Archivo de la categoría: Firma digitalizada

Prestadores de servicios de confianza no cualificados


En relación con los Servicios de Confianza, en España rige la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, junto con el Reglamento 910/2014 (actualizado con el Reglamento 2024/1183).

En su preámbulo se menciona que

  • Todos los prestadores de servicios de confianza, cualificados y no cualificados, están sometidos a la obligación de adoptar las medidas técnicas y organizativas adecuadas para gestionar los riesgos para la seguridad de los servicios de confianza que prestan, así como de notificar al órgano de supervisión cualquier violación de la seguridad o pérdida de la integridad que tenga un impacto significativo en el servicio de confianza prestado.
  • Los prestadores de servicios no cualificados pueden prestar servicios sin verificación previa de cumplimiento de requisitos, sin perjuicio de su sujeción a las potestades de seguimiento y control posterior de la Administración. No obstante, deberán comunicar al órgano supervisor la prestación del servicio en el plazo de tres meses desde que inicien su actividad, a los meros efectos de conocer su existencia y posibilitar su supervisión

Y en su articulado:

Artículo 12. Inicio de la prestación de servicios electrónicos de confianza no cualificados.

Los prestadores de servicios de confianza no cualificados no necesitan verificación administrativa previa de cumplimiento de requisitos para iniciar su actividad, pero deberán comunicar su actividad al Ministerio de Asuntos Económicos y Transformación Digital en el plazo de tres meses desde que la inicien, que publicará en su página web el listado de prestadores de servicios de confianza no cualificados en una lista diferente a la de los prestadores de servicios de confianza cualificados, con la descripción detallada y clara de las características propias y diferenciales de los prestadores cualificados y de los prestadores no cualificados.

En el mismo plazo deberán comunicar la modificación de los datos inicialmente transmitidos y el cese de su actividad.

Identificación de Prestadores

En la actualidad el Ministerio ya publica la información básica de los Prestadores de Servicios Electrónicos de Confianza No Cualificados como su Nombre/Razón Social, su CIF, el Nombre Comercial y el Dominio, si bien todavía no incorpora la descripción detallada y clara de las características propias y diferenciales.

De la citada página se extrae la siguiente lista de prestadores, respecto a lo que hay que considerar que algunos de ellos son también Prestadores Cualificados de Servicios de Confianza y no queda claro qué servicios no cualificados de los que prestan hace recomendable su inclusión en este listado.

  • 360nrs
  • 3G Mobile Group (Foldersign)
  • Addalia
  • Agencia de Tecnología y Certificación Electrónica – ACCV
  • ANF AC
  • Aplicaciones Inmovilla SLU
  • Aralink Wallet Id
  • Aviva Voice
  • Banco de España
  • Bianca Schulte Gutiérrez
  • Bigle Legal
  • Bounsel
  • BTP Onetec
  • Camerfirma
  • Cedro
  • CEREC Fábrica Nacional De Moneda Y Timbre – Real Casa De La Moneda E.P.E – M.P. (FNMT-RCM)
  • Certificacion De Envios ICPM
  • Certifirm
  • CGI Information Systems and Management Consultants España S.A
  • Codicert
  • Colegio Oficial de Arquitectos de Sevilla
  • Confirmsign, S.L.
  • Consorci AOC (Catcert)
  • Constata EU
  • Customer Comms
  • Digitaldocu Digitel TS
  • Dirección General de Política Digital – Consejería de Hacienda y Adm. Pública – Junta de Andalucía
  • Docalia
  • Docuten
  • Doyfe
  • EADTrust
  • ECS TSA
  • Edatalia
  • Edicom
  • Edigitaltrust
  • Eevidence
  • Efirma Go
  • Egarante
  • Elix Regtech
  • Factorymail
  • Factum Id
  • Fidestamp
  • Fikrea
  • Fingerink
  • Finveris
  • Firma Documentos
  • Firma365
  • Firmafy
  • Firmaprofesional, S.A.
  • Full Certificate – Wevote – Full Signature
  • Gohu TPA
  • Grupo Backup
  • Ianet Conecta S.L.
  • Icommunity
  • Idealista
  • IESA
  • Ilovepdf
  • Isigma
  • Izenpe, S.A.
  • Legal Intermedia «Verum Digital»
  • Legalbono
  • Legalpin
  • Leypal
  • Lleida.Net
  • Lleidanet Pki
  • Logalty Servicios de Tercero de Confianza S.L.
  • Mailsuite
  • Mailteck
  • Mensagia
  • Mensatek
  • Metaposta
  • Ministerio de Asuntos Económicos y Transformación Digital
  • Ministerio de Defensa de España
  • Nivimu
  • Nodalblock
  • Notificad@S
  • On Diversity Limited España
  • Pipeline Software
  • Punto Neutro
  • R2 Docuo
  • RD Post
  • Registradores De España
  • Rubricae
  • Salvador Portillo Naranjo
  • Sectigo
  • Segursign
  • Seres
  • SGNTJ / GGTDAL
  • Signaturit
  • Signaturit- Ivnosys
  • Signe Autoridad De Certificación
  • Signicat Spain
  • Signyourdocs
  • Sihecert, S.L
  • Sinatura
  • Smartbiometrik
  • Softy
  • Spairal Commerce
  • Tecalis
  • Teenvio
  • Terraminium
  • Uanataca
  • Validated Id
  • Vintegris
  • Wiwink
  • Zertiban
  • Zertifika Outsourcing

Me ha parecido interesante publicar información más detallada de las entidades que así lo deseen.

Por ejemplo algunos servicios no cualificados de EADTrust:

Si desea que incluya información adicional de alguno de los prestadores de servicios de confianza no cualificados, contacte conmigo a través de este mail. También si detecta algún error en la denominación.

Ponga al principio del asunto [PSCNC] para facilitar la búsqueda.

SI puede incluir en alguna parte del correo electrónico el texto exacto a incluir es preferible (incluyendo los enlaces), porque así puedo copiar y pegar el texto sin más. También puede incluir un logo si lo desea.

Menciones a la firma manuscrita digitalizada en la normativa


Una norma de reciente publicación, el «Real Decreto-ley 6/2023, de 19 de diciembre, por el que se aprueban medidas urgentes para la ejecución del Plan de Recuperación, Transformación y Resiliencia en materia de servicio público de justicia, función pública, régimen local y mecenazgo» recoge de manera expresa la posibilidad de usar la firma manuscrita en determinados contextos.

.En su artículo 29 indica:

3. Si la constancia se obtiene utilizando una firma, esta podrá ser manuscrita, bien en papel, bien utilizando dispositivos técnicos idóneos para su captura que gestionen la firma con medidas de seguridad equivalentes a la firma avanzada definida en el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, y según lo establecido en la Guía de Interoperabilidad y Seguridad de Autenticación, Certificados y Firma Electrónica aprobada por el Comité técnico estatal de la Administración judicial electrónica.

