Archivo de la categoría: Documentos electrónicos

Desde los usos cotidianos en la administración y en la empresa hasta su valor histórico, los documentos electrónicos plantean retos y oportunidades en su gestión

Auditoría de Contabilidad Certificada


Recientemente se ha publicado en España la denominada “Ley Antifraude” que entre los muchos aspectos que trata, incluye una sección para imponer nuevos requisitos a los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión, a las empresas que los crean y a los trabajadores autónomos y empresas que los usan, con sanciones desproporcionadas que presumen la culpabilidad de las empresa y autónomos respecto a la realización de actividades de fraude tributario por el mero hecho de desarrollar o usar software “no certificado”. Y los requisitos para ese software se limitan a indicar de forma ambigua que deberán aportar “integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad” (ICALTI, por sus siglas).

También se indica que “ya si eso” reglamentariamente se podrán establecer especificaciones técnicas que deban reunir dichos sistemas y programas.

Se crea una gran inseguridad jurídica ya que aunque en el régimen sancionador se indica:

e) no cumplan con las especificaciones técnicas que garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, así como su legibilidad por parte de los órganos competentes de la Administración Tributaria, en los términos del artículo 29.2.j) de esta Ley;

f) no se certifiquen, estando obligado a ello por disposición reglamentaria, los sistemas fabricados, producidos o comercializados.

Lo que podría dar a entender que la posibilidad de sanciones solo se podría producir tras la publicación de las “especificaciones técnicas”, en el conjunto de las descripción de las sanciones no queda tan claro.

Por eso parece recomendable iniciar procesos de auditoría de contabilidad certificada a las plataformas de software de de contabilidad y facturación y a las que se instalan en terminales de punto de venta lo antes posible para demostrar “debida diligencia” en caso de que las autoridades tributarias contacten con nosotros. De esta forma, aunque no haya culminado la modificación del software para cumplir los nuevos requisitos de la norma , ya se puede demostrar que “estamos en ello”.

EADTrust es una de las entidades que pueden ayudar a entender los nuevos requisitos, a implementarlos en el software y a auditarlo posteriormente para comprobar que están bien implementados.

La «Ley 11/2021, de 9 de julio, de medidas de prevención y lucha contra el fraude fiscal, de transposición de la Directiva (UE) 2016/1164, del Consejo, de 12 de julio de 2016, por la que se establecen normas contra las prácticas de elusión fiscal que inciden directamente en el funcionamiento del mercado interior, de modificación de diversas normas tributarias y en materia de regulación del juego» es la norma indicada.

El artículo decimotercero de esta Ley modifica la Ley General Tributaria en varios aspectos y en lo relativo al software de contabilidad, facturación y gestión  modifica el apartado 2 del artículo 29 para incluir los requisitos indicados. También crea un artículo 201 bis con el régimen sancionador asociado.

En el apartado 2 del artículo 29, de la Ley 58/2003, de 17 de diciembre, General Tributaria, se añade un nuevo párrafo con la letra j) que tiene la siguiente redacción:

“j) La obligación, por parte de los productores, comercializadores y usuarios, de que los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión de quienes desarrollen actividades económicas, garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, sin interpolaciones, omisiones o alteraciones de las que no quede la debida anotación en los sistemas mismos. Reglamentariamente se podrán establecer especificaciones técnicas que deban reunir dichos sistemas y programas, así como la obligación de que los mismos estén debidamente certificados y utilicen formatos estándar para su legibilidad.”

Como se ha indicado, ese mismo artículo 13 crea un nuevo artículo 201 bis en la Ley 58/2003, de 17 de diciembre, General Tributaria:

Artículo 201 bis. Infracción tributaria por fabricación, producción, comercialización y tenencia de sistemas informáticos que no cumplan las especificaciones exigidas por la normativa aplicable.

1. Constituye infracción tributaria la fabricación, producción y comercialización de sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión por parte de las personas o entidades que desarrollen actividades económicas, cuando concurra cualquiera de las siguientes circunstancias:

a) permitan llevar contabilidades distintas en los términos del artículo 200.1.d) de esta Ley;

b) permitan no reflejar, total o parcialmente, la anotación de transacciones realizadas;

c) permitan registrar transacciones distintas a las anotaciones realizadas;

d) permitan alterar transacciones ya registradas incumpliendo la normativa aplicable;

e) no cumplan con las especificaciones técnicas que garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, así como su legibilidad por parte de los órganos competentes de la Administración Tributaria, en los términos del artículo 29.2.j) de esta Ley;

f) no se certifiquen, estando obligado a ello por disposición reglamentaria, los sistemas fabricados, producidos o comercializados.

2. Constituye infracción tributaria la tenencia de los sistemas o programas informáticos o electrónicos que no se ajusten a lo establecido en el artículo 29.2.j) de esta Ley, cuando los mismos no estén debidamente certificados teniendo que estarlo por disposición reglamentaria o cuando se hayan alterado o modificado los dispositivos certificados.

La misma persona o entidad que haya sido sancionada conforme al apartado anterior no podrá ser sancionada por lo dispuesto en este apartado.

