Archivo de la categoría: Derecho Nuevas tecnologías

Políticas marco de firma electrónica


El 2 de diciembre de 2015, el Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE) aprobó la Guía de Interoperabilidad y Seguridad (GIS) de Autenticación, Certificados y Firma Electrónica en la Administración de Justicia en España, que constituye de facto la “Política Marco de Firma Electrónica para la Administración de Justicia”.

El objeto de esta norma es servir como guía en lo relativo a la gestión de firmas electrónicas en el ámbito de la justicia, así como tomar en consideración los conceptos conexos de autenticidad de documentos electrónicos y uso de certificados en el marco de la identificación y autenticación de intervinientes cuando no se precise el uso de firma electrónica.

Es de aplicación a la Administración de Justicia, a los ciudadanos en sus relaciones con ella y a los profesionales que actúen en su ámbito, así como a las relaciones entre aquélla y el resto de Administraciones y organismos públicos.

La administración de Justicia es la estructura de la administración específica para el Poder Judicial, que es un poder diferente al Ejecutivo y lo es también la infraestructura administrativa que le da soporte.

En el ámbito de la Administración Pública, la Administración General del Estado ha desarrollado diversa normativa destinada  favorecer la digitalización de su funcionamiento. En su momento, uno de los hitos principales de ese proceso de digitalización lo constituyó la publicación de la Ley 11/2007 que suplementaba lo dispuesto en la Ley 30/1992. En el año 2015 se publicaron las leyes siamesas Ley 39/2015 y Ley 40/2015 (subsumiendo las dos leyes citadas), un año después de la publicación del Reglamento europeo UE 910/2014 (EIDAS) y teniendo ya en cuenta bastantes de los aspectos de la norma europea.

Por su lado, en la Administración de Justicia se ha desarrollado la Ley 18/2011 a semejanza de la Ley 11/2007 y se han modificado las leyes procesales, con cambios significativos en 2015.

AGE-AJU

En el ámbito de la AGE, dentro del Esquema nacional de Interoperabilidad  se ha desarrollado una política marco de firma electrónica que ha consolidado la experiencia de  las versiones 1.8 y 1.9. La actual, Política 2.0 se publicó en el BOE de 2 de noviembre de 2016.

En su contexto es muy importante una norma complementaria que ayuda a uniformizar la interoperabilidad de los certificados en España.

En el ámbito de la AJU, dentro de las Bases del Esquema Judicial de Interoperabilidad y Seguridad  se ha desarrollado la política marco de firma electrónica del CTEAJE citada al inicio:

Con sus similitudes y sus diferencias, ambas Políticas son referentes de sus respectivas administraciones.

Decae el requisito de legitimación de firmas para el depósito de cuentas anuales


En este blog he sido bastante crítico con el requisito de legitimación de firmas  que imponían algunas normas legales, en especial cuando la firma era electrónica.

Por ejemplo en estos artículos:

Ahora un cambio legal devuelve la lógica a las actuaciones en relación con el requisito de la legitimación notarial de las firmas para el depósito de las cuentas anuales.

La Ley 25/2011, de 1 de agosto (BOE 02/08/2011), de reforma parcial de la Ley de Sociedades de Capital y de incorporación de la Directiva 2007/36/CE, del Parlamento Europeo y del Consejo, de 11 de julio, sobre el ejercicio de determinados derechos de los accionistas de sociedades cotizadas, da nueva redacción al artículo 279 del Texto Refundido de la Ley de Sociedades de Capital, elimina el requisito de la legitimación notarial de las firmas para el depósito de las cuentas anuales.

Otra modificación es respecto a la forma de convocatoria de la junta general de socios ya que se suprime el carácter obligatorio de la publicación de la convocatoria en el “Boletín Oficial del Registro Mercantil” (BORME) y en un diario de los de mayor circulación en la provincia en que esté situado el domicilio social.

Al eliminarse la necesidad de legitimar ante notario las firmas se puede realizar la presentación digital de cuentas por Internet de forma completa sin necesidad de remitir al Registro, en papel, el Certificado de aprobación de cuentas. Este certificado se puede escanear en formato PDF una vez realizada su firma y remitir también por Internet con la firma digital del presentante acompañando al archivo ZIP que contiene las cuentas anuales, memoria, etc.