Dicha Guía, recoge los requisitos de ese tipo de firmas en el apartado 17 «Pautas de realización de firmas electrónicas en PDF basadas en firmas manuscritas, sin uso de certificado«.

Estas son las recomendaciones establecidas en esa sección:

En el caso de que se empleen firmas electrónicas avanzadas no basadas en certificado, sino en la vinculación a los documentos electrónicos de firmas manuscritas captadas con técnicas biométricas se respetarán los siguientes criterios:

  • El proceso de creación de las firmas manuscritas digitalizadas implicará el cifrado de la información biométrica asociada a la realización del trazo de la firma sobre un dispositivo idóneo y su incorporación al propio documento. El cifrado se apoyará sobre una clave pública gestionada por el software de codificación de firmas, asociada con una clave privada custodiada por un notario o un Prestador de Servicios de Confianza Digital.
  • En caso de controversia sobre la firma, debe ser posible su cotejo para lo que se podrá recurrir al notario o Prestador de Servicios de Confianza Digital supervisado por el órgano designado (Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, adscrita al Ministerio de Industria, Energía y Turismo)., que custodia la clave privada, que colaborarán para el descifrado de la información biométrica del documento, lo que podrá utilizar un perito calígrafo para comparar la firma con otras indubitadas del mismo autor.
  • La posibilidad de extraer la información dinámica estará disponible sin coste en el Prestador a disposición de los firmantes y terceros con interés legítimo.
  • La firma y el contenido del documento se vincularán de forma indisociable, de forma que esta vinculación pueda ser comprobada por quien acceda al documento
  • La imagen estática de la firma será visible en el documento PDF
  • El software de análisis pericial que permita comparar una firma controvertida con otras indubitadas estará disponible sin coste en un tercero depositario a disposición de los firmantes y terceros con interés legítimo.
  • Las firmas electrónicas de este tipo pueden ir reforzadas con sellos de tiempo o firmas o sellos automatizados
  • Se preferirán los sistemas que estén respaldados por sellos de calidad que el fabricante o distribuidor haya obtenido tras superar una auditoría de una entidad auditora especializada en sistemas de firma manuscrita digitalizada avanzada.

Además de esta norma se tratan las firmas digitalizadas en otras normas:

  • Resolución de 4 de febrero de 2011, de la Presidencia de la Agencia Estatal de Administración Tributaria, sobre uso de código seguro de verificación y por la que se crean sellos electrónicos del organismo. Indica los siguiente:

Sexto. Integración de las firmas de los funcionarios actuantes y de los obligados tributarios en un documento administrativo.–Conforme a los criterios que establezca la Dirección General de la Agencia Tributaria se podrán utilizar instrumentos que permitan la firma conjunta de los funcionarios actuantes y de los ciudadanos con quienes se entiendan las actuaciones, tales como tabletas digitalizadoras o asistentes personales digitales, siempre que quede asegurada la integridad del documento firmado mediante la inmediata generación de un CSV o sistema análogo.

  • Resolución de 6 de abril de 2016, del Servicio Público de Empleo Estatal, por la que se aprueba el sistema de firma electrónica mediante captura de firma digitalizada con datos biométricos para relacionarse presencialmente con el Servicio Público de Empleo Estatal.

Contempla la firma digitalizada especialmente en el apartado Primero. «Aprobación del sistema de firma electrónica mediante captura de firma digitalizada con datos biométricos para relacionarse presencialmente con el Servicio Público de Empleo Estatal.» y en el Anexo.

Contacte con EADTrust se necesita una entidad auditora especializada en sistemas de firma manuscrita digitalizada avanzada. Llame al 91 7160555.

EADTrust, la entidad líder en Digital Transaction Management (DTM)


El concepto Digital Transaction Management (DTM), Gestión de Transacciones Digitales engloba un conjunto de servicios y tecnologías basados en la nube diseñados para gestionar digitalmente transacciones basadas en documentos. El objetivo principal de la Gestión de Transacciones Digitales es eliminar la fricción inherente a las transacciones que involucran personas, documentos y datos, creando procesos más rápidos, fáciles, convenientes y seguros.

Los componentes clave de un sistema DTM incluyen:

  1. Firmas electrónicas: Permiten la vinculación de documentos a sus firmantes, su autenticación segura y la atribución legalmente vinculante de documentos firmados.
  2. Gestión de documentos y transacciones: Incluye almacenamiento digital, asociado al concepto de custodia, organización y recuperación eficiente de documentos y operaciones.
  3. Automatización de flujos de trabajo: Reduciendo tareas manuales y mejorando la consistencia de los procesos.
  4. Protocolos de seguridad: Implementando el cifrado donde se precisa (teniendo en ciuenta los riesgos que anuncia la computación cuántica) y controles de acceso para proteger información sensible.
  5. Autenticación digital: Verificando la identidad de los participantes en las transacciones.
  6. Gestión de evidencias digitales para favorecer la fuerza probatoria en contextos de resolución de controversias.
  7. Gestión de entornos híbridos de documentos digitales y en papel, con gestión de la digitalización cualificada de documentos en papel con fuerza probatoria y documentos nacidos digitales que se pueden usar impresos por la posibilidad de cotejo de su CSV (Código Seguro de Verificación) en su sede electrónica de referencia.

Los servicios de EADTrust encajan perfectamente en el concepto de Digital Transaction Management, ya que ofrecen varias soluciones clave que son fundamentales para la gestión digital de transacciones:

  1. Firmas electrónicas cualificadas: EADTrust emite certificados cualificados para personas físicas y entidades legales, que permiten la creación de firmas y sellos electrónicos avanzados y cualificados. También ofrece servicios de comprobación de las firmas electrónicas que se reciben en las entidades.
  2. Sellos de tiempo cualificados: Estos sellos permiten probar el momento exacto en que ocurrió un evento digital, dejando un registro irrefutable de la fecha, hora y contenido del evento mediante criptografía. Se asocia un sello de teiempo con cada transacción.
  3. Custodia digital: EADTrust ha desarrollado una tecnología que permite a los usuarios almacenar documentos digitalmente, pudiendo probar su autenticidad a través de CSV y su inalterabilidad mediante métodos criptográficos avanzados. En línea con la normativa de eArchivos de EIDAS2
  4. Notificaciones certificadas (Noticeman): Ofreciendo una plataforma de gestión de correo electrónico y SMS certificados que permite registrar la identidad del remitente, el receptor, el contenido y el momento exacto en que se realizaron las comunicaciones.
  5. Servicios corporativos: Proporcionan testimonios de publicación de documentos a las entidades obligadas para convocatorias de juntas generales de accionistas, foros y gestión de voto electrónico, cumpliendo con la Ley de Sociedades de Capital.
  6. Custodia de claves privadas: Celebran ceremonias de creación de claves, generando pares de claves asimétricas y manteniendo la clave privada para garantizar la integridad. Estos servicios son esenciales en la gestión de firmas manuscritas capturadas en tabletas digitalizadoras

Estos servicios de EADTrust abordan aspectos críticos de DTM, como la autenticación, la seguridad, la gestión de documentos y el cumplimiento normativo. Al ofrecer estas soluciones, EADTrust contribuye significativamente a la transformación digital de las empresas, permitiéndoles gestionar sus transacciones de manera más eficiente, segura y conforme a la normativa vigente.

