2009D0767 — ES — 01.07.2013 — 002.001

Este documento es un instrumento de documentación y no compromete la responsabilidad de las instituciones

Modificado por:

Rectificado por:

▼B

▼C1

DECISIÓN DE LA COMISIÓN

de 16 de octubre de 2009

por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las «ventanillas únicas» con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior

[notificada con el número C(2009) 7806]

(Texto pertinente a efectos del EEE)

(2009/767/CE)

Artículo 1

Uso y aceptación de firmas electrónicas

1. Si se justifica sobre la base de una evaluación apropiada de los riesgos existentes y de conformidad con el artículo 5, apartados 1 y 3, de la Directiva 2006/123/CE, los Estados miembros podrán exigir, para la realización de algunos procedimientos y trámites a través de las ventanillas únicas con arreglo al artículo 8 de la Directiva 2006/123/CE, el uso por el prestador del servicio de firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma, según se definen y regulan en la Directiva 1999/93/CE.

2. Los Estados miembros aceptarán cualquier firma electrónica avanzada basada en un certificado reconocido, con o sin dispositivo seguro de creación de firma, para la realización de los procedimientos y trámites a que se refiere el apartado 1, sin perjuicio de la posibilidad de que los Estados miembros limiten esta aceptación a las firmas electrónicas avanzadas basadas en un certificado reconocido y creadas mediante un dispositivo seguro de creación de firma si ello está en consonancia con la evaluación del riesgo a que se refiere el apartado 1.

3. Los Estados miembros no supeditarán la aceptación de las firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma, a requisitos que obstaculicen el uso, por los prestadores de servicios, de procedimientos por vía electrónica a través de las ventanillas únicas.

4. El apartado 2 no impedirá a los Estados miembros aceptar firmas electrónicas distintas de las firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma.

Artículo 2

Establecimiento, mantenimiento y publicación de listas de confianza

1. Cada Estado miembro establecerá, mantendrá y publicará, de conformidad con las especificaciones técnicas que figuran en el anexo, una «lista de confianza» que contenga la información mínima referente a los proveedores de servicios de certificación que expiden certificados reconocidos al público por él supervisados/acreditados.

▼M1

2. Los Estados miembros elaborarán y publicarán una versión de la lista de confianza legible por personas y otra versión procesable por máquina, de conformidad con las especificaciones que figuran en el anexo.

▼M1

2 bis. Los Estados miembros firmarán electrónicamente la versión procesable por máquina de sus respectivas listas de confianza y publicarán, como mínimo, una versión de las mismas legible por las personas a través de un canal seguro a fin de garantizar su autenticidad e integridad.

▼M1

3. Los Estados miembros notificarán a la Comisión la siguiente información:

▼M1

4. La Comisión pondrá a disposición de los Estados miembros, a través de un canal seguro, en un servidor web autenticado, la información mencionada en el apartado 3 que haya sido comunicada por los Estados miembros, tanto en una versión legible por las personas como en una versión procesable por máquina.

▼C1

Artículo 3

Aplicación

La presente Decisión se aplicará a partir del 28 de diciembre de 2009.

Artículo 4

Destinatarios

Los destinatarios de la presente Decisión serán los Estados miembros.

ANEXO

ESPECIFICACIONES TÉCNICAS RELATIVAS A UN MODELO COMÚN PARA LA «LISTA DE CONFIANZA DE PROVEEDORES DE SERVICIOS DE CERTIFICACIÓN SUPERVISADOS/ACREDITADOS»

PREFACIO

1. Generalidades

La finalidad del modelo común para la «lista de confianza de proveedores de servicios de certificación supervisados/acreditados» de los Estados miembros es establecer un formato común para que cada Estado miembro facilite la información sobre el estado de supervisión/acreditación de los servicios de certificación de los proveedores de servicios de certificación ( 3 ) (certification services providers o CSP) que supervisa/acredita en cuanto al cumplimiento de las disposiciones pertinentes de la Directiva 1999/93/CE. Se incluye la presentación de información histórica sobre el estado de supervisión/acreditación de los servicios de certificación supervisados/acreditados.