Las opciones de depósito de cuentas en papel y por Internet existentes hasta ahora siguen siendo válidas, simplemente se incorpora esta nueva modalidad de “presentación completa” en la que el Certificado de aprobación de cuentas se remite escaneado en formato PDF.

Trust Services Forum 2017


ENISA and the European Commission are organising a consultation workshop with industry and experts from Member States on ICT security certification.

  • Time: April 27, 2017 from 09:30 to 17:00
  • Place: Hotel Thon EU, Rue de la Loi 75, B-1040 Brussels, Belgium

The workshop is organised as a follow-up on the European Commission’s commitment to develop a proposal for a European ICT security certification framework.

Trust Services Forum 2017 – Agenda

09:45 – 10:15

Registration & Welcome Coffee

10:15 – 11:30

Welcome Statement

State of play: eIDAS Regulation, CEF, ENISA activities

Gábor Bartha – European Commission

João Rodrigues Frade – European Commission

Sławomir Górniak – ENISA

11:30 – 11:45

Coffee Break

11:45 – 12:45

Panel Discussion 1

One year after eIDAS provisions entered into force

Where do we stand?

Moderator:

Prokopios Drogkaris, ENISA

Panelists:

John Jolliffe, Adobe

Olivier Delos, SEALED

Romain Santini, ANSSI

Michał Tabor, Obserwatorium.biz

12:45 – 13:45

Lunch Break

13:45 – 14:00

Article 19 – State of play

Ilias Bakatsis, ENISA

14:00 – 15:00

Panel Discussion 2

Working on the eIDAS through guidelines and recommendations

Moderator:

Sławomir Górniak, ENISA

Panelists:

Camille Gerbert – LSTI

Björn Hesthamar – PTS SE

Leslie Romeo – 1&1

Jérôme Bordier – ClubPSCo

15:00 – 15:30

Coffee Break

15:30 – 16:30

Panel Discussion 3

Strengthening the adoption of qualified certificates for website authentication

Moderator:

Eugenia Nikolouzou – ENISA

Panelists:

Reinhard Posch – TU Graz

Arno Fiedler – Nimbus

Kim Nguyen – D-Trust

Erik Van Zuuren – TrustCore

16:30 – 17:00

Next Steps – Open Discussion – Closing Remarks

 

Servicios societarios digitales


En los últimos años, la transformación digital ha llegado a la  normativa de Sociedades de Capital que ha sufrido repetidos cambios orientados a aumentar la relación digital entre las Sociedades y sus accionistas o participes.

Junta-General-Socios

Cuando las empresas cotizan en bolsa, las nuevas obligaciones incluyen la creación de un Foro Electrónico de Accionistas que permita la toma de contacto entre accionistas previa a la Junta e incluso promover propuestas que se traten en ella.  Se recoge en el artículo 539.2 del texto refundido de la Ley de Sociedades de Capital, aprobado por el Real Decreto Legislativo 1/2010, de 2 de julio.

Ya no es imperativo publicar las convocatoria a las juntas de accionistas mediante publicación de anuncios societarios en periódicos.

Según el Artículo 516 hay que usar al menos estas 3 vías:

  • a) El ‘‘Boletín Oficial del Registro Mercantil’’ o uno de los diarios de mayor circulación en España.
  • b) La página web de la Comisión Nacional del Mercado de Valores.
  • c) La página web de la sociedad convocante.

Para la publicación de la convocatoria en la página web es preciso poder acreditar la publicación ininterrumpida de los documentos señalados en el artículo 518.

EADTrust cuenta con un servicio de Comprobación fehaciente que resuelve la necesidad de los administradores de acreditar la publicación en la web de la convocatoria y otros documentos asociados a la Junta de Accionistas.

También se ha generalizado la posibilidad de que los accionistas puedan participar a distancia en las juntas generales mediante voto digital o mediante delegación digital de voto. Herramientas de voto electrónico como Innovoto, facilitan esta herramienta a las sociedades de capital. Es preceptivo contar con medios de Participación a distancia según se indica en el Artículo 521 y, en ocasiones, esta disponibilidad añade posibilidades a las convocatorias.

Artículo 515 Plazo de convocatoria de las juntas generales extraordinarias

1. Cuando la sociedad ofrezca a los accionistas la posibilidad efectiva de votar por medios electrónicos accesibles a todos ellos, las juntas generales extraordinarias podrán ser convocadas con una antelación mínima de quince días.

