keyboard_tab EIDAS 2014/0910 ES
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 2 Artículo 7 Condiciones para la notificación de los sistemas de identificación electrónica
- 6 Artículo 8 Niveles de seguridad de los sistemas de identificación electrónica
- 1 Artículo 12 Cooperación e interoperabilidad
- 1 Artículo 19 Requisitos de seguridad aplicables a los prestadores de servicios de confianza
- 1 Artículo 22 Listas de confianza
- 1 Artículo 24 Requisitos para los prestadores cualificados de servicios de confianza
CAPÍTULO I
DISPOSICIONES GENERALES
CAPÍTULO II
IDENTIFICACIÓN ELECTRÓNICA
CAPÍTULO III
SERVICIOS DE CONFIANZA
SECCIÓN 1
Disposiciones generales
SECCIÓN 2
Supervisión
SECCIÓN 3
Servicios de confianza cualificados
SECCIÓN 4
Firma electrónica
SECCIÓN 5
Sellos electrónicos
SECCIÓN 6
Sello de tiempo electrónico
SECCIÓN 7
Servicio de entrega electrónica certificada
SECCIÓN 8
Autenticación de sitios web
CAPÍTULO IV
DOCUMENTOS ELECTRÓNICOS
CAPÍTULO V
DELEGACIÓN DE PODERES Y DISPOSICIONES DE EJECUCIÓN
CAPÍTULO VI
DISPOSICIONES FINALES
- identificación electrónica
- medios de identificación electrónica
- datos de identificación de la persona
- sistema de identificación electrónica
- autenticación
- parte usuaria
- organismo del sector público
- organismo de Derecho público
- firmante
- firma electrónica
- firma electrónica avanzada
- firma electrónica cualificada
- datos de creación de la firma electrónica
- certificado de firma electrónica
- certificado cualificado de firma electrónica
- servicio de confianza
- servicio de confianza cualificado
- organismo de evaluación de conformidad
- prestador de servicios de confianza
- prestador cualificado de servicios de confianza
- producto
- dispositivo de creación de firma electrónica
- dispositivo cualificado de creación de firma electrónica
- creador de un sello
- sello electrónico
- sello electrónico avanzado
- sello electrónico cualificado
- datos de creación del sello electrónico
- certificado de sello electrónico
- certificado cualificado de sello electrónico
- dispositivo de creación de sello electrónico
- dispositivo cualificado de creación de sello electrónico
- sello de tiempo electrónico
- sello cualificado de tiempo electrónico
- documento electrónico
- servicio de entrega electrónica certificada
- servicio cualificado de entrega electrónica certificada
- certificado de autenticación de sitio web
- certificado cualificado de autenticación de sitio web
- datos de validación
- validación
- identificación_electrónica 42
- seguridad 36
- artículo 33
- apartado 30
- para 26
- confianza 26
- persona 17
- cualificados 17
- medios 17
- ejecución 17
- sistemas 16
- servicios 16
- normas 14
- estado 14
- refiere 13
- datos 13
- requisitos 13
- técnicas 12
- conformidad 12
- información 12
- actos 12
- sistema 12
- miembro 12
- notificación 11
- organismo 11
- miembros 11
- estados 11
- niveles 11
- procedimientos 10
- cualquier 10
- procedimiento 10
- prestadores 10
- referencia 10
- física 9
- interoperabilidad 9
- los 9
- especificaciones 9
- identidad 9
- nivel 8
- jurídica 8
- arreglo 8
- comisión 8
- efectúa 8
- entre 8
- certificado 8
- certificados 7
- supervisión 7
- efectos 7
- técnicos 7
- listas 7
Artículo 7
Condiciones para la notificación de los sistemas de identificación_electrónica
Un sistema de identificación_electrónica podrá ser objeto de notificación con arreglo al artículo 9, apartado 1, si se cumplen la totalidad de las condiciones siguientes:
a) | que los medios de identificación_electrónica en virtud del sistema de identificación_electrónica hayan sido expedidos:
|
b) | que los medios de identificación_electrónica en virtud del sistema de identificación_electrónica puedan usarse para acceder al menos a un servicio prestado por un organismo_del_sector_público que exija la identificación_electrónica en el Estado miembro que efectúa la notificación; |
c) | que tanto el sistema de identificación_electrónica como los medios de identificación electrónicos en su virtud expedidos cumplan los requisitos de al menos uno de los niveles de seguridad previstos en el acto de ejecución a que hace referencia el artículo 8, apartado 3; |