En relación con las Carteras IDUE ayuda a adaptarse a las entidades obligadas por mandato del Reglamento EIDAS2 en el articulo 5 septies: 

Cuando el Derecho de la Unión o nacional exija que las partes usuarias privadas que prestan servicios —con la excepción de las microempresas y pequeñas empresas según se definen en el artículo 2 del anexo de la Recomendación 2003/361/CE de la Comisión ( 5 )— utilicen una autenticación reforzada de usuario para la identificación en línea, o cuando se requiera una autenticación reforzada de usuario para la identificación en línea en virtud de una obligación contractual, en particular en los ámbitos del transporte, la energía, la banca, los servicios financieros, la seguridad social, la sanidad, el agua potable, los servicios postales, la infraestructura digital, la educación o las telecomunicaciones, dichas partes usuarias privadas también aceptarán, a más tardar treinta y seis meses a partir de la fecha de entrada en vigor de los actos de ejecución a que se refieren el artículo 5 bis, apartado 23, y el artículo 5 quater, apartado 6, y únicamente a petición voluntaria del usuario, las carteras europeas de identidad digital proporcionadas de conformidad con el presente Reglamento.

Nuevos borradores de Actos de Ejecución necesarios para el desarrollo de la Cartera IDUE (Identidad Digital de la Unión Europa) correpondientes al segundo lote


El viernes 29 de noviembre de 2024 la Comisión Europea publicó nuevos borradores de Actos de Ejecución necesarios para el desarrollo de la Cartera IDUE (Identidad Digital de la Unión Europea) en el portal ‘Have your say’ (Díganos lo que piensa), solicitando comentarios de los expertos y partes interesadas hasta el 27 de diciembre.

Este segundo lote podría publicarse, tras las modificaciones propuestas que se hayan aceptado, en marzo de 2025 en el Diario Oficial.

Wallet lists
This implementing act sets out rules for the submission to the Commission of information on certified wallet solutions and their associated electronic identification schemes by EU countries. It also sets out the requirements for the secure electronic system to be set up by the Commission for receiving the submissions.

Este acto de ejecución establece normas para la notificación a la Comisión por los países de la UE de la información sobre sus soluciones certificadas de cartera y los esquemas de identificación electrónica asociados. También establece los requisitos para el sistema electrónico seguro que debe desplegar la Comisión para recibir las notificaciones.

Draft implementing regulation – Ares(2024)8509195

Annex – Ares(2024)8509195

Identity matching – Cross-border identity matching of natural persons by public sector bodies (RP)

This implementing act sets out the provisions on unequivocal identity matching when using electronic identification means or European Digital Identity Wallets. It sets out what EU countries must do to ensure unequivocal identity matching when users want to access online cross-border public services when using electronic identification means or European digital identity wallets.

Este acto de ejecución establece las disposiciones sobre la correspondencia inequívoca de identidades cuando se utilizan medios de identificación electrónica o carteras europeas de identidad digital. Establece lo que deben hacer los países de la UE para garantizar la concordancia inequívoca de la identidad cuando los usuarios deseen acceder a servicios públicos transfronterizos en línea utilizando medios de identificación electrónica o carteras digitales de identidad europea.

Draft implementing regulation – Ares(2024)8509332


Relying parties – The registration of relying parties and the common mechanism for allowing the identification and authentication of relying parties

This act sets out the provisions on the process for registering relying parties in EU countries. The provisions relate to information necessary for authentication to access European Digital Identity Wallets, and to relying parties’ contact details and their intended use of wallets, including what data relying parties may ask users for. The provisions include specifications and requirements for relying party access certificates issued after the registration of a wallet relying party.

Este acto establece las disposiciones sobre el proceso de registro de las partes usuarias (partes informadas) en los países de la UE. Las disposiciones se refieren a la información necesaria para la autenticación con el fin de acceder a las carteras de identidad digital europea, así como a los datos de contacto de las partes usuarias y el uso previsto de las carteras, incluidos los datos que las partes usuarias pueden solicitar a los usuarios. Las disposiciones incluyen especificaciones y requisitos para los certificados que habilitan el acceso de las partes usuarias a las que se expide tras su registro como parte usuaria (parte informada) de cartera.

Draft implementing regulation – Ares(2024)8509234

Annex – Ares(2024)8509234

Security Breaches

This implementing act sets out rules for EU countries to have mechanisms in place to ensure the suspension and, where applicable, withdrawal of European Digital Identity Wallets if there is a security breach or partial compromise affecting a wallet’s reliability.

Este acto de ejecución establece normas para que los países de la UE dispongan de mecanismos que garanticen la suspensión y, en su caso, la retirada de las carteras de identidad digital europea si se produce una violación de la seguridad o un incidente de seguridad parcial que afecte a la fiabilidad de la cartera.

Draft implementing regulation – Ares(2024)8509261

Annex – Ares(2024)8509261

Electronic Attestations of Attributes

For the successful implementation of European Digital Identity Wallets, this implementing act sets out requirements for issuing and validating electronic attestations of attributes.

It also establishes a catalogue of attributes that must be verifiable against authentic sources, and sets out rules on notifying and publishing information on public sector bodies that issue attestations of attributes and are responsible for managing the authentic sources these attestations come from. 

Para implantar con éxito las Carteras de Identidad Digital Europea, este acto de ejecución establece requisitos para la emisión y validación de declaraciones electrónicas o testimonios electrónicos de atributos.

También establece un catálogo de atributos que deben poder verificarse a partir de fuentes auténticas, así como normas sobre notificación y publicación de información sobre los organismos del sector público que expiden declaraciones o testimonios de atributos y son responsables de la gestión de las fuentes auténticas de las que proceden dichos certificados.

Se pueden ver todas las iniciativas en el portal ‘Have your say‘ (Díganos lo que piensa)

Justamente el dia anterior, 28 de noviembre de 2024, se hizo oficial la aprobación de los actos de ejecución del lote 1 y lo comenté en este Blog.

También he comentado en este blog la aprobación formal del primer lote de actos de ejecución que tuvo lugar el dia 21 de noviembre de 2024. En ese artículo se incorporaba el texto con las modificaciones introducidas a los borradores de Actos de Ejecución publicados en agosto que se llevaban al Comité EIDAS para su aprobación.

