Source: http://www.mabingenieros.com/legis-BOE-2003-11879.htm
Timestamp: 2017-12-15 08:27:48+00:00

Document:
B.O.E. Nº 141 de 13/06/2003
ORDEN PRE/1551/2003, de 10 de junio, por la que se desarrolla la DisposiciÃ³n final primera del Real Decreto 209/2003, de 21 de febrero, por el que se regulan los registros y las notificaciones telemÃ¡ticas, asÃ­ como la utilizaciÃ³n de medios telemÃ¡ticos para la sustituciÃ³n de la aportaciÃ³n de certificados por los ciudadanos.
El Real Decreto 209/2003, de 21 de febrero, por el que se regulan los registros y las notificaciones telemÃ¡ticas, asÃ­ como la utilizaciÃ³n de medios telemÃ¡ticos para la sustituciÃ³n de la aportaciÃ³n de certificados por los ciudadanos, dispone en su DisposiciÃ³n final primera que, en el plazo mÃ¡ximo de seis meses desde la entrada en vigor del citado Real Decreto, se establecerÃ¡n por Orden Ministerial, en el marco de los criterios de seguridad, normalizaciÃ³n y conservaciÃ³n a los que se refiere el Real Decreto 263/1996, de 16 de febrero, los requisitos de autenticidad, integridad, disponibilidad y confidencialidad de los dispositivos y aplicaciones de registro y notificaciÃ³n, asÃ­ como los protocolos y criterios tÃ©cnicos a los que deben sujetarse.
Dichos criterios de seguridad, normalizaciÃ³n y conservaciÃ³n han sido objeto de informe favorable del Consejo Superior de InformÃ¡tica y para el impulso de la AdministraciÃ³n ElectrÃ³nica.
AsÃ­ mismo, en la citada Orden se establecerÃ¡n las condiciones que ha de reunir el Ã³rgano, organismo o entidad habilitada para la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica, asÃ­ como las condiciones para su prestaciÃ³n.
Las condiciones de accesibilidad para las personas discapacitadas y de edad avanzada estÃ¡n sujetas a lo que dispone la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la InformaciÃ³n y Comercio ElectrÃ³nico, en su disposiciÃ³n adicional quinta.
La presente Orden Ministerial tiene por objeto dar cumplimiento al mandato seÃ±alado en el Real Decreto.
A tal fin, se han tenido en consideraciÃ³n las experiencias previas, las implicaciones tÃ©cnicas de la unicidad de la direcciÃ³n electrÃ³nica, la bÃºsqueda de racionalidad y sencillez de uso para los interesados y el aprovechamiento de las ventajas de las economÃ­as de escala.
En su virtud, previo informe favorable del Consejo Superior de InformÃ¡tica y para el Impulso de la AdministraciÃ³n ElectrÃ³nica, a propuesta de los Ministros de Administraciones PÃºblicas, de Ciencia y TecnologÃ­a, y de Hacienda, dispongo:
Primero. Objeto.-De acuerdo con lo establecido en la DisposiciÃ³n final primera del Real Decreto 209/2003, de 21 de febrero, por el que se regulan los registros y las notificaciones telemÃ¡ticas, asÃ­ como la utilizaciÃ³n de medios telemÃ¡ticos para la sustituciÃ³n de la aportaciÃ³n de certificados de los ciudadanos, la presente Orden tiene por objeto establecer los requisitos de autenticidad, integridad, disponibilidad y confidencialidad de los dispositivos y aplicaciones de registro y notificaciÃ³n, asÃ­ como los protocolos y criterios tÃ©cnicos a los que deben sujetarse y, las condiciones que ha de reunir el Ã³rgano, organismo o entidad habilitada para la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica asÃ­ como las condiciones de su prestaciÃ³n.
Segundo. AdopciÃ³n de las medidas de seguridad, organizativas o tÃ©cnicas, de los dispositivos y aplicaciones de registro, notificaciÃ³n y de la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica.
