Pack Facturación digital y digitalización certificada de EADTrust para desarrolladores

Deja un comentario

En EADTrust estamos recibiendo muchas consultas sobre como dar cumplimiento a la nueva normativa de facturación, ya sea publicada o anunciada, considerando la forma de gestionar correctamente las firmas electrónicas y los sellos electrónicos. Y los hashes y los formatos de factura,…

Estas nuevas normas impactan especialmente a las entidades que desarrollan soluciones de facturación y en ocasiones su incumplimiento conlleva duras sanciones.

Los próximos meses supondrán un reto para las entidades desarrolladoras de soluciones ERP y de contabilidad o facturación, que tendrán que incluir en la funcionalidad de su software (SIF, Sistemas Informáticos de Facturación los denomina la autoridad tributaria) diferentes prestaciones, algunas con fecha límite (29 de julo de 2025) y otras con fecha todavía indeterminada a la espera de que se publique normativa adicional).

Las prestaciones a incluir en el software de gestión (que afectará también a las entidades que usan ese software) son:

  • Digitalización Certificada
  • Contabilidad Diligente o Certificada (Ley antifraude)
  • Factura electrónica o digital (Ley Crea y Crece)

Digitalización Certificada

La digitalización certificada es un proceso que permite convertir facturas recibidas en papel en archivos digitales firmados electrónicamente, garantizando que la versión digital mantenga la misma validez legal que la fuente en papel. 

Su normativa está vigente desde 2007.

Para que un proceso de digitalización sea considerado «certificado», es necesario utilizar software homologados por la Agencia Estatal de Administración Tributaria (AEAT). Estos programas deben cumplir el artículo 7 de la Orden EHA/962/2007, y los desarrolladores que deseen incluir esta funcionalidad en sus aplicaciones deben seguir el proceso de homologación que se recoge en la Resolución de 24 de octubre de 2007. Es necesario presentar un informe de Auditoría y EADTrust es el principal especialista en auditoría de Digitalización Certificada.

La firma electrónica (o mejor, el sello electrónico) juega un papel crucial en el proceso de digitalización certificada. EADTrust, que además es un Prestador Cualificado de Servicios de confianza, puede proveer los certificados digitales para generar los sellos electrónicos.

También es muy importante el sistema de llevanza de la digitalización (recogiendo los datos señalado en el articulo 64 del Reglamento del IVA) que debe permitir garantizar la integridad e inalterabilidad de los registros que anotan cada factura en el proceso de digitalización. Aunque la norma prevé la firma de la base de datos, en la práctica se gestionan sistemas de hashes de los registros de facturación que se refuerzan con sellos de tiempo o sellos electrónicos en los períodos de cierre.

Varias de las técnicas utilizadas en la Digitalización Certificada son válidas para cumplir otros requisitos normativos, por lo que puede ser recomendable iniciar la adaptación al conjunto de nuevas normas implementando primero la Digitalización Certificada en el SIF, Sistema Informático de Facturación.

Contacte con EADTrust si necesita saber como implementar la Digitalización Certificada en su software y como realizar la auditoría para presentarla ante la Agencia Tributaria.

Y también para obtener los certificados digitales cualificados para generar los sellos electrónicos con los que se firman o sellan las versiones digitalizadas de las facturas en papel.

Contabilidad Diligente o Certificada (Ley Antifraude)

La Ley Antifraude, oficialmente conocida como Ley 11/2021, de 9 de julio, de medidas de prevención y lucha contra el fraude fiscal, ha introducido cambios significativos en la forma en que las empresas deben llevar su contabilidad. Esta ley busca combatir el fraude fiscal y la evasión de impuestos a través de una serie de medidas estrictas que afectan directamente a la contabilidad y la facturación de las empresas.

Impone los requisitos ICALTI (integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros) a los sistemas de facturación en lo que tiene que ver con la emisión de facturas.

Introduce el concepto del nuevo sistema «Veri*factu» de uso opcional que implica la remisión de todas las facturas y tickets a la Agencia Tributaria, aunque con la alternativa de implantar medidas de gestión de integridad en el propio software SIF.

De modo que la nueva normativa asociada a la Ley Antifraude se centra en detallar los requisitos técnicos que debe cumplir un software de facturación certificado.

Es importante señalar que las sanciones por incumplimiento de las normativas antifraude se han endurecido significativamente. Las empresas que no utilicen software certificado, realicen pagos en efectivo por encima del límite permitido, o no reporten adecuadamente sus transacciones se enfrentan a multas sustanciales.

En «BOE» núm. 260, de 28/10/2024 se publicó la Orden HAC/1177/2024, de 17 de octubre, por la que se desarrollan las especificaciones técnicas, funcionales y de contenido referidas en el Reglamento que establece los requisitos que deben adoptar los sistemas y programas informáticos o electrónicos que soporten los procesos de facturación de empresarios y profesionales, y la estandarización de formatos de los registros de facturación, aprobado por el Real Decreto 1007/2023, de 5 de diciembre; y en el Reglamento por el que se regulan las obligaciones de facturación, aprobado por Real Decreto 1619/2012, de 30 de noviembre. Se publicó una corrección de errores en el BOE núm. 270, de 8 de noviembre de 2024.

El Artículo 13 del  Real Decreto 1007/2023, de 5 de diciembre contempla que la entidad productora del sistema informático certifique mediante una declaración responsable, que el sistema informático cumple la normativa Antifraude. EADtrust ofrece un servicio de auditoría para certificar que la Declaración responsable está correctamente formulada. Este servicio se creó para dotar de seguridad jurídica a los desarrolladores de soluciones de facturación ante los alarmantes requisitos que introdujo la Ley Antifraude (Ley 11/2021).