La información obligatoria de la lista de confianza (Trusted List o TL) deberá incluir un mínimo de información sobre los CSP supervisados/acreditados que expiden certificados reconocidos (Qualified Certificates o QC) ( 4 ) de conformidad con lo dispuesto en la Directiva 1999/93/CE [artículo 3, apartados 2 y 3, y artículo 7, apartado 1, letra a)], incluida información sobre el QC que respalda una firma electrónica y sobre si la firma se crea o no mediante un dispositivo seguro de creación de firma (SSCD) ( 5 ).

A nivel nacional y con carácter voluntario, podrá incluirse en la lista de confianza información adicional sobre otros CSP supervisados/acreditados que no expidan QC, pero presten servicios relacionados con las firmas electrónicas (por ejemplo, CSP que presten servicios de estampación de fecha y hora y expidan sellos temporales, CSP que expidan certificados no reconocidos, etc.).

El objetivo principal de esta información es facilitar la validación de una firma electrónica reconocida (Qualified Electronic Signature o QES) o una firma electrónica avanzada (Advanced Electronic Signature o AdES) ( 6 ) respaldadas por un certificado reconocido ( 7 ) ( 8 ).

El modelo común propuesto es compatible con una implementación basada en las especificaciones de ETSI TS 102 231 ( 9 ) utilizadas en relación con el establecimiento, publicación, localización, acceso, autenticación y fiabilidad de estos tipos de listas.

2. Directrices para la edición de las entradas de la TL

2.1. Una lista de confianza centrada en los servicios de certificación supervisados/acreditados

La lista de confianza de un Estado miembro se define como la «lista del estado de supervisión/acreditación de los servicios de certificación de los proveedores de servicios de certificación que están supervisados/acreditados por el Estado miembro de referencia en cuanto al cumplimiento de las disposiciones pertinentes de la Directiva 1999/93/CE».

Esta lista de confianza debe incluir:

Al examinar las definiciones y disposiciones contenidas en la Directiva 1999/93/CE, en particular en relación con los CSP pertinentes y sus sistemas de supervisión/acreditación voluntaria, cabe distinguir dos grupos de CSP, a saber, los que expiden QC al público (CSPQC), y los que no los expiden, pero prestan «otros servicios (auxiliares) en relación con la firma electrónica»:

La lista de confianza de un Estado miembro deberá facilitar un mínimo de información sobre los CSP supervisados/acreditados que expidan certificados reconocidos al público de conformidad con lo dispuesto en la Directiva 1999/93/CE [artículo 3, apartados 2 y 3, y artículo 7, apartado 1, letra a)], información sobre el QC que respalda la firma electrónica y sobre si la firma se crea o no mediante un dispositivo seguro de creación de firma.

Podrá incluirse en la lista de confianza a nivel nacional y con carácter voluntario información adicional sobre otros servicios supervisados/acreditados de los CSP que no expiden QC al público (por ejemplo, CSP que presten servicios de estampación de fecha y hora y expidan sellos temporales, CSP que expidan certificados no reconocidos, etc.).

La finalidad de la lista de confianza es:

Deberá establecerse y mantenerse una única TL por Estado miembro para indicar el estado de supervisión o acreditación de los servicios de certificación de los CSP que están supervisados/acreditados por el Estado miembro.

El que un servicio esté actualmente supervisado o acreditado forma parte de su estado actual. Además, un estado de supervisión o acreditación puede estar «vigente», «en proceso de suspensión», «suspendido», o incluso «suprimido». A lo largo de su vida, un mismo servicio de certificación podrá pasar de un estado de supervisión a otro de acreditación y viceversa ( 10 ).

La siguiente figura 1 describe el flujo esperado, para un único servicio de certificación, entre las posibles situaciones de supervisión/acreditación:

Un servicio de certificación que expida QC deberá ser supervisado (si está establecido en un Estado miembro) y, voluntariamente, podrá ser acreditado. El «valor actual del estado» de tal servicio cuando conste en una lista de confianza puede ser cualquiera de los valores antes indicados. No obstante, conviene señalar que «acreditación suspendida» y «acreditación suprimida» deberán ser solo valores de «estado de tránsito» en el caso de los servicios CSPQC establecidos en un Estado miembro, ya que tales servicios deberán estar supervisados en todo caso (incluso si no están acreditados o han dejado de estarlo).

