2009D0767 — ES — 01.02.2014 — 003.001

Este documento es un instrumento de documentación y no compromete la responsabilidad de las instituciones

Modificado por:

Rectificado por:

▼B

▼C1

DECISIÓN DE LA COMISIÓN

de 16 de octubre de 2009

por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las «ventanillas únicas» con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior

[notificada con el número C(2009) 7806]

(Texto pertinente a efectos del EEE)

(2009/767/CE)

Artículo 1

Uso y aceptación de firmas electrónicas

1. Si se justifica sobre la base de una evaluación apropiada de los riesgos existentes y de conformidad con el artículo 5, apartados 1 y 3, de la Directiva 2006/123/CE, los Estados miembros podrán exigir, para la realización de algunos procedimientos y trámites a través de las ventanillas únicas con arreglo al artículo 8 de la Directiva 2006/123/CE, el uso por el prestador del servicio de firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma, según se definen y regulan en la Directiva 1999/93/CE.

2. Los Estados miembros aceptarán cualquier firma electrónica avanzada basada en un certificado reconocido, con o sin dispositivo seguro de creación de firma, para la realización de los procedimientos y trámites a que se refiere el apartado 1, sin perjuicio de la posibilidad de que los Estados miembros limiten esta aceptación a las firmas electrónicas avanzadas basadas en un certificado reconocido y creadas mediante un dispositivo seguro de creación de firma si ello está en consonancia con la evaluación del riesgo a que se refiere el apartado 1.

3. Los Estados miembros no supeditarán la aceptación de las firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma, a requisitos que obstaculicen el uso, por los prestadores de servicios, de procedimientos por vía electrónica a través de las ventanillas únicas.

4. El apartado 2 no impedirá a los Estados miembros aceptar firmas electrónicas distintas de las firmas electrónicas avanzadas basadas en un certificado reconocido, con o sin dispositivo seguro de creación de firma.

Artículo 2

Establecimiento, mantenimiento y publicación de listas de confianza

▼M3

1. Cada Estado miembro establecerá, mantendrá y publicará, de conformidad con las especificaciones técnicas que figuran en el anexo, una «lista de confianza» que contenga, al menos, la información referente a los proveedores de servicios de certificación que expiden certificados reconocidos al público por él supervisados/acreditados.

2. Los Estados miembros elaborarán y publicarán una versión de la lista de confianza procesable por máquina, de conformidad con las especificaciones que figuran en el anexo. Si un Estado miembro opta por publicar una versión legible por las personas de su lista de confianza, dicha versión se atendrá a las especificaciones que figuran en el anexo.

2 bis. Los Estados miembros firmarán electrónicamente la versión procesable por máquina de sus respectivas listas de confianza a fin de garantizar su autenticidad e integridad. Si un Estado miembro publica una versión legible por las personas de la lista de confianza, se asegurará de que dicha versión contenga los mismos datos que la versión procesable por máquina, y la firmará electrónicamente con el mismo certificado utilizado para esta última.

▼M3

2 ter. Los Estados miembros se asegurarán de que la versión procesable por máquina de sus respectivas listas de confianza sea accesible en su lugar de publicación en todo momento, sin interrupción, excepto con fines de mantenimiento.

▼M3

3. Los Estados miembros notificarán a la Comisión la siguiente información:

▼M3

3 bis. Si un Estado miembro publica una versión legible por personas de la lista de confianza, la información a la que se refiere el apartado 3 se notificará asimismo respecto a esta versión.

▼M1

4. La Comisión pondrá a disposición de los Estados miembros, a través de un canal seguro, en un servidor web autenticado, la información mencionada en el apartado 3 que haya sido comunicada por los Estados miembros, tanto en una versión legible por las personas como en una versión procesable por máquina.

▼C1

Artículo 3

Aplicación

La presente Decisión se aplicará a partir del 28 de diciembre de 2009.

Artículo 4

Destinatarios

Los destinatarios de la presente Decisión serán los Estados miembros.

