EIDAS 2014/0910 ES

1. Una vez que la cualificación a que se refiere el artículo 21, apartado 2, párrafo segundo, se haya incluido en la lista de confianza a que se refiere el artículo 22, apartado 1, los prestadores cualificados de los servicios de confianza podrán usar la etiqueta de confianza «UE» para indicar de manera simple, reconocible y clara los servicios de confianza cualificados que prestan.

2. Al utilizar la etiqueta de confianza «UE» para los servicios de confianza cualificados a que se refiere el apartado 1, los prestadores de los servicios de confianza garantizarán que en su sitio web exista un enlace a la lista de confianza pertinente.

3. A más tardar el 1 de julio de 2015 la Comisión, por medio de actos de ejecución, elaborará especificaciones relativas a la forma y en particular la presentación, composición, tamaño y diseño de la etiqueta de confianza «UE» para servicios de confianza cualificados. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 28

Certificados cualificados de firma_electrónica

1. Los certificados cualificados de firma_electrónica cumplirán los requisitos establecidos en el anexo I.

2. Los certificados cualificados de firma_electrónica no estarán sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el anexo I.

3. Los certificados cualificados de firmas electrónicas podrán incluir atributos específicos adicionales no obligatorios. Esos atributos no afectarán a la interoperabilidad y el reconocimiento de las firmas electrónicas cualificadas.

4. Si un certificado cualificado de firma_electrónica ha sido revocado después de su activación inicial, perderá su validez desde el momento de su revocación y no podrá en ninguna circunstancia recuperar su estado.

5. Según las condiciones que siguen, los Estados miembros podrán fijar normas nacionales sobre la suspensión temporal de certificados cualificados de firma_electrónica:

a)	Si un certificado cualificado de firma_electrónica ha sido suspendido temporalmente, ese certificado perderá su validez durante el período de suspensión.

b)	El período de suspensión se indicará claramente en la base de datos de certificados y el estado de suspensión será visible, durante el período de suspensión, a partir del servicio que proporcione la información sobre el estado del certificado.

6. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los certificados cualificados de firma_electrónica. Se presumirá el cumplimiento de los requisitos establecidos en el anexo I cuando un certificado cualificado de firma_electrónica se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 38

Certificados cualificados de sello_electrónico

1. Los certificados cualificados de sello_electrónico cumplirán los requisitos establecidos en el anexo III.

2. Los certificados cualificados de sello_electrónico no estarán sometidos a ningún requisito obligatorio que exceda de los requisitos establecidos en el anexo III.

3. Los certificados cualificados de sello_electrónico podrán incluir atributos específicos adicionales no obligatorios. Esos atributos no afectarán a la interoperabilidad y reconocimiento de los sellos electrónicos cualificados.

4. Si un certificado cualificado de sello_electrónico ha sido revocado después de su activación inicial, perderá su validez desde el momento de su revocación y no podrá en ninguna circunstancia recuperar su estado.

5. Según las condiciones expuestas a continuación, los Estados miembros podrán fijar normas nacionales sobre la suspensión temporal de certificados cualificados de sello_electrónico:

a)	Si un certificado cualificado de sello_electrónico ha sido suspendido temporalmente, ese certificado perderá su validez durante el período de suspensión.

b)	El período de suspensión se indicará claramente en la base de datos de certificados y el estado de suspensión será visible, durante el período de suspensión, a partir del servicio que proporcione la información sobre el estado del certificado.

6. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los certificados cualificados de sello_electrónico. Se presumirá el cumplimiento de los requisitos establecidos en el anexo III cuando un certificado cualificado de sello_electrónico se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

Artículo 44

Requisitos de los servicios cualificados de entrega electrónica certificada

1. Los servicios cualificados de entrega electrónica certificada cumplirán los requisitos siguientes:

a)	ser prestados por uno o más prestadores cualificados de servicios de confianza;

b)	asegurar con un alto nivel de fiabilidad la identificación del remitente;

c)	garantizar la identificación del destinatario antes de la entrega de los datos;

d)	estar protegidos el envío y recepción de datos por una firma_electrónica avanzada o un sello_electrónico avanzado de un prestador_cualificado_de_servicios_de_confianza de tal forma que se impida la posibilidad de que se modifiquen los datos sin que se detecte;

e)	indicar claramente al emisor y al destinatario de los datos cualquier modificación de los datos necesarios a efectos del envío o recepción de los datos;

f)	indicar mediante un sello_cualificado_de_tiempo_electrónico la fecha y hora de envío, recepción y eventual modificación de los datos.