Los Estados miembros que establezcan o hayan establecido uno o más «regímenes de aprobación reconocidos» definidos y aplicados a nivel nacional para supervisar si los servicios de los CSP que no expiden QC cumplen las disposiciones de la Directiva 1999/93/CE y las eventuales disposiciones nacionales relativas a la prestación de servicios de certificación (en el sentido del artículo 2, punto 11, de la Directiva) deberán clasificar tales regímenes de aprobación en una de las dos categorías siguientes:

Por consiguiente, un servicio de certificación que no expida QC podrá ser supervisado o acreditado voluntariamente. El «valor de estado actual» de tal servicio, cuando figure en una lista de confianza, puede ser cualquiera de los valores antes mencionados (véase la figura 1).

La lista de confianza deberá contener información sobre el régimen o los regímenes de supervisión/acreditación subyacentes, y en particular:

Los dos últimos elementos de información son de importancia crítica para que las partes usuarias puedan evaluar el nivel de calidad y seguridad de los sistemas de supervisión/acreditación aplicados a nivel nacional a los CSP que no expiden QC. Cuando en la TL figure información sobre el estado de supervisión/acreditación de servicios prestados por CSP que no expiden QC, los elementos de información mencionados deberán facilitarse a nivel de la TL mediante el uso de «Scheme information URI» (cláusula 5.3.7 — información facilitada por los Estados miembros), «Scheme type/community/rules» (cláusula 5.3.9 — mediante el uso de un texto común a todos los Estados miembros, e información específica opcional facilitada por un Estado miembro) y «TSL policy/legal notice» (cláusula 5.3.11 — un texto común a todos los Estados miembros que remite a la Directiva 1999/93/CE, junto con la facultad de cada Estado miembro de añadir texto/referencias específicas propias). Podrá facilitarse a nivel de servicio información adicional sobre «reconocimiento» definida a nivel de los sistemas de supervisión/acreditación nacionales para los CSP que no expiden QC, si procede y es preciso (por ejemplo, para distinguir entre varios niveles de calidad/seguridad), mediante el uso de la extensión «additionalServiceInformation» (cláusula 5.8.2) dentro de la «Service information extension» (cláusula 5.5.9). Se encontrará más información sobre las especificaciones técnicas correspondientes en las especificaciones detalladas del capítulo I.

Pese a que en un Estado miembro pueda haber distintos organismos encargados de la supervisión y acreditación de los servicios de certificación, se espera que se utilice una sola entrada para un mismo servicio de certificación (identificado por su «Service digital identity» con arreglo a ETSI TS 102 231 ( 11 )) y que su estado de supervisión/acreditación se actualice en consecuencia. El significado de los estados antes mencionados se describe en la cláusula 5.5.4 de las especificaciones técnicas detalladas del capítulo I.

2.2. Entradas de la TL cuyo objetivo es facilitar la validación de QES y AdESQC

La parte más crítica de la creación de la TL es el establecimiento de su parte obligatoria, a saber, la «lista de servicios» por cada CSP que expide QC, a fin de reflejar correctamente la situación exacta en materia de expedición de cada uno de estos servicios de certificación que expiden QC y de garantizar que la información facilitada en cada entrada sea suficiente para facilitar la validación de QES y AdESQC (cuando se combina con el contenido del QC de entidad final expedido por el CSP dentro del servicio de certificación correspondiente a la entrada).

En la medida en que no existe un perfil del QC verdaderamente interoperable y transfronterizo, la información exigida podría incluir información distinta de la «Service digital identity» de una única CA (raíz), en particular información que identifique la calidad de QC del certificado expedido, y si las firmas respaldadas están o no creadas mediante un SSCD. El organismo de un Estado miembro designado para establecer, editar y mantener la TL (es decir, el operador del régimen según ETSI TS 102 231) deberá tener en cuenta, por tanto, el perfil actual y el contenido del certificado en cada QC expedido, por cada CSPQC incluido en la TL.

Idealmente, cada QC expedido debería incluir la declaración QcCompliance ( 12 ) definida por el ETSI cuando se afirma que es un QC, así como la declaración QcSSCD definida por el ETSI cuando se afirma que está respaldado por un SSCD para generar firmas electrónicas, o que cada QC expedido incluye uno de los identificadores de objeto (Object Identifier o OID) de política de certificados QCP/QCP + definido en ETSI TS 101 456 ( 13 ). El uso por los CSP que expiden QC de normas distintas como referencias, el amplio margen de interpretación de estas normas y el desconocimiento de la existencia y prioridad de algunas especificaciones técnicas normativas o normas ha provocado diferencias en el contenido real de los QC actualmente expedidos (por ejemplo, el que se usen o no las QcStatements definidas por el ETSI) y, en consecuencia, está impidiendo que las partes receptoras confíen sin más en el certificado del firmante (y en la cadena o trayectoria asociada) para evaluar, al menos de un modo legible por máquina, si se afirma o no que el certificado que avala una firma electrónica es un QC y si está o no asociado con un SSCD mediante el cual se ha creado dicha firma.

Rellenar los campos «Service type identifier» («Sti»), «Service name» («Sn»), y «Service digital identity» («Sdi») ( 14 ) con la información facilitada en el campo «Service information extensions» («Sie») permite que el modelo común de TL propuesto determine íntegramente un tipo específico de certificado reconocido expedido por un servicio de certificación de un CSP que expide QC que figura en la lista y facilite información sobre si está respaldado o no por un SSCD (cuando tal información está ausente del QC expedido). Por supuesto, con esta entrada está asociada una información específica «Service current status» («Scs»). Todo ello se representa en la figura 2.

El que un servicio figurase en la lista solo con el «Sdi» de una CA (raíz) significaría que está garantizado (por el CSP que expide QC, pero también por el organismo de supervisión/acreditación encargado de la supervisión/acreditación de ese CSP) que cualquier certificado de entidad final expedido bajo esta (jerarquía de) CA (raíz) contiene suficiente información definida por el ETSI y procesable por una máquina para determinar si es un QC o no y si está respaldado por un SSCD. En caso de que, por ejemplo, esto último no sea cierto (es decir que el QC no contenga ninguna indicación procesable por una máquina y normalizada por el ETSI sobre si está respaldada por un SSCD), la inclusión en la lista solo del «Sdi» de esa CA (raíz) solo permite asumir que un QC expedido bajo esta (jerarquía de) CA (raíz) no está respaldado por ningún SSCD. Para considerar esos QC respaldados por un SSCD, debería utilizarse el «Sie» para indicarlo (esto indica también que está garantizado por el CSP que expide los QC y está supervisado/acreditado por el organismo de supervisión o acreditación respectivamente).

Las presentes especificaciones técnicas del modelo común de la TL permiten utilizar una combinación de cinco partes principales de información en la entrada del servicio:

2.3. Directrices de edición y uso de las entradas de servicios CSPQC

Las directrices generales de edición son:

Como principio general por defecto, para un CSP que figure en la lista de confianza deberá haber una entrada de servicio por cada certificado X.509v3 para un servicio de certificación de tipo CA/QC, es decir, una autoridad de certificación que expida (directamente) QC. En determinadas circunstancias cuidadosamente previstas y en condiciones cuidadosamente gestionadas, un organismo de supervisión o de acreditación de un Estado miembro podrá decidir utilizar el certificado X.509v3 de una CA raíz o de nivel superior (es decir, una autoridad de certificación que no expida directamente QC de entidad final, pero certifique una jerarquía de CA que descienda hasta las CA que expiden QC a entidades finales) como «Sdi» de una entrada determinada de la lista de servicios de un CSP que figure en la lista. Las consecuencias (ventajas y desventajas) de utilizar tal X.509v3 de una CA raíz o CA de nivel superior como valor «Sdi» de entradas de servicios de la TL deberá ser cuidadosamente estudiada y aprobada por los Estados miembros. Además, cuando se recurra a esta excepción autorizada al principio por defecto, el Estado miembro deberá aportar la documentación necesaria para facilitar la construcción y verificación de la trayectoria de certificación.

Presentamos el siguiente ejemplo para ilustrar las directrices generales sobre edición: En el contexto de un CSPQC que utiliza una CA raíz bajo la cual varias CA expiden QC y no QC, pero cuyos QC contienen solo la declaración QcCompliance y ninguna indicación de si está respaldado por un SSCD, la inclusión en la lista del «Sdi» de la CA raíz significaría solamente, con arreglo a las reglas antes explicadas, que NINGÚN QC expedido bajo esta jerarquía de CA raíz está respaldado por un SSCD. Si estos QC están realmente respaldados por un SSCD, se recomendaría vivamente hacer uso de la declaración QcSSCD en los QC expedidos en el futuro. Mientras tanto (hasta que haya expirado el último QC que no contenga esta información), la TSL debería hacer uso del campo «Sie» y la extensión «Qualifications» asociada, por ejemplo, filtrando certificados a través de OID definidos por el CSPQC específicos utilizados potencialmente por el CSPQC para distinguir distintos tipos de QC (unos respaldados por un SSCD y otros no) e incluir una «SSCD support information» explícita con relación a estos certificados filtrados mediante el uso de «Qualifiers».

Las directrices generales de uso para las aplicaciones, servicios o productos de firma electrónica que se basan en una implementación TSL de una lista de confianza con arreglo a las presentes especificaciones técnicas son las siguientes:

Una entrada «Sti»«CA/QC» (y análogamente una entrada CA/QC que luego se precisa como «CA/QC raíz» mediante el uso de la extensión additionalServiceInformation en «Sie»)

2.4. Servicios que soportan servicios «CA/QC» pero no forman parte de la «Sdi» del «CA/QC»

Es preciso también cubrir los casos en los que las CRL y las respuestas OCSP están firmadas por claves que no proceden de una CA que expide QC («CA/QC»). Esto puede conseguirse incluyendo estos servicios como tales en la implementación TSL de la TL (es decir, con un «Service type identifier» precisado mediante una extensión «additionalServiceInformation» que refleje que una OCSP o un servicio CRL forman parte de la prestación de QC, por ejemplo, con un tipo de servicio de «OCSP/QC» o «CRL/QC» respectivamente), ya que estos servicios pueden considerarse parte de los servicios «reconocidos» supervisados/acreditados relacionados con la prestación de los servicios de certificación de QC. Por supuesto, los respondedores de OCSP o los expedidores de CRL cuyos certificados estén firmados por CA bajo la jerarquía de un servicio CA/QC que figure en la lista deben considerarse «válidos» y conformes con el valor de estado del servicio CA/QC de la lista.

Similar disposición puede aplicarse a los servicios de certificación que expidan certificados no reconocidos (de un tipo de servicio «CA/PKC») utilizando los tipos de servicio OCSP y CRL por defecto de ETSI TS 102 231.

Nótese que la implementación TSL de la TL DEBERÁ incluir servicios de supresión cuando no conste información relacionada en el campo AIA de los certificados finales, o cuando no esté firmada por una CA que sea de las que figuran en la lista.

2.5. Hacia un perfil QC interoperable

Por norma general, deberá intentarse simplificar (reducir) en la mayor medida posible el número de entradas de servicios («Sdi» distintos). No obstante, habrá que conseguir un equilibrio entre esta intención y la correcta identificación de los servicios relacionados con la expedición de QC y el suministro de información de confianza sobre si estos QC están o no respaldados por un SSCD cuando falte esta información en el QC expedido.

Idealmente, el uso del campo «Sie» y la extensión «Qualification» debería limitarse (estrictamente) a los casos concretos que deban resolverse así, ya que los QC deberían contener información suficiente en relación con el estado reconocido declarado y con el respaldo o no por un SSCD declarado.

Los Estados miembros deberían, en la mayor medida posible, fomentar la adopción y el uso de perfiles QC interoperables.

3. Estructura del modelo común de la Lista de Confianza

El modelo común propuesto para la lista de confianza de un Estado miembro se estructurará con arreglo a las siguientes categorías de información:

En el contexto de un CSP que expide QC, la identificación no ambigua de un servicio de certificación supervisado/acreditado de la lista deberá tomar en consideración las situaciones en que no se dispone de información suficiente en el certificado reconocido sobre su estado «reconocido», su respaldo potencial por un SSCD y especialmente el hecho adicional de que la mayoría de los CSP (comerciales) utilizan una única CA reconocida para expedir varios tipos de certificados de entidad final, tanto reconocidos como no reconocidos.

El número de entradas de la lista por CSP reconocido podría reducirse si existen uno o varios servicios CA de nivel superior, por ejemplo, en el contexto de una jerarquía comercial de CA que descienda desde una CA raíz a las CA expedidoras. No obstante, incluso en estos casos, tendrá que mantenerse y garantizarse el principio de que exista un vínculo no ambiguo entre un servicio de certificación CSPQC y el conjunto de certificados que se desea se identifiquen como QC.

1. Información sobre la lista de confianza y su régimen de expedición

Formará parte de esta categoría la información siguiente:

2. Información de identificación no ambigua sobre cada CSP reconocido por el régimen

Este conjunto de información incluirá al menos lo siguiente:

3. Para cada CSP de la lista, una secuencia de campos que contengan una identificación no ambigua de un servicio de certificación prestado por el CSP y supervisado/acreditado en el contexto de la Directiva 1999/93/CE

Este conjunto de información incluirá al menos lo siguiente para cada servicio de certificación de un CSP de la lista:

4. Para cada servicio de certificación de la lista, la identificación del estado actual del servicio y la historia de este estado.

Este conjunto de información incluirá al menos lo siguiente:

4. Definiciones y abreviaturas

A efectos del presente documento, se aplicarán las siguientes definiciones y acrónimos:

CAPÍTULO I

ESPECIFICACIONES DETALLADAS PARA EL MODELO COMÚN DE LA «LISTA DE CONFIANZA DE PROVEEDORES DE SERVICIOS DE CERTIFICACIÓN SUPERVISADOS/ACREDITADOS»

En la siguiente parte del documento, las palabras clave «DEBERÁ» (MUST), «NO DEBERÁ» (MUST NOT), «OBLIGATORIO» (REQUIRED), el «tiempo futuro» (SHALL), el «tiempo futuro negativo» (SHALL NOT), «DEBERÍA» (SHOULD), «NO DEBERÍA» (SHOULD NOT), «RECOMENDADO» (RECOMMENDED), «PODRÁ» (MAY), y «OPCIONAL» (OPTIONAL), o sus variantes gramaticales, deberán interpretarse de acuerdo con lo descrito para sus equivalentes en lengua inglesa en el documento RFC 2119 ( 15 ).

►M1 Las presentes especificaciones se basan en las especificaciones y requisitos contenidos en la norma ETSI TS 102 231 v3.1.2. Cuando en las presentes especificaciones no se establezca ningún requisito específico, SE APLICARÁN íntegramente los requisitos de ETSI TS 102 231 v.3.1.2. ◄ Cuando figuren requisitos específicos, estos PREVALECERÁN sobre los requisitos correspondientes de ETSI TS 102 231, completados por las especificaciones de formato contenidas en ETSI TS 102 231. En caso de discrepancia entre las presentes especificaciones y las especificaciones de ETSI TS 102 231, las primeras SERÁN las normativas.

SE IMPLEMENTARÁ el soporte de lenguas y se facilitará al menos en inglés (EN) y además, potencialmente, en una o más lenguas nacionales.

La indicación de fecha y hora SE AJUSTARÁ a la cláusula 5.1.4 de ETSI TS 102 231.

El uso de URI SE AJUSTARÁ a la cláusula 5.1.5 de ETSI TS 102 231.

Información sobre el régimen de expedición de la lista de confianza

Tag

Este campo es OBLIGATORIO y SE AJUSTARÁ a la cláusula 5.2.1 de ETSI TS 102 231.

▼M1 —————

▼C1

Scheme Information

Este campo es OBLIGATORIO y su valor DEBERÁ ser «3» (entero).

▼M1

Este campo es OBLIGATORIO y ESPECIFICARÁ el número de secuencia del TSL. Este valor entero, que será «1» en la primera versión de la TSL, SE INCREMENTARÁ a cada versión posterior de la misma. NO SE REINICIARÁ a «1» cuando se incremente el valor del «TSL version identifier».

▼C1

▼M1

Este campo es OBLIGATORIO y especifica el tipo de TSL. Su valor SE PONDRÁ a http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (genérico).

▼C1

Nota: A fin de ajustarse a ETSI TS 102 231, cláusula 5.3.3, e indicar el tipo específico de TSL mientras se hace referencia a la existencia de las presentes especificaciones que rigen el establecimiento de la implementaciónTSL de la lista de confianza de los Estados miembros ( 16 ) y permitir que un analizador sintáctico determine qué forma de cualquiera de los campos siguientes ( 17 ) debe esperar, cuando estos campos tengan significados específicos (o alternativos) con arreglo al tipo de TSL representado (en este caso constituir la lista de confianza de un Estado miembro), el URI específico SE REGISTRARÁ y DESCRIBIRÁ de la siguiente manera:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic

▼C1

Descripción : Una implementación TSL de una lista que indica el estado de supervisión/acreditación de los servicios de certificación de los proveedores de servicios de certificación que están supervisados/acreditados por el Estado miembro de referencia poseedor de la implementación TSL en cuanto al cumplimiento de las disposiciones pertinentes establecidas en la Directiva 1999/93/CE, mediante un proceso de vigilancia directa (sea voluntaria o por ley).

Este campo es OBLIGATORIO. ESPECIFICARÁ el nombre del organismo del Estado miembro encargado de establecer, publicar y mantener la lista de confianza nacional. ESPECIFICARÁ la denominación oficial con la que opera la entidad jurídica o la entidad mandataria (por ejemplo, para las agencias administrativas públicas) asociada a este organismo. DEBERÁ ser la denominación utilizada en el registro o autorización legal oficial y a la cual deben dirigirse las comunicaciones oficiales. DEBERÁ ser una secuencia de cadenas de caracteres multilingües y DEBERÁ implementarse con el inglés (EN) como lengua obligatoria y con, potencialmente, una o más lenguas nacionales.

Nota: Un país PODRÁ tener organismos de supervisión y acreditación distintos e incluso organismos adicionales para las eventuales actividades operativas conexas. ►M1 Compete a cada Estado miembro designar al operador del régimen de implementación TSL de la TL del Estado miembro. ◄ Se espera que el organismo de supervisión, el organismo de acreditación y el operador del régimen (cuando se trate de organismos distintos) tengan cada uno sus propias responsabilidades.

Cualquier situación en la que sean varios los organismos responsables de la supervisión, la acreditación o los aspectos operativos DEBERÁ reflejarse de manera coherente e identificarse como tal en la información sobre el régimen que figura en la TL, incluida la información específica del régimen indicada por el «Scheme information URI» (cláusula 5.3.7).

▼M1

El operador del régimen designado (cláusula 5.3.4) será la entidad que firme la TSL.

▼C1

Este campo es OBLIGATORIO. ESPECIFICARÁ la dirección de la entidad jurídica u organización mandatria identificada en el campo «Scheme operator name» (cláusula 5.3.4) para comunicaciones tanto postales como electrónicas. INCLUIRÁ tanto la «PostalAddress» (es decir, calle, localidad, [estado o provincia], [código postal] y código de país ISO 3166-1 alfa-2) con arreglo a la cláusula 5.3.5.1; como la «ElectronicAddress» (es decir, correo electrónico o URI del sitio web) con arreglo a la cláusula 5.3.5.2.

Este campo es OBLIGATORIO y especificará la denominación bajo la que actúa el régimen. SERÁ una secuencia de cadenas de caracteres multilingües (con EN como lengua obligatoria y con, potencialmente, una o más lenguas nacionales) definida así:

Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws.

La denominación del régimen debe identificar de manera única, por su nombre, al régimen a que se hace referencia mediante el «Scheme information URI», y también garantizar que, en caso de que el operador de un régimen opere más de uno, cada uno de ellos tenga una denominación distinta.

Los Estados miembros y los operadores de regímenes SE ASEGURARÁN de que cuando un Estado miembro o un operador de régimen operen más de un régimen, cada uno de ellos reciba una denominación distinta.

Este campo es OBLIGATORIO y ESPECIFICARÁ el URI o los URI en los que las partes usuarias pueden obtener información específica del régimen (con el EN como lengua obligatoria y con, potencialmente, una o más lenguas nacionales). Esta SERÁ una secuencia de indicadores multilingües (con el EN como lengua obligatoria y con, potencialmente, una o más lenguas nacionales). La URI o las URI especificadas DEBERÁN facilitar un camino hacia la información que constituya la «información apropiada sobre el régimen».

La «información apropiada sobre el régimen» INCLUIRÁ como mínimo:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.»