▼M3

ANEXO

ESPECIFICACIONES TÉCNICAS RELATIVAS A UN MODELO COMÚN PARA LA «LISTA DE CONFIANZA DE PROVEEDORES DE SERVICIOS DE CERTIFICACIÓN SUPERVISADOS/ACREDITADOS»

REQUISITOS GENERALES

1. Introducción

La finalidad del modelo común para la «lista de confianza de proveedores de servicios de certificación supervisados/acreditados» de los Estados miembros es establecer un formato común para que cada Estado miembro facilite la información sobre el estado de supervisión/acreditación de los servicios de certificación de los proveedores de servicios de certificación [certification services providers ( 3 ) o CSP] que supervisa/acredita en cuanto al cumplimiento de las disposiciones pertinentes de la Directiva 1999/93/CE. Ello incluye la presentación de información histórica sobre el estado de supervisión/acreditación de los servicios de certificación supervisados/acreditados.

El objetivo principal de esta información es facilitar la validación de una firma electrónica reconocida (Qualified Electronic Signature o QES) o una firma electrónica avanzada (Advanced Electronic Signature o AdES) ( 4 ) respaldadas por un certificado reconocido ( 5 ) ( 6 ).

La información obligatoria de la lista de confianza (Trusted List o TL) deberá incluir. como mínimo, información sobre los CSP supervisados/acreditados que expiden certificados reconocidos (Qualified Certificates o QC) ( 7 ) de conformidad con lo dispuesto en la Directiva 1999/93/CE [artículo 3, apartados 2 y 3, y artículo 7, apartado 1, letra a)], incluida, cuando no forma parte de los QC, información sobre el QC que respalda una firma electrónica y sobre si la firma se crea o no mediante un dispositivo seguro de creación de firma (SSCD) ( 8 ).

A nivel nacional y con carácter voluntario, podrá incluirse en la lista de confianza información adicional sobre otros CSP supervisados/acreditados que no expidan QC, pero presten servicios relacionados con las firmas electrónicas (por ejemplo, CSP que presten servicios de estampación de fecha y hora y expidan sellos temporales, CSP que expidan certificados no reconocidos, etc.), siempre que se acrediten o supervisen de un modo similar al de los CSP que expiden QC, o hayan sido autorizados con arreglo a un régimen de aprobación nacional diferente. Es posible que los regímenes de aprobación nacionales en algunos Estados miembros difieran de los regímenes de supervisión o de acreditación voluntaria aplicables a los CSP que expiden QC en lo que atañe a los requisitos exigibles y/o la organización competente. Los términos «acreditado» y/o «supervisado» en las presentes especificaciones también atañen a los regímenes de aprobación nacionales, pero los Estados miembros deberán facilitar información adicional sobre la naturaleza de sus regímenes nacionales en sus respectivas listas de confianza, incluida una aclaración sobre las posibles diferencias con los regímenes de acreditación/supervisión aplicados a los CSP que expiden QC.

El modelo común se basa en la norma ETSI TS 119 612 v1.1.1 ( 9 ) (a la que se aludirá en lo sucesivo como ETSI TS 119 612), que se refiere al establecimiento, la publicación, la localización, el acceso, la autenticación y la integridad de tales listas.

2. Estructura del modelo común de la lista de confianza

El modelo común de la lista de confianza de un Estado miembro se estructura con arreglo a la ETSI TS 119 612, en las siguientes categorías de información:

En el caso de un CSP que expide QC, la estructura de la lista de confianza y, en particular, el componente relativo a la información de los servicios (con arreglo al punto 4 anterior) permite que la información complementaria en las extensiones de información de servicio compense aquellas situaciones en las que se dispone de una información (procesable por máquina) insuficiente en el certificado reconocido respecto a su estado «reconocido», o su posible respaldo por un SSCD y, en especial, con el fin de atender al hecho adicional de que la mayoría de los CSP (comerciales) utilizan una única autoridad de certificación (Certification Authority, CA) para expedir diversos tipos de certificados de entidad final, tanto reconocidos, como no reconocidos.

En el contexto de los servicios de generación de certificados (CA), el número de entradas de servicios en la lista correspondiente a un CSP puede reducirse en el caso de que existan uno o varios servicios CA de nivel superior en la PKI del CSP (por ejemplo, en el contexto de una jerarquía de CA que descienda desde una CA raíz, a varias CA expedidoras), mediante la inclusión en la lista pertinente de los servicios CA superiores, y no de los servicios CA que expiden certificados de entidad final (por ejemplo, consignando en la lista únicamente la CA raíz del CSP). No obstante, en tales casos, la información del estado se aplica al conjunto de la jerarquía de servicios CA por debajo del servicio de la lista, y ha de mantenerse y asegurarse el principio de garantizar el vínculo inequívoco entre un servicio de certificación CSPQC y el conjunto de certificados que se desea se identifiquen como QC.

2.1. Descripción de la información en cada categoría

1. Etiqueta de lista de confianza

2. Información sobre la lista de confianza y su régimen de expedición

Forma parte de esta categoría la información siguiente:

3. Información de identificación inequívoca sobre cada CSP supervisado/acreditado por el régimen

Este conjunto de información incluirá al menos lo siguiente:

4. Para cada CSP de la lista, una secuencia de campos que contengan una identificación inequívoca de un servicio de certificación prestado por el CSP y supervisado/acreditado en el contexto de la Directiva 1999/93/CE

Este conjunto de información incluirá al menos lo siguiente para cada servicio de certificación de un CSP de la lista:

5. Para cada servicio de certificación de la Lista, la información histórica sobre su estado

6. Una firma computada a efectos de autenticación respecto a todos los campos de la TL, excepto el valor de la firma en sí

3. Directrices para la edición de las entradas de la lista de confianza

3.1. Información sobre el estado de supervisión/acreditación de los servicios de certificación y sus proveedores en una única lista

La lista de confianza de un Estado miembro equivale a la «lista del estado de supervisión/acreditación de los servicios de certificación de los proveedores de servicios de certificación que están supervisados/acreditados por el Estado miembro de referencia en cuanto al cumplimiento de las disposiciones pertinentes de la Directiva 1999/93/CE».

Esa lista de confianza es el único instrumento que debe utilizar cada Estado miembro para facilitar información sobre el estado de supervisión/acreditación de los servicios de certificación y sus proveedores:

Al examinar las definiciones y disposiciones contenidas en la Directiva 1999/93/CE, en particular en relación con los CSP pertinentes y sus sistemas de supervisión/acreditación voluntaria, cabe distinguir dos grupos de CSP, a saber, los que expiden QC al público (CSPQC), y los que no los expiden, pero prestan «otros servicios (auxiliares) en relación con la firma electrónica»:

Deberá establecerse y mantenerse una única lista de confianza por Estado miembro para indicar el estado de supervisión y/o acreditación de los servicios de certificación de los CSP que están supervisados/acreditados por el Estado miembro. La lista de confianza incluirá al menos aquellos CSP que expiden QC. Podrá indicar asimismo el estado de otros servicios de certificación supervisados o acreditados en el marco de un régimen de aprobación definido a escala nacional.

3.2. Un conjunto único de valores sobre el estado de supervisión/acreditación

En la lista de confianza, el hecho de que un servicio se encuentre en cada momento «supervisado» o «acreditado» viene dado por el valor de su estado actual. Además, un estado de supervisión o acreditación puede ser positivo («bajo supervisión», «acreditado», «supervisión en proceso de suspensión») o estar suspendido («supervisión suspendida», «acreditación suspendida»), o incluso suprimido («supervisión suprimida», «acreditación suprimida»), y establecerse en el valor correspondiente. A lo largo de su vida, un mismo servicio de certificación podrá pasar de un estado de supervisión a otro de acreditación y viceversa ( 10 ).

La siguiente figura 1 describe el flujo esperado, para un único servicio de certificación, entre las posibles situaciones de supervisión/acreditación:

Figura 1

Flujo esperado del estado de supervisión/acreditación de un servicio de un CSP

Si se encuentra establecido en un Estado miembro, un servicio de certificación que expida QC deberá ser supervisado (por el Estado miembro en el que esté establecido), y podrá ser acreditado voluntariamente. El valor del estado de tal servicio cuando conste en una lista de confianza debe ser uno de los valores antes indicados como «valor actual del estado», con arreglo a su estado efectivo, y deberá modificarse, en su caso, con arreglo al flujo de estado descrito en la figura anterior. Sin embargo, «acreditación suspendida» y «acreditación suprimida» deberán ser valores de «estado de tránsito» cuando el servicio CSPQC conste en la lista de confianza del Estado miembro en el que se encuentra establecido, ya que tal servicio deberá estar supervisado por defecto (incluso si no está acreditado, o ha dejado de estarlo); cuando el servicio correspondiente figure en la lista (acreditado) en otro Estado miembro distinto de aquel en el que se encuentre establecido, tales valores podrán ser definitivos.

Los Estados miembros que establezcan o hayan establecido uno o más «regímenes de aprobación reconocidos» definidos y aplicados a nivel nacional para supervisar si los servicios de los CSP que no expiden QC cumplen las disposiciones de la Directiva 1999/93/CE y las eventuales disposiciones nacionales relativas a la prestación de servicios de certificación (en el sentido del artículo 2, punto 11, de la Directiva) deberán clasificar tales regímenes de aprobación en una de las dos categorías siguientes:

Por consiguiente, un servicio de certificación que no expida QC podrá ser supervisado o acreditado voluntariamente. El valor del estado de tal servicio cuando conste en una lista de confianza debe ser uno de los valores antes indicados como su «valor de estado actual» (véase la figura 1), con arreglo a su estado efectivo, y deberá modificarse, en su caso, con arreglo al flujo de estado descrito en la figura anterior.

La lista de confianza deberá contener información sobre el régimen o los regímenes de supervisión/acreditación subyacentes, y en particular:

Los dos últimos elementos de información son de importancia crítica para que las partes usuarias puedan evaluar el nivel de calidad y seguridad de los sistemas de supervisión/acreditación aplicados a nivel nacional a los CSP que no expiden QC. Cuando en la lista de confianza figure información sobre el estado de supervisión/acreditación de servicios prestados por CSP que no expiden QC, los elementos de información mencionados deberán facilitarse a nivel de la lista de confianza mediante el uso de «Scheme information URI» (cláusula 5.3.7 — información facilitada por los Estados miembros), «Scheme type/community/rules» (cláusula 5.3.9 — mediante el uso de un texto común a todos los Estados miembros, e información específica opcional facilitada por un Estado miembro) y «TSL policy/legal notice» (cláusula 5.3.11 — un texto común a todos los Estados miembros que remite a la Directiva 1999/93/CE, junto con la facultad de cada Estado miembro de añadir texto/referencias específicas propias).

Podrá facilitarse a nivel de servicio información adicional sobre «reconocimiento» definida a nivel de los sistemas de supervisión/acreditación nacionales para los CSP que no expiden QC, si procede y es preciso (por ejemplo, para distinguir entre varios niveles de calidad/seguridad), mediante el uso de la extensión «additionalServiceInformation» (cláusula 5.5.9.4) dentro de la «Service information extensions» (cláusula 5.5.9). Se encontrará más información sobre las especificaciones técnicas correspondientes en las especificaciones detalladas del capítulo I.

Pese a que en un Estado miembro pueda haber distintos organismos encargados de la supervisión y acreditación de los servicios de certificación, se espera que se utilice una sola entrada para un mismo servicio de certificación y que su estado de supervisión/acreditación se actualice en consecuencia.

3.3. Entradas de la lista de confianza cuyo objetivo es facilitar la validación de QES y AdESQC

La parte más crítica de la creación de la lista de confianza es el establecimiento de su parte obligatoria, a saber, la «lista de servicios» por cada CSP que expide QC, a fin de reflejar correctamente la situación exacta de cada uno de estos servicios de certificación que expiden QC y de garantizar que la información facilitada en cada entrada sea suficiente para facilitar la validación de QES y AdESQC (cuando se combina con el contenido del QC de entidad final expedido por el CSP dentro del servicio de certificación correspondiente a la entrada).

La información exigida podría incluir información distinta de la «Service digital identity» de una única CA (raíz), en particular información que identifique el estado de QC de los certificados expedidos por tal servicio CA, y si las firmas respaldadas están o no creadas mediante un SSCD. El organismo de un Estado miembro designado para establecer, editar y mantener la lista de confianza deberá tener en cuenta, por tanto, el perfil actual y el contenido del certificado en cada QC expedido, por cada servicio CSPQC incluido en la lista de confianza.

Idealmente, cada QC expedido debería incluir la declaración QcCompliance ( 11 ) definida por el ETSI cuando se afirma que es un QC, así como la declaración QcSSCD definida por el ETSI cuando se afirma que está respaldado por un SSCD para generar firmas electrónicas, y/o que cada QC expedido incluye uno de los identificadores de objeto (Object Identifier u OID) de política de certificados QCP/QCP + definido en ETSI EN 319.411-2 ( 12 ). El uso por los CSP que expiden QC de normas distintas como referencias, el amplio margen de interpretación de estas normas y el desconocimiento de la existencia y prioridad de algunas especificaciones técnicas normativas o normas ha provocado diferencias en el contenido real de los QC actualmente expedidos (por ejemplo, el que se usen o no las QcStatements definidas por el ETSI) y, en consecuencia, está impidiendo que las partes receptoras confíen sin más en el certificado del firmante (y en la cadena o trayectoria asociada) para evaluar, al menos de un modo legible por máquina, si se afirma o no que el certificado que avala una firma electrónica es un QC y si está o no asociado con un SSCD mediante el cual se ha creado dicha firma.

Rellenar los campos «Service type identifier» («Sti»), «Service name» («Sn») y «Service digital identity» («Sdi») de la entrada de servicio en la lista de confianza con la información facilitada en el campo «Service information extensions» («Sie») permite la determinación íntegra de un tipo específico de certificado reconocido expedido por un servicio de certificación de un CSP que expide QC que figura en la lista, y facilita información sobre si está respaldado o no por un SSCD (cuando tal información está ausente del QC expedido). Con esta entrada está asociada una información específica «Service current status» («Scs»). Todo ello se representa en la figura 2.

El que un servicio figurase en la lista solo con el «Sdi» de una CA (raíz) significaría que está garantizado (por el CSP que expide QC, pero también por el organismo de supervisión/acreditación encargado de la supervisión/acreditación de ese CSP) que cualquier certificado de entidad final expedido bajo esta (jerarquía de) CA (raíz) contiene suficiente información definida por el ETSI y procesable por una máquina para determinar si es un QC o no y si está respaldado por un SSCD. En caso de que, por ejemplo, esto último no sea cierto (es decir que el QC no contenga ninguna indicación procesable por una máquina y normalizada por el ETSI sobre si está respaldado por un SSCD), la inclusión en la lista solo del «Sdi» de esa CA (raíz) permite únicamente asumir que un QC expedido bajo esta (jerarquía de) CA (raíz) no está respaldado por ningún SSCD. Para indicar que tales QC deben considerarse respaldados por un SSCD, debería utilizarse el campo «Sie» (lo que indica también que esa información está garantizada por el CSP que expide los QC y está supervisada/acreditada por el organismo de supervisión o acreditación respectivamente).

Figura 2

Entrada de un servicio de un CSP que expide QC y figura en la lista de confianza

Principios generales — Reglas de edición — Entradas CSPQC (servicios de la lista)

Las presentes especificaciones técnicas del modelo común de la lista de confianza permiten utilizar una combinación de cinco partes principales de información en la entrada del servicio:

3.4. Directrices de edición y uso de las entradas de servicios CSPQC

Las directrices generales de edición son las siguientes:

Como principio general por defecto, para un CSP que figure en la lista de confianza deberá haber una entrada de servicio por cada clave pública única para un servicio de certificación de tipo CA/QC, es decir, una autoridad de certificación que expida (directamente) QC. En ciertas circunstancias excepcionales y en condiciones cuidadosamente gestionadas, el organismo de supervisión o acreditación del Estado miembro podrá optar por utilizar, como el «Sdi» de una entrada única en la lista de servicios del CSP de la lista, la clave pública de un CA raíz o de nivel superior en la PKI del CSP (por ejemplo, en el contexto de la jerarquía del CSP de CA que descienda desde una CA raíz, a varias CA expedidoras), en lugar de incluir en la lista todos los servicios CA expedidores subordinados (es decir, incluir en la lista una autoridad de certificación que no expida directamente QC a entidades finales, pero certifique una jerarquía de CA que descienda hasta las CA que expiden QC a entidades finales). Las consecuencias (ventajas y desventajas) de utilizar esta clave pública de una CA raíz o CA de nivel superior como valor «Sdi» en una entrada de servicio en la lista de confianza deberán ser consideradas con detenimiento cuando los Estados miembros procedan a su aplicación. Además, cuando se recurra a esta excepción autorizada al principio por defecto, el Estado miembro deberá aportar la documentación necesaria para facilitar la construcción y verificación de la trayectoria de certificación. Como ejemplo, en el contexto de un CSPQC que utiliza una CA raíz bajo la cual varias CA expiden QC y no QC, pero cuyos QC contienen solo la declaración QcCompliance y ninguna indicación de si está respaldado por un SSCD, la inclusión en la lista del «Sdi» de la CA raíz significaría solamente, con arreglo a las reglas antes explicadas, que ningún QC expedido bajo este CA raíz está respaldado por un SSCD. Si estos QC están realmente respaldados por un SSCD, pero sin ninguna declaración procesable por máquina que indique que tal respaldo se incluye en los certificados, se recomendaría encarecidamente hacer uso de la declaración QcSSCD en los QC que se expidan en el futuro. Mientras tanto (hasta que haya expirado el último QC que no contenga esta información), la lista de confianza debería hacer uso del campo «Sie» y la extensión «Qualifications» asociada, por ejemplo, facilitando información de filtrado para identificar los conjuntos de certificados mediante el uso de OID específicos definidos por el CSPQC y utilizados potencialmente por el CSPQC para distinguir entre distintos tipos de QC (unos respaldados por un SSCD y otros no), asociando una «SSCD support information» explícita con estos conjuntos de certificados (filtrados) identificados mediante el uso de «Qualifiers».

Las directrices generales de uso para las aplicaciones, servicios o productos de firma electrónica que se basan en una lista de confianza conforme a las presentes especificaciones técnicas son las siguientes:

Una entrada «Sti»«CA/QC» (y análogamente una entrada CA/QC que luego se precisa como «CA/QC raíz» mediante el uso de la extensión additionalServiceInformation en «Sie»)

3.5. Servicios que soportan servicios «CA/QC» pero no forman parte de la «Sdi» del «CA/QC»

Los servicios de estado de validez de certificados relacionados con los QC, y con respecto a los cuales la información sobre el estado de validez de un certificado (por ejemplo, CRL y respuestas OCSP) sea firmada por una entidad cuya clave privada no está certificada con arreglo a una trayectoria de certificación que conduzca a una CA que expida QC y se incluya en la lista («CA/QC»), se incluirán en la lista de confianza mediante su consignación como tales en dicha lista (es decir, con un tipo de servicio «OCSP/QC» o «CRL/QC», respectivamente), ya que estos servicios pueden considerarse parte de los servicios «reconocidos» supervisados/acreditados relacionados con la prestación de los servicios de certificación de QC. Por supuesto, los respondedores de OCSP o los expedidores de CRL cuyos certificados estén firmados por CA bajo la jerarquía de un servicio CA/QC que figure en la lista deben considerarse «válidos» y conformes al valor de estado del servicio CA/QC de la lista.

Similar disposición puede aplicarse a los servicios de certificación que expidan certificados no reconocidos (de un tipo de servicio «CA/PKC»).

La lista de confianza incluirá servicios de estado de validez de certificados cuando la información de localización relacionada de tales servicios no figure en los certificados de entidad final a los que se apliquen dichos servicios.