Ese primer lote de borradores de los primeros actos de ejecución (implementing acts) se publicaron 12 de agosto de 2024 y se abrió un plazo hasta el 9 de septiembre de 2024 para que se pudieran enviar comentarios. También me referí a ellos en el Blog.

Laboratorio de Confianza Digital ICADE Garrigues


La Universidad Pontificia Comillas y el despacho de abogados Garrigues, firmaron un convenio para crear el Observatorio ‘Legaltech’, Garrigues-ICADE.

El Observatorio, depende de la Facultad de Derecho (Comillas ICADE), a través del Centro de Innovación del Derecho (CID-ICADE).

En la organización del Observatorio destacan Fernando Vives (Presidente), Iñigo Navarro (Codirector), Moisés Menéndez (Codirector), Ofelia Tejerina (Coordinadora) y Hugo Alonso (Gestión de Proyectos).

Formando parte del Observatorio se han definido ya varios laboratorios:

Ahora se crea el Laboratorio de Confianza Digital ICADE Garrigues y he sido nombrado Director del Laboratorio, lo que para mi es un gran honor.

Aunque todavía estoy recopilando información para incorporarla a la página web del Laboratorio que se creará en el sitio de la Universidad de Comillas quisiera comentar que en este momento estamos dando prioridad al análisis del futuro Reglamento EIDAS2 y a la formulación de la Cartera IDUE que se espera que en unos dos años esté disponible para todos los ciudadanos europeos.

Hemos creado un Enlace de invitación al Canal de Whatsapp del Laboratorio de Confianza Digital en el que comentaremos novedades y al que se pueden conectar las personas interesadas.

Posteriormente organizaremos eventos presenciales con diversos ponentes en las instalaciones de la Universidad.

Y dado que soy de Pamplona y hoy es 6 de julio, pongo esta fotico del chupinazo que se ha disparado a las 12 de la mañana desde el balcón del ayuntamiento para celebrar que hoy comienzan las fiestas de San Fermín.

EADTrust se incorpora al Grupo Garrigues


Garrigues ha adquirido una participación del 51% en EAD Trust, compañía especializada en el desarrollo de productos y la prestación de servicios de confianza digital registrada como Prestador Cualificado de Servicios Electrónicos de Confianza en el Ministerio de Asuntos Económicos y Transformación Digital.

De este modo, el prestigioso despacho de abogados se posiciona en un mercado clave como es el de la confianza digital en el contexto del próximo reglamento eIDAS2 (Electronic IDentification, Authentication and Trust Services 2), una iniciativa de la Unión Europea para actualizar la normativa actual de servicios de confianza e identidad digital y conseguir un marco legal más adecuado a las necesidades de empresas y ciudadanos en una sociedad cada vez más conectada y digitalizada.

Con cerca de 15 años de historia, EAD Trust desarrolla servicios y productos digitales y proyectos a medida.

Su compromiso con la calidad y la innovación se refleja en su reconocimiento como Prestador Cualificado de Servicios Electrónicos de Confianza que opera en toda Europa, tras superar exigentes auditorías de cumplimiento, que se suman a sus certificaciones ISO 9001, ISO 27001, ISO 20000-1 y ENS de nivel medio.

La compañía emite certificados cualificados de persona física y jurídica, sellos de tiempo cualificados y certificados cualificados de sitio web, además de dar soporte a sellos y firmas electrónicas cualificadas en la nube y prestar servicios de contratación online y de interposición en las comunicaciones.

La labor de los proveedores de servicios de confianza como EAD Trust cobrará mayor relevancia con la próxima entrada en vigor del nuevo reglamento europeo –previsiblemente, este año–, que redefinirá el mercado. De hecho, este cambio regulatorio supondrá un desarrollo clave de la cartera europea de identidad digital IDUE (EUID Wallet), en la que EAD Trust está trabajando activamente. 

La entrada de Garrigues en su capital supone un reenfoque estratégico para EAD Trust, que se reflejará en los próximos meses en el lanzamiento de nuevos productos y servicios para fortalecer su posicionamiento en el mercado de la confianza digital tanto en España como en el resto de los países en los que está presente el despacho.

La amplia experiencia en economía digital de Garrigues y su visión regulatoria desde todas las perspectivas del derecho de los negocios constituyen una garantía de seguridad jurídica para los nuevos productos y servicios.

Fernando Vives, presidente ejecutivo de Garrigues, destaca que “la economía digital experimenta un crecimiento sin precedentes, lo que conlleva la necesidad de asegurar la seguridad jurídica en cada transacción digital. La inversión en EAD Trust constituye un paso muy relevante en la estrategia del despacho para desarrollar y habilitar infraestructuras digitales legales en los próximos años. Confiamos en que, de la mano de EAD Trust, seremos capaces de brindar soluciones innovadoras y seguras a nuestros clientes, fortaleciendo así la confianza en las transacciones digitales”.

Julián Inza, presidente de EAD Trust, explica que “nuestra misión es impulsar la sociedad del futuro con ideas, productos y servicios capaces de minimizar aquellas transacciones que mantienen el uso de papel por si fuera necesario su valor probatorio, dado que ya es posible generar, custodiar y presentar evidencias digitales de cualquier actividad o relación con las que dar respuesta técnica a todas las necesidades jurídicas. Estamos en un mundo que necesita pasar de un paradigma físico a otro digital y es preciso garantizar la aplicabilidad de las herramientas de seguridad jurídica en ambos. Con el apoyo de Garrigues, estamos listos para pasar al siguiente nivel”. 

Algunos puntos de interés:

  • Registrada como Prestador Cualificado de Servicios Electrónicos de Confianza por el Ministerio de Asuntos Económicos y Transformación Digital, EAD Trust es una compañía especializada en el desarrollo de productos digitales y proyectos a medida, con énfasis en su validez legal
  • Como resultado de esta alianza, en los próximos meses tendrá lugar el lanzamiento de nuevos productos y servicios relacionados con la confianza digital en el contexto del próximo reglamento europeo sobre identidad digital, eIDAS2
  • Formar parte del Grupo Garrigues representa un enorme potencial para difundir las herramientas que permiten la Transformación DIgital de la Sociedad, sin merma del valor probatorio

Aspectos interesantes de la Ley de Medidas de Eficiencia Digital del Servicio Público de Justicia.


Desde hace meses está en trámite parlamentario la Ley de Medidas de Eficiencia Digital del Servicio Público de Justicia.

Del texto disponible en el Parlamento voy a entresacar algunos artículos interesantes. Puede ser que el texto definitivo cambie al finalizar el proceso legislativo.

Artículo 13. La Carpeta en el ámbito de la Administración de Justicia.