1. Con carÃ¡cter general se aplicarÃ¡n a los dispositivos y aplicaciones de registro, notificaciÃ³n y de la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica las medidas de seguridad, conservaciÃ³n y normalizaciÃ³n que se detallan en los "Criterios de seguridad, normalizaciÃ³n y conservaciÃ³n de las aplicaciones utilizadas para el ejercicio de potestades" aprobados por el Consejo Superior de InformÃ¡tica y para el impulso de la AdministraciÃ³n ElectrÃ³nica y accesibles en su sitio web.
2. Lo dispuesto en esta Orden Ministerial se aplicarÃ¡ en todo caso de conformidad con lo previsto en la Ley OrgÃ¡nica 15/1999, de 13 de diciembre, de ProtecciÃ³n de Datos de CarÃ¡cter Personal y demÃ¡s normativa aplicable en esta materia.
Tercero. Requisitos de autenticidad de los dispositivos y aplicaciones de registro y notificaciÃ³n.
1. Los dispositivos y las aplicaciones de registro y notificaciÃ³n sÃ³lo admitirÃ¡n la firma electrÃ³nica avanzada basada en un certificado reconocido que cumpla la recomendaciÃ³n UIT X.509 versiÃ³n 3 o superiores (ISO/IEC 9594-8 de 1997) de acuerdo con lo previsto en la legislaciÃ³n de firma electrÃ³nica.
2. La aceptaciÃ³n de una firma electrÃ³nica estarÃ¡ condicionada a que la utilizaciÃ³n del servicio de consulta sobre la vigencia de los certificados en los que se basen dicha firma electrÃ³nica no suponga un coste especÃ­fico adicional para los Ã³rganos, organismos o entidades incluidas en el Ã¡mbito de aplicaciÃ³n de la presente Orden.
Cuarto. Requisitos de integridad de los dispositivos y aplicaciones de registro y notificaciÃ³n.-Los Ã³rganos de la AdministraciÃ³n General del Estado y los Organismos PÃºblicos vinculados o dependientes de aquÃ©lla que pongan en marcha dispositivos y aplicaciones de registro y notificaciÃ³n, deberÃ¡n contar con medidas organizativas y tÃ©cnicas para garantizar la integridad de la informaciÃ³n.
En cualquier caso establecerÃ¡n las siguientes medidas:
a) AplicaciÃ³n de tÃ©cnicas de comprobaciÃ³n de la integridad de la informaciÃ³n, como firma electrÃ³nica (con los requisitos seÃ±alados en el apartado tercero), funciones resumen o "hash", y en su caso, de fechado electrÃ³nico.
b) Procedimientos de copias de respaldo de ficheros y bases de datos y de protecciÃ³n y conservaciÃ³n de soportes de informaciÃ³n.
c) ProtecciÃ³n de los archivos de informaciÃ³n destinados a los interesados mediante atributos de solo lectura.
d) InstalaciÃ³n de herramientas o procedimientos en las aplicaciones que ejecuten transacciones o procesos donde se produzcan mÃºltiples actualizaciones de datos que se encuentren relacionados entre sÃ­ para prevenir el caso de que se produzca un fallo de proceso y no se pueda completar la transacciÃ³n.
e) AnÃ¡lisis periÃ³dico de los sistemas de informaciÃ³n, de los accesos a la informaciÃ³n y a las aplicaciones, de los registros de eventos o incidencias, de las operaciones, asÃ­ como de los recursos utilizados.
f) AdopciÃ³n de medidas de protecciÃ³n frente a cÃ³digo daÃ±ino en los servidores de aplicaciÃ³n y en los soportes circulantes.
g) Establecimiento de procedimientos para evitar la instalaciÃ³n de software no autorizado, el borrado accidental o no autorizado de datos y los accesos no autorizados.
Quinto. Requisitos de disponibilidad de los dispositivos y aplicaciones de registro y notificaciÃ³n.