3. Las infracciones previstas en este artículo serán graves.

4. La infracción señalada en el apartado 1 anterior se sancionará con multa pecuniaria fija de 150.000 euros, por cada ejercicio económico en el que se hayan producido ventas y por cada tipo distinto de sistema o programa informático o electrónico que sea objeto de la infracción. No obstante, las infracciones de la letra f) del apartado 1 de este artículo se sancionarán con multa pecuniaria fija de 1.000 euros por cada sistema o programa comercializado en el que se produzca la falta del certificado.

La infracción señalada en el apartado 2 anterior, se sancionará con multa pecuniaria fija de 50.000 euros por cada ejercicio, cuando se trate de la infracción por la tenencia de sistemas o programas informáticos o electrónicos que no estén debidamente certificados, teniendo que estarlo por disposición reglamentaria, o se hayan alterado o modificado los dispositivos certificados.

Por la Disposición final séptima, estas modificaciones entran en vigor transcurridos tres meses desde la entrada en vigor de la Ley, lo que se produce el 11 de octubre de 2021.

Aunque a finales de septiembre de 2021 no se han publicado formalmente especificaciones técnicas, sí que existen especificaciones semejantes para la digitalización certificada, en particular los requisitos c) y d) del apartado 1 del artículo 7 de la «Orden EHA/962/2007, de 10 de abril, por la que se desarrollan determinadas disposiciones sobre facturación telemática y conservación electrónica de facturas, contenidas en el Real Decreto 1496/2003, de 28 de noviembre, por el que se aprueba el reglamento por el que se regulan las obligaciones de facturación.«

Las entidades que conocen y se ha adaptado a las especificaciones de TIcket BAI publicadas por las Diputaciones Forales del País Vasco para el denominado “Software Garante” están un paso más cerca de poder cumplir las nuevas especificaciones, aunque tienen aspectos diferentes.

La denominación de “Contabilidad Certificada” se está empezando a usar por semejanza con la “Digitalización Certificada” que ya cuenta con requerimientos más precisos y consolidados, ya que se publicaron en 2007.

En este contexto, EADTRUST lleva a cabo procesos de consultoría y auditoría para asegurar el cumplimiento de los objetivos de la norma en los softwares de contabilidad existentes, contando con su experiencia en auditorías de Digitalización Certificada.

Tras auditar el cumplimiento de las normas en lo que se refiere a la nueva obligación de Ley 11/2021, de 9 de julio respecto a los sistemas y programas informáticos o electrónicos que soporten los procesos contables, de facturación o de gestión, EADTRUST expide un certificado de cumplimiento.

Electronic signatures in EU Digital COVID Certificates, based on qualified certificates issued by #EIDAS Certification Authorities


To configure DGCG (Digital Green Certificate Gateway) in Digital COVID Certificate project, participating countries provide information regarding Public Key of the certificate of CSCA (Certificate Signing Certificate Authority). Spain uses a ECC #eIDAS Sub-CA as CSCA.

CSCA, as defined in the DGC project, requires the CSCA cert to include the country field for which the CSCA is valid. However, #EIDAS certificates are intended for cross-border interoperability, so the country field in the CA cert is irrelevant to countries in which it is valid.

DGC technical documents should be changed so CSCA of one country could be serviced from a CA in other country. So #EIDAS certification authorities could provide DSC certificates to health bodies in any country. The same principle should be extended to WHO technical documents.

Extended key Usage Identifiers could be present with some information in #EIDAS certificates, so the explanation that the DSC may contain an extended key usage extension with zero or more key usage policy identifiers that constrain the types of HCERTs such DSC certificate may sign, should consider other OIDs as “not present” if the eHealth application doesn´t understand them.

If one or more of the special DGC OIDs are present, the verifiers SHALL verify the extended key usage against the stored HCERT.

In absence of any key usage extension of the special DGC OIDs (i.e. no such special DGC OIDs extensions), the related DSC certificate can be used to sign any type of HCERT.

So, in #EIDAS DSC certificates to be used to electronically sign HCERT, the following OIDs can be used in Extended Key Usage extension fields:

  • OID 1.3.6.1.4.1.1847.2021.1.1 — valid for test
  • OID 1.3.6.1.4.1.1847.2021.1.2 — valid for vaccinations
  • OID 1.3.6.1.4.1.1847.2021.1.3 — valid for recovery

This OIDs can be present if the related EU Digital COVID Certificate is restricted to one of two kind of certificates. If all 3 are included (or none of them) the related EU Digital COVID Certificate is NOT restricted and can reflect any of the three options.

Public Key of Spain CSCA for European digital COVID certificate


In order to configure DGCG (Digital Green Certificate Gateway) participating countries need to deliver information regarding CSCA (Certificate Signing Certificate Authority), and specifically Public Key of the certificate of the CA used to sign the DSC (Document Signing Certificate) of every Body in charge of issuing DGC (Digital Green Certificates) . Remember that Health CSCA is different from CSCA used in Passports although both environments use similar terminology.

Trust List managed by Gateway

The ECC p-256 Public Key of Spain CSCA to be used for European Digital Green Certificates is

—–BEGIN PUBLIC KEY—–MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE1rjpdfCTyXE8RdrbW8rbLagURmGQerDBqh0WEaRCaJpqDuqKy0Zs1fXBhSPJQ4334X0TdMAWBIoLnLBC2up9Lg==
—–END PUBLIC KEY—–

Principles regarding validity

  • Rule 0: A certificate needs to be valid when it is used to sign/seal.
  • Rule 1: The DSC needs to be valid longer than anything it signs. So, the DSC expiry date must be >= than expiration date of the document it signs.
  • Rule 2: The CSCA needs to be valid longer than any DSC it signs.
  • Rule 3: If any certificate has a shorter ‘key usage period’ – then the signature has to be created in that period.

