Dña. LUCÍA AGUILERA PÉREZ, por vacante del Secretario del Consejo de la Comisión del Mercado de las Telecomunicaciones (art.7.2 de la O.M. de 9 de abril de 1997, B.O.E. 11.4.1997), en uso de las competencias que le otorga el artículo 40 del Reglamento de la Comisión del Mercado de las Telecomunicaciones, aprobado por Real Decreto 1994/1996, de 6 de septiembre,

CERTIFICA:

 

Que en la Sesión nº 03/00 del Consejo de la Comisión del Mercado de las Telecomunicaciones celebrada el día 20 de enero 2000, se ha adoptado el siguiente


 

ACUERDO

Por el que se aprueba el:

INFORME SOBRE EL PROYECTO DE REGLAMENTO DE ACREDITACIÓN DE PRESTADORES DE SERVICIOS DE CERTIFICACIÓN Y DE CERTIFICACIÓN DE DETERMINADOS PRODUCTOS DE FIRMA ELECTRÓNICA.

I. OBJETO

El presente informe tiene por objeto el análisis del Proyecto de Reglamento de Acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica, remitido por la Secretaria General de Comunicaciones con fecha de entrada en esta Comisión de 4 de enero de 2000.

Dicho informe se evacua conforme al artículo 1 Dos 2 j) de la Ley 12/1997, de Liberalización de las Telecomunicaciones, que establece como una de las funciones de la Comisión del Mercado de las Telecomunicaciones (en adelante, la Comisión), la de informar preceptivamente en los procedimientos tramitados por la Administración General del Estado para la elaboración de disposiciones normativas en materia de telecomunicaciones.

  1. CUESTIONES PREVIAS

El Real Decreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica (en adelante, Real Decreto-Ley 14/1999) regula la utilización de la misma, el reconocimiento de su eficacia jurídica y la prestación al público de servicios de certificación. Este texto se basa en la posición común, adoptada en la Sesión del Consejo de Ministros de Telecomunicaciones de la Unión Europea, celebrada el 22 de abril de 1999, respecto del proyecto de Directiva del Parlamento Europeo y del Consejo por la que se establece un marco común para la firma electrónica.

Se hace la observación de que a fecha de elaboración del presente informe a este Proyecto de Reglamento, no nos encontramos ante un texto definitivo de dicha Directiva que traslade a los Estados miembros de la Unión Europea un mandato de transposición a sus ordenamientos jurídicos internos respectivos

Este proyecto de Reglamento responde a lo dispuesto en los Artículos 6, 21 y 22 del Real Decreto-Ley 14/1999, en lo que respecta al establecimiento de sistemas voluntarios de acreditación de los prestadores de servicios de certificación de firma electrónica, así como de certificación de dispositivos seguros de creación de firma electrónica y dispositivos de verificación de firma electrónica avanzada. En particular, en el artículo 6.1 del Real Decreto-Ley, se establece que el Gobierno, por Real Decreto, podrá establecer sistemas voluntarios de acreditación de los prestadores de servicios de certificación de firma electrónica, determinando para ello, un régimen que permita lograr el adecuado grado de seguridad y proteger, debidamente los derechos de los usuarios.

Las funciones de certificación a las que se refiere el Real Decreto-Ley 14/1999, de 17 de septiembre, serían ejercidas por los órganos en cada caso competentes, referidos en la Ley 11/1998, de 24 de abril, General de telecomunicaciones y en la Ley 21/1992, de 16 de julio, de Industria, además de del resto de legislación vigente en la materia (sic).

La prestación de servicios de certificación regulados en el Real Decreto-Ley 14/1999 se enmarca dentro de un sistema de libre competencia, para el que no se precisa autorización previa, sin perjuicio del establecimiento de un sistema de acreditación y certificación, totalmente voluntario, destinado a mejorar los servicios ofrecidos. La importancia de este sistema radica en que, para que una firma electrónica sea una firma electrónica avanzada, y, por tanto, tenga la misma validez jurídica que la firma manuscrita, debe basarse en un certificado reconocido expedido por un prestador de servicios acreditado y ser creada a través de un dispositivo seguro de creación de firma certificado.

No obstante, conviene puntualizar que la existencia de un sistema de acreditación y certificación tiene como finalidad aumentar el grado de seguridad, calidad y confianza en la utilización de las firmas digitales, no desautorizar toda aquella firma cuyo certificado no provenga de un prestador de servicios de certificación acreditado y con productos de firma electrónica certificados.

Por otra parte, en el proyecto de Reglamento se desarrolla la figura de la entidad de evaluación, cuya función consiste en realizar un informe técnico sobre aquellos prestadores de servicios que hayan solicitado acreditación o aquellos productos de firma electrónica para los que se haya solicitado certificación, de acuerdo a unas normas generales que determine la Secretaría General de Comunicaciones. Dicho informe servirá de base para elaborar la resolución de otorgamiento de la acreditación o el certificado de conformidad al prestador de servicios correspondiente.

Las entidades de evaluación, por su parte, deberán someterse a un proceso de homologación, realizado por la denominada Entidad Nacional de Acreditación (ENAC) en el territorio español, y, en el ámbito internacional, por los organismos de homologación de otros países comunitarios o de aquellos países no comunitarios con los que se haya celebrado el correspondiente convenio.

En suma, este proyecto de Reglamento tiene como objetivo regular el funcionamiento de los sistemas de acreditación y de certificación, que giran en torno a tres clases de órganos, entidades u organismos:

Una vez examinado el proyecto de reglamento, se ha de señalar que la norma de la cual el proyecto de reglamento, objeto de este informe, constituye un desarrollo parcial, esto es, el Real Decreto- Ley 14/1999, fue objeto de un informe de esta Comisión a la SGC aprobado mediante Acuerdo del Consejo de 3 de junio de 1999. En dicho informe se efectúan diversas apreciaciones sobre el régimen general de las firma electrónica, a las cuales nos remitimos en su integridad.

Sin perjuicio de lo anterior, a continuación se analizarán los artículos contenidos en el Proyecto de Reglamento citado, mencionándose únicamente aquellos sobre los cuales se efectúan observaciones.

  1. ANALISIS DEL PROYECTO

El Proyecto de Real Decreto, consta de un artículo único por el que se aprueba este Reglamento y una Disposición Final de entrada en vigor. El texto de Reglamento que se pretende aprobar mediante este Real Decreto consta de treinta artículos, agrupados en cinco Capítulos, a saber I.- Sistema de acreditación y de certificación, II.- Entidades de evaluación, III.- Órgano de acreditación y certificación y coordinación con otros sistemas de certificación, IV.- Acreditación de prestadores de servicios de certificación, y V.- Certificación de dispositivos seguros de creación de firma y dispositivos de verificación de firma electrónica avanzada, versando el texto articulado sobre los siguientes extremos:

Artículo 3. Evaluación previa de prestadores de servicios y productos de firma electrónica

El artículo 3 del Proyecto de Reglamento sobre evaluación previa de prestadores de servicios y productos de firma electrónica, en su número 1 establece que para el otorgamiento de la correspondiente acreditación o del certificado de conformidad por la Secretaría General de Comunicaciones, se exigirá la previa evaluación del prestador de servicios o la del producto, realizadas por una "...entidad..." facultada para actuar señalándose de forma genérica, "conforme al Real Decreto-Ley 14/1999".

Dado que el término entidad pudiera resultar confuso vista la redacción del texto articulado de este Reglamento, puesto que la asignación de la categoría "entidad" pudiera ser adjudicada a más de una de éstas es por lo que se considera más adecuado incrementado una mayor seguridad interpretativa del texto, el señalar con claridad a que entidades concretas se refiere.

Por lo anterior se propone añadir en el número 1 de este artículo la mención expresa del artículo 6.5 del Real Decreto-Ley 14/1999, de 17 de septiembre, despejando las posibles dudas antedichas.

Artículo 5. Independencia de las entidades de evaluación

El artículo 5, relativo a la independencia de las entidades de evaluación pretende articular un mecanismo que genere o venga a garantizar la independencia de estas entidades respecto de los prestadores de servicios, fabricantes o importadores de productos de firma electrónica que soliciten su intervención en el proceso de acreditación o certificación. Para lo anterior se establece la no posibilidad para estas entidades de evaluación, de tener relación de dependencia alguna, sin más especificaciones.

