Source: http://docplayer.es/11322028-Republica-de-panama-ministerio-de-comercio-e-industrias-direccion-general-de-comercio-electronico-reglamento-no-dgce-pki-spp-001-2009.html
Timestamp: 2018-01-19 20:56:10+00:00

Document:
REPÚBLICA DE PANAMÁ Ministerio de Comercio e Industrias Dirección General de Comercio Electrónico. Reglamento No. DGCE-PKI-SPP - PDF
REPÚBLICA DE PANAMÁ Ministerio de Comercio e Industrias Dirección General de Comercio Electrónico. Reglamento No. DGCE-PKI-SPP
Download "REPÚBLICA DE PANAMÁ Ministerio de Comercio e Industrias Dirección General de Comercio Electrónico. Reglamento No. DGCE-PKI-SPP-001-2009"
Gustavo Quintero Piñeiro
1 REPÚBLICA DE PANAMÁ Ministerio de Comercio e Industrias Dirección General de Comercio Electrónico Reglamento No. DGCE-PKI-SPP Por medio del cual se establece el procedimiento de registro, administración y fiscalización de Prestadores de Servicios de Certificación de Firmas Digitales que utilizan tecnología basada en el estándar de Infraestructura de Clave Pública. CAPITULO I Disposiciones Generales Artículo 1. Objeto. La presente reglamentación es regular la creación, administración y utilización de la firmas digitales basadas en el estándar de infraestructura clave pública de los servicios de certificación relacionados con dichas firmas en el territorio de la República de Panamá. Las entidades que sean registradas como prestadores de servicios de certificación deberán demostrar que cuentan con el personal capacitado y que la Autoridad de certificación brindará el servicio de certificación de firmas veinticuatro (24) horas al día, 365 días al año, de forma ininterrumpida. Artículo 2. Definiciones. Para los efectos del presente reglamento, los siguientes términos se definen así: 1. Autoridad de certificación. Entidad de confianza, de carácter público o privado, responsable de emitir y revocar los certificados digitales utilizados para generar firmas digitales y de administrar los servicios relacionados con el uso de dichos certificados digitales. También identificada con el acrónimo AC. 2. Aviso de validez del certificado electrónico y/o digital. Notificación automatizada que envía un prestador de servicios de certificación de firmas electrónicas y en el que se confirma la validez, vigencia y otras características de un certificado sometido a verificación. 3. Certificación de sistemas que utilizan firma digital: Proceso de comprobación efectuado para establecer la adecuación de un sistema o aplicación a requerimientos mínimos establecidos. 4. Certificado digital. Un certificado digital es una credencial digital emitida y firmada por un prestador de servicios de certificación, que garantiza la validez de toda la información contenida en el certificado y que se utiliza para generar la firma digital que vincula un individuo a determinado documento electrónico. 5. Certificado digital calificado. Certificado digital expedido por prestador de servicios de certificación registrado ante la Dirección General de Comercio Electrónico, que cumple
2 los requisitos establecidos en esta Ley y su reglamentación en cuanto a la comprobación de la identidad de los firmantes, la fiabilidad y garantía de los servicios de certificación ofrecidos por el prestador de servicios de certificación que lo genera. 6. CPS. Acrónimo del término en idioma inglés Certification Policy Statement, también utilizado para identificar a la Declaración de Practicas de Certificación (DPC). 7. CRL. Acrónimo del término en idioma inglés Certificate Revocation List, también utilizado para identificar a la Lista de Revocación de Certificados (LRC). 8. CTC. Comité Técnico Consultivo integrado por representantes del sector público y del sector privado y que recomendará los reglamentos y resoluciones técnicas que deben ser aplicados a las materias de competencias de la Dirección General de Comercio Electrónico. 9. Datos de creación de firma digital. Son los datos únicos, como códigos o claves criptográficas, que se utiliza para verificar la firma digital. 10. Datos de verificación de firma digital. Son los datos, como códigos o claves criptográficas, que se utilizan para verificar la firma digital. 