La Ley antifraude introdujo el artículo 201bis en la Ley General Tributaria en la que se definían las sanciones por falta de certificación. Y un apartado en el artículo 29 (2.j):

j) La obligación, por parte de los productores, comercializadores y usuarios, de que los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión de quienes desarrollen actividades económicas, garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, sin interpolaciones, omisiones o alteraciones de las que no quede la debida anotación en los sistemas mismos. Reglamentariamente se podrán establecer especificaciones técnicas que deban reunir dichos sistemas y programas, así como la obligación de que los mismos estén debidamente certificados y utilicen formatos estándar para su legibilidad.

En la Orden 1177/2024 que concreta las especificaciones técnicas de la Ley Antifraude y del Real Decreto 1007/2023 se imponen varias obligaciones en relación con el uso de certificados electrónicos:

  • En el artículo 4 (…) Gestionar certificados electrónicos. Los certificados electrónicos serán utilizados para autenticarse en la conexión con la Agencia Estatal de Administración Tributaria con la finalidad de remitir la información y, en su caso, generar la firma electrónica de los registros de facturación y de evento (…)
  • En el artículo 5: Para remitir los registros de facturación a la sede electrónica de la Agencia Estatal de Administración Tributaria, los sistemas informáticos deberán presentar ante esta la correspondiente identificación electrónica del remitente mediante el uso de los certificados electrónicos válidos en cada momento en la sede electrónica de la Agencia Estatal de Administración Tributaria.
  • En el artículo 6: (…) c) El sistema informático deberá firmar electrónicamente, de acuerdo con lo especificado en el artículo 14, todos los registros de facturación que genere.
    d) El sistema informático deberá ser capaz de comprobar si es correcta la firma electrónica de cualquier registro de facturación individual generado, permitiendo realizar esta comprobación, bajo demanda, de forma rápida, fácil e intuitiva. (…)
  • En el Artículo 14: La firma electrónica de los registros de facturación y de evento se basará en el estándar del Instituto Europeo de Normas de Telecomunicaciones ETSI EN 319 132 y utilizará el tipo de firma «XAdES Enveloped Signature» con los detalles técnicos que para su generación se recojan en la sede electrónica de la Agencia Estatal de Administración Tributaria.
    En todo caso, la firma electrónica deberá ser generada con una clave privada asociada a un certificado electrónico cualificado de firma electrónica en vigor. Dicho certificado debe haber sido emitido por un proveedor de servicios de confianza cualificado que cumpla con los requisitos establecidos en el Reglamento (UE) N.º 910/2014 del Parlamento europeo y del Consejo, de 23 de julio de 2014, y esté incluido en la lista de proveedores de confianza de la UE (EU/EEA Trusted List).
    La firma electrónica generada deberá almacenarse en el registro de facturación o de evento al que corresponde, de acuerdo con lo especificado en los artículos 9.4.c), 10.c) y 11.c).

En la disposición final cuarta del RG 1007/2023 se indica que

Los obligados tributarios a que se refiere el artículo 3.2 de dicho Reglamento, en relación con sus actividades de producción y comercialización de los sistemas informáticos, deberán ofrecer sus productos adaptados totalmente al reglamento en el plazo máximo de nueve meses desde la entrada en vigor de la orden ministerial a que se refiere la disposición final tercera de este real decreto.

Como la Orden HAC/1177/2024 se publicó en el BOE 28 de octubre de 2024, los requisitos de la Orden se deben cumplir antes del 29 de julio de 2025.

Dado que EADTrust es un Prestador Cualificado de Servicios de confianza, puede proveer los certificados digitales para generar los sellos electrónicos.

También proporciona servicios de URL para los códigos QR de los servicios de facturación «NO VERI*FACTU» (artículo 21).

EADTrust también provee de un servicio de custodia externo de registros de facturación de exportación, tal como exige el artículo 8. Se recomienda que la custodia sea por 6 años considerando el artículo 30 del Código de Comercio.

Los especialistas de EADTrust pueden actuar de consultores para resolver cualquier duda de implementación de esta normativa.

Factura Electrónica o Digital (Ley Crea y Crece)

La Ley Crea y Crece, aprobada en septiembre de 2022, establece una regulación para hacer obligatoria la factura electrónica en el ámbito privado.

Según el artículo 12 de la Ley Crea y Crece, «todas las empresas y autónomos deberán expedir y remitir facturas electrónicas en sus relaciones comerciales con otras empresas y autónomos».

La entrada en vigor del artículo 12, relativo a la facturación electrónica entre empresarios y profesionales producirá efectos, para los empresarios y profesionales cuya facturación anual sea superior a ocho millones de euros, al año de aprobarse el desarrollo reglamentario. Para el resto de los empresarios y profesionales, este artículo producirá efectos a los dos años de aprobarse el desarrollo reglamentario. La entrada en vigor del artículo 12 está supeditada a la obtención de la excepción comunitaria a los artículos 218 y 232 de la Directiva 2006/112/CE del Consejo, de 28 de noviembre de 2006, relativa al sistema común del impuesto sobre el valor añadido.

Aunque España ya ha solicitado la excepción comunitaria, todavía no se ha publicado la concesión. Solamente se ha publicado una excepción similar para Alemania, Rumanía, Polonia, Francia e Italia.

No obstante, para la preparación de ese momento en que entre en vigor la obligatoriedad de la factura electrónica, hay que conocer los formatos de facturación, las posibilidades de generar facturas estructuradas o no estructuradas, la forma de añadir los sellos electrónicos XAdES o PAdES , la forma de comprobarlos y la forma de extraer información de las facturas recibidas.

Contacte con EADTrust si necesita saber como implementar la Factura Electrónica o Digital en su software de contabilidad o gestión empresarial y cómo realizar la gestión de los sellos y firmas electrónicos.

