EIDAS 2014/0910 ES

Con el objetivo de garantizar el correcto funcionamiento del mercado interior aspirando al mismo tiempo a un nivel de seguridad adecuado de los medios de identificación_electrónica y los servicios de confianza, el presente Reglamento:

a)	establece las condiciones en que los Estados miembros deberán reconocer los medios de identificación_electrónica de las personas físicas y jurídicas pertenecientes a un sistema de identificación_electrónica notificado de otro Estado miembro,

b)	establece normas para los servicios de confianza, en particular para las transacciones electrónicas, y

c)	establece un marco jurídico para las firmas electrónicas, los sellos electrónicos, los sellos de tiempo electrónicos, los documentos electrónicos, los servicios de entrega electrónica certificada y los servicios de certificados para la autenticación de sitios web.

Artículo 3

Definiciones

A efectos del presente Reglamento, se aplicarán las siguientes definiciones:

1)	« identificación_electrónica», el proceso de utilizar los datos de identificación de una persona en formato electrónico que representan de manera única a una persona física o jurídica o a una persona física que representa a una persona jurídica;

2)	«medios de identificación_electrónica», una unidad material y/o inmaterial que contiene los datos de identificación de una persona y que se utiliza para la autenticación en servicios en línea;

3)	« datos_de_identificación_de_la_persona», un conjunto de datos que permite establecer la identidad de una persona física o jurídica, o de una persona física que representa a una persona jurídica;

4)	«sistema de identificación_electrónica», un régimen para la identificación_electrónica en virtud del cual se expiden medios de identificación_electrónica a las personas físicas o jurídicas o a una persona física que representa a una persona jurídica;

5)	« autenticación», un proceso electrónico que posibilita la identificación_electrónica de una persona física o jurídica, o del origen y la integridad de datos en formato electrónico;

6)	« parte_usuaria», la persona física o jurídica que confía en la identificación_electrónica o el servicio_de_confianza;

« organismo_del_sector_público», las autoridades estatales, regionales o locales, los organismos de Derecho público y las asociaciones formadas por una o varias de estas autoridades o uno o varios de estos organismos de Derecho público, o las entidades privadas mandatarias de al menos una de estas autoridades, organismos o asociaciones para prestar servicios públicos actuando en esa calidad;

8)	« organismo_de_Derecho_público», el definido en el artículo 2, apartado 1, punto 4, de la Directiva 2014/24/UE del Parlamento Europeo y del Consejo (15);

9)	« firmante», una persona física que crea una firma_electrónica;

10)	« firma_electrónica», los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar;

11)	« firma_electrónica avanzada», la firma_electrónica que cumple los requisitos contemplados en el artículo 26;

12)	« firma_electrónica cualificada», una firma_electrónica avanzada que se crea mediante un dispositivo cualificado de creación de firmas electrónicas y que se basa en un certificado cualificado de firma_electrónica;

13)	«datos de creación de la firma_electrónica», los datos únicos que utiliza el firmante para crear una firma_electrónica;

14)	«certificado de firma_electrónica», una declaración electrónica que vincula los datos_de_ validación de una firma con una persona física y confirma, al menos, el nombre o el seudónimo de esa persona;

15)	«certificado cualificado de firma_electrónica», un certificado de firma_electrónica que ha sido expedido por un prestador_cualificado_de_servicios_de_confianza y que cumple los requisitos establecidos en el anexo I;

16)

« servicio_de_confianza», el servicio electrónico prestado habitualmente a cambio de una remuneración, consistente en:

a)	la creación, verificación y validación de firmas electrónicas, sellos electrónicos o sellos de tiempo electrónicos, servicios de entrega electrónica certificada y certificados relativos a estos servicios, o

b)	la creación, verificación y validación de certificados para la autenticación de sitios web, o

c)	la preservación de firmas, sellos o certificados electrónicos relativos a estos servicios;

17)	« servicio_de_confianza cualificado», un servicio_de_confianza que cumple los requisitos aplicables establecidos en el presente Reglamento;

18)

« organismo_de_evaluación_de_conformidad», un organismo definido en el punto 13 del artículo 2 del Reglamento (CE) no 765/2008 cuya competencia para realizar una evaluación de conformidad de un prestador_cualificado_de_servicios_de_confianza y de los servicios de confianza cualificados que este presta esté acreditada en virtud de dicho Reglamento;

19)	« prestador_de_servicios_de_confianza», una persona física o jurídica que presta uno o más servicios de confianza, bien como prestador cualificado o como prestador no cualificado de servicios de confianzas;

20)	« prestador_cualificado_de_servicios_de_confianza», un prestador_de_servicios_de_confianza que presta uno o varios servicios de confianza cualificados y al que el organismo de supervisión ha concedido la cualificación;

21)	« producto», un equipo o programa informático, o los componentes pertinentes del mismo, destinado a ser utilizado para la prestación de servicios de confianza;

22)	«dispositivo de creación de firma_electrónica», un equipo o programa informático configurado que se utiliza para crear una firma_electrónica;

23)	«dispositivo cualificado de creación de firma_electrónica», un dispositivo de creación de firmas electrónicas que cumple los requisitos enumerados en el anexo II;

24)	« creador_de_un_sello», una persona jurídica que crea un sello_electrónico;

25)	« sello_electrónico», datos en formato electrónico anejos a otros datos en formato electrónico, o asociados de manera lógica con ellos, para garantizar el origen y la integridad de estos últimos;

26)	« sello_electrónico avanzado», un sello_electrónico que cumple los requisitos contemplados en el artículo 36;

27)	« sello_electrónico cualificado», un sello_electrónico avanzado que se crea mediante un dispositivo cualificado de creación de sellos electrónicos y que se basa en un certificado cualificado de sello_electrónico;

28)	«datos de creación del sello_electrónico», los datos únicos que utiliza el creador del sello_electrónico para crearlo;

29)	«certificado de sello_electrónico», una declaración electrónica que vincula los datos_de_ validación de un sello con una persona jurídica y confirma el nombre de esa persona;

30)	«certificado cualificado de sello_electrónico», un certificado de sellos electrónicos que ha sido expedido por un prestador_cualificado_de_servicios_de_confianza y que cumple los requisitos establecidos en el anexo III;

31)	«dispositivo de creación de sello_electrónico», un equipo o programa informático configurado que se utiliza para crear un sello_electrónico;

32)	«dispositivo cualificado de creación de sello_electrónico», un dispositivo de creación de sellos electrónicos que cumple mutatis mutandis los requisitos enumerados en el anexo II;

33)	« sello_de_tiempo_electrónico», datos en formato electrónico que vinculan otros datos en formato electrónico con un instante concreto, aportando la prueba de que estos últimos datos existían en ese instante;

34)	« sello_cualificado_de_tiempo_electrónico», un sello_de_tiempo_electrónico que cumple los requisitos establecidos en el artículo 42;

35)	« documento_electrónico», todo contenido almacenado en formato electrónico, en particular, texto o registro sonoro, visual o audiovisual;

36)

« servicio_de_entrega_electrónica_certificada», un servicio que permite transmitir datos entre partes terceras por medios electrónicos y aporta pruebas relacionadas con la gestión de los datos transmitidos, incluida la prueba del envío y la recepción de los datos, y que protege los datos transmitidos frente a los riesgos de pérdida, robo, deterioro o alteración no autorizada;

37)	« servicio_cualificado_de_entrega_electrónica_certificada», un servicio_de_entrega_electrónica_certificada que cumple los requisitos establecidos en el artículo 44;

38)	«certificado de autenticación de sitio web», una declaración que permite autenticar un sitio web y vincula el sitio web con la persona física o jurídica a quien se ha expedido el certificado;

39)	«certificado cualificado de autenticación de sitio web», un certificado de autenticación de sitio web expedido por un prestador_cualificado_de_servicios_de_confianza y que cumple los requisitos establecidos en el anexo IV;

40)	« datos_de_ validación», los datos utilizados para validar una firma_electrónica o un sello_electrónico;

41)	« validación», el proceso de verificar y confirmar la validez de una firma o sello_electrónicos.

Artículo 22

Listas de confianza

1. Cada Estado miembro establecerá, mantendrá y publicará listas de confianza con información relativa a los prestadores cualificados de servicios de confianza con respecto a los cuales sea responsable, junto con la información relacionada con los servicios de confianza cualificados prestados por ellos.

2. Los Estados miembros establecerán, mantendrán y publicarán, de manera segura, las listas de confianza firmadas o selladas electrónicamente a que se refiere el apartado 1 en una forma apropiada para el tratamiento automático.

3. Los Estados miembros notificarán a la Comisión, sin retrasos indebidos, información sobre el organismo responsable del establecimiento, mantenimiento y publicación de las listas de confianza nacionales, y detalles relativos al lugar en que se publican dichas listas, los certificados utilizados para firmar o sellar las listas de confianza y cualquier modificación de los mismos.

4. La Comisión pondrá a disposición del público, a través de un canal seguro, la información a que se refiere el apartado 3 en una forma firmada o sellada electrónicamente apropiada para el tratamiento automático.

5. A más tardar el 18 de septiembre de 2015 la Comisión, mediante actos de ejecución, especificará la información a que se refiere el apartado 1 y definirá las especificaciones técnicas y formatos de las listas de confianza, aplicables a efectos de los apartados 1 a 4. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 24

Requisitos para los prestadores cualificados de servicios de confianza

1. Al expedir un certificado cualificado para un servicio_de_confianza, un prestador_cualificado_de_servicios_de_confianza verificará, por los medios apropiados y de acuerdo con el Derecho nacional, la identidad y, si procede, cualquier atributo específico de la persona física o jurídica a la que se expide un certificado cualificado.

La información a que se refiere el párrafo primero será verificada por el prestador_de_servicios_de_confianza bien directamente o bien por medio de un tercero de conformidad con el Derecho nacional:

a)	en presencia de la persona física o de un representante autorizado de la persona jurídica, o

a distancia, utilizando medios de identificación_electrónica, para los cuales se haya garantizado la presencia de la persona física o de un representante autorizado de la persona jurídica previamente a la expedición del certificado cualificado, y que cumplan los requisitos establecidos con el artículo 8 con respecto a los niveles de seguridad «sustancial» o «alto», o

c)	por medio de un certificado de una firma_electrónica cualificada o de un sello_electrónico cualificado expedido de conformidad con la letra a) o b), o

d)	utilizando otros métodos de identificación reconocidos a escala nacional que aporten una seguridad equivalente en términos de fiabilidad a la presencia física. La seguridad equivalente será confirmada por un organismo de evaluación de la conformidad.

2. Los prestadores cualificados de servicios de confianza que prestan servicios de confianza cualificados:

a)	informarán al organismo de supervisión de cualquier cambio en la prestación de servicios de confianza cualificados, y de su intención de cesar tales actividades;

contarán con personal y, si procede, con subcontratistas, que posean los conocimientos especializados, la fiabilidad, la experiencia y las cualificaciones necesarios y hayan recibido la formación adecuada en materia de seguridad y normas de protección de datos personales y que apliquen procedimientos administrativos y de gestión que correspondan a normas europeas o internacionales;

c)	con respecto al riesgo de la responsabilidad por daños y perjuicios de conformidad con el artículo 13, mantendrán recursos financieros suficientes u obtendrán pólizas de seguros de responsabilidad adecuadas, de conformidad con la legislación nacional;

d)	antes de entrar en una relación contractual, informarán, de manera clara y comprensible, a cualquier persona que desee utilizar un servicio_de_confianza cualificado acerca de las condiciones precisas relativas a la utilización de dicho servicio, incluidas las limitaciones de su utilización;

e)	utilizarán sistemas y productos fiables que estén protegidos contra toda alteración y que garanticen la seguridad y la fiabilidad técnicas de los procesos que sustentan;

utilizarán sistemas fiables para almacenar los datos que se les faciliten de forma verificable, de modo que:

i)	estén a disposición del público para su recuperación solo cuando se haya obtenido el consentimiento de la persona a la que corresponden los datos,

ii)	solo personas autorizadas puedan hacer anotaciones y modificaciones en los datos almacenados,

iii)	pueda comprobarse la autenticidad de los datos;

g)	tomarán medidas adecuadas contra la falsificación y el robo de datos;

registrarán y mantendrán accesible durante un período de tiempo apropiado, incluso cuando hayan cesado las actividades del prestador_cualificado_de_servicios_de_confianza, toda la información pertinente referente a los datos expedidos y recibidos por el prestador_cualificado_de_servicios_de_confianza, en particular al objeto de que sirvan de prueba en los procedimientos legales y para garantizar la continuidad del servicio. Esta actividad de registro podrá realizarse por medios electrónicos;

i)	contarán con un plan de cese actualizado para garantizar la continuidad del servicio, de conformidad con las disposiciones verificadas por el organismo de supervisión con arreglo al artículo 17, apartado 4, letra i);

j)	garantizarán un tratamiento lícito de los datos personales de conformidad con la Directiva 95/46/CE;

k)	en caso de los prestadores cualificados de servicios de confianza que expidan certificados cualificados, establecerán y mantendrán actualizada una base de datos de certificados.

3. Cuando los prestadores cualificados de servicios de confianza que expidan certificados cualificados decidan revocar un certificado, registrarán su revocación en su base de datos de certificados y publicarán el estado de revocación del certificado oportunamente y, en todo caso, en un plazo de 24 horas después de la recepción de la solicitud. La revocación será efectiva inmediatamente después de su publicación.

4. Con respecto a lo dispuesto en el apartado 3, los prestadores cualificados de servicios de confianza que expidan certificados cualificados proporcionarán a cualquier parte_usuaria información sobre el estado de validez o revocación de los certificados cualificados expedidos por ellos. Esta información deberá estar disponible al menos por cada certificado en cualquier momento y con posterioridad al período de validez del certificado en una forma automatizada que sea fiable, gratuita y eficiente.

5. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas para sistemas y productos fiables que cumplan con los requisitos establecidos las letras e) y f) del apartado 2 del presente artículo. Se presumirá el cumplimiento de los requisitos establecidos en el presente artículo cuando los sistemas y productos fiables cumplan dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

SECCIÓN 4

Firma electrónica

Artículo 25

Efectos jurídicos de las firmas electrónicas

1. No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una firma_electrónica por el mero hecho de ser una firma_electrónica o porque no cumpla los requisitos de la firma_electrónica cualificada.

2. Una firma_electrónica cualificada tendrá un efecto jurídico equivalente al de una firma manuscrita.

3. Una firma_electrónica cualificada basada en un certificado cualificado emitido en un Estado miembro será reconocida como una firma_electrónica cualificada en todos los demás Estados miembros.

Artículo 27

Firmas electrónicas en servicios públicos

1. Si un Estado miembro requiere una firma_electrónica avanzada con el fin de utilizar un servicio en línea ofrecido por un organismo_del_sector_público, o en nombre del mismo, dicho Estado miembro reconocerá las firmas electrónicas avanzadas, las firmas electrónicas avanzadas basadas en un certificado cualificado de firma_electrónica y las firmas electrónicas cualificadas por lo menos en los formatos o con los métodos definidos en los actos de ejecución contemplados en el apartado 5.

2. Si un Estado miembro requiere una firma_electrónica avanzada basada en un certificado cualificado con el fin de utilizar un servicio en línea ofrecido por un organismo_del_sector_público, o en nombre del mismo, dicho Estado miembro reconocerá las firmas electrónicas avanzadas basadas en un certificado cualificado y las firmas electrónicas cualificadas por lo menos en los formatos o con los métodos definidos en los actos de ejecución contemplados en el apartado 5.

3. Los Estados miembros no exigirán para la utilización transfronteriza de un servicio en línea ofrecido por un organismo_del_sector_público una firma_electrónica cuyo nivel de garantía de la seguridad sea superior al de una firma_electrónica cualificada.

4. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a firmas electrónicas avanzadas. Se presumirá el cumplimiento de los requisitos de las firmas electrónicas avanzadas mencionadas en los apartados 1 y 2 del presente artículo y en el artículo 26 cuando una firma_electrónica avanzada se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

5. A más tardar el 18 de septiembre de 2015, y teniendo en cuenta las prácticas, normas y actos jurídicos de la Unión existentes, la Comisión, mediante actos de ejecución, definirá los formatos de referencia de las firmas electrónicas avanzadas o métodos de referencia cuando se utilicen formatos alternativos. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 28

certificados cualificados de firma_electrónica

1. Los certificados cualificados de firma_electrónica cumplirán los requisitos establecidos en el anexo I.

2. Los certificados cualificados de firma_electrónica no estarán sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el anexo I.

3. Los certificados cualificados de firmas electrónicas podrán incluir atributos específicos adicionales no obligatorios. Esos atributos no afectarán a la interoperabilidad y el reconocimiento de las firmas electrónicas cualificadas.

4. Si un certificado cualificado de firma_electrónica ha sido revocado después de su activación inicial, perderá su validez desde el momento de su revocación y no podrá en ninguna circunstancia recuperar su estado.

5. Según las condiciones que siguen, los Estados miembros podrán fijar normas nacionales sobre la suspensión temporal de certificados cualificados de firma_electrónica:

a)	Si un certificado cualificado de firma_electrónica ha sido suspendido temporalmente, ese certificado perderá su validez durante el período de suspensión.

b)	El período de suspensión se indicará claramente en la base de datos de certificados y el estado de suspensión será visible, durante el período de suspensión, a partir del servicio que proporcione la información sobre el estado del certificado.

6. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los certificados cualificados de firma_electrónica. Se presumirá el cumplimiento de los requisitos establecidos en el anexo I cuando un certificado cualificado de firma_electrónica se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 31

Publicación de una lista de dispositivos cualificados de creación de firmas electrónicas certificados

1. Los Estados miembros comunicarán a la Comisión, sin retrasos indebidos y no más tarde de un mes después de que haya concluido la certificación, información sobre los dispositivos cualificados de creación de firmas electrónicas que hayan sido certificados por los organismos a que se refiere el artículo 30, apartado 1. También notificarán a la Comisión, sin retrasos indebidos y no más tarde de un mes después de que haya expirado la certificación, información sobre los dispositivos de creación de firmas electrónicas que hayan dejado de estar certificados.

2. Sobre la base de la información recibida, la Comisión establecerá, publicará y mantendrá una lista de dispositivos cualificados de creación de firmas electrónicas certificados.

3. La Comisión podrá, mediante actos de ejecución, definir los formatos y procedimientos aplicables a efectos del apartado 1. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 32

Requisitos de la validación de las firmas electrónicas cualificadas

1. El proceso de validación de una firma_electrónica cualificada confirmará la validez de una firma_electrónica cualificada siempre que:

a)	el certificado que respalda la firma fuera, en el momento de la firma, un certificado cualificado de firma_electrónica que se ajusta al anexo I;

b)	el certificado cualificado fuera emitido por un prestador_de_servicios_de_confianza y fuera válido en el momento de la firma;

c)	los datos_de_ validación de la firma corresponden a los datos proporcionados a la parte_usuaria;

d)	el conjunto único de datos que representa al firmante en el certificado se facilite correctamente a la parte_usuaria;

e)	en caso de que se utilice un seudónimo, la utilización del mismo se indique claramente a la parte_usuaria en el momento de la firma;

f)	la firma_electrónica se haya creado mediante un dispositivo cualificado de creación de firmas electrónicas;

g)	la integridad de los datos firmados no se haya visto comprometida;

h)	se hayan cumplido los requisitos previstos en el artículo 26, en el momento de la firma.

2. El sistema utilizado para validar la firma_electrónica cualificada ofrecerá a la parte_usuaria el resultado correcto del proceso de validación y le permitirá detectar cualquier problema que afecte a la seguridad.

3. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a la validación de las firmas electrónicas cualificadas. Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando la validación de una firma_electrónica cualificada se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 35

Efectos jurídicos del sello_electrónico

1. No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a un sello_electrónico por el mero hecho de estar en formato electrónico o de no cumplir los requisitos del sello_electrónico cualificado.

2. Un sello_electrónico cualificado disfrutará de la presunción de integridad de los datos y de la corrección del origen de los datos a los que el sello_electrónico cualificado esté vinculado.

3. Un sello_electrónico cualificado basado en un certificado cualificado emitido en un Estado miembro será reconocido como un sello_electrónico cualificado en todos los demás Estados miembros.

Artículo 37

Sellos electrónicos en servicios públicos

1. Si un Estado miembro requiere un sello_electrónico avanzado con el fin de utilizar un servicio en línea ofrecido por un organismo_del_sector_público, o en nombre del mismo, dicho Estado miembro reconocerá los sellos electrónicos avanzados, los sellos electrónicos avanzados basados en un certificado reconocido de sellos electrónicos y los sellos electrónicos cualificados por lo menos en los formatos o con los métodos definidos en los actos de ejecución contemplados en el apartado 5.

2. Si un Estado miembro requiere un sello_electrónico avanzado basado en un certificado cualificado con el fin de utilizar un servicio en línea ofrecido por un organismo_del_sector_público, o en nombre del mismo, dicho Estado miembro reconocerá los sellos electrónicos avanzados basados en un certificado cualificado y los sellos electrónicos cualificados por lo menos en los formatos o con los métodos definidos en los actos de ejecución contemplados en el apartado 5.

3. Los Estados miembros no exigirán, para el uso transfronterizo en un servicio en línea ofrecido por un organismo_del_sector_público, un sello_electrónico cuyo nivel de seguridad sea superior al de un sello_electrónico cualificado.

4. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los sellos electrónicos avanzados. Se presumirá el cumplimiento de los requisitos de los sellos electrónicos avanzados mencionados en los apartados 1 y 2 del presente artículo y en el artículo 36 cuando un sello_electrónico avanzado se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

5. A más tardar el 18 de septiembre de 2015, y teniendo en cuenta las prácticas existentes, las normas y actos jurídicos de la Unión, la Comisión adoptará actos de ejecución que definan los formatos de referencia de los sellos electrónicos avanzados o métodos de referencia cuando se utilicen formatos alternativos. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 38

certificados cualificados de sello_electrónico

1. Los certificados cualificados de sello_electrónico cumplirán los requisitos establecidos en el anexo III.

2. Los certificados cualificados de sello_electrónico no estarán sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el anexo III.

3. Los certificados cualificados de sello_electrónico podrán incluir atributos específicos adicionales no obligatorios. Esos atributos no afectarán a la interoperabilidad y reconocimiento de los sellos electrónicos cualificados.

4. Si un certificado cualificado de sello_electrónico ha sido revocado después de su activación inicial, perderá su validez desde el momento de su revocación y no podrá en ninguna circunstancia recuperar su estado.

5. Según las condiciones expuestas a continuación, los Estados miembros podrán fijar normas nacionales sobre la suspensión temporal de certificados cualificados de sello_electrónico:

a)	Si un certificado cualificado de sello_electrónico ha sido suspendido temporalmente, ese certificado perderá su validez durante el período de suspensión.

b)	El período de suspensión se indicará claramente en la base de datos de certificados y el estado de suspensión será visible, durante el período de suspensión, a partir del servicio que proporcione la información sobre el estado del certificado.

6. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los certificados cualificados de sello_electrónico. Se presumirá el cumplimiento de los requisitos establecidos en el anexo III cuando un certificado cualificado de sello_electrónico se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 39

Dispositivos cualificados de creación de sello_electrónico

1. El artículo 29 se aplicará mutatis mutandis a los requisitos de los dispositivos cualificados de creación de sello_electrónico.

2. El artículo 30 se aplicará mutatis mutandis a la certificación de los dispositivos cualificados de creación de sello_electrónico.

3. El artículo 31 se aplicará mutatis mutandis a la publicación de una lista de dispositivos cualificados de creación de sello_electrónico certificados.

Artículo 45

Requisitos de los certificados cualificados de autenticación de sitios web

1. Los certificados cualificados de autenticación de sitios web cumplirán los requisitos establecidos en el anexo IV.

2. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los certificados cualificados de autenticación de sitios web. Se presumirá el cumplimiento de los requisitos establecidos en el anexo IV cuando un certificado cualificado de autenticación de sitios web se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

CAPÍTULO IV

DOCUMENTOS ELECTRÓNICOS

Artículo 51

Medidas transitorias

1. Los dispositivos seguros de creación de firma cuya conformidad se haya determinado con arreglo a lo dispuesto en el artículo 3, apartado 4, de la Directiva 1999/93/CE se considerarán dispositivos cualificados de creación de firma_electrónica con arreglo al presente Reglamento.

2. Los certificados reconocidos expedidos para las personas físicas conforme a la Directiva 1999/93/CE se considerarán certificados cualificados de firma_electrónica con arreglo al presente Reglamento hasta que caduquen.

3. Un prestador de servicios de certificación que emita certificados reconocidos conforme a la Directiva 1999/93/CE presentará un informe de evaluación de conformidad al organismo supervisor lo antes posible pero no más tarde del 1 de julio de 2017. Hasta que el prestador de servicios de certificación presente dicho informe de evaluación de conformidad y el organismo supervisor ultime su análisis, el mencionado prestador de servicios de certificación será considerado, según el presente Reglamento, como prestador_cualificado_de_servicios_de_confianza.

4. Si un prestador de servicios de certificación que emita certificados reconocidos conforme a la Directiva 1999/93/CE no presentara un informe de evaluación de conformidad al organismo supervisor dentro del plazo mencionado en el apartado 3, dicho prestador de servicios de certificación no podrá ser considerado, según el presente Reglamento, como prestador_cualificado_de_servicios_de_confianza a partir del 2 de julio de 2017.

Artículo 52

Entrada en vigor

1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2. El presente Reglamento será aplicable a partir del 1 de julio de 2016, a excepción de las disposiciones siguientes:

los artículos 8, apartado 3, 9, apartado 5, 12, apartados 2 a 9, 17, apartado 8, 19, apartado 4, 20, apartado 4, 21, apartado 4, 22, apartado 5, 23, apartado, 3, 24, apartado 5, 27, apartados 4 y 5, 28, apartado 6, 29, apartado 2, 30, apartados 3 y 4, 31, apartado 3, 32, apartado 3, 33, apartado 2, 34, apartado 2, 37, apartados 4 y 5, 38, apartado 6, 42, apartado 2, 44, apartado 2, 45, apartado 2, y los artículos 47 y 48 se aplicarán a partir del 17 de septiembre de 2014;

b)	el artículo 7, el artículo 8, apartados 1 y 2, los artículos 9, 10, 11 y el artículo 12, apartado 1, se aplicarán a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8;

c)	el artículo 6 se aplicará a partir de los tres años de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8.

3. Cuando el sistema de identificación_electrónica notificado esté incluido en la lista publicada por la Comisión con arreglo al artículo 9 antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo, el reconocimiento de los medios de identificación_electrónica expedidos bajo dicho sistema en virtud del artículo 6 se llevará a cabo a más tardar 12 meses después de la publicación de dicho sistema, pero no antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo.

4. No obstante lo dispuesto en la letra c) del apartado 2 del presente artículo, un Estado miembro podrá decidir que los medios de identificación_electrónica con arreglo al sistema de identificación_electrónica notificado de conformidad con el artículo 9, apartado 1, por otro Estado miembro se reconozcan en el primer Estado miembro a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8. Los Estados miembros de que se trate se lo comunicarán a la Comisión. La Comisión hará pública esa información.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 23 de julio de 2014.

Por el Parlamento

El Presidente

M. SCHULZ

Por el Consejo

El Presidente

S. GOZI

(1) DO C 351 de 15.11.2012, p. 73.

(2) Posición del Parlamento Europeo y del Consejo de 3 de abril de 2014 (no publicada aún en el Diario Oficial) y Decisión del Consejo de 23 de julio de 2014.

(3) Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma_electrónica (DO L 13 de 19.1.2000, p. 12).

(4) DO C 50 de 21.2.2012, p. 1.

(5) Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior (DO L 376 de 27.12.2006, p. 36).

(6) Directiva 2011/24/UE del Parlamento Europeo y del Consejo, de 9 de marzo de 2011, relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza (DO L 88 de 4.4.2011, p. 45).

(7) Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31).

(8) Decisión 2010/48/CE del Consejo, de 26 de noviembre de 2009, relativa a la celebración, por parte de la Comunidad Europea, de la Convención de las Naciones Unidas sobre los Derechos de las Personas con Discapacidad (DO L 23 de 27.1.2010, p. 35).

(9) Reglamento (CE) no 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) no 339/93 (DO L 218 de 13.8.2008, p. 30).

(10) Decisión 2009/767/CE de la Comisión, de 16 de octubre de 2009, por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las ventanillas únicas con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 274 de 20.10.2009, p. 36).

(11) Decisión 2011/130/UE de la Comisión, de 25 de febrero de 2011, por la que se establecen los requisitos mínimos para el tratamiento transfronterizo de los documentos firmados electrónicamente por las autoridades competentes en virtud de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 53 de 26.2.2011, p. 66).

(12) Reglamento (UE) no 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(13) Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(14) DO C 28 de 30.1.2013, p. 6.

(15) Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65).

ANEXO I

REQUISITOS DE LOS certificadoS CUALIFICADOS DE FIRMA ELECTRÓNICA

Los certificados cualificados de firma_electrónica contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de firma_electrónica;

un conjunto de datos que represente inequívocamente al prestador_cualificado_de_servicios_de_confianza que expide los certificados cualificados, incluyendo como mínimo el Estado miembro en el que dicho prestador está establecido, y

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos el nombre del firmante o un seudónimo; si se usara un seudónimo, se indicará claramente;

d)	datos_de_ validación de la firma_electrónica que correspondan a los datos de creación de la firma_electrónica;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación de firma_electrónica relacionados con los datos_de_ validación de firma_electrónica se encuentren en un dispositivo cualificado de creación de firma_electrónica, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO II

REQUISITOS DE LOS DISPOSITIVOS CUALIFICADOS DE CREACIÓN DE FIRMA ELECTRÓNICA

Los dispositivos cualificados de creación de firma_electrónica garantizarán como mínimo, por medios técnicos y de procedimiento adecuados, que:

a)	esté garantizada razonablemente la confidencialidad de los datos de creación de firma_electrónica utilizados para la creación de firmas electrónicas;

b)	los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica solo puedan aparecer una vez en la práctica;

c)	exista la seguridad razonable de que los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica no pueden ser hallados por deducción y de que la firma está protegida con seguridad contra la falsificación mediante la tecnología disponible en el momento;

d)	los datos de creación de la firma_electrónica utilizados para la creación de firma_electrónica puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por otros.

Los dispositivos cualificados de creación de firmas electrónicas no alterarán los datos que deben firmarse ni impedirán que dichos datos se muestren al firmante antes de firmar.

La generación o la gestión de los datos de creación de la firma_electrónica en nombre del firmante solo podrán correr a cargo de un prestador_cualificado_de_servicios_de_confianza.

Sin perjuicio de la letra d) del punto 1, los prestadores cualificados de servicios de confianza que gestionen los datos de creación de firma_electrónica en nombre del firmante podrán duplicar los datos de creación de firma únicamente con objeto de efectuar una copia de seguridad de los citados datos siempre que se cumplan los siguientes requisitos:

a)	la seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales;

b)	el número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio.

ANEXO III

REQUISITOS DE LOS certificadoS CUALIFICADOS DE SELLO ELECTRÓNICO

Los certificados cualificados de sello_electrónico contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de sello_electrónico;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos, el nombre del creador del sello y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	los datos_de_ validación del sello_electrónico que correspondan a los datos de creación del sello_electrónico;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación del sello_electrónico relacionados con los datos_de_ validación del sello_electrónico se encuentren en un dispositivo cualificado de creación de sellos electrónicos, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO IV

REQUISITOS DE LOS certificadoS CUALIFICADOS DE AUTENTICACIÓN DE SITIOS WEB

Los certificados cualificados de autenticación de sitios web contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de autenticación de sitio web;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

para personas físicas: al menos el nombre de la persona a la que se expida el certificado, o un seudónimo; si se usara un seudónimo, se indicará claramente;

para personas jurídicas: al menos el nombre de la persona jurídica a la que se expida el certificado y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	elementos de la dirección, incluida al menos la ciudad y el Estado, de la persona física o jurídica a quien se expida el certificado, y, cuando proceda, según figure en los registros oficiales;

e)	el nombre o los nombres de dominio explotados por la persona física o jurídica a la que se expida el certificado;

f)	los datos relativos al inicio y final del período de validez del certificado;

g)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

h)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

i)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra h);

j)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado.

whereas

(16) Los niveles de seguridad deben caracterizar el grado de confianza de un medio de identificación_electrónica para establecer la identidad de una persona, garantizando así que la persona que afirma poseer una identidad determinada es de hecho la persona a quien se ha atribuido dicha identidad.
El nivel de seguridad depende del grado de confianza que aporte este medio de identificación_electrónica sobre la identidad pretendida o declarada por una persona, teniendo en cuenta los procedimientos técnicos, (por ejemplo, prueba y verificación de la identidad, autenticación), las actividades de gestión (como la entidad que expide los medios de identificación_electrónica, el procedimiento para expedir dichos medios) y los controles aplicados.
Como resultado de las actividades la normalización y las actividades internacionales de la financiación de la Unión de proyectos piloto a gran escala, existen varias definiciones y descripciones técnicas de niveles de seguridad.
En particular, los proyectos piloto a gran escala STORK e ISO 29115 se refieren, entre otros, a los niveles 2, 3 y 4 que deben tenerse en cuenta en la máxima medida para establecer los requisitos técnicos mínimos, las normas y los procedimientos para los niveles de seguridad bajo, sustancial y alto entendidos en el sentido del presente Reglamento, garantizando al mismo tiempo la aplicación coherente del presente Reglamento, en particular con respecto al nivel de seguridad alto en relación con la acreditación de identidad para la expedición de certificados cualificados.
Los requisitos que se establezcan deberán ser tecnológicamente neutros.
Debe ser posible cumplir los requisitos de seguridad necesarios mediante diversas tecnologías.

- = -

(33) Las disposiciones relativas al uso de seudónimos en los certificados no deben impedir a los Estados miembros exigir la identificación de las personas de conformidad con el Derecho nacional o de la Unión.

- = -

(53) La suspensión de certificados cualificados es una práctica operativa establecida de los prestadores de servicios de confianza en una serie de Estados miembros, distinta de la revocación y que conlleva la pérdida temporal de la validez de un certificado.
La seguridad jurídica impone que siempre se indique claramente la suspensión de un certificado.
A tal fin, los prestadores de servicios de confianza deben encargarse de indicar claramente la situación del certificado y, si está suspendido, el período preciso durante el cual ha sido suspendido.
El presente Reglamento no debe imponer a los prestadores de servicios de confianza ni a los Estados miembros el uso de la suspensión, pero debe establecer normas de transparencia cuando y donde esta práctica sea posible.

- = -

(54) La interoperabilidad y el reconocimiento transfronterizos de los certificados cualificados es un requisito previo para el reconocimiento transfronterizo de las firmas electrónicas cualificadas.
Por consiguiente, los certificados cualificados no deben estar sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el presente Reglamento.
No obstante, en el plano nacional debe permitirse la inclusión de atributos específicos, por ejemplo identificadores únicos, en los certificados cualificados, a condición de que tales atributos específicos no comprometan la interoperabilidad y el reconocimiento transfronterizos de los certificados y las firmas electrónicas cualificados.

- = -

(60) Los prestadores de servicios de confianza que expidan certificados cualificados de sello_electrónico deben instaurar las medidas necesarias para poder determinar la identidad de la persona física que representa a la persona jurídica a la que se entregue el certificado cualificado de sello_electrónico, cuando se requiera tal identificación a nivel nacional en el contexto de procedimientos judiciales o administrativos.

- = -

(74) Para dar seguridad jurídica a los operadores del mercado que ya utilicen certificados reconocidos expedidos a personas físicas de conformidad con la Directiva 1999/93/CE, es necesario prever un período de transición suficiente.
De igual modo, han de preverse medidas transitorias para los dispositivos seguros de creación de firmas, cuya conformidad se haya determinado con arreglo a la Directiva 1999/93/CE, así como para los prestadores de servicios de certificación que expidan certificados reconocidos antes del 1 de julio de 2016.
Por último, también es necesario dotar a la Comisión de los medios necesarios para adoptar los actos de ejecución y los actos delegados con anterioridad a esa fecha.

- = -

keyboard_tab EIDAS 2014/0910 ES

EIDAS 2014/0910 ES