11. Declaración de prácticas de certificación: Manual de Procedimientos que contiene el Conjunto de prácticas y políticas utilizadas por el certificador registrado en la remisión y administración de los certificados. En inglés Certification Practice Statement (CPS). 12. DGCE. Siglas correspondientes a la Dirección General de Comercio Electrónico. 13. Dispositivo seguro de creación de firma digital. Programa o sistema informático que sirve para la generación de una firma digital. 14. Dispositivo de verificación de firma digital. Programa o sistema informático que sirve para la verificación de los datos de validez del certificado digital utilizado para generar una firma digital. 15. Documento. Escritos, escrituras, certificaciones, copias, impresos, planos, dibujos, cintas, cuadros, fotografías, radiografías, discos, grabaciones magnetofónicas, boletos, contraseñas, cupones, etiquetas, sellos, telegramas, radiogramas y, en general, todo objeto mueble que tenga carácter representativo o declarativo de un hecho, una imagen, un sonido o una idea. 16. Documento electrónico. Toda representación electrónica que da testimonio de un hecho, una imagen, un sonido o una idea. 17. Firma digital calificada de larga duración. Es la firma digital asociada a un certificado electrónico que ha sido suministrado por un prestador de servicios de certificación registrado ante la DGCE, cuya validez es garantizada en base a procedimientos y estándares aprobados por la DGCE. 18. Homologación de dispositivos de creación y verificación de firmas digitales: Proceso de comprobación efectuado para establecer la adecuación de los dispositivos a
3 requerimientos mínimos establecidos. 19. Infraestructura de clave pública. Consiste en el conjunto de hardware, software, personas, políticas y procedimientos necesarios para crear, gestionar, almacenar, distribuir y revocar certificados digitales utilizados para crear firmas digitales. Conocida generalmente como PKI por siglas de su nombre en inglés Public Key Infrastructure). 20. Iniciador. Toda persona que, a tenor de un mensaje de datos, haya actuado por su cuenta para enviar o generar ese mensaje antes de ser archivado, si este es el caso, pero que no haya actuado a título intermediario con respecto a ese mensaje. 21. Intermediario. Persona que, actuando por cuenta de otra, envíe, reciba o archive un mensaje o preste algún otro servicio con respecto a él. 22. IP. Siglas utilizadas para referirse al protocolo, o conjunto de códigos de comunicación, utilizado para comunicaciones en Internet. 23. Lista de certificados revocados. Lista de certificados que han sido dejados sin efecto en forma permanente por el Prestador de servicios de certificación regulado, la cual ha sido firmada digitalmente y publicada por el mismo. En inglés Certificate Revocation List (CRL). 24. Mensaje de datos. Información generada, enviada, recibida, archivada o comunicada por medios electrónicos, ópticos o similares. 25. Nombre de dominio. Nombre utilizado comúnmente para identificar un sitio web en internet. 26. OID. Acrónimo del término en idioma inglés Object Identification, que consiste en un número único de identificación asignado en base a estándares internacionales y comúnmente utilizado para identificar documentos, sistemas, equipos, etc., con la finalidad, entre otras cosas, de conocer el origen, la titularidad y la antigüedad del objeto identificado. 27. PKI. Acrónimo del término en idioma inglés Public Key Infrastructure, también utilizado para identificar a la Infraestructura de Clave Pública. 28. Plan de Contingencias. Conjunto de procedimientos a seguir por el prestador de servicios de certificación regulado ante situaciones de ocurrencia no previstas que comprometan la continuidad de sus operaciones. 29. Plan de Cese de Actividades. conjunto de actividades a desarrollar por el prestador de servicios de certificación regulado en caso de finalizar la prestación de sus servicios. 30. Plan de Seguridad. Conjunto de políticas, prácticas y procedimientos destinados a la protección; de los recursos del prestador de servicios de certificación regulado. 31. Política de Certificación. Conjunto de criterios que indican la aplicabilidad de un certificado a un grupo de usuarios en particular o a un conjunto de aplicaciones con similares requerimientos de seguridad. En inglés Certification Policy (CP).