2. La reducción del plazo de convocatoria requerirá un acuerdo expreso adoptado en junta general ordinaria por, al menos, dos tercios del capital suscrito con derecho a voto, y cuya vigencia no podrá superar la fecha de celebración de la siguiente.

A partir de 2016 al cambiar el contexto regulatorio de la firma electrónica por la entrada en vigor del Reglamento UE 910/2014 (EIDAS) las sociedades y en especial las cotizadas, deberán revisar sus instrucciones de identificación y firma electrónicos a sus accionistas en relación con el acceso al foro electrónico de accionistas y el voto y delegación electrónicos.

EADTrust lleva más de 5 años prestando servicios societarios digitales a sociedades cotizadas y no cotizadas, tales como sistemas de foro electrónico de accionistas, de acreditación de la publicación ininterrumpida y de voto y delegación a distancia.

Las principales sociedades cotizadas y SICAVS del país confían en EADTrust. Contacte llamando al 902 365 612 o al 91 7160555. Un servicio excelente y un coste reducido.

 

Segunda directiva de servicios de pago (PSD2) y Regulatory Technical Standards


La DIRECTIVA (UE) 2015/2366 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) no 1093/2010 y se deroga la Directiva 2007/64/CE se publicó el Diario Oficial de la Unión Europea el 23 de diciembre de 2015. Deberá ser recogida por las leyes nacionales de los paises miembros de la UE a más tardar el 13 de enero de 2018.

Independiza la gestión de los servicios de pago de la titularidad de la cuenta, de forma que el cliente de varias entidades financieras podría utilizar un proveedor único para consolidar la información de todas sus cuentas bancarias y para iniciar operaciones, por ejemplo transferencias.

Estos proveedores especiales que acceden a las cuentas para obtener información y para realizar transferencias se denominan prestadores o proveedores de servicios de pago y deben adoptar prudentes medidas de seguridad, en especial para garantizar la debida autenticación de los usuarios. Además, deben contar con un adecuado mecanismo de notificación de incidentes de seguridad a a los supervisores  y a los usuarios.

Los servicios de pago previstos son:

  1. Servicios que permiten el depósito de efectivo en una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  2. Servicios que permiten la retirada de efectivo de una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  3. Ejecución de operaciones de pago, incluida la transferencia de fondos, a través de una cuenta de pago en el proveedor de servicios de pago del usuario u otro proveedor de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  4. Ejecución de operaciones de pago cuando los fondos estén cubiertos por una línea de crédito abierta para un usuario de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  5. Emisión de instrumentos de pago y/o adquisición de operaciones de pago.
  6. Envío de dinero.
  7. Servicios de iniciación de pagos.
  8. Servicios de información sobre cuentas.

Las entidades que se constituyan para prestar servicios de pagos deberán cumplir ciertos requisitos de capital en su constitución:  si la entidad de pago solo pretende prestar el servicio de pago del punto 6,  su capital  inicial deberá ser mayor de 20.000 EUR; si la entidad de pago solo pretende prestar el servicio de pago del punto 7, su capital inicial  deberá ser mayor de 50.000 EUR; si la entidad de pago pretende prestar cualquiera de los servicios de pago a que se refieren los puntos 1 a 5, su capital inicial deberá ser mayor de 125.000 EUR. Solo la prestación de Servicios de información sobre cuentas no impone requisitos especiales de capital inicial a las entidades que los presten.

Sin embargo, más importante que el importe de capital inicial son los fondos propios. Uno de los métodos de cálculo de fondos propios mínimos indicados en la directiva para las entidades de pago exige que superen el 10 % de sus gastos generales del año anterior o de los previstos en su plan de negocios, en caso de que no superen el año de actividad.

Para que la actividad de los nuevos prestadores de servicios de pago pueda desarrollarse sin fricciones de interoperabilidad es necesario que se estabilicen las normas técnicas impulsadas por la Autoridad Bancaria Europea (EBA European Banking Authority) “Regulatory Technical Standards“, en particular sobre los aspectos de “strong customer authentication” y “secure communication”

Sin embargo, los borradores publicados por la EBA se han visto como restrictivos con la competencia, en particular respecto a los nuevos modelos de negocio que pretende impulsar la Directiva 2015/2366.