1. La Carpeta Justicia será un servicio único, personalizado, dentro del Punto de Acceso General de la Administración de Justicia, que facilitará el acceso a los servicios, procedimientos e informaciones accesibles de la Administración de Justicia que afecten a un ciudadano o ciudadana cuando sea parte o justifique un interés legítimo y directo en un procedimiento o actuación judicial. Dicho servicio podrá ofrecerse a través de un sistema común, a través de las respectivas sedes judiciales electrónicas de cada uno de los territorios, o a través de ambos sistemas. Para ello el ciudadano o ciudadana y su profesional autorizado o autorizada deberá identificarse previamente en alguna de las formas previstas en esta ley.

2. Reglamentariamente, y previo informe del Comité técnico estatal de la Administración judicial electrónica, se establecerán los requisitos que deberá cumplir la Carpeta Justicia en el ámbito de todo el territorio del Estado.

3. De conformidad con los acuerdos que se adopten en el Comité técnico estatal de la Administración judicial electrónica, la Carpeta Justicia será gestionada para asegurar la completa y exacta incorporación de la información y accesos publicados en ésta, bajo responsabilidad del Ministerio de Justicia.

4. En todo aquello que no esté regulado en esta ley o en su desarrollo reglamentario, se aplicarán las disposiciones reglamentarias establecidas para la Carpeta Ciudadana del Sector Público Estatal, siempre que por su naturaleza resulten compatibles.

5. La Carpeta Justicia será interoperable con la Carpeta Ciudadana del Sector Público Estatal.

Artículo 19. Sistemas de identificación admitidos por la Administración de Justicia.

La identificación en las actuaciones procesales y judiciales se realizará conforme a lo establecido en el artículo 9 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las administraciones públicas, y en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE y la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, sin perjuicio del reconocimiento de los sistemas de identificación de otros países con los que la Administración de Justicia pueda llegar a un acuerdo, en el marco de lo establecido por la Comisión Europea. Por vía reglamentaria podrán habilitarse otros sistemas de identificación digital.

Artículo 20. Sistemas de firma admitidos por la Administración de Justicia.

1. La firma en las actuaciones procesales y judiciales se realizará conforme a lo establecido en el artículo 10 de la Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las administraciones públicas, y en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, y la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza sin perjuicio del reconocimiento de los sistemas de firma de otros países con los que la Administración de Justicia pueda llegar a un acuerdo, en el marco de lo establecido por la Comisión Europea. Por vía reglamentaria podrán habilitarse otros sistemas de firma.

En el marco del Comité técnico estatal de la Administración judicial electrónica podrá determinarse el nivel de firma aplicable en cada una de las actuaciones en el ámbito de la Administración de Justicia. Dicha determinación deberá realizarse en la Guía de Interoperabilidad y Seguridad de autenticación, certificados y firma electrónica, en proporción al nivel de seguridad que se estime necesario para cada clase de actuación.

2. Cuando así lo disponga expresamente la normativa reguladora aplicable, la Administración de Justicia podrá admitir los sistemas de identificación contemplados en esta ley como sistemas de firma cuando permitan acreditar la autenticidad de la expresión de la voluntad y consentimiento de los ciudadanos, ciudadanas y de los profesionales que se relacionan con la Administración de Justicia.

3. Cuando se utilice un sistema de firma de los previstos en este artículo para relacionarse con la Administración de Justicia, la identidad se entenderá ya acreditada mediante el propio acto de la firma.

Artículo 21. Sistemas de firma para las personas jurídicas y entidades sin personalidad jurídica.

Las personas jurídicas y las entidades sin personalidad jurídica podrán utilizar sistemas de firma electrónica con atributo de representante para todos los procedimientos y actuaciones ante la Administración de Justicia, siempre que ello sea conforme con las leyes procesales.

Artículo 22. Uso de los sistemas de identificación y firma en la Administración de Justicia.

1. La Administración de Justicia admitirá y requerirá la firma electrónica en todos los casos en que, de conformidad con las leyes procesales, los órganos judiciales requieran la firma, sin perjuicio de lo dispuesto en el artículo 29.1.

2. En los demás casos, para realizar actuaciones o acceder a servicios ante la Administración de Justicia será suficiente acreditar previamente la identidad a través de cualquiera de los medios de identificación previstos en esta ley.

El régimen de acceso a los servicios electrónicos en el ámbito de la Administración de Justicia para los supuestos de sustitución entre profesionales, así como para la habilitación de sus empleados, se regulará por la respectiva Administración competente mediante disposiciones reglamentarias.

3. El uso de la firma electrónica no excluye la obligación de incluir en el documento o comunicación electrónica los datos de identificación que sean necesarios de acuerdo con la legislación aplicable.

4. Los órganos de la Administración de Justicia u organismos públicos vinculados o dependientes podrán tratar los datos personales consignados, a los efectos de la verificación de la firma.

Artículo 23. Sistema de identificación seguro en videoconferencias.

1. En los casos en que lo determine el juez o tribunal, representante del Ministerio fiscal o letrado de la Administración de Justicia que en cada caso dirija las actuaciones y procedimientos judiciales llevados a cabo por videoconferencia, o el personal al servicio de la Administración de Justicia que en ausencia de aquellos atienda la actuación o preste el servicio presencial, se podrá usar un sistema de información para la identificación y firma no criptográfica, en los términos y condiciones de uso establecidos en la regulación sobre identificación digital tanto nacional como de la Unión Europea.

2. El sistema servirá para acreditar ante cualquier órgano u oficina judicial o fiscal la identificación electrónica en el procedimiento judicial.

3. El Ministerio de Justicia posibilitará la prestación de un servicio ajustado a las características indicadas en este artículo a las administraciones públicas con competencia en medios materiales y personales de la Administración de Justicia que decidan hacer uso del mismo, de conformidad con las condiciones que se determinen en el Comité técnico estatal de la Administración judicial electrónica.

Artículo 24. Sistemas de identificación de la Administración de Justicia.

La Administración de Justicia podrá identificarse mediante los sistemas de identificación establecidos en el artículo 40 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Artículo 25. Sistemas de firma de la Administración de Justicia.

1. La Administración de Justicia podrá hacer uso de certificados cualificados de sello electrónico de entidad contemplados en el Reglamento UE Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, asociados a la sede judicial o a otros órganos a los que se adscriba la sede, para generar documentos electrónicos sellados.

2. Para la identificación del ejercicio de la competencia en la actuación judicial automatizada, las administraciones públicas con competencia en medios materiales y personales de la Administración de Justicia podrán hacer uso de los siguientes sistemas de firma electrónica:

a) Certificados cualificados de sello electrónico de Administración Pública, de acuerdo con lo dispuesto en el artículo 42 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, o conforme a lo previsto en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE.

b) Sistemas de Código Seguro de Verificación.