Y también para obtener los certificados digitales cualificados con los que generar los sellos electrónicos que se deben aplicar a las facturas.

Cinco Reglamentos de Ejecución para el desarrollo de las carteras de identidad digital europea se han publicado en el Diario Oficial de la Unión Europea.

1 respuesta

Ya se han publicado en el Diario Oficial de la Unión Europea del 4 de diciembre de 2024 los 5 Actos de Implementación asociados al Reglamento EIDAS2 correspondientes al primer lote.

Entran en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea, es decir, el 24 de diciembre de 2024, en plena «Nochebuena».

Reglamento de Ejecución (UE) 2024/2977 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los datos de identificación de la persona y las declaraciones electrónicas de atributos expedidos a carteras de identidad digital europea.

Reglamento de Ejecución (UE) 2024/2979 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la integridad y las funcionalidades básicas de las carteras de identidad digital europea.

Reglamento de Ejecución (UE) 2024/2980 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las notificaciones a la Comisión relativas al ecosistema de la cartera de identidad digital europea.

Reglamento de Ejecución (UE) 2024/2981 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la certificación de las carteras de identidad digital europea.

Reglamento de Ejecución (UE) 2024/2982 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los protocolos y las interfaces que admitirá el marco europeo de identidad digital.





Firma electrónica remota de documentos en eIDAS y eIDAS2

2 respuestas

Uno de los aspectos que han cambiado tras la publicación del Reglamento eIDAS2 es la forma de categorizar los sistemas de firma electrónica remota, si bien los requerimientos son semejantes.

En el Reglamento (UE) Nº 910/2014 se contempla la firma remota en 2 considerandos:

(52) Debe ser posible para el firmante confiar a un tercero los dispositivos cualificados de creación de firmas electrónicas, a condición de que se apliquen los procedimientos y mecanismos adecuados para garantizar que el firmante tiene el control exclusivo del uso de sus datos de creación de la firma electrónica y que la utilización del dispositivo cumple los requisitos de la firma electrónica cualificada.

(53) Debido a sus múltiples ventajas económicas, debe desarrollarse la creación de firmas electrónicas a distancia en un entorno de creación de firma electrónica gestionado por un prestador de servicios de confianza en nombre del firmante. Sin embargo, a fin de garantizar que estas firmas electrónicas obtengan el mismo reconocimiento jurídico que las firmas electrónicas creadas en un entorno completamente gestionado por el usuario, los prestadores que ofrezcan servicios de firma electrónica a distancia deben aplicar procedimientos de seguridad de la gestión y administrativos específicos y utilizar sistemas y productos fiables, incluidos canales de comunicación electrónica seguros para garantizar que el entorno de creación de firmas electrónicas es fiable y se utiliza bajo el control exclusivo del firmante. En el caso de una firma electrónica cualificada creada mediante un dispositivo de creación de firmas electrónicas a distancia, se aplicarán los requisitos aplicables a los prestadores cualificados de servicios de confianza contemplados en el presente Reglamento

Ya no se recoge nada más en el articulado, pero en el Anexo II se indican los requisitos que exige el Reglamento para la firma remota (en nombre del firmante):

Anexo II . Requisitos de los dispositivos cualificados de creación de firma electrónica

(…)

3. La generación o la gestión de los datos de creación de la firma electrónica en nombre del firmante solo podrán correr a cargo de un prestador cualificado de servicios de confianza.

4. Sin perjuicio de la letra d) del punto 1, los prestadores cualificados de servicios de confianza que gestionen los datos de creación de firma electrónica en nombre del firmante podrán duplicar los datos de creación de firma únicamente con objeto de efectuar una copia de seguridad de los citados datos siempre que se cumplan los siguientes requisitos:

  1. la seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales;
  2. el número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio.

De modo que los sistemas de gestión de firma en nombre del firmante solo los pueden gestionar prestadores cualificados (aunque su cualificación no esté relacionada con la emisión de certificados).

El servicio en sí no se consideraba un servicio cualificado y por eso no se incluía en la lista de servicios cualificados publicada por el Organismo Supervisor. Los servicios cualificados en el contexto del eIDAS1 eran:

  • Servicio de expedición de certificados electrónicos cualificados de firma electrónica;
  • Servicio de expedición de certificados electrónicos cualificados de sello electrónico;
  • Servicio de expedición de certificados electrónicos cualificados de autenticaciónde sitios web;
  • Servicio de expedición de sellos electrónicos cualificados de tiempo;
  • Servicio cualificado de entrega electrónica certificada;
  • Servicio cualificado de validación de firmas electrónicas cualificadas;
  • Servicio cualificado de validación de sellos electrónicos cualificados;
  • Servicio cualificado de conservación de firmas electrónicas cualificadas;
  • Servicio cualificado de conservación de sellos electrónicos cualificados.

Pero tras la publicación del Reglamento (UE) 2024/1183 la prestación de servicios de gestión de firma remota en nombre del firmante sí se considera servicio cualificado.

En base a este reglamento se insertan cambios en el Reglamento EIDAS. En el artículo 3:

se insertan los puntos siguientes:

«23 bis) “dispositivo cualificado de creación de firma electrónica a distancia”, dispositivo cualificado de creación de firmas electrónicas que está gestionado por un prestador cualificado de servicios de confianza, de conformidad con el artículo 29 bis, en nombre de un firmante;

23 ter) “dispositivo cualificado de creación de sello electrónico a distancia”, dispositivo cualificado de creación de sellos electrónicos que está gestionado por un prestador cualificado de servicios de confianza, de conformidad con el artículo 39 bis, en nombre de un creador de sellos;»;

Y en el articulado:

En el artículo 29, se inserta el apartado siguiente:

«1 bis.   La creación o la gestión de datos de creación de firma electrónica o la duplicación de estos datos de creación de firma con fines de copia de seguridad se llevará a cabo únicamente en nombre del firmante, a solicitud de este, y por un prestador cualificado de servicios de confianza que preste un servicio de confianza cualificado para la gestión de un dispositivo cualificado de creación de firma electrónica a distancia.».

Se inserta el artículo siguiente:

«Artículo 29 bis

Requisitos aplicables a un servicio cualificado para la gestión de dispositivos cualificados de creación de firma electrónica a distancia

  1. La gestión de dispositivos cualificados de creación de firma electrónica a distancia como servicio cualificado se llevará a cabo únicamente por un prestador cualificado de servicios de confianza que:

a) cree o gestione datos de creación de firmas electrónicas en nombre del signatario;

b) no obstante lo dispuesto en el punto 1, letra d), del anexo II, duplique los datos de creación de firmas electrónicas exclusivamente con fines de copia de seguridad, siempre y cuando se cumplan los requisitos siguientes:

i) la seguridad de los conjuntos de datos duplicados debe ser del mismo nivel que el previsto para los conjuntos de datos originales,

ii) el número de conjuntos de datos duplicados no debe superar el mínimo necesario para garantizar la continuidad del servicio;

c) cumpla todos los requisitos definidos en el informe de certificación del dispositivo cualificado específico de creación de firmas electrónicas a distancia expedido en virtud del artículo 30.

  1. A más tardar el 21 de mayo de 2025, la Comisión establecerá, mediante actos de ejecución, una lista de normas de referencia y, en su caso, las especificaciones y los procedimientos a los efectos del apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

Se inserta el artículo siguiente:

«Artículo 39 bis

Requisitos aplicables a un servicio cualificado para la gestión de dispositivos cualificados de creación de sello electrónico a distancia

El artículo 29 bis se aplicará mutatis mutandis a los servicios cualificados para la gestión de dispositivos cualificados de creación de sello electrónico a distancia.».

Por tanto, en la actualidad ya se considera cualificado el servicio cualificado para la gestión de dispositivos cualificados de creación de firma electrónica a distancia. Sin embargo, el detalle técnico se conocerá cuando se publique el acto de ejecución que establezca la lista de normas de referencia y, en su caso, las especificaciones y los procedimientos aplicables.

Nuevos borradores de Actos de Ejecución necesarios para el desarrollo de la Cartera IDUE (Identidad Digital de la Unión Europa) correpondientes al segundo lote

3 respuestas

El viernes 29 de noviembre de 2024 la Comisión Europea publicó nuevos borradores de Actos de Ejecución necesarios para el desarrollo de la Cartera IDUE (Identidad Digital de la Unión Europea) en el portal ‘Have your say’ (Díganos lo que piensa), solicitando comentarios de los expertos y partes interesadas hasta el 27 de diciembre.

Este segundo lote podría publicarse, tras las modificaciones propuestas que se hayan aceptado, en marzo de 2025 en el Diario Oficial.

Wallet lists
This implementing act sets out rules for the submission to the Commission of information on certified wallet solutions and their associated electronic identification schemes by EU countries. It also sets out the requirements for the secure electronic system to be set up by the Commission for receiving the submissions.

Este acto de ejecución establece normas para la notificación a la Comisión por los países de la UE de la información sobre sus soluciones certificadas de cartera y los esquemas de identificación electrónica asociados. También establece los requisitos para el sistema electrónico seguro que debe desplegar la Comisión para recibir las notificaciones.

Draft implementing regulation – Ares(2024)8509195

Draft implementing regulation – Ares(2024)8509195-090166e51561e6d5Descarga

Annex – Ares(2024)8509195

Annex – Ares(2024)8509195-090166e51561e6d4Descarga

Identity matching – Cross-border identity matching of natural persons by public sector bodies (RP)

This implementing act sets out the provisions on unequivocal identity matching when using electronic identification means or European Digital Identity Wallets. It sets out what EU countries must do to ensure unequivocal identity matching when users want to access online cross-border public services when using electronic identification means or European digital identity wallets.

Este acto de ejecución establece las disposiciones sobre la correspondencia inequívoca de identidades cuando se utilizan medios de identificación electrónica o carteras europeas de identidad digital. Establece lo que deben hacer los países de la UE para garantizar la concordancia inequívoca de la identidad cuando los usuarios deseen acceder a servicios públicos transfronterizos en línea utilizando medios de identificación electrónica o carteras digitales de identidad europea.

Draft implementing regulation – Ares(2024)8509332

Draft implementing regulation – Ares(2024)8509332-090166e51561f3b3Descarga


Relying parties – The registration of relying parties and the common mechanism for allowing the identification and authentication of relying parties

This act sets out the provisions on the process for registering relying parties in EU countries. The provisions relate to information necessary for authentication to access European Digital Identity Wallets, and to relying parties’ contact details and their intended use of wallets, including what data relying parties may ask users for. The provisions include specifications and requirements for relying party access certificates issued after the registration of a wallet relying party.

Este acto establece las disposiciones sobre el proceso de registro de las partes usuarias (partes informadas) en los países de la UE. Las disposiciones se refieren a la información necesaria para la autenticación con el fin de acceder a las carteras de identidad digital europea, así como a los datos de contacto de las partes usuarias y el uso previsto de las carteras, incluidos los datos que las partes usuarias pueden solicitar a los usuarios. Las disposiciones incluyen especificaciones y requisitos para los certificados que habilitan el acceso de las partes usuarias a las que se expide tras su registro como parte usuaria (parte informada) de cartera.

Draft implementing regulation – Ares(2024)8509234

Draft implementing regulation – Ares(2024)8509234- 090166e51562041cDescarga

Annex – Ares(2024)8509234

Annex – Ares(2024)8509234-090166e51562041dDescarga

Security Breaches

This implementing act sets out rules for EU countries to have mechanisms in place to ensure the suspension and, where applicable, withdrawal of European Digital Identity Wallets if there is a security breach or partial compromise affecting a wallet’s reliability.

Este acto de ejecución establece normas para que los países de la UE dispongan de mecanismos que garanticen la suspensión y, en su caso, la retirada de las carteras de identidad digital europea si se produce una violación de la seguridad o un incidente de seguridad parcial que afecte a la fiabilidad de la cartera.

Draft implementing regulation – Ares(2024)8509261

Draft implementing regulation – Ares(2024)8509261-090166e51561f731Descarga

Annex – Ares(2024)8509261

Annex – Ares(2024)8509261-090166e51561f730Descarga

Electronic Attestations of Attributes

For the successful implementation of European Digital Identity Wallets, this implementing act sets out requirements for issuing and validating electronic attestations of attributes.

It also establishes a catalogue of attributes that must be verifiable against authentic sources, and sets out rules on notifying and publishing information on public sector bodies that issue attestations of attributes and are responsible for managing the authentic sources these attestations come from. 

Para implantar con éxito las Carteras de Identidad Digital Europea, este acto de ejecución establece requisitos para la emisión y validación de declaraciones electrónicas o testimonios electrónicos de atributos.

También establece un catálogo de atributos que deben poder verificarse a partir de fuentes auténticas, así como normas sobre notificación y publicación de información sobre los organismos del sector público que expiden declaraciones o testimonios de atributos y son responsables de la gestión de las fuentes auténticas de las que proceden dichos certificados.

Draft implementing regulation – Ares(2024)8509285-090166e515620562Descarga
Annex – Ares(2024)8509285-090166e515620563Descarga

Se pueden ver todas las iniciativas en el portal ‘Have your say‘ (Díganos lo que piensa)

Justamente el dia anterior, 28 de noviembre de 2024, se hizo oficial la aprobación de los actos de ejecución del lote 1 y lo comenté en este Blog.

También he comentado en este blog la aprobación formal del primer lote de actos de ejecución que tuvo lugar el dia 21 de noviembre de 2024. En ese artículo se incorporaba el texto con las modificaciones introducidas a los borradores de Actos de Ejecución publicados en agosto que se llevaban al Comité EIDAS para su aprobación.

Ese primer lote de borradores de los primeros actos de ejecución (implementing acts) se publicaron 12 de agosto de 2024 y se abrió un plazo hasta el 9 de septiembre de 2024 para que se pudieran enviar comentarios. También me referí a ellos en el Blog.

La Comisión adopta varias normas necesarias para el despliegue de la Carteras de Identidad Digital Europea

1 respuesta

La Comisión ha adoptado el 28 de noviembre de 2024 el primer paquete de normas para las funcionalidades básicas y la certificación de la Cartera de Identidad Digital Europea (eID ) con arreglo al Marco Europeo de Identidad Digital. Se trata de un paso importante para que los Estados miembros creen sus propias Carteras y las pongan en circulación antes de que finalice 2026.

Cuatro reglamentos de ejecución establecen normas, especificaciones y procedimientos uniformes para las funcionalidades técnicas de las carteras, como los formatos de datos necesarios para el uso transfronterizo de documentos digitales y las medidas para garantizar la fiabilidad y seguridad de las carteras. El establecimiento de normas y especificaciones uniformes permitirá a cada Estado miembro desarrollar carteras interoperables y aceptadas en toda la UE, protegiendo al mismo tiempo los datos personales y la privacidad. Los datos se almacenan localmente en la cartera, y los usuarios tienen el control sobre la información que comparten, sin posibilidad de rastreo o de elaboración de perfiles en el diseño de las carteras. También se incorporará un cuadro de mandos de privacidad que ofrecerá total transparencia sobre cómo y con quién se comparte la información de la cartera.

El quinto Reglamento de ejecución establece especificaciones y procedimientos para crear un marco robusto de certificación de las carteras electrónicas, garantizando su seguridad y la protección de la intimidad y de los datos personales de los usuarios.

Las carteras de identidad digital europea ofrecerán a los usuarios particulares y a las empresas una forma universal, fiable y segura de identificarse cuando accedan a servicios públicos y privados de su país y de otros países de la Unión Europea.

Algunos ejemplos de uso de las carteras digitales son la apertura de una cuenta bancaria, la posibilidad de demostrar la edad sin revelar la fecha de nacimiento, la posibilidad de exhibir recetas médicas para su dispensación, el alquiler de un coche o la presentación de billetes de avión en un punto de embarque.

La normativa de aplicación se publicará en breve en el Diario Oficial de la Unión Europea y entrará en vigor 20 días después.

Ya comenté en este blog la aprobación en la tercera reunión del Grupo EIDAS del 21 de noviembre.

Fuente de la noticia: Daily News 28 / 11 / 2024.

Gracias a Joerg Lenz que lo comentó en LinkedIn

Firma de tipo «XAdES Enveloped Signature» según ETSI EN 319 132 para cumplir la Orden HAC/1177/2024, de 17 de octubre

Deja un comentario

En «BOE» núm. 260, de 28/10/2024 se publicó la Orden HAC/1177/2024, de 17 de octubre, por la que se desarrollan las especificaciones técnicas, funcionales y de contenido referidas en el Reglamento que establece los requisitos que deben adoptar los sistemas y programas informáticos o electrónicos que soporten los procesos de facturación de empresarios y profesionales, y la estandarización de formatos de los registros de facturación, aprobado por el Real Decreto 1007/2023, de 5 de diciembre; y en el Reglamento por el que se regulan las obligaciones de facturación, aprobado por Real Decreto 1619/2012, de 30 de noviembre. Se publicó una corrección de errores en el BOE núm. 270, de 8 de noviembre de 2024.

El Artículo 14 trata sobre la Firma electrónica de los registros de facturación y de evento.

La firma electrónica de los registros de facturación y de evento se basará en el estándar del Instituto Europeo de Normas de Telecomunicaciones ETSI EN 319 132 y utilizará el tipo de firma «XAdES Enveloped Signature» con los detalles técnicos que para su generación se recojan en la sede electrónica de la Agencia Estatal de Administración Tributaria.

En todo caso, la firma electrónica deberá ser generada con una clave privada asociada a un certificado electrónico cualificado de firma electrónica en vigor. Dicho certificado debe haber sido emitido por un proveedor de servicios de confianza cualificado que cumpla con los requisitos establecidos en el Reglamento (UE) N.º 910/2014 del Parlamento europeo y del Consejo, de 23 de julio de 2014, y esté incluido en la lista de proveedores de confianza de la UE (EU/EEA Trusted List).

La firma electrónica generada deberá almacenarse en el registro de facturación o de evento al que corresponde, de acuerdo con lo especificado en los artículos 9.4.c), 10.c) y 11.c).

Aunque el texto literal indica el término certificado electrónico cualificado de firma electrónica lo más normal será utilizar certificado electrónico cualificado de sello electrónico ya que el término «firma electrónica» se utiliza como genérico que ciertamente se concreta como «firma electrónica» cuando firman las personas físicas pero pasa a ser «sello electrónico» cuando «firman» las personas jurídicas.

Y en aspectos como la factura electrónica y verifactu (o veri*factu) en los que las firmas electrónicas se realizan de forma automatizada y sin «prestar consentimiento» individualizadamente, se deberían usar certificados de persona jurídica para sello electrónico.

Puede contactar con EAD Trust para obtener certificados cualificados de persona jurídica y, de ser necesario, para contratar los servicios de sello electrónico adecuados para cumplir la normativa de la Agencia Tributaria.

Aprobados los actos de ejecución de EIDAS2 del primer lote

2 respuestas

El 21 de noviembre de 2024, la tercera reunión del Comité eIDAS dio lugar a la adopción de cinco actos de ejecución claves para el reglamento eIDAS2.

Estos actos establecen las especificaciones técnicas y los procedimientos para la Cartera de Identidad Digital Europea (𝗘𝘂𝗿𝗼𝗽𝗲𝗮𝗻 𝗗𝗶𝗴𝗶𝘁𝗮𝗹 𝗜𝗱𝗲𝗻𝘁𝗶𝘁𝘆 𝗪𝗮𝗹𝗹𝗲𝘁), incluidas las normas de referencia para los certificados electrónicos y las medidas de seguridad. La Comisión hizo hincapié en que estos actos son cruciales para garantizar la interoperabilidad y la seguridad entre los Estados miembros, con un plazo para que los Estados miembros proporcionen al menos un monedero de identidad digital para 2026.

Los proyectos de actos de ejecución aprobados están relacionados con los Artículos 𝟱𝗮(𝟮𝟯) (5 bis) y 𝟱𝗰(𝟲) (5 quater) del Reglamento (UE) nº 910/2014 (eIDAS), modificado por el REGLAMENTO (UE) 2024/1183 (eIDAS2) . Estos artículos se refieren al marco jurídico de la identificación electrónica y los servicios de confianza en toda la Unión Europea.

La versión aprobada fue publicada previamente por el parlamento austriaco. Está disponible una copia local de ese texto de los «Implementing Acts»:

parlament-gv-at-imfname_11416115Descarga

Hay que recordar que los primeros borradores públicos se difundieron el 12 de agosto de 2024, y ya preparé un artículo sobre ello: Actos de ejecución de #EIDAS2 que incluye los textos publicados en aquella ocasión.

No he verificado aun qué diferencias hay entre los nuevos textos y los de agosto, pero más abajo hago referencia a la información publicada por Epicenter Work.

A continuación comparto el enlace a los resultados de las votaciones según los temas individuales del orden del día (ver mi post anterior con los textos de los borradores vigentes en agosto de 2024).

1. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗜𝗻𝘁𝗲𝗴𝗿𝗶𝘁𝘆 𝗮𝗻𝗱 𝗖𝗼𝗿𝗲 𝗙𝘂𝗻𝗰𝘁𝗶𝗼𝗻𝗮𝗹𝗶𝘁𝗶𝗲𝘀
Artículo 5 bis. Carteras de identidad digital europea – Integridad y funcionalidades básicas.

Descripción de las características esenciales para garantizar la fiabilidad de los sistemas compatibles con eIDAS.

2. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗣𝗿𝗼𝘁𝗼𝗰𝗼𝗹𝘀 𝗮𝗻𝗱 𝗜𝗻𝘁𝗲𝗿𝗳𝗮𝗰𝗲𝘀
Artículo 5 bis. Carteras de identidad digital europea – Protocolos e interfaces.

Establecimiento de normas técnicas para la interoperabilidad entre los sistemas eIDAS.

3. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗣𝗜𝗗 & 𝗘𝗔𝗔
Artículo 5 bis. Carteras de identidad digital europea – Datos de identificación de la persona y Declaraciones electrónicas de atributos.

Aclaraciones sobre el tratamiento de los Datos de Identificación Personal (DIP) y Declaraciones de atributos en la Arquitectura de la Cartera de Identidad Digital Europea.

4. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗮: 𝗪𝗮𝗹𝗹𝗲𝘁 𝗘𝗰𝗼𝘀𝘆𝘀𝘁𝗲𝗺 𝗡𝗼𝘁𝗶𝗳𝗶𝗰𝗮𝘁𝗶𝗼𝗻𝘀
Artículo 5 bis. Carteras de identidad digital europea – Notificaciones a la Comisión en relación con el Ecosistema de la Cartera de identidad digital europea.

Introducción de actualizaciones para los requisitos de notificación dentro del ecosistema de carteras digitales.

5. 𝗔𝗿𝘁𝗶𝗰𝗹𝗲 𝟱𝗰: 𝗖𝗲𝗿𝘁𝗶𝗳𝗶𝗰𝗮𝘁𝗶𝗼𝗻
Artículo 5 quater. Certificación de las carteras europeas de identidad digital.

Definición del proceso de certificación de Carteras.

Aspectos controvertidos

1. 𝗢𝗽𝗲𝗻 𝗦𝗼𝘂𝗿𝗰𝗲 𝗥𝗲𝗾𝘂𝗶𝗿𝗲𝗺𝗲𝗻𝘁: La obligación de que el código fuente de la Cartera Europea de Identidad Digital se publique bajo una licencia de código abierto suscitó preocupaciones sobre la seguridad y la propiedad intelectual.

2. 𝗠𝗮𝗻𝗱𝗮𝘁𝗼𝗿𝘆 𝗗𝗮𝘁𝗮 𝗗𝗶𝘀𝗰𝗹𝗼𝘀𝘂𝗿𝗲: las propuestas que exigen la divulgación de un conjunto mínimo de datos para la identificación podría entrar en conflicto con la protección de la privacidad y obstaculizar las alternativa de empleo de métodos de divulgación selectiva.

3. 𝗨𝗻𝗶𝗾𝘂𝗲 𝗜𝗱𝗲𝗻𝘁𝗶𝗳𝗶𝗲𝗿𝘀: la introducción de identificadores únicos para los usuarios encontró oposición debido a posibles violaciones de la privacidad y conflictos con las leyes nacionales vigentes en algunos Estados miembros.

Cambios en los borradores sometidos a votación, respecto a las versiones de agosto

A continuación se detallan los cambios relevantes en el último borrador de los actos de ejecución del artículo 5 bis del eIDAS (con los cambios de EIDAS2). El análisis procede de Epicenter Works que había identificado aspectos controvertidos. La base de este análisis es el texto que fue enviado por la Comisión Europea el pasado 15. noviembre de 2024 y se votó el 21de Noviembre. Desde entonces, el texto ha sido publicado por el parlamento austriaco. Para facilitar la comprensión, este documento puede leerse conjuntamente con las presentaciones anteriores de esta entidad (Epicenter Works).

1. Inobservabilidad

Al retirar una adición en la definición de «instancia de cartera», ahora se garantiza una vez más que los registros de transacciones solo permanezcan en el dispositivo del usuario final. Anteriormente, la información sobre el comportamiento de uso concreto de todos los usuarios de la cartera habría sido visible para el operador de la cartera a través del almacenamiento de todos los registros de transacciones en el servidor. Esto contradice el principio de inobservabilidad establecido en el artículo 5 bis, apartado 14, y en el considerando 32 del Reglamento. Esta enmienda refleja la recomendación de Epicenter Works.

2. Regulación de casos de uso

El registro de los usuarios de confianza que incluye los atributos que pretenden solicitar ahora se refleja en la introducción de los «certificados de registro de usuarios de confianza de cartera». Gracias a las modificaciones introducidas en los artículos 2 y 3 del acto de ejecución sobre protocolos e interfaces, ahora se advierte al usuario al menos si la parte usuaria va más allá de su registro. De conformidad con el artículo 5b, apartado 3, del eIDAS, estas solicitudes de información que vayan más allá del registro serían ilegales. Los Estados miembros individuales ahora pueden ir más allá y evitar por completo que tales consultas ilegales se presenten al usuario. Esta no es la solución óptima, pero al menos una arquitectura que permita proteger a los usuarios y que pueda evitar que se repita un desastre de banner de cookies.

3. Divulgación selectiva

Si los consumidores se enfrentan a solicitudes de información, tienen derecho, en virtud del Reglamento eIDAS, a responderlas en su totalidad, no responderlas en absoluto o responderlas de forma parcial o selectiva. Este principio de divulgación selectiva no se incluyó anteriormente en los actos de ejecución y ahora se ha adoptado con la redacción de las enmiendas propuestas por el Tribunal en el artículo 3 del acto de ejecución sobre protocolos e interfaces.

Una desacierto sería que en el artículo 14 del acto de ejecución sobre integridad y funcionalidades básicas, el uso de un seudónimo sigue yendo de la mano con la transferencia de datos personales solicitada sin necesidad de un consentimiento por separado.

4 Derecho al seudónimo

Epicenter Works Lamenta que el artículo 14 del acto de ejecución sobre integridad y funcionalidades básicas no ha adoptado sus recomendaciones. Y, el considerando 14 se limita a reiterar el tenor literal del Reglamento. La norma técnica del Anexo V también ha cambiado aquí de «WebAuthn» a «Credenciales Verificables». Incluso después de consultar con varios negociadores, existe confusión en cuanto a cómo exactamente se supone que esto funciona para la autenticación y la declaración de atributos.

Parece preocupante que todavía no hay una forma técnica de que la cartera pueda averiguar si un caso de uso específico está sujeto a una obligación legal de identificar al usuario (KYC: Know Your Customer). Sin embargo, esta distinción es necesaria para garantizar el derecho al seudónimo en los casos que no se exija el cumplimiento de la normativa KYC.

5. Ampliación de las bases de datos

El anexo del PID contiene dos nuevos campos de datos opcionales: correo electrónico y número de teléfono. Estos dos identificadores únicos causan preocupación a Epicenter Works y se agregaron en la última versión del texto.

Este artículo está basado en la publicación en LinkedIn de Roberto Garavaglia y la citada de Epicenter Works

Usercentric-id: Sitio web para impulsar la adopción de la Cartera IDUE y la creación de su ecosistema

1 respuesta

En EADTrust hemos creado un sitio web orientado a proporcionar información sobre sistemas de identidad centrados en el usuario, en primer lugar y sobre la Cartera IDUE en concreto , como modelo de ese tipo de gestión digital de la identidad.

Estos son algunos de los artículos que podéis encontrar:

¿Qué es una identidad centrada en el usuario?

La «user-centric identity» (identidad centrada en el usuario) se refiere a un enfoque en el diseño y la gestión de la identidad digital que coloca al usuario en el centro de las decisiones. Esto significa que la identidad de un individuo en el entorno digital se define, gestiona y personaliza en función de sus necesidades, preferencias y control sobre su propia información.

¿Qué empresas están obligadas a adaptarse a la Cartera IDUE?

Tres años después de la entrada en vigor de los actos de ejecución (varios de los cuales se deberían publicar antes del 21 de noviembre de 2024) las empresas de ciertos sectores deben poder manejar las interacciones con la Cartera IDUE según establece el Articulo 5 septies del Reglamento EIDAS modificado con el Reglamento UE 2024/1183.

Básicamente las partes usuarias privadas que utilizan o vayan a utilizar autenticación reforzada de usuario para la identificación en línea, en particular en los ámbitos del transporte, la energía, la banca, los servicios financieros, la seguridad social, la sanidad, el agua potable, los servicios postales, la infraestructura digital, la educación o las telecomunicaciones.

Directorio de Partes Informadas (Partes usuarias) e Informantes (Fuentes auténticas) para la Cartera de Identidad Digital de la UE

Formulario en el que se inscribe cualquier interesado para saber qué requisitos debería cumplir una empresa o un organismo que pueda proporcionar información de ciudadanos o qué requisitos debería cumplir para pedir información a la Cartera IDUE en caso de que su usuario desee contratar su servicio o iniciar un trámite.

DC4EU Advisory and Observer Board meeting in Madrid

Deja un comentario

Mañana, 14 de noviembre de 2024, participo en el encuentro de la Junta de Observadores del proyecto DC4EU, uno de los grandes proyectos piloto que se están desarrollando en Europa.

Atos será el anfitrión. ya que la reunión tendrá lugar en sus instalaciones de la calle Albarracín, 25.

DC4EU busca aplicar el marco de confianza eIDAS de la Unión Europea centrándose en los ámbitos de la educación y la seguridad social.

DC4EU investigará la expedición de credenciales educativas y cualificaciones profesionales en el sector de la educación y la expedición del «Portable Document A1», y la Tarjeta Sanitaria Europea en el sector de la seguridad social.

DC4EU explora las posibilidades de la Cartera IDUE (EUDI Wallet) en interacciones transfronterizas según el proceso de la Caja de Herramientas de la UE (Toolbox).

DC4EU desarrolla cuatro casos de uso en los que se ponen a prueba la interoperabilidad y la escalabilidad en el ámbito nacional y en múltiples contextos transfronterizos para proporcionar información a la Comisión Europea y a los Estados miembros con vistas a actualizaciones iterativas.

DC4EU cuenta con la participación de 80 instituciones relevantes de 22 países, respaldadas por 43 organizaciones públicas y 49 entidades privadas, incluidas organizaciones emisoras de Carteras, emisores de Declaraciones Electrónicas de Atributos y con la participación de diversos Prestadores Cualificados de Servicios de Confianza y fuentes auténticas para permitir la realización de pruebas exhaustivas del monedero utilizando Declaraciones Electrónicas Cualificadas de Atributos.

IdentiSIC 2024: Identidad digital. Cebo y salvoconducto

Deja un comentario

El próximo 20 de noviembre de 2024, a partir de las 8:45 tendrá lugar el evento organizado por la Revista SIC IdentiSIC 2024 con el lema Identidad digital. Cebo y salvoconducto, al que me han invitado como ponente.

El evento IdentiSIC 2024 es gratuito y tendrá lugar en

Hotel Novotel Campo de las Naciones
Calle Amsterdam, 3
28042 Madrid

En el formulario de Inscripción hay que indicar si la participación se realizará de forma presencial o de forma remota por streaming.

Dada la limitación de aforo, tras cumplimentar el formulario hay que esperar a que la organización comunique si se ha podido confirmar la inscripción.

En el Programa se detallan los intervinientes:

08:45 – Acreditación y entrega de documentación.
9:00 – Identidad digital europea. El camino empieza a despejarse. Julián Inza – Presidente de EADTrust (Grupo Garrigues).
9:30 – La autenticación de usuario como atributo en la Cartera de Identidad Digital de la UE. Paloma Llaneza – CEO de Razona Legaltech.
10:00 – Evolucionando el role mining para robustecer los cimientos IAM – Julio Castilla
Director en Business Security Solutions – Identity and Data Governance de PwC.
11:00 – CISCO. Jorge Hormigos – Security Solutions Engineer.
11:30 – OKTA. Felipe San Román. Presales Engineer.
12:00 – OMADA. Jorge Sendra. Country Manager.
12:30 – Open Text. Jacinto Grijalba. Cybersecurity Sales Manager Spain and Portugal.
13:00 – SIA, an Indra company. Raúl Olivar. Digital Identity & Signature Manager.
13:30 – Coloquio.
14:00 – Almuerzo presencial