ciudadana deberá identificarse y prestar su consentimiento expreso, debiendo quedar constancia de ello para los casos de discrepancia o litigio.

3. Si la constancia se obtiene utilizando una firma, esta podrá ser manuscrita, bien en papel, bien utilizando dispositivos técnicos idóneos para su captura que gestionen la firma con medidas de seguridad equivalentes a la firma avanzada definida en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, y según lo establecido en la Guía de Interoperabilidad y Seguridad de Autenticación, Certificados y Firma Electrónica aprobada por el Comité técnico estatal de la Administración judicial electrónica.

Artículo 30. Intercambio electrónico de datos en entornos cerrados de comunicación.

1. Los documentos electrónicos transmitidos en entornos cerrados de comunicaciones establecidos entre administraciones con competencias en materia de Justicia, organismos y entidades de derecho público, serán considerados válidos a efectos de autenticación e identificación de los emisores y receptores en las condiciones establecidas en el presente artículo.

2. Cuando los participantes en las comunicaciones pertenezcan a la Administración de Justicia, el Comité técnico estatal de la Administración judicial electrónica determinará las condiciones y garantías por las que se regirán, que al menos comprenderán la relación de emisores y receptores autorizados y la naturaleza de los datos a intercambiar.

3. Cuando los participantes pertenezcan a distintas administraciones o a entidades de derecho público, las condiciones y garantías citadas en el apartado anterior se establecerán mediante convenio.

4. En todo caso deberá garantizarse la seguridad del entorno cerrado de omunicaciones y la protección de los datos que se transmitan.

A destacar:

  • Se uniformizan los sistemas de identificación y firma electrónicos con los previstos en la Ley 39/2015.
  • Se definen con más detalle los Códigos Seguros de Verificación (CSV). En la actualidad el CTEAJE ya ha definido la norma que permite crear códigos CSV enrutables, lo que permitirá hacerlos más independientes de los nombres de dominio usados por las sedes electrónicas.
  • Se contemplan expresamente los sistemas de firma biométrica en tableta
  • Por primera vez se recoge en una Ley española la aplicabilidad de las listas de confianza (TSL) de la Unión Europea para garantizar la aceptación de de firmas electrónicas con certificados cualificados expedidos en otros países. Ya era obligatorio porque lo dispone el Reglamento EIDAS pero las administraciones públicas españolas hacían caso omiso de esta obligación.

Arquitectura y marco de referencia (ARF) de la Cartera IDUE (EUDI Wallet) versión 1.0 en español


El viernes pasado la Comisión Europea publicó la Arquitectura y marco de referencia de la Cartera europea de identidad digital en EIDAS 2 y yo escribí sobre ello un artículo en el blog (Arquitectura y marco de referencia de la Cartera europea de identidad digital en EIDAS 2- documento en español) .

Hacía referencia a la publicación de la la versión 1 del documento: «European Digital Identity Wallet Architecture and Reference Framework» que se esperaba a finales de octubre de 2022.

La versión anterior (llamémosle v0.9, aunque no consta ninguna) se publicó el 22 de febrero de 2022 y de ella hice una traducción al español hace unos meses.

A lo largo del fin de semana he realizado la traducción al español de la nueva versión y la pongo a disposición de los interesados en el desarrollo del Juego Herramientas de la Identidad Digital europea.

Como se me habrán escapado errores, ruego a quienes los detecten que me lo hagan saber para depurar la traducción en futuras versiones.

Arquitectura y marco de referencia de la Cartera europea de identidad digital en EIDAS 2 – documento en español


Hoy se ha publicado la versión 1 del documento «European Digital Identity Wallet Architecture and Reference Framework» que llevábamos algún tiempo esperando.

El objetivo de este documento es proporcionar un conjunto de especificaciones necesarias para desarrollar una solución interoperable de Cartera Europea de Identidad Digital (IDUE) basada en normas y prácticas comunes.

La versión anterior (llamésmosle v0.9, aunque no consta ninguna) se publicó el 22 de febrero de 2022.

De aquel documento me permití realizar una traducción al español (un poco libre porque me tomé la licencia de aclarar conceptos que en el documento original no se entendían bien).

Uno de los aspectos que cuidé es la traducción de términos acuñados en inglés a otros que pudieran considerarse términos acuñados en español, huyendo de «falsos amigos» (palabras que se escriben de forma parecida en español pero que significan cosas diferentes). Por ejemplo «Relying Parties» por «Partes Informadas» considerando que son las que reciben los testimonios de las «Partes informantes». Me parece mejor traducción que «Partes que confían»

Este fue uno de los documentos que se entregaron a los participantes en los cursos de formación organizados por TCAB para especialistas en servicios de confianza (nivel 1), responsables de gestión de servicios de confianza (nivel 2) y auditores de servicios de confianza (nivel 3) y en el que tuve el honor de participar como profesor.