d) | que el Estado miembro que efectúa la notificación garantice que los datos_de_identificación_de_la_persona que representan en exclusiva a la persona en cuestión se atribuyen de conformidad con las especificaciones técnicas, las normas y los procedimientos del nivel de seguridad pertinente establecido en el acto de ejecución a que se refiere el artículo 8, apartado 3, a la persona física o jurídica a la que se refiere el artículo 3, punto 1, en el momento de expedición de los medios de identificación_electrónica previstos en este sistema; |
e) | que la parte que expide los medios de identificación_electrónica previstos en este sistema garantice que los medios de identificación_electrónica se atribuyan a la persona a que se refiere la letra d) del presente artículo de conformidad con las especificaciones técnicas, las normas y los procedimientos del nivel de seguridad pertinente establecidos en el acto de ejecución a que se refiere el artículo 8, apartado 3; |
f) | el Estado miembro que efectúa la notificación garantiza la disponibilidad de la autenticación en línea de manera que cualquier parte_usuaria establecida en el territorio de otro Estado miembro pueda confirmar los datos_de_identificación_de_la_persona recibidos en formato electrónico. Para las partes usuarias distintas de los organismos del sector público, el Estado miembro que efectúa la notificación podrá definir las condiciones de acceso a esa autenticación. La autenticación transfronteriza deberá ser gratuita cuando se realice en relación con un servicio en línea prestado por un organismo_del_sector_público. Los Estados miembros no impondrán requisitos técnicos específicos desproporcionados a las partes usuarias que tengan intención de llevar a cabo tal autenticación, cuando esos requisitos impidan u obstaculicen significativamente la interoperabilidad de los sistemas de identificación_electrónica notificados; |
g) | al menos seis meses antes de la notificación a la que se refiere el artículo 9, apartado 1, el Estado miembro que efectúa la notificación presentará a los demás Estados miembros, a efectos de la obligación a que se refiere el artículo 12, apartado 5, una descripción de este sistema, de conformidad con las modalidades de procedimiento establecidas en los actos de ejecución a los que se refiere el artículo 12, apartado 7; |
h) | el sistema de identificación_electrónica cumple los requisitos del acto de ejecución a que se refiere el artículo 12, apartado 8. |
Artículo 8
Niveles de seguridad de los sistemas de identificación_electrónica
1. Un sistema de identificación_electrónica notificado en virtud del artículo 9, apartado 1, deberá especificar los niveles de seguridad bajo, sustancial y alto para los medios de identificación_electrónica expedidos en virtud del mismo.
2. Los niveles de seguridad bajo, sustancial y alto cumplirán los siguientes criterios, respectivamente:
a) | el nivel de seguridad bajo se referirá a un medio de identificación_electrónica, en el contexto de un sistema de identificación_electrónica, que establece un grado limitado de confianza en la identidad pretendida o declarada de una persona y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, y cuyo objetivo es reducir el riesgo de uso indebido o alteración de la identidad; |
b) | el nivel de seguridad sustancial se referirá a un medio de identificación_electrónica, en el contexto de un sistema de identificación_electrónica, que establece un grado sustancial de confianza en la identidad pretendida o declarada de una persona y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, y cuyo objetivo es reducir sustancialmente el riesgo de uso indebido o alteración de la identidad; |
c) | el nivel de seguridad alto se referirá a un medio de identificación_electrónica, en el contexto de un sistema de identificación_electrónica, que establece un grado de confianza en la identidad pretendida o declarada de una persona superior al medio de identificación_electrónica con un nivel de seguridad sustancial, y se describe en referencia a las especificaciones técnicas, las normas y los procedimientos del mismo, entre otros los controles técnicos, cuyo objetivo es evitar el uso indebido o alteración de la identidad. |
3. A más tardar el 18 de septiembre de 2015, teniendo en cuenta las normas internacionales pertinentes, y en los términos del apartado 2, la Comisión establecerá, mediante actos de ejecución, las especificaciones técnicas mínimas, las normas y los procedimientos con referencia a los cuales se especificarán los niveles de seguridad bajo, sustancial y alto de los medios de identificación_electrónica a efectos del apartado 1.