3. El uso de los certificados a que se refiere el apartado anterior deberá incluir la información necesaria para determinar el ámbito organizativo, territorial o de la propia naturaleza de la actuación.

Artículo 26. Sistemas de Código Seguro de Verificación.

1. Las administraciones públicas con competencias en medios materiales y personales de la Administración de Justicia podrán gestionar sistemas de Código Seguro de Verificación que, cuando figuren en un documento electrónico o en su versión impresa, permitan el cotejo de la autenticidad e integridad del documento. El cotejo de los documentos con Código Seguro de Verificación se realizará en la sede judicial electrónica correspondiente al órgano que emitió el documento, así como en la Carpeta Justicia.

2. La inclusión de Códigos Seguros de Verificación en los documentos se acompañará de la dirección electrónica en la que poder realizar el cotejo.

3. Los Códigos Seguros de Verificación se codificarán de conformidad con los términos que se definan en el marco del Comité técnico estatal de la Administración judicial electrónica.

4. Se podrán establecer requisitos restrictivos de identificación o similares sobre algunos documentos, para evitar que sean accesibles únicamente por su Código Seguro de Verificación, cuando existan razones de protección de la información.

5. Se podrán habilitar mecanismos que ofrezcan el documento en una versión anonimizada. Los documentos electrónicos podrán contener medidas de seguridad tales como marcas de agua, sistemas anti-copia o versiones personalizadas de documentos que permitan detectar la persona concreta que hubiera difundido un documento de forma no autorizada.

Artículo 27. Sistemas de firma de quienes prestan servicio en la Administración de Justicia.

1. En los casos en los que la presente ley no disponga otra cosa, la actuación del órgano u oficina judicial o fiscal, cuando utilice medios electrónicos, se realizará mediante firma electrónica del titular del órgano u oficina o funcionario público, de acuerdo con lo dispuesto en los siguientes apartados.

2. El Comité técnico estatal de la Administración judicial electrónica determinará los sistemas de firma que deben utilizar los fiscales, letrados y letradas de la Administración de Justicia y demás personal al servicio de la Administración
de Justicia
. Dichos sistemas podrán identificar de forma conjunta al titular y el cargo, e identificar también a la oficina u órgano judicial o fiscal en la que presta sus servicios. Los sistemas de firma electrónica de jueces, juezas, magistrados y magistradas serán determinados por el Consejo General del Poder Judicial.

3. Las administraciones públicas, en el ámbito de sus competencias, dotarán de sistemas de firma electrónica que cumplan lo previsto en la presente ley a quienes tengan atribuida la defensa y representación del Estado y del sector público, a los que se refiere el artículo 551 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. Los sistemas de firma electrónica de jueces y magistrados serán los que provea el Consejo General del Poder Judicial. Este podrá establecer, a través de convenios, que el proveedor sea la Administración competente.

Artículo 28. Admisión de los sistemas de firma e identificación electrónica notificados a la Comisión Europea.

Sin perjuicio de la obligación de firma electrónica prevista en el artículo 27.1 de esta ley para todos los casos en que proceda conforme a las leyes procesales, la Administración de Justicia admitirá todos los sistemas de firma e identificación electrónica incluidos en la lista publicada por la Comisión Europea en el Diario Oficial de la Unión Europea a la que se refiere el apartado 2 del artículo 9 del Reglamento (UE) Nº 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE.

Artículo 29. Identificación de los ciudadanos y ciudadanas por funcionario público.

1. En los supuestos en que para la realización de cualquier actuación por medios electrónicos se requiera la identificación del ciudadano o ciudadana en los términos previstos en esta ley, y estos no dispongan de tales medios, la identificación y autenticación podrá ser válidamente realizada por personal funcionario público habilitado al efecto, mediante el uso del sistema de firma electrónica del que esté dotado.

2. Para la eficacia de lo dispuesto en el apartado anterior, el ciudadano o ciudadana deberá identificarse y prestar su consentimiento expreso, debiendo quedar constancia de ello para los casos de discrepancia o litigio.

3. Si la constancia se obtiene utilizando una firma, esta podrá ser manuscrita, bien en papel, bien utilizando dispositivos técnicos idóneos para su captura que gestionen la firma con medidas de seguridad equivalentes a la firma avanzada definida en el Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, y según lo establecido en la Guía de Interoperabilidad y Seguridad de Autenticación, Certificados y Firma Electrónica aprobada por el Comité técnico estatal de la Administración judicial electrónica.

Artículo 30. Intercambio electrónico de datos en entornos cerrados de comunicación.

1. Los documentos electrónicos transmitidos en entornos cerrados de comunicaciones establecidos entre administraciones con competencias en materia de Justicia, organismos y entidades de derecho público, serán considerados válidos a efectos de autenticación e identificación de los emisores y receptores en las condiciones establecidas en el presente artículo.

2. Cuando los participantes en las comunicaciones pertenezcan a la Administración de Justicia, el Comité técnico estatal de la Administración judicial electrónica determinará las condiciones y garantías por las que se regirán, que al menos comprenderán la relación de emisores y receptores autorizados y la naturaleza de los datos a intercambiar.

3. Cuando los participantes pertenezcan a distintas administraciones o a entidades de derecho público, las condiciones y garantías citadas en el apartado anterior se establecerán mediante convenio.

4. En todo caso deberá garantizarse la seguridad del entorno cerrado de omunicaciones y la protección de los datos que se transmitan.

A destacar:

  • Se uniformizan los sistemas de identificación y firma electrónicos con los previstos en la Ley 39/2015.
  • Se definen con más detalle los Códigos Seguros de Verificación (CSV). En la actualidad el CTEAJE ya ha definido la norma que permite crear códigos CSV enrutables, lo que permitirá hacerlos más independientes de los nombres de dominio usados por las sedes electrónicas.
  • Se contemplan expresamente los sistemas de firma biométrica en tableta
  • Por primera vez se recoge en una Ley española la aplicabilidad de las listas de confianza (TSL) de la Unión Europea para garantizar la aceptación de de firmas electrónicas con certificados cualificados expedidos en otros países. Ya era obligatorio porque lo dispone el Reglamento EIDAS pero las administraciones públicas españolas hacían caso omiso de esta obligación.

Digital por diseño


Va llegando el momento de abandonar el término «transformación digital» que transmite la idea de que hay que cambiar los procesos de las organizaciones, conforme avanza la digitalización de la sociedad y la adopción masiva de las tecnologías de la información.

Con el estado actual de la tecnología y de la legislación, no tiene sentido diseñar procesos de información, contratación o mero trámite que no estén diseñados desde el principio pensando en el valor probatorio de los registros digitales administrados con ayuda de la criptografía.

En todo caso, cualquier concesión a procedimientos o actuaciones arcaicos debe ser en atención a la experiencia de usuario.

