Requisitos para la implantación de firma electrónica reconocida en una organización

Actividades[pic 1]

Trabajo: Requisitos para la implantación de firma electrónica reconocida en una organización

Una organización pretende implantar un sistema de firma electrónica para sus empleados, colaboradores y clientes.

La firma electrónica en las relaciones con terceros debe ser jurídicamente equivalente a la manuscrita.

Después de valorar la implantación de un sistema de certificación propio (Infraestructura de Clave Pública / PKI), se ha optado por utilizar los servicios de un tercero de confianza (PSC).

Identifica los requerimientos legales y normativos (EESSI, ETSI, CEN/CWA, RFC,…), que debe cumplir y tener en cuenta tanto la organización como el tercero de confianza para la PKI, certificados digitales, formatos de firma, validación, sellado de tiempo y tarjetas inteligentes. Justificar brevemente cada uno.

Extensión máxima 3 páginas, Georgia 11, interlineado 1,5.

1. Aplicaciones y casos de uso posibles de la firma electrónica

Una vez implantado el sistema de firma electrónica en la organización, podremos identificar a los firmantes de manera inequívoca, asegurar la integridad de los documentos firmados y asegurar que el firmante no podrá repudiar lo anteriormente firmado, ya que la firma electrónica cualificada equivale jurídicamente a la firma manuscrita. Por este motivo, la empresa podrá darle utilidad en situaciones tales como las descritas a continuación:

• Firma de facturas, correos, autorizaciones, acuerdos, propuestas, proyectos, etc., en formato electrónico.
• Firma de código.
• Visado de proyectos.
• Declaración de impuestos (IVA, IRPF, IS, …).
• Contratación electrónica.
• Registro telemático.
• Solicitudes en los registros electrónicos administrativos y compulsa electrónica.
• Trámites notariales.
• Petición de la vida laboral por parte de los trabajadores.
• Comprobar la validez de certificados y documentos recibidos.
• Presentación a concursos públicos.

2. Requerimientos legales y normativa aplicable tras la entrada en vigor del eIDAS

Los requisitos legales en España con los que tendrá que cumplir tanto la organización, como el prestador de servicios externos, con respecto a la firma electrónica, su formato, los formatos de certificados digitales y las tarjetas inteligentes, son los siguientes:

• Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 – eIDAS (deroga la Directiva 1999/93/CE): Hace referencia a la identificación electrónica y los servicios de confianza en las transacciones electrónicas en el mercado interior. En su artículo 3 define los distintos tipos de firma electrónica y de prestadores de servicios de confianza, así como los dispositivos de firma electrónica y sistemas de certificación (Título IV), información interesante fundamentalmente para la empresa. En este reglamento también se establecen las condiciones que deberán reconocer los medios de identificación electrónica, así como el marco jurídico de la firma electrónica y las normas para los servicios de confianza, información especialmente útil para el PSEC.

• Ley de firma electrónica 59/2003 de 19 de diciembre (derogada en gran parte por el Reglamento Europeo 910/2014 – eIDAS): Esta ley regula la firma electrónica en sí, su eficacia jurídica y la prestación de servicios de certificación. Aunque hace una mayor incidencia en la aplicación sobre los prestadores de servicios de certificación, contiene información importante para la empresa, tal como la utilidad de esta firma electrónica o los dispositivos para poderla llevar a cabo, así como información relevante acerca de los certificados electrónicos. Al PSEC le será especialmente útil para conocer sus obligaciones y responsabilidades (artículos 18 y 22) y así poder justificar su actividad ante organismos de supervisión como la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital, del Ministerio de Energía, Turismo y Agenda Digital (artículo 30).

• Decisión de Ejecución (UE) 2016/650 de la Comisión, de 25 de abril de 2016: en su anexo figuran normas para la evaluación de la seguridad de los dispositivos cualificados de creación de firmas electrónicas, información especialmente interesante para el PSEC.

• Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la información: Esta ley regula el régimen jurídico de los servicios de la sociedad de la información y de la contratación, información que será de gran utilidad para el PSEC, aunque también podría ser revisada por la empresa para garantizar que su prestador está cumpliendo la ley.

• Normas técnicas ETSI: Estas normas son estándares desarrollados por el Instituto Europeo de Estándares de Telecomunicaciones, y serán de gran utilidad para el PSEC de cara a las auditorías a las que se verá sometido. 
• Iniciativa Europea para la Normalización de la Firma Electrónica (EESSI): Analiza las necesidades de estandarización de la antigua Directiva 1999/93/CE, evalúa los estándares disponibles e iniciativas ya existentes y establece e implementa un plan de normalización de la firma electrónica, información especialmente interesante para el PSEC.

• CEN WORKSHOP AGREEMENT (CWA): Documento publicado por CEN (Comité Europeo de Estandarización) que orientará al PSEC a la hora de cumplir con los estándares europeos con relación a la firma electrónica.

• Estándares RFC: Estándares utilizados especialmente con relación al formato de firma electrónica y que proveen de información útil acerca de esta y de los certificados electrónicos. Esta información será útil especialmente para el PSEC, aunque también podría serlo para la empresa.

• ISO 32000: Especifica la forma digital de representar documentos electrónicos, información útil especialmente para la empresa, aunque también para el PSEC.

• Otra normativa relacionada: Existen otras normativas anteriores al eIDAS que también podrían ser de utilidad a este respecto tanto para la empresa como para el PSEC, tales como la Ley 11/2007 de 22 de junio, la Ley 56/2007, el Real Decreto 1671/2009 de 6 de noviembre, el Real Decreto 4/2010 de 8 de enero, el Reglamento (UE) 2016/679 de 27 de abril de 2016, la Ley Orgánica 15/1999 de 13 de diciembre y el Real Decreto 1720/2007 de 21 de diciembre.

...