1. En la pÃ¡gina web de cada Ã³rgano u organismo notificador, y en su caso en el Portal del ciudadano, se encontrarÃ¡n a disposiciÃ³n del interesado los programas necesarios que debe instalar en su ordenador personal para el correcto funcionamiento de los sistemas de registro y notificaciÃ³n en especial para la lectura de las notificaciones, para verificar la autenticidad del Ã³rgano notificador y para descifrar los escritos a Ã©l dirigidos.
Dichos programas habrÃ¡n de ser compatibles con los medios tÃ©cnicos de que dispongan las Administraciones PÃºblicas.
2. Los Ã³rganos de la AdministraciÃ³n General del Estado y los Organismos PÃºblicos vinculados o dependientes de aquella que pongan en marcha dispositivos y aplicaciones de registro o de notificaciÃ³n telemÃ¡ticos establecerÃ¡n las medidas organizativas y tÃ©cnicas para que la disponibilidad del servicio sea de 7 dÃ­as a la semana y 24 horas al dÃ­a. En cualquier caso establecerÃ¡n las siguientes medidas:
a) Mantenimiento actualizado del software de base y especÃ­fico sobre el que estÃ¡ soportado el sistema de registro y notificaciones telemÃ¡ticas, siguiendo las recomendaciones indicadas en las listas de vulnerabilidades correspondientes.
b) ActualizaciÃ³n periÃ³dica o cuando sea necesario del software de base y correcciÃ³n, en su caso, de las debilidades observadas en Ã©ste.
c) AdopciÃ³n de medidas de seguridad fÃ­sica en el entorno donde se encuentren los equipos que den soporte a las aplicaciones.
d) ProtecciÃ³n de los sistemas y las aplicaciones contra el cÃ³digo daÃ±ino y contra ataques de denegaciÃ³n del servicio y establecimiento en cualquier caso de las medidas oportunas.
e) Se deberÃ¡ preparar y mantener operativo un plan de contingencias.
Sexto. Requisitos de confidencialidad de los dispositivos y aplicaciones de registro y de notificaciÃ³n.-Los Ã³rganos de la AdministraciÃ³n General del Estado y los Organismos PÃºblicos vinculados o dependientes de aquella que pongan en marcha dispositivos y aplicaciones de registro y notificaciÃ³n deben adoptar medidas de seguridad para la salvaguarda de la confidencialidad.
a) Medidas de seguridad fÃ­sica.
b) Control de los accesos a los dispositivos y aplicaciones de registro y notificaciÃ³n, en especial los que lleguen a travÃ©s de las redes de comunicaciones.
c) ProtecciÃ³n de los soportes de informaciÃ³n y copias de respaldo.
d) Cifrado de las notificaciones, cuando asÃ­ se establezca por la legislaciÃ³n sobre protecciÃ³n de los datos de carÃ¡cter personal o lo estime necesario el Ã³rgano u organismo notificador.
SÃ©ptimo. Protocolos y criterios tÃ©cnicos de los dispositivos y aplicaciones de registro y notificaciones.
1. La sincronizaciÃ³n de la fecha y la hora de los servicios de registro telemÃ¡tico y de notificaciÃ³n telemÃ¡tica se realizarÃ¡ con el Real Instituto y Observatorio de la Armada, de conformidad con lo previsto sobre la hora legal en el Real Decreto 1308/1992, de 23 de octubre, por el que se declara el Laboratorio del Real Instituto y Observatorio de la Armada como laboratorio depositario del patrÃ³n Nacional de Tiempo y laboratorio asociado al Centro EspaÃ±ol de MetrologÃ­a, y segÃºn las condiciones tÃ©cnicas y protocolos que el citado Organismo establezca.
2. El registro telemÃ¡tico y el servicio de notificaciÃ³n telemÃ¡tica deberÃ¡n cumplir los requerimientos en materia de accesibilidad establecidos por la Iniciativa para una Web Accesible (WAI) del Consorcio World Wide Web y en particular las especificaciones de la RecomendaciÃ³n de 5 de mayo de 1999 sobre Pautas de Accesibilidad del Contenido en la Web, versiÃ³n 1.0, en su nivel AA.