4 32. Prestador de servicios de certificación. Persona jurídica que genera certificados y el juego de claves que son utilizados bajo el estándar de PKI para generar firmas digitales para identificar a una persona y verificar el estatus de dichas firmas y provee otros servicios relacionados con el uso de las firmas digitales. 33. Sellado de Confianza. Reconocimiento otorgado a prestadores de servicios regulados por la Ley No. 51 de 2008 que cumplen con códigos de conducta emitidos por la DGCE y/u otras organizaciones, que promueven la aplicación de los más elevados estándares seguridad de las transacciones realizadas a través de sus sitios web, con la finalidad de crear confianza y credibilidad en el comercio electrónico y garantizar la protección de la privacidad de los usuarios. 34. Sellado Digital de Tiempo (time stamping). Procedimiento por medio del cual un prestador de servicios de certificación de firmas electrónicas registrado ante la DGCE electrónico adiciona a un documento y/o transacción electrónica una referencia de fecha y hora, tomando como referencia una fuente segura de tiempo y utilizando su certificado electrónico para garantizar que los datos asociados al documento y/o transacción electrónica han existido y no han sido alterados desde un momento específico en el tiempo. La DGCE establecerá mediante reglamentación los estándares que deberán cumplir los prestadores de servicios de certificación que ofrezcan este servicio. 35. Suscriptor o Titular de certificado digital: Persona a cuyo nombre se emite un certificado y posee una clave privada que se corresponde con la clave pública contenida en el mismo. 36. Terceras partes confiables: Entidades independientes que otorgan seguridad y confiabilidad al manejo de la información. Artículo 3. Las entidades del sector público sólo podrán utilizar certificados digitales emitidos por prestadores de servicios de certificación regulados por la DGCE. Se les concederá un plazo de un (1) año a las entidades privadas que utilizan certificados digitales de empresas internacionales, para que estas instituciones puedan incorporarse a la normativa. Artículo 4. Regulación. La dirección General de Comercio Electrónico (DGCE), del Ministerio de Comercio e Industrias, será la encargada de establecer: 1. Los estándares de seguridad tecnológica aplicables en el territorio nacional, en consonancia con estándares internacionales; 2. Los procedimientos de creación, verificación y administración de firmas electrónicas y los servicios relacionados con estas, en consonancia con los estándares tecnológicos definidos conforme el inciso precedente; 3. Las condiciones mínimas de emisión de certificados digitales; 4. Los casos en los cuales deben revocarse los certificados digitales; 5. Los datos considerados públicos contenidos en los certificados digitales; 6. Los mecanismos que garantizarán la validez y autoría de las listas de certificados revocados; 7. La información que los prestadores de servicios de certificación regulados deberán publicar por internet;
5 8. La información que los prestadores de servicios de certificación regulados deberán proveer a la DGCE para ser publicada por esta; 9. Los procedimientos mínimos de revocación de certificados; 10. Los procedimientos mínimos de conservación de la documentación de respaldo de las operaciones de los prestadores de servicios de certificación regulados, en el caso que éstos cesen su actividad; 11. El procedimiento para auditar a los prestadores de servicios de certificación regulados, incluyendo la presentación de los informes de auditoría y los requisitos de habilitación para efectuar auditorías; 12. Las condiciones y procedimientos para el otorgamiento y revocación de las licencias para prestadores de servicios de certificación, en el sector público y en el sector privado; 13. Las normas y procedimientos para la homologación de los dispositivos de creación y verificación de firmas digitales; 14. Los procedimientos aplicables para el reconocimiento de certificados extranjeros; 15. Los contenidos mínimos de las declaraciones de políticas de certificación; 16. Las condiciones mínimas que deberán cumplirse para el cese de actividades de un prestadores de servicios de certificación; 17. Las garantías y seguros necesarios para prestar el servicio previsto; Artículo 5. Responsabilidad de los prestadores de servicios de certificación regulados. El registro de un prestador de servicios de certificación regulado no implica que la DGCE garantice la prestación de los servicios de certificación o los productos provistos por el prestador de servicios de certificación. En ningún caso, la responsabilidad que pueda emanar por incumplimiento por parte de un prestador de servicios de certificación, público o privado, de la legislación y/o de la reglamentación complementaria vigente comprometerá la responsabilidad pecuniaria del Estado en su calidad de regulador y fiscalizador de la Infraestructura de firma digital. Artículo 6. Publicación de la DPC. La DPC deberá estar disponible al público de manera gratuita y fácilmente accesible, al menos por vía electrónica, dentro de las 48 horas siguientes a la aprobación de la DPC por parte de la DGCE. La última versión de la DPC deberá ser pública, además, en el repositorio que la DGCE. Artículo 7. Obligaciones previas a la inclusión de un certificado en los repositorios. Antes de incluir un certificado en los repositorios y de certificar el estatus del mismo, los prestadores de servicios de certificación deberán cumplir las siguientes obligaciones: 1. Comprobar la identidad y circunstancias personales del solicitante del certificado con arreglo a lo dispuesto la Ley y la reglamentación complementaria; 2. Verificar que la información contenida en el certificado es exacta y que incluye toda la información prescrita para un certificado calificado; 3. Asegurarse de que el firmante está en posesión de los datos de creación de firma correspondientes a los de verificación que constan en el certificado; 4. Garantizar la complementariedad y funcionabilidad del par de claves. Artículo 8. Término de conservación de los registros. Los registros de certificados expedidos por un prestador de servicios de certificación, deberán conservarse por un término no menor de siete (7) años, contado a partir de la fecha de extinción de la vigencia del correspondiente certificado.