En caso de que los datos se transfieran entre dos o más prestadores cualificados de servicios de confianza, se aplicarán los requisitos establecidos en las letras a) a f) a todos los prestadores cualificados de servicios de confianza.

2. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas relativas a los procesos de envío y recepción de datos. Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando el proceso de envío y recepción de datos se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

SECCIÓN 8

Autenticación de sitios web

Artículo 52

Entrada en vigor

1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2. El presente Reglamento será aplicable a partir del 1 de julio de 2016, a excepción de las disposiciones siguientes:

los artículos 8, apartado 3, 9, apartado 5, 12, apartados 2 a 9, 17, apartado 8, 19, apartado 4, 20, apartado 4, 21, apartado 4, 22, apartado 5, 23, apartado, 3, 24, apartado 5, 27, apartados 4 y 5, 28, apartado 6, 29, apartado 2, 30, apartados 3 y 4, 31, apartado 3, 32, apartado 3, 33, apartado 2, 34, apartado 2, 37, apartados 4 y 5, 38, apartado 6, 42, apartado 2, 44, apartado 2, 45, apartado 2, y los artículos 47 y 48 se aplicarán a partir del 17 de septiembre de 2014;

b)	el artículo 7, el artículo 8, apartados 1 y 2, los artículos 9, 10, 11 y el artículo 12, apartado 1, se aplicarán a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8;

c)	el artículo 6 se aplicará a partir de los tres años de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8.

3. Cuando el sistema de identificación_electrónica notificado esté incluido en la lista publicada por la Comisión con arreglo al artículo 9 antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo, el reconocimiento de los medios de identificación_electrónica expedidos bajo dicho sistema en virtud del artículo 6 se llevará a cabo a más tardar 12 meses después de la publicación de dicho sistema, pero no antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo.

4. No obstante lo dispuesto en la letra c) del apartado 2 del presente artículo, un Estado miembro podrá decidir que los medios de identificación_electrónica con arreglo al sistema de identificación_electrónica notificado de conformidad con el artículo 9, apartado 1, por otro Estado miembro se reconozcan en el primer Estado miembro a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8. Los Estados miembros de que se trate se lo comunicarán a la Comisión. La Comisión hará pública esa información.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 23 de julio de 2014.

Por el Parlamento

El Presidente

M. SCHULZ

Por el Consejo

El Presidente

S. GOZI

(1) DO C 351 de 15.11.2012, p. 73.

(2) Posición del Parlamento Europeo y del Consejo de 3 de abril de 2014 (no publicada aún en el Diario Oficial) y Decisión del Consejo de 23 de julio de 2014.

(3) Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma_electrónica (DO L 13 de 19.1.2000, p. 12).

(4) DO C 50 de 21.2.2012, p. 1.

(5) Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior (DO L 376 de 27.12.2006, p. 36).

(6) Directiva 2011/24/UE del Parlamento Europeo y del Consejo, de 9 de marzo de 2011, relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza (DO L 88 de 4.4.2011, p. 45).

(7) Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31).

(8) Decisión 2010/48/CE del Consejo, de 26 de noviembre de 2009, relativa a la celebración, por parte de la Comunidad Europea, de la Convención de las Naciones Unidas sobre los Derechos de las Personas con Discapacidad (DO L 23 de 27.1.2010, p. 35).

(9) Reglamento (CE) no 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) no 339/93 (DO L 218 de 13.8.2008, p. 30).

(10) Decisión 2009/767/CE de la Comisión, de 16 de octubre de 2009, por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las ventanillas únicas con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 274 de 20.10.2009, p. 36).

(11) Decisión 2011/130/UE de la Comisión, de 25 de febrero de 2011, por la que se establecen los requisitos mínimos para el tratamiento transfronterizo de los documentos firmados electrónicamente por las autoridades competentes en virtud de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 53 de 26.2.2011, p. 66).

(12) Reglamento (UE) no 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(13) Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(14) DO C 28 de 30.1.2013, p. 6.

(15) Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65).