3. El acceso del ciudadano a travÃ©s de Internet a las notificaciones telemÃ¡ticas y a los registros telemÃ¡ticos se realizarÃ¡ mediante un navegador web que cumpla la especificaciÃ³n W3C HTML.4.01 o superior.
4. El protocolo para la comunicaciÃ³n entre el navegador web del interesado y el servidor de la AdministraciÃ³n serÃ¡ http1.0, o superior.
5. Los servicios de registro y de notificaciÃ³n telemÃ¡tica deberÃ¡n poder utilizar en su canal de comunicaciones con los interesados cifrado simÃ©trico de, al menos, 128 bits.
Octavo. Condiciones que ha de reunir el Ã³rgano, organismo, o entidad habilitada para la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica.
1. El Ã³rgano, organismo o entidad habilitada para la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica deberÃ¡ poner los medios tÃ©cnicos para desarrollar las siguientes funciones:
a) Crear y mantener el directorio de direcciones electrÃ³nicas Ãºnicas.
b) Almacenar y custodiar las notificaciones en la direcciÃ³n electrÃ³nica Ãºnica.
c) Gestionar los acuses de recibo de los interesados y de los Ã³rganos u organismos notificadores.
d) Mantener el registro de eventos de las notificaciones, el cual contendrÃ¡, al menos la direcciÃ³n electrÃ³nica, la traza de la fecha y la hora de la recepciÃ³n de la notificaciÃ³n en la direcciÃ³n electrÃ³nica Ãºnica y del acceso del interesado a la notificaciÃ³n y la descripciÃ³n del contenido de la notificaciÃ³n.
e) Establecer las medidas organizativas y tÃ©cnicas para que la disponibilidad del servicio sea de 7 dÃ­as a la semana y 24 horas al dÃ­a.
2. PodrÃ¡n aÃ±adirse otras funciones de mejora del servicio y complementarias de las expresadas, como es el caso de aviso de puesta a disposiciÃ³n de los interesados de las notificaciones.
Noveno. Condiciones de la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica.
1. La titularidad de la direcciÃ³n electrÃ³nica a partir de la cual se construyan las direcciones electrÃ³nicas Ãºnicas de los interesados, corresponde al Ministerio de Administraciones PÃºblicas.
2. El prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica estarÃ¡ sujeto a las medidas de seguridad, los requisitos de autenticidad, integridad, confidencialidad, disponibilidad y a la utilizaciÃ³n de los protocolos y criterios tÃ©cnicos establecidos en esta Orden Ministerial.
3. El directorio del servicio de direcciÃ³n electrÃ³nica Ãºnica deberÃ¡ recoger el nombre y apellidos o la razÃ³n o denominaciÃ³n social del interesado, el nÃºmero del documento nacional de identidad o el cÃ³digo de identificaciÃ³n fiscal o cualquier otro equivalente y la direcciÃ³n electrÃ³nica Ãºnica.
4. El prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica designarÃ¡ a un administrador de la seguridad, responsable de la realizaciÃ³n y actualizaciÃ³n del anÃ¡lisis y gestiÃ³n de riesgos, del registro de incidencias de seguridad, de la correcta implementaciÃ³n de las salvaguardas de seguridad tÃ©cnicas, organizativas, y de cuantas otras actuaciones en materia de seguridad sean necesarias para la protecciÃ³n de los sistemas a su cargo.