6 Artículo 9: - Centro de contingencia. Los prestadores de servicios de certificación deberán acreditar que cuentan con un centro de contingencia para garantizar la continuidad de la prestación de servicios en caso de que ocurra algún siniestro o fallo que afecte la operatividad y/o conectividad de los equipos utilizados para prestar los servicios de certificación. El centro de contingencia deberá estar ubicado a no menos de 5 kilómetros lineales de la ubicación de los equipos principales, deberá iniciar operaciones en un plazo máximo de una (1) hora después de haber acontecido el siniestro o fallo a que se refiere este artículo y deberá por lo menos garantizar la actualización y accesibilidad a las listas de revocación de certificados vigentes. El plan de contingencia deberá tener la capacidad para mantener el servicio autorizado de la Autoridad de Certificación, bajo los parámetros de la ley 51 de 2008 y las reglamentaciones respectivas. Artículo Seguros. El prestador de servicios de certificación regulado debe contar con seguros vigentes acordes con las responsabilidades asumidas, que cumplan con los siguientes requisitos: 1. Ser expedidos por una entidad aseguradora autorizada para operar en la República Panamá; 2. Establecer la obligación de la entidad aseguradora de informar previamente a la DGCE la terminación del contrato o las modificaciones que reduzcan el alcance o monto de la cobertura. Los prestadores de servicios de certificación regulados pertenecientes a entidades y jurisdicciones del sector público quedarán exentos de la obligación de constituir el seguro previsto en el presente artículo. CAPITULO III DE LAS AUTORIDADES DE REGISTRO Artículo Funciones de las Autoridades de Registro. Los Prestadores de servicios de certificación regulados podrán delegar en Autoridades de Registro (AR) las funciones de validación de identidad y otros datos de los suscriptores de certificados y de registro de las solicitudes de firmas digitales que les sean formuladas, bajo la subordinación y responsabilidad directa del prestador regulado, cumpliendo las normas y procedimientos establecidos por la presente reglamentación y en la DPC presentada a la DGCE. La Autoridad de Registro también podrá ser encargada de entregar los certificados digitales y las claves privadas a los suscriptores, siempre que la DPC de la Autoridad de Certificación establezca procedimientos que garanticen que la intermediación de la AR en el proceso de entrega de estos dispositivos no pone en riesgo la seguridad de los mismos. Artículo 12. Una Autoridad de Registro es una entidad responsable de las siguientes funciones: 1. La recepción de las solicitudes de emisión de certificados; 2. La validación de la identidad y autenticación de los datos de los titulares de certificados; 3. La validación de otros datos de los titulares de certificados que se presenten ante ella cuya verificación delegue el prestador de servicios regulado;
7 4. La remisión de las solicitudes aprobadas al prestador de servicios regulado con la que se encuentre operativamente vinculada; 5. La recepción y validación de las solicitudes de revocación de certificados y su direccionamiento al Prestador de servicios de certificación regulado con el que se vinculen; 6. La identificación y autenticación de los solicitantes de revocación de certificados; 7. El archivo y la conservación de toda la documentación sustentadora del proceso de validación de identidad, de acuerdo con los procedimientos establecidos en la DPC del prestador de servicios de certificación regulado; 8. El cumplimiento de las normas y recaudos establecidos para la protección de datos personales; 9. El cumplimiento de las disposiciones que establezca la DPC y el Manual de Procedimientos del Prestador de servicios de certificación regulado con el que se encuentre vinculada, en la parte que resulte aplicable. Artículo 13. Ejercicio de una AR. Una Autoridad de Registro puede constituirse como una única unidad o con varias unidades dependientes jerárquicamente entre sí, pudiendo, delegar su operatoria en otras autoridades de registro, siempre que medie la aprobación del Prestador de servicios de certificación regulado. CAPITULO IV SOLICITUD, OBTENCIÓN, RENOVACIÓN Y CANCELACIÓN DEL REGISTRO DE PRESTADORES DE SERVICIOS DE CERTIFICACIÓN DE FIRMAS DIGITALES BAJO EL ESTANDAR DE PKI. Sección 1. Modificación del registro de prestadores de servicios de certificación Artículo 14. Modificación de información de la AC. En caso de modificación de los datos y demás información proporcionada por la AC al momento del registro ante la DGCE, la AC deberá remitir la información correspondiente al cambio, dentro de los cinco (5) días posteriores a la modificación. Articulo 15. Reemplazo de Representante Legal o Administrador. El cambio o reemplazo del representante legal o de un administrador deberá notificarse mediante nota, con un mínimo de cinco (5) días hábiles anteriores a la fecha efectiva del cambio. La notificación a que hace referencia este artículo deberá acompañarse de: 1. Formulario de Información de representante legal; 2. Copia del acta de la persona jurídica, debidamente notariada y registrada, en la que conste la aprobación por parte órgano interno que debe aprobar el cambio de representante legal y/o administrador y la autorización para se realice el trámite de ante la DGCE; 3. Copia autenticada de los documentos de identidad del nuevo representante legal y/o del administrador. Cuando se trate de personas no nacionales deberá presentarse copia de todo el pasaporte debidamente autenticado ante notario. Los documentos originales podrán ser presentados para cotejo por parte del personal de la DGCE; Sección 2. Información periódica
8 Artículo 16. Los prestadores de servicios de certificación deberán almacenar y remitir a la DGCE, dentro de los diez (10) primeros días de cada trimestre, la información siguiente: 1. Número de certificados emitidos, de acuerdo con el tipo de certificados; 2. Número de certificados vigentes, de acuerdo con el tipo de certificados; 3. Número de certificados revocados; y 4. Compromisos adquiridos por cada tipo de certificado. Artículo 17. Toda AC deberá remitir a la DGCE, dentro de los sesenta (60) primeros días de cada año, una copia los estados financieros de fin de ejercicio del año anterior, certificados por un CPA. Las AC de carácter público, deberán remitir certificación emitida por la entidad pública a la que se encuentren adscritas de que la AC la partida presupuestaria para sufragar los gastos de funcionamiento fue incluida y aprobada en el presupuesto del Estado para la vigencia respectiva. En cualquier eventualidad, se coordinará con el Órgano Ejecutivo para los efectos de la asignación presupuestaria. Artículo 18. Fianza de Responsabilidad extracontractual. Toda AC deberá remitir a la DGCE, dentro de los treinta (30) primeros días de cada año, una copia de la fianza de responsabilidad extracontractual. Las AC de carácter público, deberán remitir certificación emitida por la entidad pública a la que se encuentren adscritas de que la AC la partida presupuestaria para sufragar los gastos de funcionamiento fue incluida y aprobada en el presupuesto del Estado para la vigencia respectiva, incluyendo el pago de perjuicios causados. Si la AC ha sido registrada en el último trimestre del año anterior, no tendrá que presentar el informe de auditoría dentro de la actualización anual de información de estados financieros. Sección 3. Duración y renovación del Registro Artículo 19. Duración de registro. El registro ante la DGCE tendrá una validez de un de dos (2) años y podrá ser renovado por iguales períodos consecutivos. Artículo 20. Para renovar el registro el prestador de servicios de certificación, deberá presentar: 1. Una declaración jurada en la que certifica que la información proporcionada a la DGCE, al momento de solicitar el registro por primera vez, está vigente o en su defecto completar el formulario de registro para actualizar su información; 2. Un informe de auditoría en el cual conste el cumplimiento de las normas establecidas en la ley y la normativa complementaria; 3. El pago de la tasa de registro. Artículo 21. Causales de cancelación del registro. La DGCE podrá cancelar de oficio, y en forma definitiva el registro de un prestador de servicios de certificación, si contados treinta (30) días desde la fecha de vencimiento del registro si: 1. No se ha presentado la solicitud de renovación del registro; 2. No se ha presentado la declaración jurada o el nuevo formulario de registro; 3. No se ha presentado el informe de auditoría realizado por una persona, natural o jurídica, acreditada ante la DGCE; 4. Se comprueba falsedad en los datos presentados a la DGCE;
9 5. Se levanta un informe desfavorable de auditoría, comisionada o conducida por la DGCE; luego de su debida inspección. 6. El prestador de servicios de certificación no permite la realización de la(s) auditoría(s) y/o inspección(es) ordenadas por la DGCE. CAPITULO V De la revocación de certificados digitales Artículo 22. Notificación de la expiración, suspensión o revocación de un certificado. El prestador de servicios de certificación hará constar vía electrónica, o escrita e inmediatamente a la Dirección General de Comercio Electrónico del Ministerio de Comercio e Industrias, inmediatamente, de manera clara e irrefutable, la expiración, la revocación o la suspensión de la vigencia de los certificados existentes en su repositorio, en cuanto tenga conocimiento fundado de cualquiera de los hechos determinantes de la extinción de la vigencia. CAPITULO VI DEL PROCEDIMIENTO DE AUDITORIA Artículo 23. Auditorías. Todo prestador de servicios de certificación registrado ante la DGCE deberá someterse por lo menos una vez al año a una auditoría, para determinar que cumple con los requisitos mínimos exigidos por la Ley No. 51 y su reglamentación complementaria. Las auditorías y las evaluaciones técnicas podrán realizarse por iniciativa del prestador de servicios de certificación, por mediante resolución motivada, en base a un informe de campo de la DGCE o por denuncias sustentadas de usuarios de los servicios prestados. En caso de resolución motivada de la DGCE, la resolución indicará los sistemas o procedimientos que deben ser auditados y/o evaluados. La resolución que ordena una auditoría o una evaluación técnica no es recurrible. Artículo 24. Informe de auditoría. El informe de auditoría evaluará los sistemas utilizados por el certificador de acuerdo con los requerimientos establecidos en la ley, este decreto y las normas complementarias e incluirá, por lo menos: 1. Nombre y número de registro ante la DGCE de la firma auditora; 2. Fecha de inicio y terminación de la auditoria; 3. Declaración de conformidad con las condiciones y requisitos mínimos previstos en la Ley No. 51 de 2008 y su reglamentación complementaria para mantener su registro ante la DGCE; 4. Manifestación de evaluación y conformidad de la DPC; 5. Manifestación de evaluación y conformidad de los planes de contingencia, de continuidad de negocio y/o de recuperación de desastres, se adecúan a los requisitos mínimos establecidos en la reglamentación técnica expedida por la DGCE y que el prestador de servicios ha tomado todas las medidas necesarias para que dichos planes sean realmente efectivos y ejecutables; 6. Manifestación del cumplimiento de los estándares técnicos de seguridad y la infraestructura informática y física, establecidos en la reglamentación técnica expedida por la DGCE; 7. Manifestación de que existen las condiciones razonablemente confiables para la operación y mantenimiento de los repositorios;
10 8. Detalle del criterio de evaluación que se utilizó para evaluación de cada uno de los cada uno de los estándares y procedimientos establecidos por la AC para la prestación de sus servicios y en la DPC; 9. Firma del auditor y/o del representante legal de la firma auditora que realizó la auditoría. Artículo 25. Firma auditora. Toda firma auditora deberá estar registrada ante la DGCE para poder realizar los informes de auditoría e inspecciones en sistemas informáticos de seguridad de un prestador de servicios de certificación de firmas digitales. Se le concederá un plazo de un (1) año a las auditorías de firmas internacionales reconocidas y que éstas auditorías se homologuen posteriormente con las locales; para que estas estén debidamente registradas en la DGCE. Estas firmas deberán estar conformadas por un grupo interdisciplinario de profesionales que incluirá por lo menos: un ingeniero electrónico/sistemas, un contador público autorizado y un administrador de empresas y deberá acreditar, por lo menos: 1. Que cumplen con los requisitos establecidos por ley para cada profesión; 2. Acreditar experiencia de la firma o de uno de sus socios o funcionarios, en auditorias en sistemas informáticos de seguridad y contabilidad por lo menos de tres (3) años; y 3. Certificación expedida por la DGCE, de que han cumplido con los el programa de capacitación para certificar el cumplimiento de los requisitos técnicos y estándares exigidos en la Ley No. 51 de 2008 y su reglamentación complementaria. Artículo 26. Registro de Auditores. La DGCE creará el Registro Público de Auditores de Prestadores de servicios de firma digital bajo el estándar de PKI, en el cual podrán registrarse las personas jurídicas que estén interesadas en prestar el servicio de auditoría de prestadores de servicios de certificación de firmas digitales, siempre que acrediten experiencia profesional acorde en la materia, que cumplan con los requisitos establecidos para tal fin y aprobado programa de capacitación establecido por la DGCE. Mientras se cumpla con el proceso de la creación del Registro Público de Auditores, la DGCE reconocerá aquellas personas jurídicas que presten el servicio de auditoría de certificación de firmas digitales y se les concederá un plazo de un (1) año para que estas firmas auditoras estén debidamente registradas en la DGCE. Artículo Deber de confidencialidad. Los auditores deben mantener la estricta confidencialidad sobre la información que un prestador de servicios de certificación auditado considere amparada bajo normas de confidencialidad. Artículo 28: Solvencia económica. Los auditores registrados deberán tener la solvencia económica y tener un seguro de Responsabilidad Civil para responder por reclamos provenientes del ejercicio de su auditoría según las previsiones de la Ley y este reglamento. Artículo 29. Conflicto de intereses. Para garantizar la objetividad e imparcialidad de las auditorías, no podrán desempeñarse en la prestación de servicios de auditoría aquellas entidades o personas vinculadas con prestadores de servicios de certificación. Artículo 30. Cuando se trate de una auditoría ordenada por la DGCE, si el informe final de la auditoría o de la evaluación demuestra que había una deficiencia en los sistemas o los procedimientos, o que éstos últimos, aunque correctos, no se cumplían, el prestador de
11 servicios deberá pagar el costo de la auditoría y/o evaluación y cumplir las sanciones respectivas que establezca la ley y la reglamentación complementaria, para lo cual se concederá un término de diez (10) días hábiles. Vencido este término, sin que el prestador de servicios haya cumplido la obligación de pagar la auditoría, la DGCE podrá ordenar al prestador la suspensión de su registro hasta tanto se haya cumplido la obligación. Artículo 31. Suspensión por resultado de auditorías. Cuando se ordene la suspensión de las actividades del prestador de servicios de certificación, como resultado de un informe de auditoría, la AC sólo podrá realizar servicios de soporte técnico y atención post-venta a clientes ya existentes, pero en ningún caso atender clientes nuevos, ni brindar servicios nuevos a antiguos clientes. El incumplimiento de esta disposición será considerado una falta muy grave por parte del prestador de servicios. Artículo 32. Hasta tanto no exista un convenio internacional sobre la materia que haya sido suscrito por la República de Panamá, las auditorías de prestadores de servicios de certificación de firmas electrónicas de firmas digitales deberán presentar informes de auditorías avalados por una persona natural o jurídica registrada para tal fin ante la DGCE. CAPITULO VII PRESTADORES DE SERVICIOS DE CERTIFICACIÓN DEL SECTOR PÚBLICO. Artículo 33. Las instituciones pertenecientes al sector público podrán ser registrados ante la DGCE como prestadores de servicios de certificación regulados y emitir certificados bajo el estándar de PKI, para funcionarios y otros agentes del sector público (contratistas, consultores, etc.) siempre que cumplan con los procedimientos y requisitos establecidos en este la ley vigente y en la reglamentación complementaria. En particular, las entidades públicas que sean registradas como prestadores de servicios de certificación deberán demostrar que cuentan con el personal capacitado y que la Autoridad Certificadora brindará el servicio de certificación de firmas veinticuatro (24) horas al día. Artículo 34. Los certificados emitidos por los prestadores de servicios de certificación del sector público deberán ser utilizados en las aplicaciones de gestión interna de las instituciones del Estado y en las relaciones con los asociados en virtud de la función pública que realizan. Artículo 35. En aquellas aplicaciones en las que el Estado interactúe con los asociados, se deberá admitir la recepción de documentos digitales firmados digitalmente utilizando certificados digitales emitidos por prestadores de servicios de certificación regulados privados o públicos. Sin embargo, por razones de orden público o de interés social, los prestadores de servicios de certificación del sector público podrán emitir certificados para uso de particulares. CAPÍTULO VIII SUSPENSIÓN TEMPORAL Y TERMINACIÓN DE LA PRESTACIÓN DE SERVICIOS DE CERTIFIFACIÓN DE FIRMAS.
12 Sección 1 Suspensión Temporal de Servicios. Artículo 36. Suspensión programada del servicio. Los prestadores de servicios de certificación registrados ante la DGCE, podrán solicitar por año, un plazo máximo de tres (3) días continuos o discontinuos, para suspender sus servicios. Toda solicitud de suspensión programada de servicios presentada ante la DGCE, deberá ser solicitada y sustentada por el representante legal del prestador de servicios de certificación y presentada con un mínimo de treinta (30) días antes de la fecha programada para la suspensión del servicio. La DGCE tendrá un plazo de quince (15) días para aprobar o rechazar la solicitud. En caso de autorización por parte de la DGCE, la suspensión de servicios deberá ser informada a los usuarios por lo menos con quince (15) días de anticipación a la(s) fechas(s) programada(s). La información deberá ser publicada por lo menos tres (3) días en un periódico de circulación nacional y durante los quince (15) días anteriores a la fecha programada, en el sitio web del prestador de servicios de certificación. El prestador de servicios de certificación deberá, además, enviar un correo electrónico con acuse de recibo, o por cualquier otro medio de comunicación a cada suscriptor o propietario de un certificado emitido y que se encuentre vigente al momento de la suspensión del servicio. La constancia de la publicación de la información en el periódico y del envío de los correos electrónicos a los suscriptores de certificados deberá ser remitida a la DGCE, por lo menos cinco (5) días antes de la(s) fecha(s) programada(s). Sección 2 Terminación definitiva de actividades. Artículo 37. Terminación de Actividades. Todo prestador de servicios de certificación que vaya a cesar en su actividad deberá comunicarlo a la DCGE y a cada firmante, con no menos de noventa (90) días de anticipación a la fecha de la cesación efectiva de actividades. Artículo 38. El formulario de solicitud de autorización de terminación de actividades, deberá ser acompañado, por lo menos, de información que se señala a continuación: 1. La publicación en un periódico de la localidad, en dos diarios de la localidad, de dos avisos, en un intervalo de 10 días, sobre la terminación de su actividad o actividades, la fecha precisa de cesación y las consecuencias jurídicas de ésta respecto de los certificados expedidos; 2. El nombre del prestador que asumirá los certificados que seguirán vigentes; 3. Un listado de los certificados que serán revocados al momento de la terminación de actividades; 4. Plan que garantice la protección de la información confidencial de los suscriptores; 5. Plan de conservación de los repositorios necesarios para futuras verificaciones de estatus de los certificados que emitió, hasta el otorgamiento de la autorización de cesación del servicio;
13 6. Plan de acceso y/o consulta a los repositorios por el tiempo que la ley ordena que estos deben estar vigentes y que garantice su acceso hasta tanto se extingan las responsabilidades que se puedan derivar de los certificados expedidos; 7. Plan que garantice la publicación en los repositorios propios si no cesa todas las actividades o en los de otra AC registrada ante la DGCE, si cesarán todas las actividades; 8. Plan de seguridad que garantice la adecuada destrucción de la clave privada de la entidad. Artículo 39. La DGCE tendrá un plazo de quince (15) días para dictaminar si la solicitud y la documentación presentadas se acogen a lo dispuesto en la Ley No. 51 y su reglamentación complementaria. Si la solicitud se acoge a las disposiciones legales vigentes, la DGCE autorizará el inicio del proceso de terminación de actividades, en caso contrario, ordenará al solicitante la adecuación de la solicitud y/o la documentación complementaria a lo dispuesto en la legislación y la reglamentación vigentes. Artículo 40. Una vez autorizada la terminación de actividades, el prestador de servicios de certificación registrado, deberá comunicar a la DCGE y a sus suscriptores, con no menos de cuarenta y cinco (45) días de anticipación al cese de su actividad, el dictamen de una auditoría que indique, por lo menos, la siguiente información: 1. Nombre y número de registro ante la DGCE de la firma auditora; 2. Fecha de inicio y terminación de la auditoria 3. Manifestación de que existen las condiciones razonablemente confiables para garantizar que el prestador de servicios podrá cumpir la ejecución de los planes y las responsabilidades propuestas en la solicitud de autorización de terminación de operación; 4. Detalle del criterio de evaluación que se utilizó para evaluación de cada uno de los cada uno de los planes y procedimientos establecidos por la AC en la solicitud de autorización de terminación de operación; 5. Firma del auditor y/o del representante legal de la firma auditora que realizó la auditoría. CAPITULO IX Disposiciones transitorias. Artículo 41. Todas aquellas personas jurídicas, públicas o privadas, de origen nacional o extranjero, y que estén interesados en ofrecer certificados calificados, que a la fecha de la publicación de este reglamento realicen actividades como Autoridades de Certificación y/o Autoridades de Registro, tales como: emisión de certificados en relación con las firmas, para correo y comunicaciones seguras; ofrecer y/o facilitar servicios de estampado cronológico de la transmisión y recepción de los mensajes de datos, así como cumplir otras funciones relativas a las comunicaciones basadas en firmas digitales bajo el estándar de infraestructura de claves públicas, sin el debido registro ante la DGCE, del Ministerio de Comercio e Industrias, deberán presentar la correspondiente solicitud de registro dentro del plazo establecido en la Ley No. 51 de 2008.

References: Artículo 1
 Artículo 2
 Artículo 3
 Artículo 4
 Artículo 5
 Artículo 6
 Artículo 7
 Artículo 8
 Artículo 9
 Artículo 12
 Artículo 13
 Artículo 14
 Artículo 16
 Artículo 17
 Artículo 18
 Artículo 19
 Artículo 20
 Artículo 21
 Artículo 22
 Artículo 23
 resolución 
 resolución 
 resolución 
 resolución 
 Artículo 24
 Artículo 25
 Artículo 26
 Artículo 28
 Artículo 29
 Artículo 30
 Artículo 31
 Artículo 32
 Artículo 33
 Artículo 34
 Artículo 35
 Artículo 36
 Artículo 37
 Artículo 38
 Artículo 39
 Artículo 40
 Artículo 41