En noviembre de 2016 los eurodiputados a cargo de la negociación con la EBA expresaron su preocupación por el hecho de que los proyectos de normas presentados por la Autoridad Bancaria Europea (EBA) para apoyar la innovación en el mercado de pagos serían restrictivos a los nuevos modelos de negocio.

En agosto de 2016, la EBA propuso los borradores de nuevas normas técnicas de reglamentación (RTS, Regulatory Technical Standards) sobre la autenticación fuerte de los clientes como parte de su mandato de establecer tales normas bajo la nueva Directiva de Servicios de Pagos (PSD2).

Estos RTS incluyen la “autenticación fuerte del cliente” que se deberán usar cuando sea necesario acceder a cuentas de pago en línea, o iniciar una operación de pago electrónico o “realizar cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos”.

También se aplican a los casos en que los pagos se inician a través de proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers) o cuando los titulares de cuentas solicitan información sobre sus cuentas a través de un proveedor de servicios de información de cuentas (AISP, account information service provider ).

En el borrador de la norma, la EBA establece que los PSP deberían tener la libertad de decidir si se habilitan los pagos o el acceso a la cuenta a través de una “interfaz dedicada”, que sería una interfaz común para el uso de la industria en su totalidad o a través de su propia interfaz de banca electrónica, lo cual implicará que los agregadores de información y los iniciadores de pagos tendrían que ir una por una adaptando las interficies a los requisitos de cada entidad financiera (desvirtuando el propósito de los RTS).

Sin embargo, en una carta a la EBA en nombre del Parlamento Europeo, los eurodiputados Markus Ferber y Antonio Tajani le transmitieron que “el equipo de negociación del Prlamento Europeo apoya el acceso directo por parte de los proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers ) y de los de servicios de información de cuenta (AISP, account information service providers) a la cuenta del ordenante, sin que el proveedor de servicios de pago de cuentas (ASPSP, account servicing payment service provider) exija que utilice un modelo de negocio determinado para la prestación de su servicio, ya se base en el acceso directo o en el indirecto.

Feber y Tajani expresaron su preocupación de que permitir el empleo de una “interfaz dedicada” implica el riesgo de dar a los ASPSP la posibilidad de excluir o limitar el acceso directo a la cuenta del ordenante a través de las instalaciones bancarias en línea preexistentes.

Esta opción  sería contraria al principio establecido en la Directiva, que impone a la EBAel desarrollo de las RTS con el fin de asegurar y mantener una competencia leal entre todos los proveedores de servicios de pago y garantizar la neutralidad de la tecnología y los modelos de negocio.

Feber y Tajani dejaron claro que el Parlamento Europeo quiere que la EBA se asegure de que los PISP y los AISP puedan obtener acceso directo a cuentas a través de todas las interfaces orientadas al cliente proporcionadas por los ASPSP en todo momento.

La EBA también debe asegurar que los ASPSPs siguen rigurosamente las reglas impuestas por la Directiva PSD2 para permitir a los PISPs y a los AISPs el acceso seguro a las cuentas cuando dichas entidades usan las interfaces propias de los ASPSPs.

El pasado 23 de febrero de 2017 la Autoridad Bancaria Europea (EBA) publicó su borrador final de Normas Técnicas de Reglamentación (RTS) sobre la autenticación fuerte de los clientes y la comunicación común y segura. Estas RTS, establecidas en virtud de la Directiva sobre servicios de pago revisada (PSD2) y desarrolladas en estrecha cooperación con el Banco Central Europeo (BCE).

Draft Regulatory Technical Standards on Strong Customer Authentication and common and secure communication under Article 98 of Directive 2015/2366 (PSD2)

La EBA recibió 224 respuestas a su documento de consulta, en el que se plantearon más de 300 consideraciones o solicitudes de aclaraciones. En la tabla de comentarios publicada como parte de la RTS, la EBA ha resumido cada uno de ellos y ha proporcionado su evaluación sobre si se han realizado cambios en la RTS como resultado de tales consideraciones.