More info:

Para más información: +34 91716055

ARCE, Archivo de Constancias Electrónicas, un buen ejemplo


Desde hace casi 20 años estoy pendiente del concepto “ARCE, Archivo de Constancias Electrónicas“, acuñado probablemente en el Ministerio de Ciencia y Tecnología en la época de Anna Maria Birulés i Bertran, Josep Piqué Camps o Juan Costa Climent.

La primera mención al “ARCE” en el BOE es de la época en que la denominación del Ministerio era “Ministerio de Industria, Turismo y Comercio”. Se trata de la Orden ITC/1475/2006, de 11 de mayo, sobre utilización del procedimiento electrónico para la compulsa de documentos en el ámbito del Ministerio de Industria, Turismo y Comercio.

Para mi es una de las normas seminales que inauguran de verdad la digitalización de la administración, ya que trata con detalle de la digitalización de los documentos en papel con carácter de auténtico a partir del concepto de “compulsa” por funcionario público. Y el manejo en papel de los documentos de procedencia digital.

El precedente directo era el Artículo 8 (Almacenamiento de documentos) del Real Decreto 263/1996, de 16 de febrero, por el que se regula la utilización de técnicas electrónicas, informáticas y telemáticas por la Administración General del Estado.

En mis cursos y seminarios, especialmente cuando trato de los conceptos de Diplomática Digital, el ARCE lo menciono siempre.

Sin embargo, uno de los retos que encaran las administraciones públicas, especialmente significativo en el caso de la digitalización, es el de construir de cara a los ciudadanos experiencias de usuario consistentes. Y no me quiero quedar con una frase generalista. Me refiero a que cada vez que cambian los nombres de los ministerios con cada gobiero, o se reorganizan las secretarías de estado que pasan de unos ministerios a otros, cambian los dominios internet que hacen referencia a los ministerios con nuevas siglas.

Y un aspecto esencial de la administración como la posibilidad de cotejar un CSV (Código Seguro de Verificación) de un documento electrónico se distorsiona porque el punto de cotejo (la página a la que se accede para comprobar la autenticidad de un documento) puede haber cambiado de nombre y de URL en alguna de las reorganizaciones del gobierno, especialmente tras unas elecciones.

Por eso, desde hace varios años sugiero (lo señalo en mis cursos) que se definan URLs genéricas para el servicio de cotejo, que hagan uso de denominaciones genéricas no vinculadas al nombre del Ministerio ni de la Secretaría de Estado.

Por eso ahora quiero referirme a la URL https://serviciosmin.gob.es/arce/ que en cierto modo implementa esta idea. En el Ministerio de Energía, Turismo y Agenda Digital (vigente desde el 4 de noviembre de 2016 hasta el 7 de junio de 2018) se incluían estas Secretarías de Estado:

  • Secretaría de Estado de Energía.
  • Secretaría de Estado para la Sociedad de la Información y la Agenda Digital.
  • Secretaría de Estado de Turismo

Que quedaron repartidas en varios Ministerios en el gobierno vigente en la actualidad:

  • La Secretaría de Estado de Energía pasó al “Ministerio para la Transición Ecológica y el Reto Demográfico”
  • La Secretaría de Estado para la Sociedad de la Información y la Agenda Digital, pasó a dividirse en 2, la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y la Secretaría de Estado de Digitalización e Inteligencia Artificial, formando ambas parte del Ministerio de Asuntos Económicos y Transformación Digital.
  • La Secretaría de Estado de Turismo se quedó en el “mismo” ministerio, que pasó a llamarse “Ministerio de Industria, Comercio y Turismo”, y que acogió otras secretarías de estado procedentes de otros ministerios.

Por tanto, los servicios informáticos que estaban en un mismo ministerio atendendiendo a varias secretarías de estado, tuvieron que hacer encaje de bolillos para no interrumpir el servicio que ya correspondía a varios ministerios.

Además otros movimientos de secretarías de estado han generado retos similares.

Así que la denominación https://serviciosmin.gob.es/arce/ ya no hace referencia a un Ministerio en particular.

Mi sugerencia es que https://arce.gob.es bien podría ser el punto de cotejo de CSVs de todos los Ministerios, sea cual sea su denominación. Seguro que la adaptación informática no es muy compleja, especialmente si se empiezan a adoptar los Códigos de Verificación Enrutables.

Impulso a la ciberjusticia en España en el marco de los programas de cooperación de la CEPEJ


La CEPEJ (European Commission for the Efficiency of Justice) ha publicado un informe sobre el grado de avance de sus programas de cooperación.

Uno de ellos es el orientado al Impulso de la ciberjusticia en España mediante la gestión del cambio (fase II), financiado por la Unión Europea a través del Programa de Apoyo a la Reforma Estructural (Structural Reform Support Programme) y en cooperación con la DG de Apoyo a la Reforma Estructural (European Commission’s DG Structural Reform Support).

La duración prevista va de Junio de 2020 a Septiembre de 2021

El objetivo es ampliar la evaluación de las herramientas alternativas para el Programa de Justicia Digital incluendo las soluciones adoptadas por las Comunidades Autónomas con competencias en materia de administración de justicia y al objeto de facilitar más la la uniformidad y la coherencia de la ciberjusticia española.

Los beneficiarios y partes interesadas son: Ministerio de Justicia, Consejo General del Poder Judicial, Fiscalía General del Estado, Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE), y las Comunidades Autónomas con competencias en materia de administración de justicia.

Resultados esperados:

  • Se promoverá la adopción de las principales conclusiones y recomendaciones de los informes del CEPEJ 2019 sobre la desafíos en el proceso de aplicación de los instrumentos de ciberjusticia en el Reino de España y se facilitará su aplicación mediante el apoyo de expertos, grupos de trabajo temáticos, etc. Los avances de diferentes actores (Ministerio de Justicia y Comunidades Autónomas) en la aplicación de herramientas informáticas al servicio de la administración de justicia se evaluará mediante la realización de una auditoría nacional de soluciones alternativas de ciberjusticia;
  • Asesoramiento de expertos sobre la elaboración de una estrategia de gestión del cambio y técnicas y sobre su aplicación a través de amplias consultas e inclusión en el proceso de digitalización de la administración de justicia;
  • Facilitación del proceso de aplicación del expediente judicial electrónico y de la elaboración de directrices para una normativa procesal de carácter electrónico;
  • Sensibilización y creación de capacidad para los miembros de la la Secretaría del CTEAJE, el órgano de coordinación de los diferentes actores que participan en el desarrollo de la justicia digital.


Estado de la cuestión

El proyecto se lanzó oficialmente el 1 de junio de 2020, con una primera videoconferencia de coordinación celebrada el 25 de junio, en presencia de representantes del Ministerio de Justicia, junto con expertos y representantes de la Secretaría del CEPEJ, así como de la Unión Europea. Se debatieron las expectativas de las partes interesadas españolas y se previó un primer calendario de actividades.

Anteproyecto de ley de medidas de eficiencia procesal del servicio público de justicia


El pasado martes, 15 de diciembre de 2020 se aprobó en el Consejo de Ministros, el Anteproyecto de Ley de Medidas de Eficiencia Procesal del Servicio Público de Justicia, impulsado por el Ministerio de Justicia.

La futura Ley promueve una nueva arquitectura jurídica dentro de la Estrategia Justicia 2030, enmarcada y conectada con el Plan de Recuperación, Transformación y Resiliencia y el Plan de la Unión Europea Next Generation, con una mayor digitalización en los procedimientos judiciales y mejoras necesarias tras la experiencia acumulada en las condiciones de la pandemia de la Covid-19.

El Ministro de Justicia, D. Juan Carlos Campo, ha señalado que la futura Ley proporciona “un nuevo instrumento para avanzar en Sistema Público de Justicia, pensando en el ciudadano y poniéndolo en centro de toda la gestión”, que “quiere dar respuesta a desafíos tradicionales, y también a desafíos nuevos, como los que deja ver la pandemia que nos asola”.

La norma se estructura considerando tres ejes.

Medios adecuados de solución de controversias (MASC)

El primero de los tres ejes en los que está estructurado el Anteproyecto es el de la provisión de medios adecuados de solución de controversias (MASC), una medida que, más allá de la coyuntura de ralentización inicial y previsible incremento posterior de la litigiosidad, como consecuencia de la pandemia y la declaración del estado de alarma, se considera imprescindible para la consolidación de un servicio público de Justicia sostenible.

El objetivo de los MASC es recuperar la capacidad negociadora de las partes, con la introducción de mecanismos que rompan la dinámica de la confrontación y la crispación que invade en nuestros tiempos las relaciones sociales.

En ese sentido, el Sr. Campo ha señalado que las diferencias entre los ciudadanos no se “tienen que resolver necesariamente acudiendo a un tribunal de Justicia”, por ello, es necesario, ha añadido, “acometer mecanismos que nos permitan afrontar estas situaciones de conflicto sin llegar al punto final que son los tribunales”.

Para ello, es necesario introducir medidas eficaces que no se degraden ni transformen en meros requisitos burocráticos. Con este fin se ha de potenciar la mediación en todas sus formas e introducir otros mecanismos de acreditada experiencia en el derecho comparado.

El Anteproyecto regula la implantación de los MASC en los asuntos civiles y mercantiles, sin perjuicio de que en el futuro puedan extenderse a otros ámbitos. Para potenciar de manera decidida su utilización, se ha establecido que habrá de acompañarse a la demanda el documento que acredite haberse intentado la actividad negocial previa a la vía judicial como requisito de procedibilidad.

Los MASC que podrán utilizar las partes, se establecen en un catálogo amplio que favorece la libre elección de los mismos. En ese sentido se contempla: la actividad negocial, la conciliación privada, la oferta vinculante confidencial, la opinión del experto independiente, la mediación, así como cualesquiera otros procedimientos previstos en la legislación especial (particularmente en materia de consumo).

Una de las grandes novedades es que la validez que tendrá el acuerdo alcanzado a través del MASC es exactamente el mismo que si es resuelto por un juez. El acuerdo alcanzado tendrá el valor de cosa juzgada para las partes, no pudiendo presentar demanda con igual objeto. Para que tenga valor de título ejecutivo, el acuerdo habrá de ser elevado a escritura públicao bien homologado judicialmente cuando proceda.
Según el ministro, “estas medidas suponen que si se logra que uno de cada cuatro procedimientos civiles termina en un acuerdo entre las partes, el sistema judicial se descargará más de medio millón de procedimientos”.

Esto conlleva, ha señalado Campo, además, “una recanalización de recursos por valor de unos 380 millones de euros al año”, que, revertirían en una mejora sustancial del tratamiento de aquellos asuntos que sí lo necesitan.

Reforma de las leyes procesales

El segundo eje es el de la reforma de leyes procesales, una iniciativa que afecta a todos los órdenes jurisdiccionales. Con ella se garantizan los altos estándares de calidad, se optimizan los recursos existentes, se agilizan los procesos de forma eficiente y eficaz, y se refuerza la seguridad jurídica.

Entre otras medidas, se van a potenciar las sentencias orales en determinados procedimientos como medida de agilización que puede usar el juez, de manera voluntaria, en atención a las concretas circunstancias del proceso.

Del mismo modo, se amplía el ámbito del juicio verbal, más rápido y ágil que el juicio ordinario y sin pérdida de garantías y se modifica en lo necesario su regulación. Se eleva su cuantía y se introducen nuevos procedimientos que podrán tramitarse por sus reglas.

Por otro lado, se introduce el procedimiento testigo y la extensión de efectos para una gestión ágil y eficaz de la litigación en masa en materia de condiciones generales de la contratación, regulándose unos requisitos muy medidos que habrán de concurrir para la posible utilización de ambas técnicas.

Finalmente, se modifica de manera muy relevante el recurso de casación civil, dándole después de 20 años desde la entrada en vigor de la Ley de Enjuiciamiento Civil el tratamiento que reclama su naturaleza de recurso extraordinario.

Reformas procesales para la transformación digital

El tercer eje clave es el que se refiere la transformación digital.

Este avance evitará desplazamientos a las sedes judiciales, reduciendo los costes económicos, ambientales y territoriales. Y permitirá que toda la tramitación sea mucho más ágil.

En este eje de reformas, el ministro de Justicia ha destacado que, se introduce “la regulación de los sistemas de identificación y autenticación para adaptar nuestra legislación a la europea”. Y ha añadido que se “generaliza la celebración de vistas y declaraciones por videoconferencia”.

Del mismo modo, se impulsará un “Registro electrónico de apoderamientos apud acta”, que permitirá el otorgamiento telemático.

En resumen, todas estas medidas mejoran la Administración de Justicia, respondiendo a las recomendaciones de la Unión Europea, que las fija como un elemento en la valoración de la calidad para los sistemas de Justicia. Del mismo modo, sitúa el Servicio Público de Justicia de España dentro de los estándares de calidad y eficacia europeos e internacionales, constatándolo en el Marcador de Justicia Europeo (EU Justice Scoreboard) de 2022.

Actividades de estandarización de los servicios de confianza en ETSI en 2019


El Instituto Europeo de Normas de Telecomunciaciones (ETSI) es un organismo sin ánimo de lucro creado para elaborar normas técnicas de telecomunicación y de otros ámbitos que faciliten la interoperabilidad. En su seno se han desarrollado las normas relativas a los servicios de confianza y, en particular, los que facilitan la puesta en marcha de los servicios contemplados en el Reglamento UE 910/2014 (EIDAS).

Riccardo Genghini, representante de la entidad Studio Notarile Genghini, eWitness SA dirige el Comité Técnico de Firmas Electrónicas e Infraestructuras (TC ESI, Electronic Signatures and Infrastructures committee), con la misión  de elaborar normas, guías e informes genéricos relativos a las firmas electrónicas y a las infraestructuras de servicios de confianza conexos para proteger las transacciones electrónicas y garantizar la confianza entre sus intervinientes. Ha elaborado un resumen de actividades del TC ESI en 2019 que se ha publicado en la página web de ETSI.

Entre las actvidades, destaca la publicación de diversos documentos normativos y especificaciones técnicas.

El Comité ha actualizado la Especificación Técnica [TS 119 495] que define los Perfiles de Certificados Cualificados (Qualified Certificate Profiles ) y los Requisitos de Política de TSP para Servicios de Pago (TSP Policy Requirements for Payment Services ) bajo la Directiva de servicios de pago 2015/2366/EU (denominada PSD2).

Se han realizado revisiones a la Especificación Técnica [TS 119 102-2] sobre Procedimientos de Creación y Validación de Firmas Digitales AdES (Parte 2: Informe de Validación de Firmas), en inglés “Procedures for Creation and Validation of AdES Digital Signatures (Part 2: Signature Validation Report”.

El Comité ha publicado protocolos para la creación y validación de firmas digitales remotas en los documentos TS 119 432TS 119 442 respectivamente.

Se publicó otra especificación técnica [TS 119 511],en la que se definen los requisitos de política y seguridad para los proveedores de servicios de confianza que proporcionan servicios de preservación a largo plazo de firmas digitales o de preservación de datos generales mediante técnicas de firma digital.

Se publicaron los documentos  TS 119 403-2TS 119 403-3, en los que se definen los requisitos adicionales que deben cumplir los organismos de evaluación de la conformidad que evaluan a los prestadores de servicios de confianza cualificados de la UE y auditan a los prestadores de servicios de confianza que emiten certificados aceptables por los navegadores (con denominación acuñada “Publicly-Trusted Certificates”, certificados confiables públicamente ).

Los restantes entregables bajo el alcance del grupo de trabajo STF 523 se publicaron en febrero. Entre ellos figuraban dos documentos normativos para los prestadores de servicios de entrega electrónica registrada y los de correo electrónico registrado (Electronic Registered Delivery Providers and Registered Electronic Mail Providers – REM), especificaciones de prueba y un estudio de viabilidad sobre un perfil de interoperabilidad entre los sistemas REM definidos en ETSI y los sistemas basados en PReM (Postal Registered Electronic Mail) de la UPU (Unión Postal Universal) [EN 319 521EN 319 531TS 119 524 Part 2TS 119 534 Part 2TR 119 530]. Anteriormente este tipo de interoperabilidad se trató en la publicación TS 102 640-6-1 de 2011.

El grupo de trabajo STF 560 financiado por la CE/AELC  (EC/EFTA) trabajó en dos temas. Uno considera dos formatos procesables por máquina para las políticas de firma [TS 119 172 Part 2TS 119 172 Part 3] que se publicaron en diciembre de 2019. En el segundo, el STF hizo un estudio sobre la aceptación global de los Servicios de Confianza de la UE. Para dar cobertura a este estudio, el TC ESI organizó cuatro sesiones conjuntas (workshops , talleres) en Dubai (mayo), Tokio (mayo), México D.F. (junio) y Nueva York (septiembre). Los trabajos pretendían estudiar  los esquemas de Servicios de Confianza basados en Infraestructuras de Clave Pública (ICP, PKI)  que operan en diferentes regiones del mundo, y su posible reconocimiento mutuo e, incluso, un modelo de aceptación mundial. El estudio tiene por objeto determinar otras medidas que podrían adoptarse para facilitar el reconocimiento mutuo entre los servicios de confianza de la Unión Europea, sobre la base de las normas de la ETSI que respaldan la reglamentación del eIDAS y los servicios de confianza de otros esquemas o modelos de confianza.

En 2019 se mantuvo la interacción con varios órganos externos. En lo que respecta a los resultados de la entrega electrónica (e-delivery), el Comité trabajó con la Comisión Europea / CEF (Connecting Europe Facility), CEN TC 331 WG2 (que trabaja en los servicios postales) y la UPU (Unión Postal Universal).

El Comité TC ESI se coordinó con el Comité TC DSS-X de OASIS para garantizar la alineación y la complementariedad de las especificaciones para la creación y validación de firmas remotas, a partir de la nueva especificación OASIS DSS-X V2 que se publicó en julio de 2019.

Se realizaron progresos  en los protocolos para la creación de firmas remotas, en consonancia con los trabajos del Consorcio de Firma en Nube (Cloud Signature Consortium – CSC) para dar cobertura a las firmas electrónicas basadas en modelos de consulta/respuesta en servidores según la especificación  JSON.

En cooperación con la Autoridad Bancaria Europea (European Banking Authority) y Open Banking Europe, se ha ajustado la Especificación Técnica [TS 119 495] para que la infraestructura de confianza pueda satisfacer mejor las necesidades de los nuevos servicios de pago.

El Comité TC ESI  ha compartido información relevante para los proveedores de servicios de confianza con el Foro de Autoridades Europeas de Supervisión (Forum of European Supervisory Authorities).

El Comité TC ESI  ha Interactuado con el Comité TC 154 WG6 de ISO, que está definiendo perfiles de formatos de firmas a partir de los formatos ESI.

El Comité TC ESI mantiene activa la relación con la Cooperación Europea para la Acreditación (European cooperation for Accreditation), en particular para el mantenimiento de la norma de conformidad para la certificación de evaluadores EN 319 403.

Se suscribió un acuerdo de colaboración (MoU Memorandum of Understanding,  memorando de entendimiento) con la asociación ACAB’c, Accredited Conformity Assessment Bodies’ Council, es decir,  el Consejo de Organismos de Evaluación de la Conformidad Acreditados.

Se estableció un nuevo acuerdo de cooperación con el Cloud Signature Consortium.

En enero de 2019 el Vicepresidente del TC ESI habló – junto con el Presidente y el Vicepresidente del TC CYBER – en un segundo taller en Bruselas sobre la Ley de Ciberseguridad y su vínculo con la normalización, organizado conjuntamente por ENISA, CEN, CENELEC y ETSI.

Durante octubre y noviembre, el TC ESI llevó a cabo un evento remoto de PlugtestsTM  de validación de firmas digitales (Digital Signature Validation PlugtestsTM ).

 

 

 

Conservación Sustitutiva con la norma UNI 11386 – Ideas para la Digitalización Certificada


La preservación digital de documentos analógicos presenta retos que se acometen de forma diferente en diferentes países.

En Italia, esta cuestión ha sido objeto de desarrollos legislativos que han impuesto la adopción de modelos conceptuales y pautas de gestión a lo largo de los años, bajo la denominación de “Conservación Sustitutiva“, concepto similar al de “Digitalización Certificada” adoptado en España.

Uno de los hitos relevantes ha sido la publicación de la norma UNI 11386:2010 Supporto all’Interoperabilità nella Conservazione e nel Recupero degli Oggetti digitali (SInCRO) que podría traducirse “Soporte a la Interoperabilidad en la Conservación y Recuperación de Objetos Digitales (SIncRO)”.