Uno de los aspectos claves del nuevo paradigma es la gestión de la identidad digital de las personas con las que se relacionan las entidades que debería tener en cuenta la posibilidad de acceso de personas de diversa procedencia y medios de identificación.

Las «piezas de lego» que facilitan la gestión digital por diseño de los procedimientos preservando la seguridad jurídica son componentes como las firmas electrónicas de persona, los sellos electrónicos de empresa, los sistemas de conservación digital de documentos electrónicos (incluso con códigos seguros de verificación) y evidencias electrónicas, los sellos de tiempo electrónicos, los sistemas de gestión de información de representación (de otras personas o de empresas) los sistemas que permiten comprobar la validez de las firmas y de los sellos, los que permiten gestionar mecanismos de identificación y de firmas y sellos «en la nube», los que permiten realizar la digitalización certificada de documentos, los que permiten la identificación remota co y los que permiten acreditar las notificaciones electrónicas.

En la actualidad. el Reglamento (UE) Nº 910/2014, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (eIDAS), ofrece una buena base para construir sistemas digitales con valor legal admisibles en todos los países miembros, sea cual sea el país de origen, de entre los europeos.

Un aspecto clave en la digitalización por diseño es que la experiencia de usuario debe ser una de las principales prioridades en el diseño de los procesos, para evitar repetir errores de usabilidad  que en el pasado no contribuyeron a poner en valor tecnologías como el DNI electrónico, que se expide desde 2006.

El despliegue de sistemas digitales de gestión debería preservar principios esenciales como el «soporte duradero» o la «simetría probatoria» (igualdad de armas) para que los usuarios de las plataformas cuenten con la misma posición respecto a la prueba digital que los promotores de las plataformas.

El conocimiento técnico y legal de estos principios de despliegue digital ayudará a las entidades a diseñar sistemas digitales eficientes, sencillos y con valor probatorio por lo que es útil contar con especialistas a los que consultar.

Los sistemas de gestión de identidad disponibles ya contemplan la interoperabilidad entre países con «nodos eIDAS» como el español que se instancia a través del sistema «Cl@ve«.

 

Formación y certificación de auditores #EIDAS


TCAB (Trust Conformity Assessment Body) está preparando un evento formativo que tendrá lugar del 4 al 8 de mayo de 2020  y que está destinado a formar especialistas del mundo de la firma electrónica y de los servicios de confianza.

Se estructura en tres niveles:

  1. Usuarios avanzados de servicios de confianza digital (1 día)
  2. Prestador de servicios de confianza digital (2 días)
  3. Auditor de servicios de confianza digital  (2 días)

Tras la formación completa se puede optar a realizar un examen que dará acceso a la certificación profesional de Auditor EIDAS y posteriormente a la realización de auditorias como auditor junior, en el marco de las evaluaciones de conformidad desarrolladas por TCAB.

El temario tentativo es el siguiente:

Nivel 1. Formación para desarrolladores, empresas de servicios y para empleados del sector Público.

Proporciona una introducción a los sistemas de identificación y firma electrónica.

Se tratan los siguientes temas:

  • Conceptos de identificación electrónica
  • Breve historia de la criptografía
  • Algoritmos de Hash
  • Criptografía de clave simétrica y criptografía de clave asimétrica
  • Elementos de las Infraestructuras de clave pública. RA, OCSP, CA, Root, Entidad final, CRL, Timestamping, custodia digital. Listas de confianza
  • Estructura de los certificados. Normas X.509, X.520
  • SSL TSL. OCSP Stapling
  • Autenticación mediante certificados
  • Firma electrónica. Tipos de firma electrónica
  • Certificados cualificados
  • Dispositivos cualificados de Creación de Firma
  • Drivers de dispositivos. Estándares MS-CAPI y PKCS#11
  • Normativa de firma electrónica. Reglamento EIDAS
  • Firma electrónica en las administraciones públicas y en el ámbito de la Justicia. Consideraciones sobre la Ley 39/2015 y la Ley 18/2011.
  • Firmas avanzadas especiales. Firma biométrica
  • Configuración de servidores para SSL. Como solicitar certificados

Nivel 2. Formación para profesionales de Prestadores de Servicios de Confianza

Se describen los sistemas utilizados por los PSCD, los documentos a elaborar y las medidas de seguridad en el ámbito de los Prestadores de Servicios de Confianza Digital y la forma de prepararse para una auditoría EIDAS

Se tratan los siguientes temas:

  • Normativa relacionada con la gestión de identidades. Reglamento 1501/2015 y Reglamento 1502/2015
  • Normativa general para Prestadores: EN 319 401:
    • Evaluación de riesgos,
    • Políticas y prácticas: Declaración de práctica de servicio de confianza, Términos y condiciones, Política de seguridad de la información,
    • Gestión y operación de Prestadores de Servicios Electrónicos de confianza: Organización interna (Confiabilidad de la organización, Segregación de funciones), Recursos humanos, Gestión de activos (Requisitos generales, Manejo de medios), Control de accesos, Controles criptográficos , Seguridad física y ambiental, Seguridad de las operaciones, Seguridad de la red, Gestión de incidentes, Recogida de información probatoria, Gestión de la continuidad del negocio, Terminación de las actividades de Prestadores de Servicios Electrónicos de confianza y planes terminación de actividades, Cumplimiento legal.
  • OID. Como solicitar OID. Como diseñar una estructura organizada de OID para facilitar la gestión de políticas de firma
  • Perfiles de certificados. Identificación de políticas. OID necesarios según CAB Forum, OID necesarios según las normas ETSIT. Normas EN 319 412. Certificados PSD2
  • Documentación necesaria que se comprobará para expedir certificados de persona física, certificados de persona física representante de persona jurídica, certificados de persona física empleado público, certificados de persona jurídica.
  • Herramientas de parseo y de comprobación de la calidad de certificados.
  • Certificate transparency. Repositorios e integración
  • Normativa relativa a la expedición de certificados: EN 319 411-1. Recorrido detallado del contenido de una Declaración de Prácticas de Servicios de Confianza
  • Normativa relativa a la expedición de certificados cualificados en el marco de EIDAS: EN 319 411-2. Recorrido detallado del contenido de una Declaración de Prácticas de Servicios de Confianza. Certificados EIDAS: QCP-n, QCP-l, QCP-n-qscd, QCP-l-qscd, QCP-w.
  • Normativa relativa a la expedición de sellos de tiempo cualificados en el marco de EIDAS: EN 319 421 y EN 319 422
  • Normativa relativa a la prestación de servicios cualificados de notificaciones electrónicas y correo electrónico certificado cualificado (Servicio cualificado de entrega electrónica certificada) en el marco de EIDAS: EN 319 521 y EN 319 531
  • Servicio cualificado de validación de firmas electrónicas cualificadas y sellos electrónicos cualificados en el marco de EIDAS: TS 119 101 y EN 319 102-1
  • Servicio cualificado de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados en el marco de EIDAS: TS 102 573 y EN 319 102-1
  • Seguro de Responsabilidad civil. Responsabilidad contractual y extracontractual.
  • Dispositivos cualificados de creación de firma. Normas de aplicación para la evaluación de dispositivos: FIPS-140-2, CWA 14167-1, CWA 14167-2, CWA 14169, CWA 14170, EN 419 241-1, EN 419 241-2, EN 419 221-5.
  • Listas de dispositivos de creación de firma: NIST, Common Criteria Portal, Lista del artículo 31 (Compilation of Member States notification on SSCDs and QSCDs). Procedimientos especiales del art. 30-2-b. Vigencia de dispositivos anteriores al EIDAS por art. 51.1
  • Aspectos a tener en cuenta para la expedición de certificados de sitio web y firma de código ejecutable en contextos de CAB Forum: Baseline Requirements, Extended Validation (EV) Guidelines.
  • Criterios de verificación de identidad en las actividades de RA según el artículo 24-1-b y 24-1-d. Criterios de videoidentificación publicados por SEPBLAC en el marco de la Ley 10/2010.
  • Listas TSL (Trusted Lists). Norma TS 119 612. Información que se refleja en las listas. Comprobación de validez de certificados cualificados emitidos en fase válida de prestadores a los que se les ha retirado la cualificación.
  • Reglas de uso del signo distintivo europeo de cualificación EIDAS

Nivel 3. Formación para Auditores y evaluadores de conformidad de Servicios de Confianza

Se describe el marco de evaluación de la conformidad, los organismos de acreditación, los requisitos para los organismos de evaluación de conformidad y los requisitos para los auditores.

Los estudiantes que hayan asistido a la formación de los 3 niveles podrán presentarse a un examen de certificación profesional que los habilitará como auditores EIDAS en el Esquema de Trust Conformity Assessment Body. Los alumnos que superen el examen obtendrán un nivel de cualificación profesional para participar como auditores junior en auditorías de evaluación de conformidad y podrán optar a acompañar a auditores senior en auditorías de TCAB. Tras participar en 3 auditorías recibirán la cualificación de auditores senior.

En la formación el tercer nivel se utilizarán el inglés y el español como lenguas vehiculares a lo largo de las exposiciones.

Se tratan los siguientes temas:

  • Evolución del marco de evaluación de conformidad para servicios de confianza. Orden de 21 de febrero de 2000 por la que se aprueba el Reglamento de acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica.
  • Modelo de supervisión EIDAS. Lista de supervisores de los Estados miembros.
  • Modelo de acreditación EIDAS. Lista de organismos de acreditación de los Estados miembros.
  • Modelo de evaluación EIDAS. Lista de organismos de evaluación de los Estados miembros.
  • Requisitos aplicables a los CAB para lograr la acreditación. EN 319 403, ISO 17065, Criterios y proceso de acreditación específico para la certificación de servicios electrónicos de confianza regulados en el Reglamento (UE) nº 910/2014 (eIDAS) (Norma ENAC RDE-16)
  • Recomendaciones para planificar una auditoría: Fase de revisión documental, fase presencial, identificación de evidencias, pautas de información a reflejar en el informe de Evaluación (CAR, Conformity Assessment Report).
  • Procedimiento de evaluación. Revisión del informe, aprobación de la certificación.
  • Seguimiento de las entidades evaluadas. Ampliación de alcances de evaluación.
  • Requisitos generales para los auditores y condiciones previas para la acreditación. Principios éticos para los auditores. Criterios de independencia e imparcialidad.
  • Partes involucradas y pautas de interacción.
  • Curso típico de un proyecto de auditoría.
  • Recomendación para la acción y el enfoque durante las auditorías.
  • Requisitos y esquema de informes de evaluación.
  • Modelo de CAR para auditores
  • Condiciones para la Emisión de Certificado. Fases del proceso de certificación.
  • Reglas de uso del signo distintivo europeo de cualificación EIDAS, y de otras marcas asociadas a la evaluación, ENAC, CAB,…
  • Estructura general de aprobación de certificaciones. Organización de TCAB para la aprobación de certificaciones. Comité de partes interesadas.

Para más información llamar a TCAB al +34 91 3880789

Plataformas certificadas de firma digitalizada


A lo largo de los últimos años, EADTrust ha evaluado diversas plataformas para la gestión de firmas manuscritas digitalizadas con tecnologías que permiten que se las encuadre entre las firmas electrónicas avanzadas que define el reglamento europeo UE 910/2014 (EIDAS).

Estas firmas, por la forma en que conservan la información biométrica de las firmas manuscritas permiten su cotejo por los peritos calígrafos en caso de que su autenticidad se haya de dilucidar en juicio o en otro contexto de resolución de controversias. Admiten, por tanto, un modelo que permite definir las firmas indubitadas y las controvertidas para su análisis y comparación.

Se benefician por tanto de una cualidad que el Reglamento EIDAS atribuye a las firmas electrónicas cualificadas: su equivalencia con las firmas manuscritas, porque son firmas manuscritas.

logo-sello_fmda-platform_peq

 Además, como la mayor parte de las firmas manuscritas, tienen la propiedad de la inmediación (están hechas por la mano del firmante sin que intermedie un dispositivo técnico o mecánico) de la que carecen las firmas electrónicas realizadas con certificados digitales, inclusive las firmas electrónicas cualificadas.

EADTrust ha definido un distintivo específico para identificar a las soluciones auditadas con características de plataforma, y que se diferencia del distintivo otorgado a las entidades que adoptan la tecnología y la integran con sus sistemas para recoger firmas que forman parte de sus flujos de negocio (este tipo de entidades se denominan “promotoras” en el contexto de los sistemas de FMDA impulsados por EADTrust)  .

Las plataformas deben permitir cumplir los 10 principios generales definidos por EADTrust, pero algunos de tales principios suponen retos de cumplimiento especialmente orientados hacia las entidades promotoras, que adoptan las plataformas para captar las firmas de sus clientes o potenciales clientes.

  1. Captura de elementos biométricos dinámicos de la firma asociados a sus datos de producción
  2. Vinculación biunívoca de los elementos biométricos con el documento firmado
  3. Imposibilidad de incrustar la firma en otros documentos
  4. Autenticidad del documento y vinculación con el firmante
  5. Confidencialidad de los datos biométricos y Protección de la información conforme a la LOPD y al RGPD
  6. Posibilidad de comprobar la firma por el titular
  7. Posibilidad de demostrar la validez de la firma en un proceso litigioso
  8. Simetría probatoria
  9. Soporte duradero
  10. Existencia de un procedimiento de detección y notificación a la autoridad de protección de datos de incidentes de seguridad que afecten a datos de carácter personal.