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable “supervision” system (respectively “voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

«The present list is the TSL implementation of [name of the relevant Member State] “Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Además, PODRÁ facilitarse con carácter voluntario información adicional específica del Estado miembro sobre el régimen. Esta INCLUIRÁ:

Este campo es OBLIGATORIO y ESPECIFICARÁ el identificador del método de determinación del estado. SE UTILIZARÁ el siguiente URI específico, según se registra y describe a continuación:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Descripción : El estado de los servicios de la lista lo determina el operador del régimen (o se determina en su nombre) con arreglo a un sistema apropiado para un Estado miembro de referencia que permita la «supervisión» (y, si procede, «acreditación voluntaria») de los proveedores de servicios de certificación establecidos en su territorio (o establecidos en un tercer país en el caso de la «acreditación voluntaria») y expida certificados reconocidos al público con arreglo al artículo 3, apartado 3 [respectivamente artículo 3, apartado 2 o artículo 7, apartado 1, letra a)] de la Directiva 1999/93/CE, y, si procede, que permita la «supervisión»/«acreditación voluntaria» de los proveedores de servicios de certificación que no expidan certificados reconocidos, con arreglo a uno o más «regímenes de aprobación reconocidos» definidos y establecidos a nivel nacional e implementados a ese mismo nivel para la supervisión del cumplimiento por los servicios de los CSP que no expiden QC de las disposiciones establecidas en la Directiva 1999/93/CE y potencialmente ampliadas por disposiciones nacionales con respecto a la prestación de tales servicios de certificación.

Este campo es OBLIGATORIO y CONTENDRÁ al menos los siguientes URI registrados:

— Un URI común a todas las listas de confianza de los Estado miembros que lleve a un texto descriptivo que SERÁ aplicable a todas las TL:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— mediante el cual se denota la participación del régimen del Estado miembro (identificado a través del «TSL type» (cláusula 5.3.3) y «Scheme name» (cláusula 5.3.6) en un sistema de regímenes (es decir, una TSL que contiene indicadores a todos los Estado miembros que publican y mantienen una TL en forma de TSL);

— en el que los usuarios pueden obtener la política o las reglas con arreglo a las cuales SE EVALUARÁN los servicios incluidos en la lista y que permitan determinar el tipo de TSL (véase la cláusula 5.3.3),

— en el que los usuarios pueden obtener una descripción sobre cómo usar e interpretar el contenido de la implementación TSL de la Lista de Confianza; estas reglas de uso SERÁN comunes a todas las listas de confianza de los Estados miembros sea cual sea el tipo de servicio que figure en la lista y sean cuales sean los sistemas de supervisión/acreditación.

— Texto descriptivo:

Each Member State must create a “Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable “supervision” system (respectively “voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art. 7.1(a), Art. 8.1, Art. 11)

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a “voluntary accreditation” system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined “recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific “qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a “qualification” is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/EC are as follows:

A “CA/QC”“Service type identifier” (“Sti”) entry (similarly a CA/QC entry further qualified as being a “RootCA/QC” through the use of “Service information extension” (“Sie”) additionalServiceInformation extension)

— indicates that from the “Service digital identifier” (“Sdi”) identified CA (similarly within the CA hierarchy starting from the “Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no “Sie”“Qualification” information is present or if an end-entity certificate that is claimed to be a QC is not “further identified” through a related “Sie” entry, then the “machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF “Sie”“Qualification” information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this “Sie”“Qualification” entry, which is constructed on the principle of a sequence of “filters” further identifying a set of certificates, must be considered according to the associated “qualifiers” providing some additional information regarding “SSCD support” and/or “Legal person as subject” (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific “Key usage” pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of “qualifiers” used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — “QCWithSSCD” qualifier value meaning “QC supported by an SSCD”, or — “QCNoSSCD” qualifier value meaning “QC not supported by an SSCD”, or — “QCSSCDStatusAsInCert” qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the “Sdi”-“Sie” provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — “QCForLegalPerson” qualifier value meaning “Certificate issued to a Legal Person”

The general interpretation rule for any other “Sti” type entry is that the listed service named according to the “Sn” field value and uniquely identified by the “Sdi” field value has a current supervision/accreditation status according to the “Scs” field value as from the date indicated in the “Current status starting date and time”. Specific interpretation rules for any additional information with regard to a listed service (e.g. “Service information extensions” field) may be found, when applicable, in the Member State specific URI as part of the present “Scheme type/community/rules” field.

Please refer to the Technical specifications for a Common Template for the “Trusted List of supervised/accredited Certification Service Providers” in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.»