5. El prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica deberÃ¡ remitir al Ã³rgano u organismo notificador por cada notificaciÃ³n telemÃ¡tica:
a) CertificaciÃ³n electrÃ³nica de la fecha y hora en la que recibe la notificaciÃ³n enviada por el Ã³rgano u organismo notificador.
b) CertificaciÃ³n electrÃ³nica de la fecha y hora en la que se produce la recepciÃ³n de la notificaciÃ³n en la direcciÃ³n electrÃ³nica Ãºnica asignada al interesado.
c) CertificaciÃ³n electrÃ³nica en el que conste la fecha y hora en la que se produce el acceso del interesado al contenido de la notificaciÃ³n en la direcciÃ³n electrÃ³nica.
d) CertificaciÃ³n electrÃ³nica de cualquier incidencia que se produzca en la prÃ¡ctica de lo dispuesto en los apartados anteriores.
6. El prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica deberÃ¡ adoptar las medidas organizativas y tÃ©cnicas, que garanticen la calidad de dicho servicio.
7. En el caso de cese de actividad o cambio del prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica, las bases de datos, los programas informÃ¡ticos asociados, el registro de eventos y el dominio de direcciones electrÃ³nicas con las notificaciones que existan en ese momento y la documentaciÃ³n tÃ©cnica, deberÃ¡n entregarse al Ministerio de Administraciones PÃºblicas, o a la entidad que Ã©sta designe debidamente actualizadas.
8. Los programas necesarios para el correcto funcionamiento del sistema de notificaciÃ³n a los que se refiere el apartado quinto.1, serÃ¡n suministrados a los Ã³rganos y organismos notificadores por el prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica.
DÃ©cimo. Competencia del Ministerio de Administraciones PÃºblicas para el establecimiento de parÃ¡metros de calidad y vigilancia de su cumplimiento.
1. Corresponde al Ministerio de Administraciones PÃºblicas, previo informe del Consejo Superior de InformÃ¡tica y para el impulso de la AdministraciÃ³n ElectrÃ³nica establecer los parÃ¡metros de calidad de la prestaciÃ³n del servicio de direcciÃ³n electrÃ³nica Ãºnica y de cumplimiento de los requisitos y condiciones establecidas en la presente Orden Ministerial, asÃ­ como las penalizaciones y demÃ¡s medidas correctoras que sean de aplicaciÃ³n.
2. Corresponde al Ministerio de Administraciones PÃºblicas validar y vigilar el cumplimiento de lo establecido en el pÃ¡rrafo anterior.
UndÃ©cimo. Competencia del Ministerio de Administraciones PÃºblicas para la actualizaciÃ³n de requisitos y criterios tÃ©cnicos.-La actualizaciÃ³n de los requisitos y los criterios tÃ©cnicos de esta Orden Ministerial, corres ponde al Ministerio de Administraciones PÃºblicas, previo informe favorable del Consejo Superior de InformÃ¡tica y para el impulso de la AdministraciÃ³n ElectrÃ³nica.
DisposiciÃ³n transitoria Ãºnica. Validez de las notificaciones telemÃ¡ticas previstas en la normativa vigente.
SerÃ¡n vÃ¡lidas las notificaciones telemÃ¡ticas de los Departamentos Ministeriales y Organismos PÃºblicos previstas en los procedimientos telemÃ¡ticos publicados en el BoletÃ­n Oficial del Estado al amparo de la Ley 30/1992 y normativa de desarrollo que a la entrada en vigor de la presente Orden se encuentren vigentes.
No obstante, deberÃ¡n adaptarse a lo previsto en la presente Orden Ministerial en el plazo de un aÃ±o desde su entrada en vigor.
La presente Orden Ministerial entrarÃ¡ en vigor el dÃ­a siguiente a su publicaciÃ³n en el BoletÃ­n Oficial del Estado, a excepciÃ³n de las disposiciones relativas a la prestaciÃ³n del servicio de notificaciÃ³n en la direcciÃ³n electrÃ³nica Ãºnica que entrarÃ¡n en vigor a partir del inicio de actividad del prestador del servicio de direcciÃ³n electrÃ³nica Ãºnica previsto en la disposiciÃ³n final primera del Real Decreto 209/2003.
Excmos. Sres. Ministros de Administraciones PÃºblicas, de Ciencia y TecnologÃ­a y de Hacienda.

References: Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto