Archivo de la categoría: Time stamping

Pioneros de los servicios de confianza: el sello de tiempo


El sello de tiempo entró oficialmente en el entorno regulado con el Reglamento (UE) 910/2014 de 23 de julio de 2014 (EIDAS).

El Artículo 41 referido al efecto jurídico de los sellos de tiempo electrónicos decía

  1. No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a un sello de tiempo electrónico por el mero hecho de estar en formato electrónico o de no cumplir los requisitos de sello cualificado de tiempo electrónico.
  2. Los sellos cualificados de tiempo electrónicos disfrutarán de una presunción de exactitud de la fecha y hora que indican y de la integridad de los datos a los que la fecha y hora estén vinculadas.
  3. Un sello cualificado de tiempo electrónico emitido en un Estado miembro será reconocido como sello cualificado de tiempo electrónico en todos los Estados miembros.

Y el Artículo 42 referido a los requisitos de los sellos cualificados de tiempo electrónicos:

  1. Un sello cualificado de tiempo electrónico cumplirá los requisitos siguientes:

a) vincular la fecha y hora con los datos de forma que se elimine razonablemente la posibilidad de modificar los datos sin que se detecte;

b) basarse en una fuente de información temporal vinculada al Tiempo Universal Coordinado, y

c) haber sido firmada mediante el uso de una firma electrónica avanzada o sellada con un sello electrónico avanzado del prestador cualificado de servicios de confianza o por cualquier método equivalente.

  1. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a la vinculación de la fecha y hora con los datos y a una fuente de información temporal exacta. Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando la vinculación de la fecha y hora con los datos y la fuente de información temporal exacta se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Para entonces ya existía el estándar técnico RFC 3161 publicado en agosto de 2001, por lo que había una base, que luego se completaría con las normas europeas de ETSI EN 319421 y EN 319422. Estas normas fueron la evolución de la norma ETSI TS 102023 a la que contribuyó Ignacio Alamillo en los meses previos hasta su publicación en abril de 2002. Posteriormente se publicó en 2003, el estándar RFC 3628 derivado de la versión 1.2.1 de citada norma ETSI TS 102 023.

Todo ello en un contexto en el que estaba vigente la Directiva 1999/93/CE de 13 de diciembre de 1999 que no contemplaba el sello de tiempo como servicio de confianza regulado. Curiosamente, la transposición a la regulación española de esa directiva se hizo de forma anticipada (gracias a que el texto final de la directiva estaba disponible antes de la publicación oficial): Real Decreto-ley 14/1999, de 17 de septiembre, sobre firma electrónica.

Pero unos años antes unos cuantos locos ayudamos a impulsar una de las primeras investigaciones sobre sello de tiempo en España.

Un paper de investigación de 2002 de Sattam S. Al-Riyami y Chris J. Mitchell titulado Renewing Cryptographic Timestamps muestra que el esquema descrito en Haber y Stornetta [Haber y Stornetta Jr., 1994] para extender la validez de una marca de tiempo criptográfica para un Servicio de Sellado de Tiempo contiene deficiencias de seguridad. Y propone una modificación para rectificar las deficiencias identificadas.

En la bibliografía se cita el proyecto:

(PKITS, 1998] PKITS (1998). PKITS – Public Key In/rastracture with Time Stamping Authority. Fábrica Nacional de Moneda y Timbre (FNMT), Madrid, Spain. ETS Project: 23.192, Architecture of Time-Stamping Service and Scenarios of Use: Services and Features.

Uno de los impulsores del proyecto PKITS de 1998 (también conocido con el nombre «PITA») fue mi amigo José Antonio Mañas que preparó un artículo junto con Manuel Heras que todavía está disponible: «Fechado Digital«.

Y entre los participantes en aquel proyecto:

Project Director: Mr. Jesús Pita Andreu.
Project Manager: Mr. Antonio Muñoz .
Technical Team:
Multimedia documents. Mr. José Antonio Mañas.
Unstructured documents. Mr. Alvaro de la Escalera.
EDI documents: Mr. Manel Medina.
Financial Team responsible: Mr. Tomás Sánchez.
Legal Team leader: Mr. Miguel Angel Amutio.

Esta es la descripción del proyecto:

ETS-II
Public Key Infrastructure with Time Stamping Authority – PITA
Main Objectives.

The aim of the project is to provide an appropriate background in order to evaluate the functional and implementation aspects involved in the provision of a time stamping service within a pan-European Public Key Infrastructure. Conclusions compiled in deliverable documents are meant to be the starting point for further standardisation work on Time Stamping and Notary services. Special efforts will be taken to sort out protocols that will lead to a solution of the mutual trust problem.

Entregables del proyecto PKITS (a.k.a. PITA): Public Key Infrastructure with Time-Stamping Authority (ETS PROJECT: 23.192)

Pasos finales en la aprobación del Reglamento EIDAS 2


La mañana del 29 de junio de 2023 comenzó con una pequeña celebración en relación con el proceso de aprobación del Reglamento EIDAS2.

El anuncio de que el Consejo y el Parlamento alcanzaban un acuerdo sobre el marco legislativo de la identidad digital europea

Un acuerdo logrado entre las 2 y las 3 de la madrugada para consensuar los aspectos más espinosos del futuro Reglamento. La noticia (publicada en la web de la unión europea alrededor de las 3 y media de la madrugada) matizaba «los representantes de la Presidencia del Consejo y del Parlamento Europeo han alcanzado un acuerdo político provisional sobre los elementos principales de un nuevo marco para una identidad digital europea«.

El trílogo político final tuvo lugar del 8 de noviembre de 2023 cerrando formalmente las negociaciones durante la Presidencia española de la Unión Europea..

“Con la aprobación del Reglamento de Identidad Digital Europea damos un paso fundamental para que los ciudadanos puedan disponer de una identidad digital europea única y segura. Se trata de un avance clave para que la Unión Europea sea un referente en el ámbito digital protegiendo nuestros derechos y valores democráticos”, ha afirmado la vicepresidenta Nadia Calviño.

Al trílogo han asistido también el comisario europeo de Mercado Interior, Thierry Breton, y los colegisladores de este reglamento, los eurodiputados Cristian-Silviu Buşoi y Romana Jerković.

Durante estos dos años, se ha venido trabajando en el Parlamento Europeo, en el Consejo de la UE y en la Comisión Europea para alcanzar, tras 19 reuniones técnicas bajo la Presidencia española del Consejo de la UE, un acuerdo de texto final que será de obligado cumplimiento en todos los Estados miembros de la Unión Europea. celebración en relación con el proceso de aprobación del Reglamento EIDAS2.

El texto fue aprobado por la Comisión de Industria, Investigación y Energía del Parlamento Europeo (ITRE) el 7 de diciembre de 2023 y por el Comité de Representantes Permanentes de los Estados miembros de la UE (COREPER) el 6 de diciembre de 2023.

El Pleno de Parlamento Europeo lo aprobó el 29 de febrero de 2024 (335 votos a favor, 190 votos en contra y 31 abstenciones).

¡Con esta votación histórica se da otro paso en el desarrollo de una identidad digital europea para todos los ciudadanos europeos, válida y reconocida en toda Europa!

Con las nuevas normas, se establece un nuevo estándar mundial sobre cómo será en el futuro una identidad digital fiable, segura y fácil de usar.

El 26.03.2024, en el penúltimo paso para la publicación del EIDAS2 en el Diario Oficial, el Consejo de la Unión Europea adoptó el texto que modifica el Reglamento eIDAS.

El Reglamento revisado constituye un claro cambio de paradigma para la identidad digital en Europa. Su objetivo es garantizar que las personas y las empresas de toda Europa tengan acceso universal a una identificación y autenticación electrónicas seguras y fiables.

Principales elementos del Reglamento revisado:

🔹 El lanzamiento del monedero europeo de identidad digital.

🔹 Los testimonios electrónicos cualificados de atributos (TECA)

🔹 Cualquier persona puede utilizar una firma electrónica cualificada gratuita en la Cartera IDUE  para uso no profesional.

El 11.04.024 se firma por los Presidentes del Parlamento Europeo y del Consejo Europeo el texto final del Reglamento EIDAS 2 que se publicará en el Diario Oficial de la Unión Europea.

En el siguiente diagrama se describen los hitos ya logrados y se detallan los procesos en curso

Durante la tramitación del Reglamento eIDAS2, la Agencia Ejecutiva Europea en los ámbitos de la Salud y Digital (HaDEA) licitó el desarrollo de «Grandes Proyectos Piloto» que dio lugar a la aparición de cuatro grandes consorcios con participación Publico / Privada que han ido desarrollando sus proyectos desde mayo de 2023. Contemplan 11 casos de uso: diplomas universitarios, carné de conducir, identificaciones nacionales, apertura de cuentas bancarias…

Estos consorcios son Potential, Nobid, EWC o DC4EU, con presencia española en los dos últimos.

Los cuatro proyectos piloto a gran escala son:

  • El Consorcio de Carteras de Identidad Digital de la UE (EWC) se centra en definir credenciales de viaje digitales en todos los Estados miembros. El EWC tiene la intención de basarse en la aplicación de Carterade referencia para permitir los usos relacionados con las credenciales de viaje digitales.
  • El Consorcio Potential tiene como objetivo fomentar la innovación, la colaboración y el crecimiento en seis sectores que hacen uso de la identidad digital: administración pública, banca, telecomunicaciones, licencias de conducción móvil, firmas electrónicas y salud.
  • EL Consorcio NOBID se impulsa desde algunos países nórdicos y bálticos que, junto con Italia y Alemania, pondrán a prueba el uso de la cartera de identidad digital de la UE para gestión de pagos en un contexto de uso bancario.
  • En el Consorcio DC4EU (Digital Credentials for Europe) colaboran el sector público y el sector privado incluyendo el ámbito educativo y la seguridad social mediante el despliegue y el acceso a infraestructuras de servicios digitales interoperables en un marco de confianza transfronterizo.

Entre unos y otros, los pilotos están explorando el uso de la cartera digital en estas 11 áreas:

  1. Acceso a los servicios públicos: Acceso seguro a servicios públicos digitales, como solicitar un pasaporte o licencia de conducir, presentar impuestos o acceder a la información de seguridad social.
  2. Apertura de una cuenta bancaria: Verificación de la identidad de un usuario al abrir una cuenta bancaria en línea, eliminando la necesidad de que el usuario proporcione repetidamente su información personal
  3. Registro de tarjeta SIM: Prueba de identidad a efectos de contratos de tarjeta SIM pre y postpago (registro y activación), reduciendo el fraude y los costes para los operadores de redes móviles de telecomunicaciones.
  4. Licencia de conducción móvil: El almacenamiento y la presentación del carnet de conducir móvil en interacciones tanto en línea como presenciales (fuera de línea), por ejemplo mostrando a un agente el carnet de conducir.
  5. Firma de contratos: Crear firmas digitales seguras para firmar contratos en línea, eliminando la necesidad de documentos en papel y firmas manuscritas.
  6. Presentación de recetas: Proporcionar detalles de prescripción médica de medicamentos a las farmacias para que estas puedan dispensarlas.
  7. Documentación de viaje: Para presentar información de documentos de viaje (por ejemplo, pasaporte, visado), lo que permite un acceso rápido y fácil cuando se pasa por los controles de seguridad de aeropuertos y aduanas.
  8. Identidades digitales organizativas: Para demostrar el otorgamiento de poderes a los representantes de las empresas.
  9. Pagos: Verificación de la identidad de un usuario al iniciar un pago en línea.
  10. Certificación de educación: Prueba de posesión de títulos y diplomas educativos, para acreditarlos en la solicitud de empleo o al inscribirse en un nuevo proceso formativo.
  11. Seguridad Social: La cartera de identidad digital de la UE permite acreditar la cobertura de un seguro para acceder a las prestaciones de seguridad social de un usuario (por ejemplo, pensiones o prestaciones por discapacidad) en su país o en otro, por ejemplo . acogiendo la tarjeta sanitaria europea.

Además, la la Agencia Ejecutiva Europea en los ámbitos de la Salud y Digital (HaDEA) licitó el desarrollo del código fuente de referencia de la Cartera IDUE que fue adjudicado a la empresa sueca Scytale AB y que esta ha liberado como primera versión en el portal GitHub: EUDI Wallet Reference Implementation

Por otro lado, el Instituto Europeo de Normas de Telecomunicaciones (ETSI) está desarrollando algunas normas técnicas necesarias para la implementación de las nuevas funcionalidades de la Cartera IDUE.

Call to action:

Si tu empresa utiliza sistemas de identificación digital y queréis ver como podéis prepararos para ser parte del nuevo ecosistema que se ha de crear en torno a la Cartera IDUE contacta con EADTrust en el +34 917160555 (o por email: infor (sin r) at eadtrust punto eu) y explora los servicios que podemos ofreceros.

Ya somos Prestador Cualificado de Servicios de Confianza y algunos de nuestros servicios cualificados pueden resolver ya retos que os estéis planteando.

GoCertius de un vistazo. Para que conste. Video de 1 minuto.


En relación con los artículos recientes en este blogs sobre GoCertius contamos en un video de 1 minuto varios aspectos:

  • EADTrust es un Prestador Cualificado de Servicios de Confianza, lo que se puede comprobar aquí y aquí.
  • Por la Disposición final segunda de la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, se ha modificado el artículo 326 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. Que señala:

«4. Si se hubiera utilizado algún servicio de confianza cualificado de los previstos en el Reglamento citado en el apartado anterior, se presumirá que el documento reúne la característica cuestionada y que el servicio de confianza se ha prestado correctamente si figuraba, en el momento relevante a los efectos de la discrepancia, en la lista de confianza de prestadores y servicios cualificados.

Si aun así se impugnare el documento electrónico, la carga de realizar la comprobación corresponderá a quien haya presentado la impugnación. Si dichas comprobaciones obtienen un resultado negativo, serán las costas, gastos y derechos que origine la comprobación exclusivamente a cargo de quien hubiese formulado la impugnación. Si, a juicio del tribunal, la impugnación hubiese sido temeraria, podrá imponerle, además, una multa de 300 a 1200 euros.»

  • La cámara y el micrófono los controla directamente la App. No se puede instalar en móviles «rooteados» (con permisos de superusuario).
  • Cada prueba electrónica recogida en la Certificación se respalda por un sello de tiempo cualificado tal como se define en el Reglamento EIDAS (Reglamento 910/2014, artículo 41).
  • Cada Certificación se rubrica con un Sello electrónico cualificado de entidad (de la propia EADTrust) tal como se define en el Reglamento EIDAS (Reglamento 910/2014, artículo 35).
  • Cada certificación de GoCertius constituye un «Soporte duradero» según se exige en diferentes normas (por ejemplo, la Ley 3/2014 de defensa de consumidores y usuarios).

Por tanto las capturas de pruebas electrónicas registradas por GoCertius se benefician de esa presunción «Iuris Tantum» que impone la carga de la prueba a quien quiera negar su fuerza probatoria.

Y todo está hecho para que se pueda entender de la mejor forma posible qué es lo que se está demostrando y para dar certeza de su autenticidad.

GoCertius está disponible para iPhone y Android y su uso es gratuito.

GoCertius, una App que testimonia pruebas electrónicas irrefutables de audio, video y documentos


Fruto de la colaboración entre Garrigues y EADTrust tras la entrada en el capital del Prestador Cualificado de Servicios de Confianza por parte de la Firma de Abogados líder en España, hemos puesto a disposición de los ciudadanos una nueva App para teléfonos móviles denominada GoCertius.

Ayer se hicieron públicas algunas pinceladas respecto a la estrategia del bufete Garrigues que impulsa una factoría ‘legaltech’ y lanza con EADTrust la ‘app’ GoCertius de certificación digital de videos, audios y documentos.

La noticia cita algunas ideas de Eduardo Abad, socio responsable del Comité de Innovación y Digitalización, de Garrigues.

Como presidente de EADTust, es para mi un honor que formemos parte de esta vanguardista propuesta que busca transformar el panorama de la confianza digital en el nuevo contexto regulatorio basado en EIDAS2 y la propia evolución de la economía digital en los próximos años..

En estos momentos Garrigues muestra su oferta de servicios con «nuevos negocios digitales poco habituales en el ámbito legal».

En la que estamos contribuyendo desde EADTrust, creando conjuntamente una «factoría digital» ideada por Garrigues que diseña y desarrolla nuevos productos, servicios y herramientas. que permiten desplegar servicios o soluciones legaltech del ámbito de la confianza digital, contribuyendo a la adopción de la digitalización de los contratos y aportando un ecosistema de desarrollo alrededor de los activos digitales.

Un «gran laboratorio» que ya ofrece en los repositorios de aplicaciones de iPhone y Android su primera aplicación, GoCertius, dedicada a certificar digitalmente lo que se pueda captar con la cámara o el micrófono del teléfono móvil o los documentos que pasen por el.

Además, GoCertius permite ejemplificar la apariencia de las certificaciones de pruebas electrónicas de forma que se puedan presentar en juicio o en entornos de resolución de controversias, beneficiándose de que la certificación describe de forma entendible por no expertos las circunstancias en las que se han recogido las pruebas.

GoCertius es una aplicación que permite certificar vídeos, fotos y cualquier archivo digital, añadiendo a la captura un sello de tiempo cualificado que crea una prueba de máxima eficacia legal permitida por la regulación vigente. Además registra el rasttro de evidencias en una blockchain. Las certificaciones generadas por GoCertius se sellan electrónicamente con un sello electrónico cualificado y explican la vinculación de los elementos testimoniados con sellos de tiempo cualificados asociados a cada uno de ellos.

«Con este y los productos que le seguirán, Garrigues pretende dar un paso más en su contribución a la seguridad jurídica de las empresas y ciudadanos en una sociedad cada vez más digitalizada», en palabras de Eduardo Abad.

GoCertius es de uso abierto para cualquier persona que lo instale en su móvil y es de uso gratuito en la mayor parte de los casos. Para los usuarios que necesiten testimoniar de manera habitual un gran número de pruebas digitales existe un modelo de tarificación muy atractivo. Este modelo «freemium» permite probar la App sin coste y valorar si puede ser interesante adoptarlo como herramienta profesional.

Con los mismos principios, Garrigues y EADTrust promovemos una plataforma que se puede implantar en diferentes entornos profesionales (bancos, aseguradoras, empresas de telecomunicaciones, compañías eléctricas,…) para reforzar sus sistemas de contratación a distancia generando certificaciones disponibles para la entidad y para sus clientes que así pueden disponer de la misma posición probatoria, lo que yo llamo «simetría probatoria», y que coincide con la expresión acuñada de «igualdad de armas ante la ley».

Esta «factoría» se erige como un punto de convergencia entre la innovación y la legalidad, ofreciendo soluciones integrales que abordan las necesidades emergentes en seguridad jurídica digital y cumplimiento.

La plataforma está disponible en entornos Cloud respetuosos con las legislaciones europeas y como «armario digital» desplegable «on premise».

Tanto Eduardo Abad como yo pensamos que «la factoría» es, probablemente, el elemento más disruptivo y diferenciador en materia de innovación puesto en marcha por nuestras organizaciones recientemente.

Gracias a «la factoría» de Garrigues, estamos iniciando una etapa crucial en la que transformamos la experiencia y conocimiento acumulados a lo largo de los años en este blog, en un catálogo completo de soluciones digitales. Este catálogo abarca diversos formatos y está diseñado para facilitar la seguridad jurídica digital y el cumplimiento normativo, adaptándose a las necesidades actuales y futuras del sector.

Un aspecto que diferencia esta iniciativa es el papel activo de Garrigues en el pensamiento y diseño de estos productos y servicios. Al estar ideados desde un despacho legal, adquieren un carácter único y están intrínsecamente alineados con las normativas y los estándares de seguridad jurídica digital. Este enfoque no solo garantiza la legalidad de las soluciones propuestas, sino que también las enriquece con una perspectiva legal integral.

La factoría es un paso más en la senda iniciada por Garrigues que anunció el pasado mes de marzo de 2023 la compra de un 51% de EADTrust.

EADTrust, es un prestador cualificado de servicios electrónicos de confianza bajo la supervisión del Ministerio de Asuntos Económicos y Transformación Digital.

Aquel anuncio reflejaba un posicionamiento estratégico en un mercado «clave» en el nuevo marco regulatorio definido por el reglamento elDAS 2 (en inglés, electronic identification, authentication and trust services 2), que impulsa nuevos servicios cualificados prestados por los proveedores de servicios de confianza en el marco de la economía digital, y les permite ofrecer productos y servicios «críticos» para la seguridad jurídica.

Desde EADTrust también colaboramos con Garrigues en temas como la Inteligencia Artificial (IA) generativa.

Garrigues cuenta con un equipo de más de 150 profesionales de diversas áreas que está desarrollando «una arquitectura integrada por modelos propios» para resolver tareas específicas, de momento, al servicio de sus propios abogados, pero que «en poco tiempo se podría ofrecer también a clientes» para trabajos concretos.

En EADtrust estamos completando un modelo de verificación de cumplimiento que permitirá certificar que los datos con que se entrenan ciertos sistemas de LLM (Large Language Model) son propios y no sufren sesgos derivados de fuentes externas de datos.

«En Garrigues, consideramos que la innovación es fundamental para el desarrollo de nuestro negocio«, en palabras de Eduardo Abad. Un planteamiento que va más allá de una reflexión táctica ya que la clave del proceso de transformación digital del bufete se configura como un planteamiento estratégico.

Y en EADTrust estamos muy orgullosos se ser una pieza clave de esa estrategia.

Conclusión

La factoría ‘legaltech’ de Garrigues, apoyada por EADTrust, representa un paso significativo hacia la innovación en el campo de la confianza digital. Con proyectos como GoCertius, estamos no solo proporcionando herramientas útiles, sino también educando al mercado sobre la importancia de la seguridad jurídica en el entorno digital. Esta iniciativa marca el comienzo de una nueva era en la que la tecnología y la ley se fusionan para crear un entorno digital más sencillo, seguro y confiable.

15TH CA-DAY


Hoy, 12 de octubre de 2023, ha tenido lugar el decimoquinto «Dia de los Servicios de Certificación» (15TH CA-DAY). Este evento está asociado con el que se celebró ayer: el noveno Foro de los Servicios de Confianza e Identidad Digital (9th Trust Services and eId Forum).

El principal objetivo de estas jornadas es abordar los últimos avances en el marco de eIDAS2, los servicios de confianza en virtud de la Directiva NIS2, la próxima implementación de la Cartera Digital de la UE, así como la solución tecnológica con el fin de proporcionar servicios en línea seguros a los ciudadanos de la UE.

08:00 – 09:00Registrations and breakfast 
09:00 – 09:15Welcome by D-Trust and TÜVITKim Nguyen
Dirk Kretzschmar
09:15 – 09:30Keynote Andrea Valle, Adobe
09:30 – 09:50eIDAS 2.0 – What is new for TSP? Viky Manaila, Intesi Group
09:50 – 10:10NIS II and eIDAS II: How to audit Trust Services in 2025? Paloma Llaneza González, CerteIDAS
10:10 – 10:30QWACs and QSeals Identifying Reliable SourcesEnrico Entschew, D-Trust
Andreas Wand, D-Trust
10:50 – 11:10Auditing TSP Services in the Cloud Matthias Wiedenhorst, TÜVIT
11:10 – 11:30European Cyber regulations at a glance Slawomir Gorniak, ENISA
11:30 – 11:50Remote identification under eIDAS Jon Olnes, Signicat
11:50 – 12:10Wallet use cases for TSPsMichal Tabor, Obserwatorium.biz
12:30 – 12:50SSI and PKI – enabling attribute attestationsChristian Seegebarth, IDunion
12:50 – 13:10eIDAS 2.0 Toolbox: Selective Disclosure for EAA Sebastian Elfors, IDNow
13:10 – 13:30Post Quantum Cryptography Jan Klaußner, Bundesdruckerei
14:30 – 14:50CAB-Forum Updates and S/MIME Baseline RequirementsDimitris Zacharopoulos, CA/Browser-Forum
14:50 – 15:10International market for trust servicesDean Coclin, DigiCert
15:10 – 15:50Panel Discussion +Q&A: TSP governance – European vs. Root storesDennis Jackson, Mozilla
Jochen Eisinger, GoogleArno Fiedler, Nimbus Technologieberatung
Paul van Brouwershaven, Entrust
Kim Nguyen, D-Trust
15:50 – 16:00Closing remarksKim Nguyen,
Arno Fiedler

Al finalizar estos dos días quedan muchas inquietudes por resolver y algunas ideas:

  • El 4 de noviembre comenzará el debate final de los Trílogos sobre Identidad Digital con previsión de que el nuevo Reglamento (EIDAS2) se publique en Diciembre de 2023.
  • La Cartera Digital enfrenta como mayor reto la adopción.
  • La estructura de Prestadores de Servicios de expedición de testimonios cualificados presenta muchos retos e incertidumbres
  • No está claro aun como se evaluará la seguridad de la Cartera Digital ni los Servicios de expedición de testimonios cualificados.

Laboratorio de Confianza Digital ICADE Garrigues


La Universidad Pontificia Comillas y el despacho de abogados Garrigues, firmaron un convenio para crear el Observatorio ‘Legaltech’, Garrigues-ICADE.

El Observatorio, depende de la Facultad de Derecho (Comillas ICADE), a través del Centro de Innovación del Derecho (CID-ICADE).

En la organización del Observatorio destacan Fernando Vives (Presidente), Iñigo Navarro (Codirector), Moisés Menéndez (Codirector), Ofelia Tejerina (Coordinadora) y Hugo Alonso (Gestión de Proyectos).

Formando parte del Observatorio se han definido ya varios laboratorios:

Ahora se crea el Laboratorio de Confianza Digital ICADE Garrigues y he sido nombrado Director del Laboratorio, lo que para mi es un gran honor.

Aunque todavía estoy recopilando información para incorporarla a la página web del Laboratorio que se creará en el sitio de la Universidad de Comillas quisiera comentar que en este momento estamos dando prioridad al análisis del futuro Reglamento EIDAS2 y a la formulación de la Cartera IDUE que se espera que en unos dos años esté disponible para todos los ciudadanos europeos.

Hemos creado un Enlace de invitación al Canal de Whatsapp del Laboratorio de Confianza Digital en el que comentaremos novedades y al que se pueden conectar las personas interesadas.

Posteriormente organizaremos eventos presenciales con diversos ponentes en las instalaciones de la Universidad.

Y dado que soy de Pamplona y hoy es 6 de julio, pongo esta fotico del chupinazo que se ha disparado a las 12 de la mañana desde el balcón del ayuntamiento para celebrar que hoy comienzan las fiestas de San Fermín.

Mesa redonda «Las claves de la digitalización que viene»


El 29 de junio de 2023 he tenido el placer de participar en la mesa de debate incluida en la formación de los Asesores de las Oficinas Acelera Pyme de las Cámaras de Comercio Claves para ayudar y asesorar a las PYMES en su transformación digital, en la que hemos intercambiado ideas Héctor Benítez, Julián Inza, Jordi Masías y Raúl Rubio.

La Mesa redonda «Las claves de la digitalización que viene» forma parte del MÓDULO 07 – CIERRE DEL PROGRAMA FORMATIVO de la Formación de Asesores de las Oficinas Acelera Pyme de las Cámaras de Comercio.

Previamente hubo una interesante ponencia de Paloma Llaneza sobre el contexto legislativo del Reglamento EIDAS2 que ha evolucionado desde la propuesta de junio de 2021 hasta el anuncio de relevantes acuerdos en los trílogos que se realizaron en la madrugada del mismo día 29 de junio de 2023.

La ponencia de Paloma describió también la licitación para el desarrollo del código fuente del modelo de referencia de la Cartera IDUE y la licitación, adjudicación e inicio de los 4 Grandes Proyectos Piloto. Otro aspecto relevante citado fue la publicación del ARF (Architecture and Reference Framework) de la Cartera IDUE (o EUDI Wallet).

En la formación se trataron 7 módulos:

  • MÓDULO 01: Introducción a la transformación digital: se analizó la identidad digital, con qué han de contar las empresas y la importancia de los certificados electrónicos.
  • MÓDULO 02: Regulación & Compliance. Se realizó una introducción al reglamento eIDAS y a la Ley 6/2020, los distintos niveles de firma electrónica y pautas para saber si una empresa cumple con la normativa.
  • MÓDULO 03: Digitalización de procesos de aprobación. Se describió en qué consiste un proceso de aprobación y cómo mejorar la productividad en la empresa, cómo crear un flujo de firmas electrónicas y distintos casos de éxito.
  • MÓDULO 04: Otras garantías de procesos. Se trataron aspectos de transformación digital de la empresas: Facturación electrónica, comunicaciones certificadas y casos reales de sellado de tiempo y sellos electrónicos y validación de firmas y sellos electrónicos.
  • MÓDULO 05: El autónomo. Los expertos explicaron qué es la identidad digital del autónomo y su importancia, los requisitos para que el autónomo se relaciones con las AAPP y explicaron ejemplos que representan lo que puede considerarse un autónomo digitalizado.
  • MÓDULO 06: PYMES. Se trataron los fraudes, estafas y fuga de información y como evitarlos. Se vieron también distintas herramientas de onboarding digital y casos de uso de relación con las AAPP (certificados electrónicos, custodia cifrada, etc.)
  • MÓDULO 07: Cierre del programa formativo. Se trató de evento comentado, con la mesa redonda “Las claves de la digitalización que viene» y la prevista regulación europea sobre la identidad digital (y la EDIW «European Digital Identity Wallet»).

La formación dio comienzo en el mes de abril de 2023, organizada por la Cámara de Comercio de España, junto con AC Camerfirma SA y dentro de su acuerdo con Red.es.

Auditoría de Contabilidad Certificada


Recientemente se ha publicado en España la denominada «Ley Antifraude» que entre los muchos aspectos que trata, incluye una sección para imponer nuevos requisitos a los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión, a las empresas que los crean y a los trabajadores autónomos y empresas que los usan, con sanciones desproporcionadas que presumen la culpabilidad de las empresa y autónomos respecto a la realización de actividades de fraude tributario por el mero hecho de desarrollar o usar software «no certificado». Y los requisitos para ese software se limitan a indicar de forma ambigua que deberán aportar «integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad» (ICALTI, por sus siglas).

También se indica que «ya si eso» reglamentariamente se podrán establecer especificaciones técnicas que deban reunir dichos sistemas y programas.

Se crea una gran inseguridad jurídica ya que aunque en el régimen sancionador se indica:

e) no cumplan con las especificaciones técnicas que garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, así como su legibilidad por parte de los órganos competentes de la Administración Tributaria, en los términos del artículo 29.2.j) de esta Ley;

f) no se certifiquen, estando obligado a ello por disposición reglamentaria, los sistemas fabricados, producidos o comercializados.

Lo que podría dar a entender que la posibilidad de sanciones solo se podría producir tras la publicación de las «especificaciones técnicas», en el conjunto de las descripción de las sanciones no queda tan claro.

Por eso parece recomendable iniciar procesos de auditoría de contabilidad certificada a las plataformas de software de de contabilidad y facturación y a las que se instalan en terminales de punto de venta lo antes posible para demostrar «debida diligencia» en caso de que las autoridades tributarias contacten con nosotros. De esta forma, aunque no haya culminado la modificación del software para cumplir los nuevos requisitos de la norma , ya se puede demostrar que «estamos en ello».

EADTrust es una de las entidades que pueden ayudar a entender los nuevos requisitos, a implementarlos en el software y a auditarlo posteriormente para comprobar que están bien implementados.

La «Ley 11/2021, de 9 de julio, de medidas de prevención y lucha contra el fraude fiscal, de transposición de la Directiva (UE) 2016/1164, del Consejo, de 12 de julio de 2016, por la que se establecen normas contra las prácticas de elusión fiscal que inciden directamente en el funcionamiento del mercado interior, de modificación de diversas normas tributarias y en materia de regulación del juego» es la norma indicada.

El artículo decimotercero de esta Ley modifica la Ley General Tributaria en varios aspectos y en lo relativo al software de contabilidad, facturación y gestión  modifica el apartado 2 del artículo 29 para incluir los requisitos indicados. También crea un artículo 201 bis con el régimen sancionador asociado.

En el apartado 2 del artículo 29, de la Ley 58/2003, de 17 de diciembre, General Tributaria, se añade un nuevo párrafo con la letra j) que tiene la siguiente redacción:

“j) La obligación, por parte de los productores, comercializadores y usuarios, de que los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión de quienes desarrollen actividades económicas, garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, sin interpolaciones, omisiones o alteraciones de las que no quede la debida anotación en los sistemas mismos. Reglamentariamente se podrán establecer especificaciones técnicas que deban reunir dichos sistemas y programas, así como la obligación de que los mismos estén debidamente certificados y utilicen formatos estándar para su legibilidad.”

Como se ha indicado, ese mismo artículo 13 crea un nuevo artículo 201 bis en la Ley 58/2003, de 17 de diciembre, General Tributaria:

Artículo 201 bis. Infracción tributaria por fabricación, producción, comercialización y tenencia de sistemas informáticos que no cumplan las especificaciones exigidas por la normativa aplicable.

1. Constituye infracción tributaria la fabricación, producción y comercialización de sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión por parte de las personas o entidades que desarrollen actividades económicas, cuando concurra cualquiera de las siguientes circunstancias:

a) permitan llevar contabilidades distintas en los términos del artículo 200.1.d) de esta Ley;

b) permitan no reflejar, total o parcialmente, la anotación de transacciones realizadas;

c) permitan registrar transacciones distintas a las anotaciones realizadas;

d) permitan alterar transacciones ya registradas incumpliendo la normativa aplicable;

e) no cumplan con las especificaciones técnicas que garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, así como su legibilidad por parte de los órganos competentes de la Administración Tributaria, en los términos del artículo 29.2.j) de esta Ley;

f) no se certifiquen, estando obligado a ello por disposición reglamentaria, los sistemas fabricados, producidos o comercializados.

2. Constituye infracción tributaria la tenencia de los sistemas o programas informáticos o electrónicos que no se ajusten a lo establecido en el artículo 29.2.j) de esta Ley, cuando los mismos no estén debidamente certificados teniendo que estarlo por disposición reglamentaria o cuando se hayan alterado o modificado los dispositivos certificados.

La misma persona o entidad que haya sido sancionada conforme al apartado anterior no podrá ser sancionada por lo dispuesto en este apartado.

3. Las infracciones previstas en este artículo serán graves.

4. La infracción señalada en el apartado 1 anterior se sancionará con multa pecuniaria fija de 150.000 euros, por cada ejercicio económico en el que se hayan producido ventas y por cada tipo distinto de sistema o programa informático o electrónico que sea objeto de la infracción. No obstante, las infracciones de la letra f) del apartado 1 de este artículo se sancionarán con multa pecuniaria fija de 1.000 euros por cada sistema o programa comercializado en el que se produzca la falta del certificado.

La infracción señalada en el apartado 2 anterior, se sancionará con multa pecuniaria fija de 50.000 euros por cada ejercicio, cuando se trate de la infracción por la tenencia de sistemas o programas informáticos o electrónicos que no estén debidamente certificados, teniendo que estarlo por disposición reglamentaria, o se hayan alterado o modificado los dispositivos certificados.

Por la Disposición final séptima, estas modificaciones entran en vigor transcurridos tres meses desde la entrada en vigor de la Ley, lo que se produce el 11 de octubre de 2021.

Aunque a finales de septiembre de 2021 no se han publicado formalmente especificaciones técnicas, sí que existen especificaciones semejantes para la digitalización certificada, en particular los requisitos c) y d) del apartado 1 del artículo 7 de la «Orden EHA/962/2007, de 10 de abril, por la que se desarrollan determinadas disposiciones sobre facturación telemática y conservación electrónica de facturas, contenidas en el Real Decreto 1496/2003, de 28 de noviembre, por el que se aprueba el reglamento por el que se regulan las obligaciones de facturación.«

Las entidades que conocen y se ha adaptado a las especificaciones de TIcket BAI publicadas por las Diputaciones Forales del País Vasco para el denominado «Software Garante» están un paso más cerca de poder cumplir las nuevas especificaciones, aunque tienen aspectos diferentes.

La denominación de «Contabilidad Certificada» se está empezando a usar por semejanza con la «Digitalización Certificada» que ya cuenta con requerimientos más precisos y consolidados, ya que se publicaron en 2007.

En este contexto, EADTRUST lleva a cabo procesos de consultoría y auditoría para asegurar el cumplimiento de los objetivos de la norma en los softwares de contabilidad existentes, contando con su experiencia en auditorías de Digitalización Certificada.

Tras auditar el cumplimiento de las normas en lo que se refiere a la nueva obligación de Ley 11/2021, de 9 de julio respecto a los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión, EADTRUST expide un certificado de cumplimiento.

Actividades de estandarización de los servicios de confianza en ETSI en 2019


El Instituto Europeo de Normas de Telecomunciaciones (ETSI) es un organismo sin ánimo de lucro creado para elaborar normas técnicas de telecomunicación y de otros ámbitos que faciliten la interoperabilidad. En su seno se han desarrollado las normas relativas a los servicios de confianza y, en particular, los que facilitan la puesta en marcha de los servicios contemplados en el Reglamento UE 910/2014 (EIDAS).

Riccardo Genghini, representante de la entidad Studio Notarile Genghini, eWitness SA dirige el Comité Técnico de Firmas Electrónicas e Infraestructuras (TC ESI, Electronic Signatures and Infrastructures committee), con la misión  de elaborar normas, guías e informes genéricos relativos a las firmas electrónicas y a las infraestructuras de servicios de confianza conexos para proteger las transacciones electrónicas y garantizar la confianza entre sus intervinientes. Ha elaborado un resumen de actividades del TC ESI en 2019 que se ha publicado en la página web de ETSI.

Entre las actvidades, destaca la publicación de diversos documentos normativos y especificaciones técnicas.

El Comité ha actualizado la Especificación Técnica [TS 119 495] que define los Perfiles de Certificados Cualificados (Qualified Certificate Profiles ) y los Requisitos de Política de TSP para Servicios de Pago (TSP Policy Requirements for Payment Services ) bajo la Directiva de servicios de pago 2015/2366/EU (denominada PSD2).

Se han realizado revisiones a la Especificación Técnica [TS 119 102-2] sobre Procedimientos de Creación y Validación de Firmas Digitales AdES (Parte 2: Informe de Validación de Firmas), en inglés «Procedures for Creation and Validation of AdES Digital Signatures (Part 2: Signature Validation Report».

El Comité ha publicado protocolos para la creación y validación de firmas digitales remotas en los documentos TS 119 432TS 119 442 respectivamente.

Se publicó otra especificación técnica [TS 119 511],en la que se definen los requisitos de política y seguridad para los proveedores de servicios de confianza que proporcionan servicios de preservación a largo plazo de firmas digitales o de preservación de datos generales mediante técnicas de firma digital.

Se publicaron los documentos  TS 119 403-2TS 119 403-3, en los que se definen los requisitos adicionales que deben cumplir los organismos de evaluación de la conformidad que evaluan a los prestadores de servicios de confianza cualificados de la UE y auditan a los prestadores de servicios de confianza que emiten certificados aceptables por los navegadores (con denominación acuñada «Publicly-Trusted Certificates», certificados confiables públicamente ).

Los restantes entregables bajo el alcance del grupo de trabajo STF 523 se publicaron en febrero. Entre ellos figuraban dos documentos normativos para los prestadores de servicios de entrega electrónica registrada y los de correo electrónico registrado (Electronic Registered Delivery Providers and Registered Electronic Mail Providers – REM), especificaciones de prueba y un estudio de viabilidad sobre un perfil de interoperabilidad entre los sistemas REM definidos en ETSI y los sistemas basados en PReM (Postal Registered Electronic Mail) de la UPU (Unión Postal Universal) [EN 319 521EN 319 531TS 119 524 Part 2TS 119 534 Part 2TR 119 530]. Anteriormente este tipo de interoperabilidad se trató en la publicación TS 102 640-6-1 de 2011.

El grupo de trabajo STF 560 financiado por la CE/AELC  (EC/EFTA) trabajó en dos temas. Uno considera dos formatos procesables por máquina para las políticas de firma [TS 119 172 Part 2TS 119 172 Part 3] que se publicaron en diciembre de 2019. En el segundo, el STF hizo un estudio sobre la aceptación global de los Servicios de Confianza de la UE. Para dar cobertura a este estudio, el TC ESI organizó cuatro sesiones conjuntas (workshops , talleres) en Dubai (mayo), Tokio (mayo), México D.F. (junio) y Nueva York (septiembre). Los trabajos pretendían estudiar  los esquemas de Servicios de Confianza basados en Infraestructuras de Clave Pública (ICP, PKI)  que operan en diferentes regiones del mundo, y su posible reconocimiento mutuo e, incluso, un modelo de aceptación mundial. El estudio tiene por objeto determinar otras medidas que podrían adoptarse para facilitar el reconocimiento mutuo entre los servicios de confianza de la Unión Europea, sobre la base de las normas de la ETSI que respaldan la reglamentación del eIDAS y los servicios de confianza de otros esquemas o modelos de confianza.

En 2019 se mantuvo la interacción con varios órganos externos. En lo que respecta a los resultados de la entrega electrónica (e-delivery), el Comité trabajó con la Comisión Europea / CEF (Connecting Europe Facility), CEN TC 331 WG2 (que trabaja en los servicios postales) y la UPU (Unión Postal Universal).

El Comité TC ESI se coordinó con el Comité TC DSS-X de OASIS para garantizar la alineación y la complementariedad de las especificaciones para la creación y validación de firmas remotas, a partir de la nueva especificación OASIS DSS-X V2 que se publicó en julio de 2019.

Se realizaron progresos  en los protocolos para la creación de firmas remotas, en consonancia con los trabajos del Consorcio de Firma en Nube (Cloud Signature Consortium – CSC) para dar cobertura a las firmas electrónicas basadas en modelos de consulta/respuesta en servidores según la especificación  JSON.

En cooperación con la Autoridad Bancaria Europea (European Banking Authority) y Open Banking Europe, se ha ajustado la Especificación Técnica [TS 119 495] para que la infraestructura de confianza pueda satisfacer mejor las necesidades de los nuevos servicios de pago.

El Comité TC ESI  ha compartido información relevante para los proveedores de servicios de confianza con el Foro de Autoridades Europeas de Supervisión (Forum of European Supervisory Authorities).

El Comité TC ESI  ha Interactuado con el Comité TC 154 WG6 de ISO, que está definiendo perfiles de formatos de firmas a partir de los formatos ESI.

El Comité TC ESI mantiene activa la relación con la Cooperación Europea para la Acreditación (European cooperation for Accreditation), en particular para el mantenimiento de la norma de conformidad para la certificación de evaluadores EN 319 403.

Se suscribió un acuerdo de colaboración (MoU Memorandum of Understanding,  memorando de entendimiento) con la asociación ACAB’c, Accredited Conformity Assessment Bodies’ Council, es decir,  el Consejo de Organismos de Evaluación de la Conformidad Acreditados.

Se estableció un nuevo acuerdo de cooperación con el Cloud Signature Consortium.

En enero de 2019 el Vicepresidente del TC ESI habló – junto con el Presidente y el Vicepresidente del TC CYBER – en un segundo taller en Bruselas sobre la Ley de Ciberseguridad y su vínculo con la normalización, organizado conjuntamente por ENISA, CEN, CENELEC y ETSI.

Durante octubre y noviembre, el TC ESI llevó a cabo un evento remoto de PlugtestsTM  de validación de firmas digitales (Digital Signature Validation PlugtestsTM ).

 

 

 

Material de estudio para la certificación profesional de Auditor EIdAS


Próximamente TCAB publicará más detalles sobre las jornadas de formación previstas en 2020 para la certificación profesional de Auditor EIdAS.

Ya se ha publicado el contenido previsto de la formación pero todavía no se han publicado las fechas para los exámenes de certificación y aspectos como los requisitos para ser Auditor EIdAS en el esquema de TCAB.

Quienes deseen prepararse para esta cualificación profesional pueden descargarse y utilizar como material de estudio las guías publicadas por ENISA.

Aunque el material está en inglés, a continuación se relacionan algunos de los documentos disponibles indicando también la traducción del título al español: