Archivo de la categoría: Formato PDF

Digitalización Certificada, ¿qué es y para qué sirve?


Software homologado

Digitalización Certificada, Factura Electrónica, Firma Electrónica, Certificado Electrónico. Todos estos conceptos están relacionados.

En el desarrollo de la normativa de facturación electrónica, la ORDEN EHA/962/2007, de 10 de abril, por la que se desarrollan determinadas disposiciones sobre facturación telemática y conservación electrónica de facturas ha definido el concepto de Digitalización Certificada. Este blog ha sido pionero al tratar sobre la Digitalización Certificada desde 2006.

El procedimiento de homologación se ha recogido en la resolución de 24 de octubre de 2007, de la Agencia Estatal de Administración Tributaria, sobre procedimiento para la homologación de software de digitalización contemplado en la Orden EHA/962/2007, de 10 de abril de 2007.

En sentido estricto la digitalización certificada se definió para los procedimientos del ámbito tributario por lo quedaría fuera de la cobertura de la Ley 39/2015, según determina la Disposición adicional primera relativa a la Especialidades por razón de materia. Sin embargo la implantación del concepto y el gran número de aplicaciones disponibles, lo convierten en estándar de facto, tambien para el sector público.

La digitalización certificada es el proceso de conversión de documentos en papel a documentos electrónicos que contienen su reproducción facsimilar y que están firmados electrónicamente. Los sistemas que gestionan la digitalización deben cumplir ciertos criterios de integridad e inalterabilidad en la base de datos con la que se realiza la llevanza de la digitalización y se requiere que sean auditados. Los documentos digitalizados con este tipo de sistemas tienen el carácter de original, por lo que se puede prescindir de los documentos en papel de los que proceden, por lo que es muy relevante el valor legal de estos procesos y de los documentos a los que dan lugar

La digitalización certificada de facturas ha propiciado el nacimiento del concepto que ahora se usa también en relación con las administraciones públicas y la digitalización de la Justicia.

Para la digitalización certificada de facturas se puede recurrir a las diferentes variantes de software homologado por la Agencia Tributaria que la AEAT publica también en su sitio web. Las diputaciones forales también han publicado normativa equivalente y cuentan con procedimintos de homologación semejantes a los de la Agencia Tributaria y con sus propias listas de software homologado.

Firma Electrónica

La firma electrónica se regula en el Reglamento UE 910 / 2014 que se denomina abreviadamente “EIDAS”.

La firma electrónica avanzada está vinculada al firmante de manera única; permite la identificación del firmante; se crea utilizando datos de creación de la firma electrónica que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo, y está vinculada con los datos firmados por la misma de modo tal que cualquier modificación ulterior de los mismos sea detectable.

De forma resumida, la firma avanzada vincula al firmante con lo firmado.

Lo firmado muchas veces de condensa en el valor “Hash” del documento, lo que también es una forma de garantizar la integridad del documento firmado tras la realización de la firma avanzada. Y el firmante se puede asociar de varias formas, con biometría en caso de firmas no basadas en certificados, o con la operación matemática del hash con la clave privada del firmante si se aplica una firma basada en certificado.

La firma basada en certificados usa criptografía de clave pública, también llamada criptografía asimétrica.

En la criptografía asimétrica intervienen 2 claves vinculadas matemáticamente entre sí:

1.    Clave Privada
2.    Clave Pública

Lo que se cifre con la clave privada, sólo puede descifrarse con la clave pública, y viceversa.

Las funciones hash son unidireccionales y generan una ristra corta de caracteres a partir de un documento o de una ristra larga de caracteres.

Un posible simil sería un valor suma: si cada caracter de una ristra lo transformamos en un número (por ejemplo, su valor ASCII) y sumamos los valores de todos los caracteres de la ristra, el valor resultante depende del contenido de la ristra. SI cambia un carácter, la suma cambia. Los algoritmos utilizados en criptográfia son más elaborados para que no se puedan realizar modificaciones a las ristras que den como resultado el mismo valor de hash, lo que permitirá cambiar los contenidos. Por eso, el valor suma, aunque sirve para explicar el hash, no es en sí un buen método de hash.

Dado un documento y su “hash”, es posible comprobar si el hash corresponde verdaderamente a ese documento. No obstante, a partir del hash no es posible deducir el documento del que procede. Podría haber infinitos. Cuando dos documentos diferentes producen el mismo valor de hash al realizar su cálculo con un determinado algoritmo, se dice que se ha producido una “colisión”.

¿Cómo funciona la firma electrónica?

Al documento que se va a firmar se le aplica la función hash con un algoritmo concreto (por ejemplo, SHA-256) y el resultado obtenido se opera matemáticamente con una función de firma asimétrica (por ejemplo, RSA o ECC) con la clave privada del firmante (normalmente la clave privada reside en una tarjeta chipo o un token criptográfico, y no sale de el, por lo que el hash se envía al chip y es el chip el que realiza la operación criptográfica). La firma se compone del resultado de esa operación en el chip (lo que en ocasiones se llama valor PKCS#1), y el certificado del firmante que contiene sus datos y la clave pública relacionada criptograficamente con la privada.

Si se hace llegar el documento y la firma al destinatario (a veces, el formato de documento utilizado permite embeber la firma en su interior, como es el caso de los ficheros PDF)¡. Este puede realizar el proceso equivalente en sentido contrario para comprobar la firma.

Extrae la clave pública del certificado, con lo que puede aplicar la función criptográfica al valor PKCS#1 del que se extrae el valor Hash. Calcula el valor Hash del documento y lo compara con el valor obtenido de descifrar la firma PKCS#1. Ambos deben ser iguales. Si no son iguales hay un problema en algún lado. Por ejemplo, el documento ha cambiado en la transmisión o se ha manipulado.

Por eso un importante efecto de la firma electrónica es que garantiza la integridad e inalterabilidad de los documentos firmados electrónicamente.

El certificado utilizado para firmar lo expide una “autoridad de certificación” o una “entidad prestadora de servicios de confianza”. La expedición de certificados electrónicos es uno de los posibles servicios de confianza” y, por ello, una “autoridad de certificación” es una “entidad prestadora de servicios de confianza.

Estas entidades comprueban la identidad de los solicitantes de certificados y tras ello les expiden un certificado electrónico asociando la clave pública del certificado con una clave privada que debe custodiar de forma secreta el titular del certificado con la máxima seguridad.

El Certificado Electrónico

Los certificados electrónicos de persona física o jurídica son unos documentos electrónicos que contienen información del emisor, el periodo de validez del certificado, la identidad del firmante,…

Lo importante es que este certificado vincula la clave pública con la identidad de una persona concreta y que está firmado por la entidad de certificación, que ha comprobado los documentos de identidad del solicitante y su correspondencia con los rasgos del solicitante. Al expedir el certificado se establece también su vinculación con la clave privada bajo control exclusivo del firmante.

Aunque pueden emitir certificados autoridades de certificación no cualifiadas, en Europa se prefieren las entidades de certificación cualificadas, que emiten certificados cualificados.

En España existe un importante número de entidades emisoras de certificados cualificados, de entre los que cabe citar a Camerfirma, EADTrust, FNMT (CERES), Ivnosys o Vintegris.

En determinadas modalidades de firma (como la AdES – T o las firmas longevas) es conveniente incluir información sobre el momento en que se creó la firma, lo que realiza añadiendo un sello de tiempo. Los sellos de tiempo los expiden las Autoridades de Sellado de Tiempo (TSA – Time Stamp Authority).

El sello de tiempo demuestra que cierta combinación de datos existió antes de un momento dado y que ninguno de estos datos ha sido modificado desde entonces.

Resumiendo, para la digitalización certificada de documentos, se necesita un certificado electrónico con el que realizar la firma electrónica sobre cada uno de los documentos escaneados.

Este requisito y la garantía de integridad de la base de datos en la que se gestiona la llevanza del proceso de digitalización de facturas son los más relevantes para superar la auditoría que permite solicitar la homologación del software a la AEAT.

Digitalización Certificada en el ámbito de la Justicia.

En el marco de la normativa Lexnet se ha definido por el CTEAJE (Comité Tecnico Estatal de la Administración Judicial Electrónica) la GIS de Digitalización Certificada.

Esta norma permite digitalizar cualquier documento para su presentación en procesos judiciales por lo que tiene un valor especial:

  • Sirve en el sector privado para digitalizar cualquier documento, no solo facturas
  • Permite tener documentos digitalizados por si en un momento dado hacen falta para un jucio. Esta solía ser la principal razón para custodiar documentos en papel: por si hacían falta en un juicio.

Los requisitos de digitalización certificada en el ámbito de la justicia son muy parecidos a los exigidos en el ámbito tributario:

  • Firma electrónica de los documentos escaneados
  • Protección de la integridad e inalterabilidad de la base de datos de llevanza de la digitalización

¿Cómo pongo en marcha un proceso de digitalización certificada?

Para llevar a cabo la digitalización certificada de facturases en una empresa es necesario contar con un software homologado por la AEAT o por cualquera de las haciendas forales de Alava, Guipuzcoa, Navarra o Vizcaya.

Para que el software pueda realizar una firma electrónica en cada factura escaneada, hace falta equiparlo con un certificado cualificado. La tendencia actual es equipar el software con certificado cualificado de persona jurídica, en cuyo caso las firmas electrónicas resultantes se denominan “sellos electrónicos cualificados” si se gestionan en un equipo denominado “Dispositivo Cualificado de Creación de Sello” (equipos que también se denomina HSM “Hardware Security Module”).

Cabe la posibilidad de realizar procesos de “digitalización certificada” o “digitalización garantizada” en el contexto de la administración pública, para lo que seaplican varias de las Normas Técnicas de Interoperabilidad. En particular la de copia auténica, la de digitalización, la de política de firma y la de documento electrónico.

El portal ValidaE facilita algunas herramientas para validar firmas y certificados electrónicos. También la herramienta DSS de EADTrust proporciona mucha información sobre los certificados y las firmas de los documentos electrónicos, sean o no resultado de la una digitalización certificada.

Tal vez alguien se hizo esta pregunta: ¿es necesario partir del documento de la factura impreso para poder escanearlo en un proceso de digitalización certificada o se puede firmar electrónicamente una factura recibida en formato pdf?

La respuesta la da la ORDEN EHA/962/2007, de 10 de abril, por la que se desarrollan determinadas disposiciones sobre facturación telemática y conservación electrónica de facturas en los diferentes artículos de los que consta.

La digitalización certificada solo se puede hacer desde documentos en soporte papel.

No obstante, considerando que el emisor y el receptor pueden llegar al acuerdo de que el emisor de la factura actua enviando “prefacturas” en formato PDF al receptor y que este las convierte en autofacturas electrónicas añadiendo la firma electrónica, se cumple el requisito fundamental de la factura electrónica, que es su firma electrónica. La normativa permite que las facturas las gestione el destinatario (autofactura) o un tercero en nombre del emisor de la factura, que suele ser el que añade las firmas electrónicas o los sellos electrónicos.

Qué hacer si se pierde o alguien sustrae el dispositivo donde reside el certificado electrónico

En caso de pérdida o robo del dispositivo en el que se aloja la clave privada asociada al certificado electrónico, hay que solicitar la revocación del certificado personándose ante una Autoridad de Registo de la Autoridad de Certificación que expidió el certificado. Algunas autoridades de certificación ofrecen la posibilidad de realizar la revocación a distancia, empleando códigos que se entregaron en el momento de la expedición del certificado.

Por ejemplo, EADTrust dispone de una página específica y un formulario para solicitar la revocación del certificado.

Externalización de procesos de digitalización certificada

Cuando un proceso no está centrado en el núcleo de negocio de una empresa pero puede suponer una carga administrativa importante por su volumen, muchas entidades recurren a la externalización de procesos de negocio (BPO).

Un servicio de Digitalización Certificada realizado por terceros o un servicio de Sello electrónico remoto gestionado por un prestador de servicios de confianza digital cualificado pueden ayudar en estos casos.

El artículo 7 de la Orden EHA/962/2007 indica:

“Este proceso de digitalización deberá cumplir los siguientes requisitos:

a) Que el proceso de digitalización sea realizado por el propio obligado tributario o bien por un tercero prestador de servicios de digitalización, en nombre y por cuenta de aquel, utilizando en ambos casos un software de digitalización certificado (…)
b) Que el proceso de digitalización utilizado garantice la obtención de una imagen fiel e íntegra de cada documento digitalizado y que esta imagen digital sea firmada con firma electrónica en los términos de los artículos anteriores de esta Orden en base a un certificado electrónico instalado en el sistema de digitalización e invocado por el software de digitalización certificada. Este certificado debe corresponder al obligado tributario cuando la digitalización certificada se realice por el mismo o al prestador de servicios de digitalización en otro caso.

Ventajas de la Digitalización Certificada

Estas son algunas de las ventajas de la Digitalización Certificada:

  • Ahorro de tiempos en la búsqueda de documentos, puesto que, al tratarse de documentos en formato electrónico, se pueden generar búsquedas por palabras clave.
  • Aumenta la eficiencia y productividad de los empleados al ganar tiempo en el achivo y en las búsquedas, reduciendo los errores.
  • Frecuentennete la digitalización permite incorpoporar la información de las facturas en el sistema de contabilidad o ERP.
  • Al tener los documentos digitales gestionados por un software informático y custodiados en un repositorio seguro, se agilizan las tomas de decisiones al tener la certeza que se cuenta con toda la información.
  • Se ahorra espacio de almacenamiento al no tener que custodiar los dcumentos en papel y se ahorran otros costes relacionados con el material de archivo
  • Facilita la adopción de procedimientos repetuosos con el medio ambiente e, indirectamente, ayuda a superar una posible auditoría de tipo ISO 14.001

Llámenos

Puede contactar con EADTrust a través de los teléfonos 917160555 y 902 365 612 si necesita ayuda pata homologar una solucuón de digitalización certificada o necesita certificados electrónicos.

Adobe incorpora a su AATL la lista de confianza de la Unión Europea EUTL


En el contexto de las firmas electrónicas, la lista de confianza de la Unión Europea (European Union Trusted List, EUTL) es una lista de enlaces que enganchan con las listas de confianza de cada uno de los países miembro, lo que, en conjunto, significa que se construye una lista pública de más de 200 proveedores de servicios electrónicos de confianza (Trust Services Provider, TSP) que están específicamente evaluados y certificados para merecer los niveles más altos de confianza en base a la normativa europea de firma electrónica y servicios de confianza denominada eIDAS (Reglamento UE 910/2014).

Estos proveedores ofrecen identificaciones digitales basadas en certificados para las firmas electrónicas de las personas físicas, los sellos electrónicos para personas jurídicas y para servicios de sellado de tiempo que se pueden usar para crear firmas electrónicas cualificadas (Qualified Electronic Signature, QES) basadas en tecnología de firma digital.

En eIDAS, y por tanto en todos los países de la Unión Europea, las firmas cualificadas son legal y automáticamente equivalentes a las firmas manuscritas y se reconocen automáticamente como válidas en las transacciones transfronterizas.

En cada estado miembro de la UE existe un organismo supervisor (Supervisory Body, SB) que supervisa a los proveedores en su propio país, y puede haber un organismo de acreditación (Accreditation Body, AC) que certifica a los organismos de evaluación (Conformity Assessment Body, CAB). Los CAB evalúan a los prestadores de servicios electrónicos de confianza  pero una vez que se ha aprobado un TSP en un país, sus servicios pueden venderse en otros países de la UE con el mismo nivel de reconocimiento.

Adobe es el primer proveedor mundial que ofrece soporte integral para la lista EUTL. Cuando un firmante obtenga su certificado cualificado de uno de los prestadores que se indican a continuación sus firmas electrónicas en ficheros PDF serán marcadas como correctas en Adobe Acrobat Reader DC, Adobe Acrobat DC o Adobe Sign. La aplicación gratuita Adobe Acrobat Reader DC permite realizar firmas electrónicas con cualquier certificado, sin necesidad de recurrir a otras herramientas.

AT – Austria

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
A-Trust Gesellschaft für Sicherheitssysteme imelektronischen Datenverkehr GmbH    
e-commerce monitoring GmbH   
PrimeSign GmbH    
Bundesamt für Eich- und Vermessungswesen*    
Datakom Austria GmbH*    

BE – Belgium

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Society for Worldwide Interbank Financial Telecommunication SCRL    
Portima s.c.r.l. c.v.b.a.    
Certipost n.v./s.a.    
QuoVadis Trustlink BVBA   
Zetes S.A./N.V.    

BG – Bulgaria

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
BORICA – AD   
InfoNotary PLC  
Information Services Plc.  
Evrotrust Technologies JSC 
Bankservice PLC*    
System for electronic payments Bulgaria/ SEP Bulgaria JSC*   
Spektar JSC*   

CZ – Czech Repubic

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
First certification authority, a.s.  
The Czech Post, s.p.  
eIdentity a.s.  

DE – Germany

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Deutsche Rentenversicherung Bund   
Deutsche Rentenversicherung Westfalen    
Bundesagentur fuerArbeit   
Bundesnotarkammer   
Deutsche Rentenversicherung Rheinland    
D-Trust GmbH 
DGN Deutsches Gesundheitsnetz Service GmbH   
Deutsche Telekom AG    
Deutscher Sparkassen Verlag GmbH    
medisign GmbH    
exceet Secure Solutions GmbH    
DATEV eG*    
Deutsche Post Signtrust und DMDA GmbH*   
TC TrustCenter GmbH*   
exceet Secure Solutions AG*    
Deutsche Post Com GmbH*    

EE – Estonia

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
SK ID Solutions AS  
GuardTime AS*    

EL – Greece

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
HELLENIC PUBLIC ADMINISTRATION CERTIFICATION AUTHORITY    
ADACOM ADVANCED INTERNET APPLICATIONS S.A.   
ATHENS STOCK EXCHANGE S.A.   
BYTE Computer S.A.  
GREEK ACADEMIC NETWORK  

ES – Spain

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
COLORIURIS, S.L    
Banco Santander, S.A.    
Dirección General de la Policía    
Agencia Notarial de Certificación S.L. Unipersonal    
Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda (FNMT-RCM)  
Consorci Administració Oberta de Catalunya – CAOC    
ANF AUTORIDAD DE CERTIFICACIÓN ASOCIACIÓN ANF AC    
Consejo General de la Abogacía Española   
Instituto Valenciano de Finanzas   
AC Camerfirma, S.A   
Colegion Oficial de Registradores de la Propiedad y Mercantiles de España    
EDICOM CAPITAL, S.L.  
Ziurtapen eta Zerbitzu Enpresa-Empresa de Certificación y Servicios, Izenpe, S.A.  
Firmaprofesional, S.A.  
Tesorería General de la Seguridad Social    
Ministerio de Empleo y Seguridad Social    
Consejo General de Colegios Oficiales de Médicos de España (CGCOM)    
SIGNE S.A.   
SISTEMAS INFORMATICOS ABIERTOS SOCIEDAD ANONIMA   
UANATACA, S.A   
VINTEGRIS S.L.   
AULOCE,S.A.U    
Autoridad de Gestión de la PKI del Ministerio de Defensa (AGPMD) y Director del CESTIC. Centro de Sistemas y Tecnologías de la Información y las Comunicaciones (CESTIC)*    
Banco Español de Crédito, S.A*    
HEALTHSIGN, S.L.*    
BANCO DE ESPAÑA*    
Colegio de Ingenieros de Caminos, Canales y Puertos*    
Servicio de Salud de Castilla-La Mancha (SESCAM)*    

FI – Finland

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Population Register Centre    

FR – France

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Click and Trust    
Caisse des dépôts    
Yousign    
Agence Nationale des Titres Sécurisés    
CertEurope   
Certinomis SA  
ChamberSign France    
Cryptolog International (Universign) 
Dhimyotis   
Ministère de la Justice    
DocuSign France   
Ordre National des Experts-Comptables   
Imprimerie Nationale    
Conseil Supérieur du Notariat   
Le groupe La Poste    
Almerys*    

HR – Croatia

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Financijska agencija  
Agencija za komercijalnu djelatnost d.o.o.    
Zagrebačka banka dioničko društvo    

HU – Hungary

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Magyar Telekom Public Limited Company    
Microsec Micro Software Engineering & Consulting Private Company Limited by Shares 
NETLOCK Informatics and Network Privacy services Limited Company 
Digitoll Information Technology and Servicing Ltd.    
NISZ National Infocommunications Services Company Limited by Shares  

IE – Ireland

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Post.Trust Ltd    
Adobe Systems Software Ireland Ltd.   

IS – Iceland

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsCloud Signature Consortium TSP
Audkenni ehf.   

IT – Italy

Trust Service ProviderQualified Certificates for eSignaturesQualified Certficates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Intesi Group S.p.A. 
ICBPI S.p.A.    
Banca d’Italia    
InfoCert S.p.A.
Actalis S.p.A. 
Aruba Posta Elettronica Certificata S.p.A. 
CEDACRI S.p.A.   
Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili    
Ministero della Difesa  
Consiglio Nazionale del Notariato  
I.T. Telecom S.p.A.   
In.Te.S.A. S.p.A.  
Intesa Sanpaolo Bank S.p.A.    
Postecom S.p.A. 
Banca Intesa S.p.A.    
Sanpaolo IMI S.p.A.    
Cedacrinord S.p.A.    
IT Telecom S.r.l.   
Namirial S.p.A. 
Lombardia Informatica S.p.A.   
NEXI S.p.A.    
Telecom Italia Trust Technologies S.r.l.  
Zucchetti S.p.A.  
SECETI S.p.A.    
SIA S.p.A.   
SSB S.p.A.   
Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili    
Lombardia Integrata S.p.A. Servizi Infotelematici per il Territorio   
Trustitalia S.p.A.   
Certicomm    
Infocamere SC.p.A.   
Saritel S.p.A.   
Poste Italiane S.p.A  
Lottomatica   
BNL Multiservizi S.p.A.*   
Centro Tecnico per la Rete Unitaria Pubblica Amministrazione*   
Consiglio Nazionale Forense*    
Esercito Italiano Comando C4 IEW*   
Monte dei Paschi di Siena Bank S.p.A.*    
Banca di Roma S.p.A.*    
Centro nazionale per l’informatica nella pubblica amministrazione*   
Enel.it S.p.A.*   
Finital S.p.A.*   
Sogei S.p.A.*   

LI – Liechtenstein

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
FLZ-Anstalt    
SwissSign AG    
Liechtensteinische Post AG*    

LI – Lithuania

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
State Enterprise Centre of Registers  
UAB Skaitmeninio sertifikavimo centras    
Identity Documents Personalisation Centre under the Ministry of the Interior    
UAB BalTstamp    
Residents Register Service under the Ministry of the Interior*    

LU – Luxembourg

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
LuxTrust S.A.  
SeMarket Certification Authority S.A.*    

LV – Latvia

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Latvian State Radio and Television center 

MT – Malta

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Malta Electronic Certification Services Ltd    
ANF AC Malta Ltd   

NL – Netherlands

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Agentschap Centraal Informatiepunt Beroepen Gezondheidszorg    
Digidentity B.V.    
ESG de Electronische Signatuur B.V.    
KPN B.V.    
KPN Corporate Market B.V.    
Ministerie van Defensie    
Ministerie van Infrastructuur en Milieu    
QuoVadis Trustlink B.V.   
Getronics Nederland B.V.*    
Diginotar B.V.*    
Getronics Nederland B.V.*    

NO – Norway

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Buypass AS    
Commfides Norge AS    
Danske Bank    
Bankenes ID-tjeneste AS    
DNB Bank ASA    
Nordea Bank Norge ASA    
Eika Gruppen AS    
SpareBank 1 Banksamarbeidet DA    
Statoil ASA    
ZebSign AS*    
Handelsbanken NUF*    
SEB Privatbanken ASA*    
Skandiabanken AB NUF*    

PL – Poland

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Unizeto Technologies S.A.    
Polish Security Printing Works 
Krajowa Izba Rozliczeniowa S.A. 
ENIGMA Systemy Ochrony Informacji Sp.z o.o. 
EuroCert Sp. z. o.o.   
Asseco Data Systems S.A. 
MobiCert Sp. z o.o.*    
Safe Technologies S.A.*   
TP Internet sp. z o.o.*   

PT – Portugal

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
ECCE    
Cartão de Cidadão    
Justica    
MULTICERT – Serviços de Certificação Electrónica S.A.  
British Telecommunications plc    
DigitalSign – Certificadora Digital  
ECAR*    

RO – Romania

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Trans Sped SRL 
DigiSign S.A. 
CERTSIGN S.A. 
AlfaTrust Certification S.A. 
CENTRUL DE CALCUL SA 

SI – Slovenia

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Ministrstvo za javno upravo   
Republika Slovenija   
HALCOM D.D. 
NLB d.d.   
POŠTA SLOVENIJE d.o.o. 
Ministry of Defence of Slovenia  
EIUS d.o.o.   

SK – Slovakia

Trust Service ProviderQualified Certificates for eSignaturesQualified Certficates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
National Security Authority SK  
Disig a.s.  
Ministry of Defence Slovak Republic  
The First Slovak Certification Authority    
First certification authority, a.s.  

UK – United Kingdom

Trust Service ProviderQualified Certificates for eSignaturesQualified Certificates for eSealsQualified Time StampsNon-Qualified Time StampsCloud Signature Consortium TSP
Exostar UK Limited    
Royal Bank of Scotland*    

Notas:

* Estas entidades ya no prestan servicios de certificación o de sello de tiempo cualificados pero los documentos firmados o sellados con certificados de estas entidade quue eran válidos en el momento de la firma se siguen dando por buenos en el marco de las soluciones de Adobe.

Adobe incorpora la lista de confianza de la Unión Europea


En el contexto de las firmas electrónicas, la lista de confianza de la Unión Europea (European Union Trusted List, EUTL) es una lista de enlaces que enganchan con las listas de confianza (Trust-Service Status list, TSL) de cada uno de los países miembro, lo que, en conjunto, significa que se construye una lista pública de más de 200 proveedores de servicios electrónicos de confianza (Trust Services Provider, TSP) que están específicamente evaluados y certificados para merecer los niveles más altos de confianza en base a la normativa europea de firma electrónica y servicios de confianza denominada eIDAS (Reglamento UE 910/2014).

Estos proveedores ofrecen identificaciones digitales basadas en certificados para las firmas electrónicas de las personas físicas, para los sellos electrónicos de  las personas jurídicas y para servicios de sellado de tiempo que se pueden usar para crear firmas electrónicas cualificadas (Qualified Electronic Signature, QES) basadas en tecnología de firma digital.

En eIDAS, y por tanto en todos los países de la Unión Europea, las firmas cualificadas son legal y automáticamente equivalentes a las firmas manuscritas y se reconocen automáticamente como válidas en las transacciones transfronterizas.

En cada estado miembro de la UE existe un organismo supervisor (Supervisory Body, SB) que supervisa a los proveedores en su propio país, y puede haber un organismo de acreditación (Accreditation Body, AB) que certifica a los organismos de evaluación (Conformity Assessment Body, CAB). Los CAB evalúan a los prestadores de servicios electrónicos de confianza (TSP) y emiten un informe de evaluación (Conformity Assessment Report, CAR) que los TSP envian a su SB. Cuando el SB comprueba el CAR, aprueba la inclusión del TSP en la TSL nacional, por lo que automáticamente está disponible desde la EUTL.

De esta forma, una vez que se ha aprobado un TSP en un país, sus servicios pueden ofrecerse en otros países de la UE con el mismo nivel de validez legal.

Adobe es el primer proveedor mundial que ofrece soporte integral en sus productos para la EUTL.  A continuación se recoge un resumen de los TSP incluidos en las listas de la EUTL. Las firmas realizadas con certificados expedidos por estos TSP se indican como válidas en los productos de Adobe, tanto para realizar firmas y sellos electrónicos como para comprobarlos.

Entre los productos de Adobe que han adoptado la EUTL están Adobe Acrobat Reader DCAdobe Acrobat DC, or Adobe Sign.

Recordemos  que con el producto gratuito  Adobe Acrobat Reader DC, además de poder visualizar documentos en formato PDF se pueden realizar en ellos firmas cualificadas con los certificados de los que disponga el usuario.

El uso de la EUTL se añade a la tradicional AATL (Adobe Approved Trusted List) que Adobe ya gestionaba históricamente.

Lista de Prestadores electrónicos de confianza cualificados, por paises

AT – Austria

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
A-Trust Gesellschaft für Sicherheitssysteme imelektronischen Datenverkehr GmbH
e-commerce monitoring GmbH
PrimeSign GmbH
Bundesamt für Eich- und Vermessungswesen*
Datakom Austria GmbH*

BE – Belgium

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Society for Worldwide Interbank Financial Telecommunication SCRL
Portima s.c.r.l. c.v.b.a.
Certipost n.v./s.a.
QuoVadis Trustlink BVBA
Zetes S.A./N.V.

BG – Bulgaria

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
BORICA – AD
InfoNotary PLC
Information Services Plc.
Evrotrust Technologies JSC
Bankservice PLC*
System for electronic payments Bulgaria/ SEP Bulgaria JSC*
Spektar JSC*

CZ – Czech Repubic

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
First certification authority, a.s.
The Czech Post, s.p.
eIdentity a.s.

DE – Germany

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Deutsche Rentenversicherung Bund
Deutsche Rentenversicherung Westfalen
Bundesagentur fuerArbeit
Bundesnotarkammer
Deutsche Rentenversicherung Rheinland
D-Trust GmbH
DGN Deutsches Gesundheitsnetz Service GmbH
Deutsche Telekom AG
Deutscher Sparkassen Verlag GmbH
medisign GmbH
exceet Secure Solutions GmbH
DATEV eG*
Deutsche Post Signtrust und DMDA GmbH*
TC TrustCenter GmbH*
exceet Secure Solutions AG*
Deutsche Post Com GmbH*

EE – Estonia

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
SK ID Solutions AS
GuardTime AS*

EL – Greece

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
HELLENIC PUBLIC ADMINISTRATION CERTIFICATION AUTHORITY
ADACOM ADVANCED INTERNET APPLICATIONS S.A.
ATHENS STOCK EXCHANGE S.A.
BYTE Computer S.A.
GREEK ACADEMIC NETWORK

ES – Spain

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
COLORIURIS, S.L
Banco Santander, S.A.
Dirección General de la Policía
Agencia Notarial de Certificación S.L. Unipersonal
Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda (FNMT-RCM)
Consorci Administració Oberta de Catalunya – CAOC
ANF AUTORIDAD DE CERTIFICACIÓN ASOCIACIÓN ANF AC
Consejo General de la Abogacía Española
Instituto Valenciano de Finanzas
AC Camerfirma, S.A
Colegion Oficial de Registradores de la Propiedad y Mercantiles de España
EDICOM CAPITAL, S.L.
Ziurtapen eta Zerbitzu Enpresa-Empresa de Certificación y Servicios, Izenpe, S.A.
Firmaprofesional, S.A.
Tesorería General de la Seguridad Social
Ministerio de Empleo y Seguridad Social
Consejo General de Colegios Oficiales de Médicos de España (CGCOM)
SIGNE S.A.
SISTEMAS INFORMATICOS ABIERTOS SOCIEDAD ANONIMA
UANATACA, S.A
VINTEGRIS S.L.
AULOCE,S.A.U
Autoridad de Gestión de la PKI del Ministerio de Defensa (AGPMD) y Director del CESTIC. Centro de Sistemas y Tecnologías de la Información y las Comunicaciones (CESTIC)*
Banco Español de Crédito, S.A*
HEALTHSIGN, S.L.*
BANCO DE ESPAÑA*
Colegio de Ingenieros de Caminos, Canales y Puertos*
Servicio de Salud de Castilla-La Mancha (SESCAM)*

FI – Finland

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Population Register Centre

FR – France

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Click and Trust
Caisse des dépôts
Yousign
Agence Nationale des Titres Sécurisés
CertEurope
Certinomis SA
ChamberSign France
Cryptolog International (Universign)
Dhimyotis
Ministère de la Justice
DocuSign France
Ordre National des Experts-Comptables
Imprimerie Nationale
Conseil Supérieur du Notariat
Le groupe La Poste
Almerys*

HR – Croatia

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Financijska agencija
Agencija za komercijalnu djelatnost d.o.o.
Zagrebačka banka dioničko društvo

HU – Hungary

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Magyar Telekom Public Limited Company
Microsec Micro Software Engineering & Consulting Private Company Limited by Shares
NETLOCK Informatics and Network Privacy services Limited Company
Digitoll Information Technology and Servicing Ltd.
NISZ National Infocommunications Services Company Limited by Shares

IE – Ireland

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Post.Trust Ltd
Adobe Systems Software Ireland Ltd.

IS – Iceland

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Cloud Signature Consortium TSP
Audkenni ehf.

IT – Italy

Trust Service Provider Qualified Certificates for eSignatures Qualified Certficates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Intesi Group S.p.A.
ICBPI S.p.A.
Banca d’Italia
InfoCert S.p.A.
Actalis S.p.A.
Aruba Posta Elettronica Certificata S.p.A.
CEDACRI S.p.A.
Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili
Ministero della Difesa
Consiglio Nazionale del Notariato
I.T. Telecom S.p.A.
In.Te.S.A. S.p.A.
Intesa Sanpaolo Bank S.p.A.
Postecom S.p.A.
Banca Intesa S.p.A.
Sanpaolo IMI S.p.A.
Cedacrinord S.p.A.
IT Telecom S.r.l.
Namirial S.p.A.
Lombardia Informatica S.p.A.
NEXI S.p.A.
Telecom Italia Trust Technologies S.r.l.
Zucchetti S.p.A.
SECETI S.p.A.
SIA S.p.A.
SSB S.p.A.
Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili
Lombardia Integrata S.p.A. Servizi Infotelematici per il Territorio
Trustitalia S.p.A.
Certicomm
Infocamere SC.p.A.
Saritel S.p.A.
Poste Italiane S.p.A
Lottomatica
BNL Multiservizi S.p.A.*
Centro Tecnico per la Rete Unitaria Pubblica Amministrazione*
Consiglio Nazionale Forense*
Esercito Italiano Comando C4 IEW*
Monte dei Paschi di Siena Bank S.p.A.*
Banca di Roma S.p.A.*
Centro nazionale per l’informatica nella pubblica amministrazione*
Enel.it S.p.A.*
Finital S.p.A.*
Sogei S.p.A.*

LI – Liechtenstein

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
FLZ-Anstalt
SwissSign AG
Liechtensteinische Post AG*

LI – Lithuania

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
State Enterprise Centre of Registers
UAB Skaitmeninio sertifikavimo centras
Identity Documents Personalisation Centre under the Ministry of the Interior
UAB BalTstamp
Residents Register Service under the Ministry of the Interior*

LU – Luxembourg

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
LuxTrust S.A.
SeMarket Certification Authority S.A.*

LV – Latvia

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Latvian State Radio and Television center

MT – Malta

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Malta Electronic Certification Services Ltd
ANF AC Malta Ltd

NL – Netherlands

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Agentschap Centraal Informatiepunt Beroepen Gezondheidszorg
Digidentity B.V.
ESG de Electronische Signatuur B.V.
KPN B.V.
KPN Corporate Market B.V.
Ministerie van Defensie
Ministerie van Infrastructuur en Milieu
QuoVadis Trustlink B.V.
Getronics Nederland B.V.*
Diginotar B.V.*
Getronics Nederland B.V.*

NO – Norway

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Buypass AS
Commfides Norge AS
Danske Bank
Bankenes ID-tjeneste AS
DNB Bank ASA
Nordea Bank Norge ASA
Eika Gruppen AS
SpareBank 1 Banksamarbeidet DA
Statoil ASA
ZebSign AS*
Handelsbanken NUF*
SEB Privatbanken ASA*
Skandiabanken AB NUF*

PL – Poland

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Unizeto Technologies S.A.
Polish Security Printing Works
Krajowa Izba Rozliczeniowa S.A.
ENIGMA Systemy Ochrony Informacji Sp.z o.o.
EuroCert Sp. z. o.o.
Asseco Data Systems S.A.
MobiCert Sp. z o.o.*
Safe Technologies S.A.*
TP Internet sp. z o.o.*

PT – Portugal

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
ECCE
Cartão de Cidadão
Justica
MULTICERT – Serviços de Certificação Electrónica S.A.
British Telecommunications plc
DigitalSign – Certificadora Digital
ECAR*

RO – Romania

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Trans Sped SRL
DigiSign S.A.
CERTSIGN S.A.
AlfaTrust Certification S.A.
CENTRUL DE CALCUL SA

SI – Slovenia

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Ministrstvo za javno upravo
Republika Slovenija
HALCOM D.D.
NLB d.d.
POŠTA SLOVENIJE d.o.o.
Ministry of Defence of Slovenia
EIUS d.o.o.

SK – Slovakia

Trust Service Provider Qualified Certificates for eSignatures Qualified Certficates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
National Security Authority SK
Disig a.s.
Ministry of Defence Slovak Republic
The First Slovak Certification Authority
First certification authority, a.s.

UK – United Kingdom

Trust Service Provider Qualified Certificates for eSignatures Qualified Certificates for eSeals Qualified Time Stamps Non-Qualified Time Stamps Cloud Signature Consortium TSP
Exostar UK Limited
Royal Bank of Scotland*

Notas:

* Estas entidades ya no prestan servicios de certificación o de sello de tiempo cualificados pero los documentos firmados o sellados con certificados válidos de estas entidades en el momento de la firma se siguen dando por buenos en el marco de las soluciones de Adobe.

La información en la que se basa este artículo procede de “What is EUTL?” en el sitio web de ayuda de Adobe.

Firma electrónica en web mediante java e Interoperabilidad en la eAdministración


Una de las conclusiones del reciente CNIS 2015 ha sido para mi el anuncio del fin de la firma electrónica en web mediante java.

Es algo que predico siempre que puedo, pero ahora la idea tiene el refrendo de la Agencia Tributaria.

Sostengo que la firma electrónica en web, incluso cuando está bien implementada, define un entorno inmanejable para el desarrollador de software que debe preocuparse de múltiples variantes y versiones de sistemas operativos (con especial mención a las de 32 y 64 bits), de navegadores web y de java. Y cada versión de java implica, casi seguro, que deja de funcionar lo que antaño funcionaba. Y como se actualiza habitualmente de forma automática, a veces resulta inexplicable para los usuario que lo que ayer funcionaba hoy no funcione.

Curiosamente, la mala costumbre de solicitar la firma en web se extiende a casi toda la administración pública, con módulos “web signer” por diestro y siniestro, hasta el punto que de la propia iniciativa @firma han surgido implementaciones de firma en cliente web usadas por todas partes, especialmente al acceder a las funcionalidades de registro de entrada en las sedes electrónicas de los organismos.

Si pensamos un poco en que la Ley 30/1992 permite que cualquiera pueda presentar la documentación en los registros y que la identidad del solicitante se indica en el escrito y se confirma con su firma en el documento, cualquier cosa más complicada que eso en Internet es poner trabas innecesarias al ciudadano. Por otro lado, en el marco de la Ley 30/1992 cabe la posibilidad de subsanar cualquier carencia de la solicitud, por lo que no sería preciso desplegar sistemas de registro complicados si cabe la posibilidad de hacerlo de forma sencilla y solicitar al usuario, por ejemplo, subsanar la carencia de una correcta identificación si el documento PDF aportado no estuviera correctamente firmado electrónicamente.

Esta es mi propuesta para las administraciones públicas: desplegad registros telemáticos sencillos, con formularios simples y sin requerimiento de firma, de modo que se pueda subir a ellos documentos PDF firmados electrónicamente, considerando que existen muchas herramientas gratuitas y eficientes para firmar electrónicamente tales ficheros PDF.

Consultoría y Auditoría sobre firma digitalizada en paises europeos y latinoamericanos


Certificación de soluciones

Certificación de soluciones

Hemos insistido desde EADTrust en la importancia de seguir ciertos criterios para que una firma manuscrita captada en un dispositivo como tablet (dispositivo autónomo) o tableta (dispositivo asociado a un equipo de sobremesa) tenga valor legal.

El cumplimiento de los criterios no conviene reducirlo a una mera declaración de la parte que implementa la solución sino que es preferible llevar a cabo una auditoría independiente que lo acredite.

En EADTrust hemos definido 10 criterios (a modo de “10 mandamientos”) que permitirían acreditar una implementación diligente y con respeto a las mejores prácticas para preservar entre otros aspectos, la confidencialidad de los datos biométricos, la gestión de un soporte duradero y la simetría probatoria (el método por el que el firmante puede acreditar que un documento electrónico está o no refrendado con su firma manuscríta verdadera).

Aportamos consultores a los proyectos, para encontrar la mejor funcionalidad enmarcada en las arquitecturas propia de cada entidad, maximizando el valor legal y minimizando el esfuerzo de despliegue.

También hemos formado auditores para llevar a cabo las auditorías en base a las cuales emitimos informes de cumplimiento y expedimos los certificados de calidad.

Sin embargo, en las versiones iniciales de nuestra metodología hicimos especial hincapié en demostrar que las firmas digitalizadas avanzadas están perfectamente alineadas con la legislación española de firma electrónica y con la legislación procesal en materia mercantil y civil (subsidiaria de otras normativas procesales) referida al cotejo de letras y valoración pericial de las firmas digitalizadas.

Este esfuerzo inicial se justificaba porque con frecuencia debíamos explicar a los juristas de las entidades nuestra metodología y nuestro enfoque legal y justificar a los responsables técnicos de los proyectos  los cambios que pedíamos en las arquitecturas técnicas y en los procesos involucrados en los sistemas que debían usar las firmas digitalizadas avanzadas.

Como nuestros primeros clientes eran españoles, tenía pleno sentido nuestro planteamiento de que los principios de la FMDA (Firma Manuscrita Digitalizada Avanzada) se ajustaban como un guante a la legislación española.

Desde hace unos meses hemos realizado un esfuerzo significativo en identificar las normativas de diferentes países europeos y latinoamericanos que nos permiten demostrar que nuestros principios pueden ser considerados “invariantes legales” aplicables a diferentes entornos legales y jurisdicciones.

Ello se debe, en buena medida, a que se han identificado las mejores prácticas mundiales de gestión de evidencias electrónicas y en un aspecto relevante, a que en los países con legislación sobre firma electrónica el articulado tienes aspectos comunes compatibles con el uso de la criptografía de clave pública.

Y en los países en los que esa legislación no existe o está incompleta, la legislación procesal (que si está bien desarrollada en todo el mundo) es suficiente para permitir la aportación de pruebas con un elevado grado de inoponibilidad.

En el momento actual hemos avanzado con la normativa europea, afianzada en varias directivas y reglamentos europeos, centrándola en las legislaciones nacionales de Alemania , Francia, Grecia Portugal e Italia. Paulatinamente iremos completando otros países.

En Latinoamérica hemos ajustado nuestro modelo a las legislaciones de México, Colombia, Perú y Chile.

Nuestra tesis ahora es que los principios de la Firma Manuscrita Digitalizada Avanzada desarrollados por EADTrust se adecúan a cualquier Ley Aplicable en cualquier lugar del mundo. Llame al +34 91 7160555 para saber más sobre la firma manuscrita digitalizada.

Hardware as a Service


Desde hace unos años EADTrust proporciona servicios DSS en modalidad SaaS (Software as a Service), o computación en la nube (Cloud Trust Services), actividad en la que ha sido pionera. Uno de los servicios prestados era el de sello de tiempo mediante el DSS Time-stamp profile, junto al más habitual servicio basado en el RFC 3161 .

El servicio funciona muy bien en usos esporádico de gestión de sellos de tiempo (por ejemplo, en el marco de la generación de firmas CAdES-XL y XAdES-XL en programas de escritorio), pero las entidades que hacen un uso intensivo del sellado de tiempo demandaron ya hace algo más de 2 años el suministro de hardware específico, instalado en sus centros de proceso de datos (equipos denominados TSU, time Stamping Unit), para disminuir la latencia de la red y manejar picos de transacciones con mejores garantías de disponibilidad. Aquellas TSU fueron las primeras unidades que concretaron el concepto de Hardware as a Service dentro de los servicios de EADTrust: Equipos desplegados en las instalaciones de los clientes pero gestionados bajo la responsabilidad del PSC (Prestador de Servicios de Certificación), en este caso la sección de TSA (Time Stamping Authority). 

Ahora, el resto de los servicios de OASIS Digital Signature Services (DSS) de EADTrust están también disponibles en modalidad DSSU (Digital Signature Services Unit), como equipamiento en las instalaciones de grandes consumidores de servicios de confianza, con funciones como VSU (Validation Service Unit), DSU (Digital Signature Unit) o EEMU (Electronic Evidence Management Unit). Ya es posible instalar una o más unidades de este tipo por centro de proceso de datos, con las ventajas de ser servicios gestionados de muy bajo impacto en la gestión de infraestructura de la entidad. Y con la ventaja de no tener que invertir en la adquisición de equipamiento y licencias, ya que se paga mediante reducidas cuotas mensuales, como corresponde a la filosofía de servicio.

Y sin riesgo de obsolescencia, ya que el prestador va renovando los equipos según evoluciona la tecnología, sin que la entidad usuaria deba preocuparse de nada.

SOA – Service Oriented Architecture y la firma electrónica


Las instituciones, organismos públicos y grandes empresas, usan cada vez más la firma electrónica, por los grandes ahorros que promueve, la eficiencia que añade a los procesos, y por prescripcion legal.

Con 25 millones de DNI electrónicos y casi 5 millones de otros certificados cualificados, se utiliza para identificar y establecer la prestación del consentimiento en miles de documentos electrónicos. Las firmas automatizadas requieren infraestructuras comunes y la mera gestión de políticas de firma hace recomendable en ocasiones utilizar sistemas de firma centralizados aunque los usuarios trabajen en puestos distribuidos en le organzación.

Servicios de gestión centralizada de firmas electrónicas y servicios conexos que forman parte de la arquitectura tecnológica de las organizaciones  se emplean cada vez más, también para garantizar una funcionalidad fluida que no dependa de las múltiples configuraciones de los equipos de los usuarios. La diversidad de equipamientos es con frecuencia causa de fallos de funcionamiento.

Entre los servicios que despliegan las organizaciones, cabe citar los siguientes:

  • Servicios de Firma (DSS).  El servicio de firma automatizada permite firmar documentos XML y PDF, respectivamente con firmas XAdES y PAdES. Los documentos de otro tipo pueden encapsularse en firmas CAdES o firmas XAdES, si bien requerirán de servicios de comprobación compatibles con la técnica de encapsulado.  Este servicio permite también  verificar las firmas de documentos ya firmados. El servicio permite utilizar diferentes claves y certificados, asociados a diferentes políticas, que se gestionan de forma centralizada en un HSM (Hardware Security Module). Se usa, por ejemplo, para automizar el uso de los sellos de órgano.
  • Servicio de Sellado de Tiempo. Este servicio emite y verifica sellos de tiempo sobre protocolo RFC 3161 y (o)  webservice (DSS). Si se usa con un certificado de TSU de una CA apropiada, en el marco de un acuerdo de gestión, estos sellos de tiempo pueden tener valor legal.  El sistema permite sincronización mediante NTP (accediendo a ROA), GPS y DCF77.
  • Servicio de Validación de Certificados. Este servicio permite comprobar la validez de un certificado y extraer la información contenida en él, relativa al titular del mismo (nombre y apellidos, NIF/CIF, ….). Para ello hace uso de consultas OCSP o consultas de certificados revocados según el protocolo definido por la AEAT (ycaestec).
  • Servicio de Copia. Este servicio añade información gráfica (Código QR o PDF 417) relativa a una firma electrónica sobre una copia constatable de un documento electrónico (albalá), facilitando así posteriores procesos de comprobación de documentos electrónicos impresos.
  • Servicio de Potestades. Este servicio permite gestionar y comprobar atribuciones en un marco de gestión de políticas de firma, o en relación con flujos de proceso (worlflows) de diferentes roles del organismo (cargos administrativos, firmantes finales por nombramiento oficial, responsables, apoderados, …).
  • Servicio de Custodia. Este servicio permite almacenar y recuperar documentos almacenados en el Sistema de Constancias (Cartulario). Existen varios tipos de custodia con diferentes restricciones de acceso (o sin restricciones). Se utiliza el concepto de Código Seguro de Verificación.
  • Servicio de Interconexión con otras Redes. Este servicio permite obtener información de validación de certificados y otras informaciones de redes asociadas. En particular existen integraciones con la Red SARA.
  • Servicios de validación de esquemas. Relacionados con documentos intercambiados, frecuentemente en formato XML se trata de validar la correcta formación de los documentos y la cumplimentación de su contenido. Por ejemplo el formato factuare en el caso de las facturas electrónicas.
  • Servicio de Publicación Fehaciente. Este servicio permite obtener certificados que acrediten fehacientemente el momento en el que los documentos son publicados en una Sede Electrónica. Utiliza el sistema de sello de tiempo y permite cumplir el artículo 42 de la Ley de Contratos del Sector Público (en el caso de las administraciones públicas) o la normativa de publicación de convocatorias de juntas de la Ley de Sociedades de Capital (en el caso del sector privado).

Además hay servicios adicionales que proporcionan funcionalidades localizadas en sistemas cliente o servidor, accesibles por otros programas:

  • Ejecutable de firma en cliente: permite la firma de documentos por parte de un usuario, haciendo uso de su clave y sucertificado digital. Existen variantes como por ejemplo el de  firmador java (websigner) y el de firmador de escritorio.
  • Módulos que desarrollan las funcionalidades en forma de API (SDK) para ser invocadas por otras aplicaciones en entorno cliente o en entorno servidor.

Estos conceptos pueden extenderse y se tratan enel Seminario Firma Electrónica en Arquitectura SOA. Os invito a inscribiros.

Firma Electrónica y Diplomática Digital – Seminario para los Archiveros de Navarra


El próximo Viernes, 11 de noviembre de 2011,  de 9:30 a 14:30 horas, impartiré un seminario en el Civivox de Iturrama en la calle  Esquíroz 24, de  Pamplona sobre  Firma Electrónica y Diplomática Digital, auspiciado por la Asociación de Archiveros de Navarra

Estos son los temas que trataré:

1. Conceptos de Diplomática

  • Archivística, Paleografía, Sigilografía
  • Cartularios, Códices Diplomáticos, Tumbos, Becerros
  • Autenticidad de los documentos en papel
  • Partes de un documento
  • Tipos de documentos

2. Marco Legal

  • Normativa en relación con los archivos
  • Normativa en relación con la Firma Electrónica
  • Normativa de Administración Electrónica
  • Normativa sobre Contratación Electrónica
  • Estándares aplicables en la Gestión de Documentos Electrónicos

3. Diplomática Digital

  • Autenticidad de los Documentos Electrónicos. Obliterabilidad, Endosabilidad, Completitud
  • Custodia Digital. Cartulario Digital. Archivo de Constancias Electrónicas. código de Verificación
  • Convivencia de Documentos Electrónicos y de papel. Albalá, copia constatable, Digitalización Certificada. Localizador

4. Firma electrónica

  • Descripción técnica de la Firma Electrónica.
  • Descripción legal de la Firma Electrónica.  Firma Avanzada. Firma Reconocida
  • Prestadores de servicios de certificación en España y en Europa
  • Firma Básica, Fechada, Completa. Conservación de firmas a largo plazo
  • Timestamping. Comprobación de validez de certificados (CRL, OCSP)
  • Dispositivos seguros de creación de firma.

5. Gestión de Documentos en el Sector Público

  • Sede Electrónica. Código seguro de verificación
  • Registro de entrada, registro de salida, registro telemático, interconexión de registros. SICRES
  • Expediente Electrónico
  • Digitalización de Documentos
  • Interoperabilidad de Gestión de Documentos entre Administraciones
  • Clasificación de documentos. Metadatos
  • Notificaciones Fehacientes. Notificaciones Obligatorias

6. Gestión de Documentos en el Sector Privado

  • Contratos. Novación Electrónica. Prestación del consentimiento
  • Digitalización Certificada de facturas. Digitalización Certificada de otros tipos de documentos
  • Uso de la Firma Electrónica. Requisitos de la digitalización de firmas manuscritas para que sea considerada Firma Electrónica avanzada. Tabletas digitalizadoras, bolígrafos electrónicos
  • Notificaciones Fehacientes. Correo Electrónico Certificado.

Es una satisfacción que los Archiveros de Navarra hayan pensado en mi para ello. Eso de ser “profeta en su tierra” no es habitual.

Funcionalidades de BackTrust


BackTrust es una plataforma de servicios (SOA)  asociados a la firma electrónica que puede ser utilizada en entornos de Administración Electrónica y también, en el sector privado, en el marco de las obligaciones de Interlocución Telemática.

Es un producto de Albalia Interactiva, con versiones para plataformas Mainframe (System z), entornos Linux y entornos Windows Server

Entre los servicios que presta BackTrust cabe citar los siguientes:

  • Servicio de Firma (DSS). El servicio de firma automatizada permite firmar documentos XML y PDF, respectivamente con firmas XAdES y PAdES. Los documentos de otro tipo pueden encapsularse en firmas CAdES o firmas XAdES, si bien requerirán de servicios de comprobación compatibles con la técnica de encapsulado.  Este servicio permite también  verificar las firmas de documentos ya firmados. El servicio permite utilizar diferentes claves y certificados, asociados a diferentes políticas, que se gestionan de forma centralizada en un HSM (Hardware Security Module). Se usa, por ejemplo, para automizar el uso de los sellos de órgano.
  • Ejecutable de firma en cliente: permite la firma de documentos por parte de un usuario, haciendo uso de su clave y sucertificado digital. Existen 2 variantes: firmador java (websigner) y firmador de escritorio.
  • Servicio de Sellado. Este servicio emite y verifica sellos de tiempo sobre protocolo RFC 3161 y (o)  webservice (DSS). Si se usa con un certificado de TSU de una CA apropiada, en el marco de un acuerdo de gestión, estos sellos de tiempo pueden tener valor legal.  El sistema permite sincronización mediante NTP (accediendo a ROA), GPS y DCF77.
  • Servicio de Validación Avanzada de Certificados. Este servicio permite comprobar la validez de un certificado y extraer la información contenida en él, relativa al titular del mismo (nombre y apellidos, NIF/CIF, correo electrónico, etc.).
  • Servicio de Copia. Este servicio añade información gráfica (Código QR) relativa a una firma electrónica sobre una copia constatable de un documento electrónico (albalá), facilitando así posteriores procesos de comprobación de documentos electrónicos impresos.
  • Servicio de Potestades. Este servicio permite gestionar y comprobar atribuciones en un marco de gestión de políticas de firma, o en relación con flujos de proceso (worlflows) de diferentes roles del organismo (cargos administrativos, firmantes finales por nombramiento oficial, responsables, apoderados, …).
  • Servicio de Custodia. Este servicio permite almacenar y recuperar documentos almacenados en el Sistema de Constancias (Cartulario). Existen varios tipos de custodia con diferentes restricciones de acceso (o sin restricciones). Se utiliza el concepto de Código Seguro de Verificación.
  • Servicio de Interconexión con otras Redes. Este servicio permite obtener información de validación de certificados y otras informaciones de redes asociadas. En particular existen integraciones con la Red SARA y con el sistema de acceso a información de certificados revocados definido por la AEAT (ycaestec).
  • Servicio de Publicación Fehaciente. Este servicio permite obtener certificados que acrediten fehacientemente el momento en el que los documentos son publicados en una Sede Electrónica. Utiliza el sistema de sello de tiempo y permite cumplir el artículo 42 de la Ley de Contratos del Sector Público (en el caso de las administraciones públicas) o la normativa de publicación de convocatorias de juntas de la Ley de Sociedades de Capital (en el caso del sector privado).

Además de la dispobilidad de funcionalidades en modalidad de servicio SOA, existen módulos que desarrollan las funcionalidades en forma de API (SDK) para ser invocadas por otras aplicaciones en entorno cliente o en entorno servidor. En particular, en entornos EDITRAN, permitiendo la firma y comprobación de firma de mensajes intercambiados entre plataformas de diferente tecnología.

Copia Auténtica Electrónica y Digitalización Certificada


El día 15 de Junio de 2011 tendrá lugar en Barcelona (Hotel Abba Sants), el seminario  “Copia Auténtica Electrónica y Digitalización Certificada”. Lo organiza  Atenea Interactiva y no tiene coste directo si se  bonifica por la Fundación Tripartita. Es posible inscribirse pinchando este enlace.

Este seminario incide en un tema de gran actualidad por la reciente publicación de algunas de las NTI (Normas Técnicas de Interoperabilidad) que forman parte del ENI(Esquema Nacional de Interoperabilidad)  y que dejan muchos aspectos con un elevado grado de indeterminación a la espera de que puedan entrar a regular a su nivel los organismos afectados.

En todo caso, con la implantación de la Ley 11/2007 y su normativa de desarrollo, el despliegue de procedimientos electrónicos requiere el manejo de documentos electrónicos con valor probatorio y la posibilidad de cambiar de soporte del medio electrónico al papel y viceversa, según el marco probatorio requerido. Ante estas necesidades es importante contar con criterios sólidos que lleguen donde no llega la normativa, intentando evitar, en lo posible la fragmentación en las formas de acometer la resolución de las mismas necesidades en diferentes organismos públicos. Es decir promoviendo la interoperabilidad, incluso donde la normativa de las NTI no llega a concretar.

Afortunadamente, en el año 2007, la Agencia Tributaria, a través de la Orden EHA/962/2007, definió el concepto de “Digitalización Certificada” como el mecanismo que permite la transformación de los originales en papel de las facturas en documentos electrónicos con su  mismo valor de original como justificante de la operación. Esta referencia es esencial al diseñar la gestión de las “copias electrónicas” previstas en el artículo 30 de  la Ley 11/2007 que regula la Administración Electrónica.

El objetivo del seminario es ofrecer los conocimientos jurídicos y tecnológicos que permitan a los asistentes afrontar con mejores garantías los procesos de digitalización de sus procedimientos allá donde los mismos se apoyen en documentos en papel. Especialmente en el sector público, pero también en el sector privado.

Este es el programa detallado del seminario:

1. Conceptos de Diplomática

  • Archivística, Paleografía, Sigilografía
  • Cartularios, Códices Diplomáticos, Tumbos, Becerros
  • Autenticidad de los documentos en papel
  • Partes de un documentos
  • Tipos de documentos

2. Diplomática Digital

  • Autenticidad de los Documentos Electrónicos
  • Custodia Digital. Cartulario digital. Archivo de Constancias Electrónicas. Código de Verificación
  • Convivencia de Documentos Electrónicos y de papel. Albalá, copia constatable, Digitalización Certificada. Localizador

3. Conceptos de Firma Electrónica y PKI

  • Conceptos Criptográficos
  • Firma Digital
  • Los Certificados Digitales
  • La legalidad de la Firma Electrónica
  • TimeStamping – Sellos de Tiempo
  • Validez de certificados
  • Firmas “básicas” y firmas “completas”
  • Firmas “remotas”

4. Gestión de Documentos en el Sector Público

  • Sede Electrónica. Código seguro de verificación
  • Registro de entrada, registro de salida, registro telemático, interconexión de registros. SICRES
  • Expediente Electrónico
  • Digitalización de Documentos
  • Interoperabilidad de Gestión de Documentos entre Administraciones
  • Clasificación de documentos. Metadatos
  • Notificaciones Electrónicas

5. La presentación del documentos y expediente electrónico

  • Aspectos legales
  • Modelos de preservación
  • Calendario de preservación
  • Metadatos de preservación
  • Formatos
  • Firma Electrónica
  • Migración de formatos
  • Herramientas

6. El Esquema Nacional de Interoperabilidad

  • Objetivos y Principios
  • Interoperabilidad de la Firma Electrónica
  • Conservación del Documento Electrónico
  • El Plan de Adecuación
  • Las Normas Técnicas de Interoperabilidad

7. Las copias electrónicas según la Ley 11

  • Copia auténtica de los documentos públicos
  • “Imágenes electrónicas con su misma validez y eficacia” de los documentos privados
  • Firma y destrucción de los originales
  • ¿Y la Compulsa Electrónica?

8. La Digitalización Certificada de la Agencia Tributaria

  • El modelo
  • Normativa aplicable
  • Requisitos técnicos
  • Procedimientos y Controles Necesarios
  • Proceso de Homologación

9. El “estado del arte”actual

  • El modelo catalán: La CCATD, el Decreto 13/2008 y el acuerdo 1/2010
  • Los borradores de las NTIs (Documento y Expediente Electrónico, Digitalización, Copiado Auténtico
  • Algunos ejemplos (Dip. Barcelona, Real Decreto 1671/2009 de la AGE…)