Conformity Assessment archivos - Página 2 de 5 - TCAB - Trust Conformity Assessment Body

El Reglamento (UE) nº 910/2014 (eIDAS), que entró en vigor en julio de 2016, ha cumplido recientemente un año de vida. Por ello, analizamos las principales claves de este Reglamento:

• La novedad principal ha consistido en la armonización de los requisitos para el reconocimiento mutuo de la identificación electrónica a nivel comunitario.

• El Reglamento ha creado la “etiqueta de confianza de la UE”, que distingue claramente los servicios de confianza cualificados de los demás servicios de confianza.

• Introduce el concepto de Prestadores Cualificados de Servicios de Confianza y Servicios Electrónicos de Confianza.

En concreto, ha creado los siguientes servicios cualificados (aquellos que cumplen con los requisitos aplicables en el Reglamento (UE) nº 910/2014): firmas electrónicas y sellos electrónicos. Las firmas electrónicas se destinan a personas físicas y los sellos electrónicos a personas jurídicas.

• Especifica nuevos niveles de identificación electrónica, bajo y sustancial, que resultan útiles en mecanismos de identificación en diferentes contextos tecnológicos y de negocio, como firmas manuscritas en dispositivos móviles o soluciones de firma en la nube.

• Introduce el concepto de Firma electrónica en tres niveles diferentes:

– Firma Electrónica: La definición de firma electrónica no se modifica bajo eIDAS. La firma electrónica tiene efectos legales y es admisible como prueba en procedimientos legales.

-Firma Electrónica Avanzada: Permite la identificación y autenticación única del firmante de un documento y permite comprobar la integridad del documento firmado. Normalmente, esta autenticación suele alcanzarse con la emisión de un certificado digital por una Autoridad de Certificación (CA).

-Firma Electrónica Cualificada: Son el equivalente electrónico de las firmas manuscritas. Se basan en Certificados Cualificados, que solo pueden ser emitidos por una CA acreditada por los Estados miembros de la UE y deben cumplir los requisitos de eIDAS. Estas son las únicas firmas que aseguran el reconocimiento mutuo de su validez por todos los Estados miembros de la UE.

• Reconoce las firmas electrónicas como prueba en juicio en toda la UE.

• Reconoce la admisibilidad como prueba en un juicio y su efecto jurídico en todas las firmas electrónicas aunque solo equipara las firmas electrónicas cualificadas con las firmas manuscritas y a los sellos electrónicos cualificados les otorga la presunción de integridad y corrección del origen de los datos a los que el sello esté vinculado.

• Introduce las Listas de Confianza (Trusted Lists), donde se recoge a los Prestadores de Servicios Electrónicos de Confianza cualificados y los servicios que ofrecen. Los PSCs y sus servicios solo serán cualificados si aparecen en estas listas.

• Se regulan los dispositivos cualificados de creación de firma. Estos deben cumplir los requisitos enumerados en el anexo II del Reglamento (UE) 910/2014. La Comisión Europea establecerá, publicará y mantendrá una lista de dispositivos cualificados de creación de firma/sello electrónico con la información suministrada por los distintos Estados Miembros.

• Se habilita la identificación remota en vez de presencial para la obtención de certificados de firma electrónica.

• Respecto a la auditoría de Prestadores de Servicios de Confianza, eIDAS establece que estos deben ser evaluados cada 24 meses por un Organismo de Evaluación de la Conformidad.

eIDAS facilita la prestación de servicios transfronterizos y permite a las empresas actuar fuera de sus fronteras. En última instancia beneficia a ciudadanos, empresas y Administraciones Públicas en tareas como el pago de impuestos, licitaciones públicas, firma de contratos online, transacciones económicas mediante banca electrónica y servicios de salud online, entre otros.

Fuente: Comisión Europea

I.- Utilización de sistemas de identificación y firma de forma transfronteriza

La transposición de la Directiva 1999/93 se realizó de forma irregular y nunca ha parecido que estuviera suficientemente claro que los certificados de firma electrónica e identificación expedidos por los Prestadores de Servicios de Certificación de un Estado miembro tuvieran que ser admitidos por el resto de los estados, en particular en sus servicios de administración electrónica.

Desde el 1 de julio de 2016 por la aplicación directa del Reglamento UE 910/2014 este concepto queda aclarado definitivamente. Veremos cómo se va asumiendo en las implementaciones.

II.- Los PSC (Prestadores de Servicios de Certificación) se denominarán PSEC (Prestadores de Servicios Electrónicos de Confianza)

Ahora se denominan Prestadores de Servicios de Confianza. Y pueden expedir certificados cualificados (equivalentes a los certificados reconocidos de la Ley 59/2003) o certificados no cualificados.

Un tipo concreto de servicio de confianza es la expedición de certificados de persona física, (lo que es compatible con el servicio previsto en la Ley 59/2003) y entre ellos los certificados cualificados (en la citada ley se les llamaba «reconocidos»).

Debe presentarse al organismo de supervisión (en España, la Secretaría de Estado de Telecomunicaciones y Sociedad de la Información) una notificación de su intención junto con un informe de evaluación de la conformidad expedido por un Organismo de Evaluación de la Conformidad (en España, la Entidad Nacional de Acreditación). Si se le concede la posibilidad de expedir certificados cualificados, se le incluirá en una lista de confianza (que cada Estado Miembro publicará con información de todos los Prestadores Cualificados de Servicios de Confianza) y podrá usar la etiqueta de confianza «UE», para indicar los servicios que presta.

Es de destacar que aumentan los mecanismos de control sobre todos los prestadores de servicios (tanto si expiden certificados cualificados como si no), los cuales serán auditados cada 24 meses para confirmar que cumplen con lo dispuesto en el Reglamento.

III.- La responsabilidad de los prestadores de servicios

Siguen siendo responsables de los perjuicios causados de forma deliberada o por negligencia a cualquier persona en razn del incumplimiento de las obligaciones establecidas en el Reglamento. Sin embargo, se eliminan las limitaciones de la responsabilidad del artculo 23 de la Ley 59/2003, siendo la carga de la prueba (i) de la persona que alegue el daño, cuando el prestador expide certificados no cualificados, o (ii) del prestador de servicios que expide certificados cualificados, debiendo este probar que los perjuicios se produjeron sin intención ni negligencia alguna por su parte.

IV.- Los certificados de persona jurdica

El Reglamento no prevé la emisión de certificados de firma electrónica a favor de personas jurdicas o entidades sin personalidad jurdica. A este tipo de entidades reserva únicamente los sellos electrónicos, que permiten acreditar la autenticidad del origen y la integridad del documento sellado.

V.- Los nuevos servicios regulados

Aparte de la firma electrónica (definida, como en la Ley 59/2003, en 3 tipos, firma electrónica, avanzada y cualificada), el Reglamento también regula el sello electrónico (del que también se diferencian 3 tipos), el sello de tiempo electrónico, el servicio de entrega electrónica certificada, el documento electrónico y la autenticación del sitio web. El considerando 55 del Reglamento abre además la posibilidad de generar firmas electrónicas cualificadas como la firma móvil o la firma en nube, lo cual puede dinamizar enormemente el mercado de la firma electrónica.

Accede aquí al Reglamento 910/2014(eIDAS).