Estas especificaciones técnicas mínimas, normas y procedimientos se establecerán en referencia a la fiabilidad y la calidad de los siguientes elementos:
a) | el procedimiento para demostrar y comprobar la identidad de las personas físicas o jurídicas que solicitan la expedición de los medios de identificación_electrónica; |
b) | el procedimiento para expedir los medios de identificación_electrónica solicitados; |
c) | el mecanismo de autenticación mediante el cual la persona física o jurídica utiliza los medios de identificación_electrónica para confirmar su identidad a una parte_usuaria; |
d) | la entidad que expide los medios de identificación_electrónica; |
e) | cualquier otro organismo que intervenga en la solicitud de expedición de los medios de identificación_electrónica, y |
f) | las especificaciones técnicas y de seguridad de los medios de identificación_electrónica. |
Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.
Artículo 12
Cooperación e interoperabilidad
1. Los sistemas nacionales de identificación_electrónica notificados de conformidad con el artículo 9, apartado 1, serán interoperables.
2. A efectos del apartado 1, se establecerá un marco de interoperabilidad.
3. El marco de interoperabilidad debe cumplir los criterios siguientes:
a) | aspirar a ser neutro desde un punto de vista tecnológico y no discriminar entre soluciones técnicas nacionales específicas para la identificación_electrónica dentro del Estado miembro; |
b) | ajustarse a las normas internacionales y europeas, siempre que sea posible; |
c) | facilitar la aplicación del principio de privacidad desde el diseño, y |
d) | garantizar que los datos personales se procesen con arreglo a la Directiva 95/46/CE. |
4. El marco de interoperabilidad consistirá en lo siguiente:
a) | una referencia a los requisitos técnicos mínimos relativos a los niveles de seguridad contemplados en el artículo 8; |
b) | una correlación entre los niveles de seguridad nacionales de los sistemas de identificación_electrónica y los niveles de seguridad contemplados en el artículo 8; |
c) | una referencia a los requisitos técnicos mínimos para la interoperabilidad; |
d) | una referencia a un conjunto mínimo de datos_de_identificación_de_la_persona que representan de manera única a una persona física o jurídica, y que está disponible en los sistemas de identificación_electrónica; |
e) | reglas de procedimiento; |
f) | acuerdos para la resolución de litigios, y |
g) | normas comunes de seguridad operativa. |
5. Los Estados miembros cooperarán con respecto a lo siguiente:
a) | la interoperabilidad de los sistemas de identificación_electrónica notificados con arreglo al artículo 9, apartado 1, y los sistemas de identificación_electrónica que los Estados miembros tienen intención de notificar, y |
b) | la seguridad de los sistemas de identificación_electrónica. |
6. La cooperación entre Estados miembros consistirá en:
a) | un intercambio de información, experiencia y prácticas idóneas sobre sistemas de identificación_electrónica, en particular sobre los requisitos técnicos relacionados con la interoperabilidad y los niveles de seguridad; |
b) | un intercambio de información, experiencia y prácticas idóneas sobre el trabajo con los niveles de seguridad de los sistemas de identificación_electrónica contemplados en el artículo 8; |
c) | una revisión inter pares de los sistemas de identificación_electrónica que entran en el ámbito de aplicación del presente Reglamento, y |
d) | un examen de las novedades pertinentes en el sector de la identificación_electrónica. |
7. A más tardar el 18 de marzo de 2015, la Comisión fijará, mediante actos de ejecución, las modalidades de procedimiento necesarias para facilitar la cooperación entre los Estados miembros a que se refieren los apartados 5 y 6, con vistas a fomentar un alto grado de confianza y seguridad que corresponda al nivel de riesgo.
8. A más tardar el 18 de septiembre de 2015, a efectos de establecer condiciones uniformes para la ejecución de los requisitos del apartado 1, la Comisión, sin perjuicio de los criterios establecidos en el apartado 3 y teniendo en cuenta los resultados de la cooperación entre Estados miembros, adoptará actos de ejecución sobre el marco de interoperabilidad tal como se establece en el apartado 4.
9. Los actos de ejecución a que se refieren los apartados 7 y 8 del presente artículo se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 48, apartado 2.
CAPÍTULO III
SERVICIOS DE CONFIANZA
SECCIÓN 1
Disposiciones generales
Artículo 19
Requisitos de seguridad aplicables a los prestadores de servicios de confianza
1. Los prestadores cualificados y no cualificados de servicios de confianza adoptarán las medidas técnicas y organizativas adecuadas para gestionar los riesgos para la seguridad de los servicios de confianza que prestan. Habida cuenta de los últimos avances tecnológicos, dichas medidas garantizarán un nivel de seguridad proporcionado al grado de riesgo. En particular, se adoptarán medidas para evitar y reducir al mínimo el impacto de los incidentes de seguridad e informar a los interesados de los efectos negativos de cualquiera de tales incidentes.
2. Los prestadores cualificados y no cualificados de servicios de confianza, sin demoras indebidas pero en cualquier caso en un plazo de 24 horas tras tener conocimiento de ellas, notificarán al organismo de supervisión y, en caso pertinente, a otros organismo relevantes como el organismo nacional competente en materia de seguridad de la información, o la autoridad de protección de datos, cualquier violación de la seguridad o pérdida de la integridad que tenga un impacto significativo en el servicio_de_confianza prestado o en los datos personales correspondientes.
Cuando la violación de seguridad o la pérdida de integridad puedan atentar contra una persona física o jurídica a la que se ha prestado el servicio_de_confianza, el prestador_de_servicios_de_confianza notificará también a la persona física o jurídica, sin demora indebida, la violación de seguridad o la pérdida de integridad.
Cuando proceda, en particular si una violación de la seguridad o pérdida de la integridad afecta a dos o más Estados miembros, el organismo de supervisión notificado informará al respecto a los organismos de supervisión de los demás Estados miembros de que se trate y a la ENISA.
El organismo de supervisión notificado informará al público o exigirá al prestador_de_servicios_de_confianza que lo haga, en caso de considerar que la divulgación de la violación de seguridad o la pérdida de integridad reviste interés público.
3. El organismo de supervisión facilitará a la ENISA anualmente un resumen de las notificaciones de violación de la seguridad y pérdida de la integridad recibidas de los prestadores de servicios de confianza.
4. La Comisión podrá, mediante actos de ejecución, establecer:
a) | una mayor especificación de las medidas a que se refiere el apartado 1, y |
b) | la definición de los formatos y procedimientos, incluidos los plazos, aplicables a efectos del apartado 2. |
Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.
SECCIÓN 3
Servicios de confianza cualificados
Artículo 22
Listas de confianza
1. Cada Estado miembro establecerá, mantendrá y publicará listas de confianza con información relativa a los prestadores cualificados de servicios de confianza con respecto a los cuales sea responsable, junto con la información relacionada con los servicios de confianza cualificados prestados por ellos.
2. Los Estados miembros establecerán, mantendrán y publicarán, de manera segura, las listas de confianza firmadas o selladas electrónicamente a que se refiere el apartado 1 en una forma apropiada para el tratamiento automático.
3. Los Estados miembros notificarán a la Comisión, sin retrasos indebidos, información sobre el organismo responsable del establecimiento, mantenimiento y publicación de las listas de confianza nacionales, y detalles relativos al lugar en que se publican dichas listas, los certificados utilizados para firmar o sellar las listas de confianza y cualquier modificación de los mismos.
4. La Comisión pondrá a disposición del público, a través de un canal seguro, la información a que se refiere el apartado 3 en una forma firmada o sellada electrónicamente apropiada para el tratamiento automático.
5. A más tardar el 18 de septiembre de 2015 la Comisión, mediante actos de ejecución, especificará la información a que se refiere el apartado 1 y definirá las especificaciones técnicas y formatos de las listas de confianza, aplicables a efectos de los apartados 1 a 4. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.
Artículo 24
Requisitos para los prestadores cualificados de servicios de confianza
1. Al expedir un certificado cualificado para un servicio_de_confianza, un prestador_cualificado_de_servicios_de_confianza verificará, por los medios apropiados y de acuerdo con el Derecho nacional, la identidad y, si procede, cualquier atributo específico de la persona física o jurídica a la que se expide un certificado cualificado.
La información a que se refiere el párrafo primero será verificada por el prestador_de_servicios_de_confianza bien directamente o bien por medio de un tercero de conformidad con el Derecho nacional:
a) | en presencia de la persona física o de un representante autorizado de la persona jurídica, o |
b) | a distancia, utilizando medios de identificación_electrónica, para los cuales se haya garantizado la presencia de la persona física o de un representante autorizado de la persona jurídica previamente a la expedición del certificado cualificado, y que cumplan los requisitos establecidos con el artículo 8 con respecto a los niveles de seguridad «sustancial» o «alto», o |
c) | por medio de un certificado de una firma_electrónica cualificada o de un sello_electrónico cualificado expedido de conformidad con la letra a) o b), o |
d) | utilizando otros métodos de identificación reconocidos a escala nacional que aporten una seguridad equivalente en términos de fiabilidad a la presencia física. La seguridad equivalente será confirmada por un organismo de evaluación de la conformidad. |
2. Los prestadores cualificados de servicios de confianza que prestan servicios de confianza cualificados:
a) | informarán al organismo de supervisión de cualquier cambio en la prestación de servicios de confianza cualificados, y de su intención de cesar tales actividades; |
b) | contarán con personal y, si procede, con subcontratistas, que posean los conocimientos especializados, la fiabilidad, la experiencia y las cualificaciones necesarios y hayan recibido la formación adecuada en materia de seguridad y normas de protección de datos personales y que apliquen procedimientos administrativos y de gestión que correspondan a normas europeas o internacionales; |
c) | con respecto al riesgo de la responsabilidad por daños y perjuicios de conformidad con el artículo 13, mantendrán recursos financieros suficientes u obtendrán pólizas de seguros de responsabilidad adecuadas, de conformidad con la legislación nacional; |
d) | antes de entrar en una relación contractual, informarán, de manera clara y comprensible, a cualquier persona que desee utilizar un servicio_de_confianza cualificado acerca de las condiciones precisas relativas a la utilización de dicho servicio, incluidas las limitaciones de su utilización; |
e) | utilizarán sistemas y productos fiables que estén protegidos contra toda alteración y que garanticen la seguridad y la fiabilidad técnicas de los procesos que sustentan; |
f) | utilizarán sistemas fiables para almacenar los datos que se les faciliten de forma verificable, de modo que:
|
g) | tomarán medidas adecuadas contra la falsificación y el robo de datos; |
h) | registrarán y mantendrán accesible durante un período de tiempo apropiado, incluso cuando hayan cesado las actividades del prestador_cualificado_de_servicios_de_confianza, toda la información pertinente referente a los datos expedidos y recibidos por el prestador_cualificado_de_servicios_de_confianza, en particular al objeto de que sirvan de prueba en los procedimientos legales y para garantizar la continuidad del servicio. Esta actividad de registro podrá realizarse por medios electrónicos; |
i) | contarán con un plan de cese actualizado para garantizar la continuidad del servicio, de conformidad con las disposiciones verificadas por el organismo de supervisión con arreglo al artículo 17, apartado 4, letra i); |
j) | garantizarán un tratamiento lícito de los datos personales de conformidad con la Directiva 95/46/CE; |
k) | en caso de los prestadores cualificados de servicios de confianza que expidan certificados cualificados, establecerán y mantendrán actualizada una base de datos de certificados. |
3. Cuando los prestadores cualificados de servicios de confianza que expidan certificados cualificados decidan revocar un certificado, registrarán su revocación en su base de datos de certificados y publicarán el estado de revocación del certificado oportunamente y, en todo caso, en un plazo de 24 horas después de la recepción de la solicitud. La revocación será efectiva inmediatamente después de su publicación.
4. Con respecto a lo dispuesto en el apartado 3, los prestadores cualificados de servicios de confianza que expidan certificados cualificados proporcionarán a cualquier parte_usuaria información sobre el estado de validez o revocación de los certificados cualificados expedidos por ellos. Esta información deberá estar disponible al menos por cada certificado en cualquier momento y con posterioridad al período de validez del certificado en una forma automatizada que sea fiable, gratuita y eficiente.
5. La Comisión podrá, mediante actos de ejecución, establecer números de referencia de normas para sistemas y productos fiables que cumplan con los requisitos establecidos las letras e) y f) del apartado 2 del presente artículo. Se presumirá el cumplimiento de los requisitos establecidos en el presente artículo cuando los sistemas y productos fiables cumplan dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.
SECCIÓN 4
Firma electrónica
whereas