4. Definiciones y abreviaturas

A efectos del presente documento, se aplicarán las siguientes definiciones y acrónimos:

En los capítulos siguientes, las palabras clave «DEBERÁ» (MUST), «NO DEBERÁ» (MUST NOT), «OBLIGATORIO» (REQUIRED), el «tiempo futuro» (SHALL), el «tiempo futuro negativo» (SHALL NOT), «DEBERÍA» (SHOULD), «NO DEBERÍA» (SHOULD NOT), «RECOMENDADO» (RECOMMENDED), «PODRÁ» (MAY), y «OPCIONAL» (OPTIONAL), o sus variantes gramaticales, deberán interpretarse de acuerdo con lo descrito para sus equivalentes en lengua inglesa en el documento RFC 2119 ( 13 ).

CAPÍTULO I

ESPECIFICACIONES DETALLADAS PARA EL MODELO COMÚN DE LA «LISTA DE CONFIANZA DE PROVEEDORES DE SERVICIOS DE CERTIFICACIÓN SUPERVISADOS/ACREDITADOS»

Las presentes especificaciones se basan en las especificaciones y requisitos contenidos en la norma ETSI TS 119 612 v1.1.1 (a la que se alude en lo sucesivo como ETSI TS 119 612).

Cuando en las presentes especificaciones no figure ningún requisito específico, se APLICARÁN íntegramente los requisitos de las cláusulas 5 y 6 de la ETSI TS 119 612. Cuando figuren requisitos específicos, estos PREVALECERÁN sobre los requisitos correspondientes de ETSI TS 119 612. En caso de discrepancia entre las presentes especificaciones y las especificaciones de ETSI TS 119 612, las primeras SERÁN las normativas.

Scheme operator name (cláusula 5.3.4)

Este campo DEBERÁ estar presente y cumplir las especificaciones previstas en la cláusula 5.3.4 de TS 119 612.

Un país PODRÁ tener organismos de supervisión y acreditación distintos e incluso organismos adicionales para las eventuales actividades operativas conexas. Compete a cada Estado miembro designar al operador del régimen de su lista de confianza. Se espera que el organismo de supervisión, el organismo de acreditación y el operador del régimen (cuando se trate de organismos distintos) tengan cada uno sus propias responsabilidades.

Cualquier situación en la que sean varios los organismos responsables de la supervisión, la acreditación o los aspectos operativos DEBERÁ reflejarse de manera coherente e identificarse como tal en la información sobre el régimen que figura en la lista de confianza, incluida la información específica del régimen indicada por el «Scheme information URI» (cláusula 5.3.7).

Scheme name (cláusula 5.3.6)

Este campo DEBERÁ estar presente y cumplir las especificaciones previstas en la cláusula 5.3.6 de TS 119 612, y se UTILIZARÁ para el régimen el nombre que sigue:

«EN_name_value» = «Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Scheme Operator’s Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.»

Scheme information URI (cláusula 5.3.7)

Este campo DEBERÁ estar presente y cumplir las especificaciones previstas en la cláusula 5.3.7 de TS 119 612, y la «información apropiada sobre el régimen» INCLUIRÁ, al menos:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.»

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8.(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

«The present list is the “Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Además, PODRÁ facilitarse con carácter voluntario información adicional específica del Estado miembro sobre el régimen, como la que sigue:

Scheme type/community/rules (cláusula 5.3.9)

Este campo DEBERÁ estar presente y cumplir las especificaciones de la cláusula 5.3.9 de TS 119 612, y CONTENDRÁ al menos los siguientes dos URI:

— Un URI común a todas las listas de confianza de los Estados miembros que lleve a un texto descriptivo que SERÁ aplicable a todas las listas de confianza:

— URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

— Texto descriptivo:

Each Member State must create a “Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable “supervision” system (respectively “voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a “voluntary accreditation” system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined “recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/EC). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific “qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a “qualification” is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A “CA/QC”“Service type identifier” (“Sti”) entry (similarly a CA/QC entry further qualified as being a «RootCA/QC» through the use of “Service information extension” (“Sie”) additionalServiceInformation Extension)

— indicates that from the “Service digital identifier” (“Sdi”) identified CA (similarly within the CA hierarchy starting from the “Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412-5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411-2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no “Sie”“Qualifications Extension” information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related “Sie”“Qualifications Extension” information, then the “machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.