Este estándar es esencialmente un esquema XML diseñado para permitir a los operadores del sector de la preservación digital el uso de una estructura de datos compartida y así lograr un grado razonable de interoperabilidad, y la garantía de un nivel mínimo de calidad en los procesos de retención de documentos.

Acoge algunas disposiciones contenidas en la Resolución CNIPA de 19 de febrero de 2004, n. 11, identificando los elementos de información necesarios para la creación del índice de retención (el llamado “archivo de cierre“) y describiendo tanto la semántica como la articulación por medio del lenguaje XML formal.

La Autoridad Nacional de Unificación Italiana (UNI) estableció en 2009, en el subcomité DIAM/SC11 Gestión de Documentos de Archivo), un grupo de trabajo dedicado, denominado SInCRO (Soporte a la Interoperabilidad en la Conservación y Recuperación de Objetos Digitales ), compuesto por representantes de DigitPA y la Administración Archivistica, así como de investigadores universitarios, empresarios y funcionarios de la Administración Pública, con el objetivo de especificar e integrar la deliberación de CNIPA el 19 de febrero de 2004, n. 11 con las “Reglas técnicas para la reproducción y retención de documentos en soporte óptico” (“Regole tecniche per la riproduzione e conservazione di documenti su supporto ottico”.).

DigitPA fue la denominación de la Agencia Italiana para el impulso de la digitalización a partir de 2009. Con anterioridad su denominación fue Centro nazionale per l’informatica nella pubblica amministrazione, abreviado CNIPA, desde su creación en 2003. A partir del 2012 su denominación pasó a ser Agenzia per l’Italia digitale (AGID).

En palabras de John Michetti Presidente de UNI DIAM SC11 – Gestión de documentos de archivo, tras la publicación de la norma:

“Las normas técnicas para la conservazione sostitutiva  describen con precisión los aspectos procedimentales e indican las responsabilidades de los actores en este proceso, pero no proporcionan detalles técnicos sobre cómo se representan los datos relativos a los objetos de conservación, y no contienen ninguna disposición específica destinada a lograr o promover formas de interoperabilidad. Las normas ofrecen un amplio margen de libertad en su implementación, con la consiguiente proliferación de soluciones y formatos muy alejados de cualquier perspectiva de interoperabilidad, también debido a la ausencia de normas específicas.

Teniendo en cuenta todo ello, el objetivo prioritario del grupo de trabajo UNI SInCRO era definir la estructura del conjunto de datos para apoyar el proceso de  conservazione sostitutiva, identificando los elementos de información necesarios para la creación de un índice de conservación (el llamado “archivo de cierre“) y describiendo tanto su semántica como su articulación, de manera que los operadores del sector puedan utilizar una estructura de datos compartida y lograr un grado satisfactorio de interoperabilidad en los procesos de migración, gracias a la adopción del esquema XML especialmente desarrollado y disponible en el estándar.”

El mecanismo de llevanza en la Digitalización Certificada de facturas se basa en los datos que se recogen en los libros de facturas recibidas, en relación con el IVA, considerando períodos de cierre mensuales o trimestrales según la periodicidad de tributación del IVA adoptada por las empresas.

INDOTEL aprueba el nuevo marco regulatorio para servicios de certificación digital y confianza en República Dominicana, alineado con el #eIdAS


Mediante la Resolución No. 071-19 del Consejo Directivo INDOTEL aprobó la Norma Complementaria por la que se establece la equivalencia regulatoria del sistema dominicano de Infraestructura de Claves Públicas y de Confianza con los marcos regulatorios internacionales de servicios de confianza, así como la Norma Complementaria sobre Procedimientos de Autorización y Acreditación.

Indotel-ogoEsta actualización del marco normativo de la Ley 126-02 sobre Comercio Electrónico Documentos y Firmas Digitales se ha desarrollado para modernizar el mercado de servicios electrónicos de confianza de la República Dominicana y para adaptarlo al surgimiento de nuevas tecnologías, de forma tal que sean instrumentos realmente eficientes para la aplicación de los distintos agentes involucrados en la prestación de estos servicios electrónicos.

Por decisión del regulador, la citada normativa está específicamente alineada con las mejores prácticas internacionales en la materia, tomando como referencia el modelo europeo para la prestación de servicios electrónicos de confianza, definido en el Reglamento (UE) N.º910/2014 del Parlamento Europeo y del Consejo, de fecha 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza en las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (habitualmente denominado eIDAS) y en los estándares técnicos establecidos en los organismos de normalización como el Instituto Europeo de Normas de Telecomunicación (ETSI) y el Comité Europeo de Normalización (CEN).

Junto con el interés por aprovechar el desarrollo de estándares de la Unión Europea, el nuevo modelo regulatorio enfatiza también su compatibilidad  con otros estándares regionales impulsados por organizaciones como el Foro de Autoridades de Certificación y Programas de Exploración de Internet (CA/B Forum en inglés), que coordina la evolución de los certificados para sitio web de confianza pública, según los tipos acuñados de validación de dominio, validación de organización y validación extendida.

Se espera que la adopción de este nuevo modelo regulatorio,  favorezca  la interoperabilidad internacional, para lo que crea una implementación normativa de referencia que podría estudiarse por otros países, latinoamericanos o no, para facilitar la aplicación del artículo 14 del Reglamento EIDAS y por tanto el establecimiento de listas TSL no solo europeas sino globales.