ANEXO I

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE FIRMA ELECTRÓNICA

Los certificados cualificados de firma_electrónica contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de firma_electrónica;

un conjunto de datos que represente inequívocamente al prestador_cualificado_de_servicios_de_confianza que expide los certificados cualificados, incluyendo como mínimo el Estado miembro en el que dicho prestador está establecido, y

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos el nombre del firmante o un seudónimo; si se usara un seudónimo, se indicará claramente;

d)	datos_de_ validación de la firma_electrónica que correspondan a los datos de creación de la firma_electrónica;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación de firma_electrónica relacionados con los datos_de_ validación de firma_electrónica se encuentren en un dispositivo cualificado de creación de firma_electrónica, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO II

REQUISITOS DE LOS DISPOSITIVOS CUALIFICADOS DE CREACIÓN DE FIRMA ELECTRÓNICA

Los dispositivos cualificados de creación de firma_electrónica garantizarán como mínimo, por medios técnicos y de procedimiento adecuados, que:

a)	esté garantizada razonablemente la confidencialidad de los datos de creación de firma_electrónica utilizados para la creación de firmas electrónicas;

b)	los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica solo puedan aparecer una vez en la práctica;

c)	exista la seguridad razonable de que los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica no pueden ser hallados por deducción y de que la firma está protegida con seguridad contra la falsificación mediante la tecnología disponible en el momento;

d)	los datos de creación de la firma_electrónica utilizados para la creación de firma_electrónica puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por otros.

Los dispositivos cualificados de creación de firmas electrónicas no alterarán los datos que deben firmarse ni impedirán que dichos datos se muestren al firmante antes de firmar.

La generación o la gestión de los datos de creación de la firma_electrónica en nombre del firmante solo podrán correr a cargo de un prestador_cualificado_de_servicios_de_confianza.

Sin perjuicio de la letra d) del punto 1, los prestadores cualificados de servicios de confianza que gestionen los datos de creación de firma_electrónica en nombre del firmante podrán duplicar los datos de creación de firma únicamente con objeto de efectuar una copia de seguridad de los citados datos siempre que se cumplan los siguientes requisitos:

a)	la seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales;

b)	el número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio.

ANEXO III

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE SELLO ELECTRÓNICO

Los certificados cualificados de sello_electrónico contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de sello_electrónico;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos, el nombre del creador del sello y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	los datos_de_ validación del sello_electrónico que correspondan a los datos de creación del sello_electrónico;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación del sello_electrónico relacionados con los datos_de_ validación del sello_electrónico se encuentren en un dispositivo cualificado de creación de sellos electrónicos, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO IV

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE AUTENTICACIÓN DE SITIOS WEB

Los certificados cualificados de autenticación de sitios web contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de autenticación de sitio web;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

para personas físicas: al menos el nombre de la persona a la que se expida el certificado, o un seudónimo; si se usara un seudónimo, se indicará claramente;

para personas jurídicas: al menos el nombre de la persona jurídica a la que se expida el certificado y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	elementos de la dirección, incluida al menos la ciudad y el Estado, de la persona física o jurídica a quien se expida el certificado, y, cuando proceda, según figure en los registros oficiales;

e)	el nombre o los nombres de dominio explotados por la persona física o jurídica a la que se expida el certificado;

f)	los datos relativos al inicio y final del período de validez del certificado;

g)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

h)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

i)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra h);

j)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado.

whereas

(28) Para aumentar en particular la confianza de las pequeñas y medianas empresas y los consumidores en el mercado interior y fomentar el uso de servicios y productos de confianza, deben introducirse los conceptos de servicios de confianza cualificados y de prestador_cualificado_de_servicios_de_confianza con miras a indicar los requisitos y obligaciones que garanticen un alto nivel de seguridad de cualquier servicio o producto de confianza cualificado que se preste o utilice.

- = -

(53) La suspensión de certificados cualificados es una práctica operativa establecida de los prestadores de servicios de confianza en una serie de Estados miembros, distinta de la revocación y que conlleva la pérdida temporal de la validez de un certificado.
La seguridad jurídica impone que siempre se indique claramente la suspensión de un certificado.
A tal fin, los prestadores de servicios de confianza deben encargarse de indicar claramente la situación del certificado y, si está suspendido, el período preciso durante el cual ha sido suspendido.
El presente Reglamento no debe imponer a los prestadores de servicios de confianza ni a los Estados miembros el uso de la suspensión, pero debe establecer normas de transparencia cuando y donde esta práctica sea posible.

- = -

keyboard_tab EIDAS 2014/0910 ES

EIDAS 2014/0910 ES