En particular, una de las principales preocupaciones tratadas en este proyecto final de RTS se refiere a las exenciones de la aplicación de la autenticación fuerte de los clientes en función del nivel de riesgo que implica el servicio prestado; la cantidad y recurrencia de la transacción; y el canal de pago utilizado para la ejecución de la transacción. A este respecto, la ABE ha introducido dos nuevas exenciones: una basada en el análisis de riesgo de transacción basada en niveles definidos de fraude y la otra en pagos en las denominadas «terminales sin vigilancia» para las tarifas de transporte o estacionamiento. La exención sobre el análisis del riesgo de transacción está vinculada a un nivel predefinido de fraude y está sujeta a una cláusula de revisión de 18 meses después de la fecha de solicitud de la RTS.

Además, la ABE ha aumentado también el umbral de las transacciones de pago a distancia de 10 a 30 euros y ha suprimido las referencias anteriores a la norma ISO 27001 ya otras características específicas de la autenticación fuerte de los clientes para garantizar la neutralidad tecnológica de la RTS y para facilitar futuras innovaciones.

Con respecto a la comunicación entre proveedores de servicios de pago de cuentas (ASPSP), proveedores de servicios de información de cuentas (AISP) y proveedores de servicios de iniciación de pagos (PISPs), la ABE ha decidido mantener la obligación de que los ASPSP ofrezcan al menos una interfaz para AISPs y PISP para acceder a la información de la cuenta de pago. Esto está vinculado al hecho de que el PSD2 ya no permite el acceso de terceros sin identificación (a veces denominado “simulación de usuario” o, en inglés”screen scraping”) una vez transcurrido el período de transición previsto en el PSD2 para la aplicación de las Normas Técnicas Regulatorias  Regulatory Technical Standards.

La Directiva PSD2 establece que las RTS se aplicarán 18 meses después de su adopción por la Comisión de la UE como un acto delegado, por lo que es preciso que estas RTS se referencien oficialmente en una norma publicada en el Diario Oficial de la Unión Europea.

En el desarrollo de las tecnologías de Strong Customer Authentication claramente juegan un rol relevante los Prestadores de Servicios Electrónicos de Confianza que como EADTrust (European Agency of Digital Trust) aplican lo previsto en el Reglamento EIDAS.

 

 

Revista Justicia Digital


Cuando cambia un gobierno y se definen las prioridades del nuevo equipo en una determinada área de responsabilidad aparecen nuevas actividades y desaparecen otras interesantes iniciativas.

Esto podría llegar a suceder con la revista Justicia Digital, creada para informar sobre algunos avances de la digitalización de la Justicia, especialmente en torno al Sistema Lexnet.

En el momento actual se han publicado ya 12 números:

Hubo una iniciativa anterior “Justicia & news – Revista de la Secretaría General
de la Administración de Justicia” de la que también se publicaron varios números:

Grupo de Trabajo de Bases de Interoperabilidad y Seguridad del CTEAJE


Es un Grupo de Trabajo creado en el marco del Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE), en el que participan como miembros el Ministerio de Justicia, el Consejo General del Poder Judicial, y las Comunidades Autónomas de Cataluña, Madrid, Navarra, Canarias y Andalucía.

Este Grupo de Trabajo tiene como objetivo principal desarrollar las Bases del Esquema judicial de interoperabilidad y seguridad, tal y como establece el artículo 45 de la Ley 18/2011, de 5 de julio.

Tras alcanzar el 6 de julio de 2015 el objetivo de elaborar y publicar el Texto de las Bases de Interoperabilidad y Seguridad, que ya tuvo en cuenta el Reglamento UE 910/2014 (#eIdAS) se priorizaron las líneas de actuación del Documento judicial electrónico, del Expediente judicial electrónico, de la Política de firma electrónica y certificados y  de Transferencia tecnológica.

Fruto del esfuerzo del Grupo, se han aprobado varias Guías de interoperabilidad y seguridad (GIS) que se encuentran publicadas en el apartado Normativa Técnica del portal del CTEAJE.

Las Guías publicadas son las siguientes:

  • GIS de Política de Autenticación, Certificados y Firma electrónica
  • GIS de Digitalización certificada en la Administración de Justicia
  • GIS de procedimientos de copiado auténtico y conversión entre documentos Judiciales electrónicos.
  • Versión 1.0 del CTEAJE de la GIS de Documento Judicial Electrónico. Actualmente el Grupo de trabajo está consensuando una nueva versión.
  • Versión 1.0 del CTEAJE de la GIS de GIS de Expediente Judicial Electrónico. Actualmente el grupo de trabajo está consensuando una nueva versión.