En resumen, la norma publicada permite a la República Dominicana:

  • Ampliar el espectro de servicios de certificación digital que hasta a fecha contemplaba la normativa vigente, para incluir los que se detallan en el Reglamento europeo eIDAS, por ejemplo, servicios de confianza cualificados de: creación de firmas y sellos electrónicos a partir de certificados cualificados y dispositivos de creación de firmas cualificados, o servicios electrónicos de entrega cualificados;
  • La ubicación e instrumentación de listas de confianza TSL de prestadores nacionales que, una vez serán cursado el procedimiento previsto en el artículo 14 del Reglamento europeo eIDAS podrán ser incluidos en la lista de confianza europea, con un mecanismo de reciprocidad;
  • El reconocimiento mutuo de prestadores cualificados de confianza europeos y prestadores de servicios de confianza dominicanos, consecuencia del procedimiento del artículo 14 citado.;
  • Ampliar los servicios de confianza a otros como: servicio cualificados de validación y conservación de firmas cualificadas; servicios cualificados de sellos electrónicos,  y los servicios de certificados para la autenticación de sitios web, etc.; y
  • Aumentar la competitividad de las entidades dominicanas de confianza digital favoreciendo su posicionamiento en mercados como los europeos y abriendo los servicios de confianza a un mercado mayor.

Algunos de los aspectos contemplados en la norma son:

  • La posibilidad de desarrollar sistemas de identificación remota, por ejemplo los basados en videoconferencia o videograbación.
  • La posibilidad de prestar servicios de firma y sello electrónicos a distancia, bajo control del firmante o del titular del sello electrónico
  • La posibilidad de que la evaluación de conformidad la pueda realizar un organismo de evaluación de conformidad acreditado por el ODAC (Organismo Dominicano de Acreditación) admitiendo entidades acreditadas por otros organismos de acreditación como los europeos, sin perjuicio de la capacidad inspectora y de auditoría del propio INDOTEL.

En consecuencia, la aprobación de la Resolución No. 071-19 se suma a los desarrollos normativos previos del INDOTEL que siempre han buscado el desarrollo e impulso del comercio electrónico a nivel de la República Dominicana, y que además auspicia un régimen de reconocimiento mutuo entre estados y una mayor interoperabilidad entre prestadores de servicios de confianza a nivel internacional, colaborando en la  armonización de las normas jurídicas y técnicas de los servicios de confianza.

Desde Europa se ve este desarrollo normativo como un gran paso para la interoperabilidad global, y como ejemplo para otros países.

Referencia:

Artículo de D. Cesar Moliné publicado en LinkedIn.

 

Digital por diseño


Va llegando el momento de abandonar el término “transformación digital” que transmite la idea de que hay que cambiar los procesos de las organizaciones, conforme avanza la digitalización de la sociedad y la adopción masiva de las tecnologías de la información.

Con el estado actual de la tecnología y de la legislación, no tiene sentido diseñar procesos de información, contratación o mero trámite que no estén diseñados desde el principio pensando en el valor probatorio de los registros digitales administrados con ayuda de la criptografía.

En todo caso, cualquier concesión a procedimientos o actuaciones arcaicos debe ser en atención a la experiencia de usuario.

Uno de los aspectos claves del nuevo paradigma es la gestión de la identidad digital de las personas con las que se relacionan las entidades que debería tener en cuenta la posibilidad de acceso de personas de diversa procedencia y medios de identificación.

Las “piezas de lego” que facilitan la gestión digital por diseño de los procedimientos preservando la seguridad jurídica son componentes como las firmas electrónicas de persona, los sellos electrónicos de empresa, los sistemas de conservación digital de documentos electrónicos (incluso con códigos seguros de verificación) y evidencias electrónicas, los sellos de tiempo electrónicos, los sistemas de gestión de información de representación (de otras personas o de empresas) los sistemas que permiten comprobar la validez de las firmas y de los sellos, los que permiten gestionar mecanismos de identificación y de firmas y sellos “en la nube”, los que permiten realizar la digitalización certificada de documentos, los que permiten la identificación remota co y los que permiten acreditar las notificaciones electrónicas.

En la actualidad. el Reglamento (UE) Nº 910/2014, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (eIDAS), ofrece una buena base para construir sistemas digitales con valor legal admisibles en todos los países miembros, sea cual sea el país de origen, de entre los europeos.

Un aspecto clave en la digitalización por diseño es que la experiencia de usuario debe ser una de las principales prioridades en el diseño de los procesos, para evitar repetir errores de usabilidad  que en el pasado no contribuyeron a poner en valor tecnologías como el DNI electrónico, que se expide desde 2006.

El despliegue de sistemas digitales de gestión debería preservar principios esenciales como el “soporte duradero” o la “simetría probatoria” (igualdad de armas) para que los usuarios de las plataformas cuenten con la misma posición respecto a la prueba digital que los promotores de las plataformas.

El conocimiento técnico y legal de estos principios de despliegue digital ayudará a las entidades a diseñar sistemas digitales eficientes, sencillos y con valor probatorio por lo que es útil contar con especialistas a los que consultar.

Los sistemas de gestión de identidad disponibles ya contemplan la interoperabilidad entre países con “nodos eIDAS” como el español que se instancia a través del sistema “Cl@ve“.