Aún partiendo de la posible no eficiencia de muchas de las medidas que se articulan usualmente a favor de la independencia de este tipo de entidades, se debe de considerar en todo caso insuficiente la que se propone, debiéndose garantizar al menos para el caso de las personas jurídicas la no participación social directa o indirecta en las mismas de aquellos prestadores de servicios, fabricantes o importadores de productos de firma electrónica a ser evaluados por la entidad de evaluación.

Por lo anterior se propone la siguiente redacción alternativa:

"Artículo 5. Independencia de las entidades de evaluación."

Las entidades de evaluación de prestadores de servicios de certificación y de productos de firma electrónica no podrán tener relación de dependencia alguna, ni en el caso de ser personas jurídicas contar con participación social, con los prestadores de servicios ni con los fabricantes o importadores de productos de firma electrónica que soliciten su intervención en el proceso de acreditación o certificación."

Artículo 6.1. Homologación de las entidades de evaluación

El artículo 6.1. señala que aquellos organismos públicos o privados que hayan sido debidamente acreditados, podrán actuar como entidades de evaluación de prestadores de servicios de certificación y de productos de firma electrónica.

Con este objeto se señala a una Asociación, la Entidad Nacional de Acreditación (ENAC) o cualquiera otra entidad de homologación de otros países comunitarios o con los que la Unión Europea haya celebrado el oportuno convenio al respecto.

Puesto que la ENAC, asociación de derecho privado, sin ánimo de lucro se reconoce y designa como entidad de acreditación de las establecidas en el Capítulo II del Reglamento de la Infraestructura para la calidad y la seguridad industrial, se considera más adecuado llegado este punto señalar como entidad de acreditación según los términos que se derivan del marco jurídico dado al efecto. En efecto, se debe señalar que la Asociación, ENAC, aún siendo reconocida y designada por la Disposición Adicional tercera del Real Decreto 2200/1995, es un Entidad de entre las posibles y no la única, del Capítulo II del Reglamento aprobado por el citado Real Decreto.

Es por lo anterior que se propone la siguiente redacción a este número:

"1. Podrán actuar como entidades de evaluación de prestadores de servicios de certificación y de productos de firma electrónica los organismos públicos o privados que hayan sido acreditados, mediante la correspondiente homologación, por una entidad de acreditación de las previstas en el artículo 17 de la Ley 21/1992, de 16 de julio, de Industria, desarrollado por los artículos 14 al 19 del Real decreto 2200/1995, de 28 de diciembre, por el que se aprueba el Reglamento de la Infraestructura para la calidad y la seguridad industrial, o por cualquiera de las entidades de homologación de otros países comunitarios o con los que la Unión Europea haya celebrado el oportuno convenio."

Artículo 7 Procedimiento de homologación de entidades de evaluación

Con respecto al primer párrafo del apartado 1 de este artículo, y en coherencia con lo anterior se propone que la cita que se hace a la ENAC sea genérica a las posibles entidades de acreditación del artículo 17 de la Ley 21/1992, desarrollado por el Capítulo II del Reglamento aprobado por Real Decreto 2200/1995.

Asimismo, de acuerdo con lo propuesto respecto de la independencia de las entidades de evaluación en el artículo 5, se propone incluir una letra a´) que establezca una garantía más efectiva de independencia de estas entidades de evaluación para el supuesto de que sean personas jurídicas.

En todo caso el nivel de exigencia debe ser adecuado a lo establecido para estas entidades de acreditación en el artículo 15.1.a) del Reglamento aprobado por el Real Decreto 2200/1995. Para ello se propone la siguiente redacción:

"a´) Naturaleza jurídica, titularidad de las participaciones sociales y fuentes de financiación de la entidad."

Con respecto al apartado 2 y 4 de este artículo, se da por reproducido lo planteado para el primer párrafo de este artículo en concordancia con lo dicho para el artículo 6.

Finalmente, indicar que el apartado 4 de dicho artículo establece: ‘La Entidad Nacional de Acreditación comunicará a la Secretaría General de Comunicaciones las homologaciones de entidades de evaluación que otorgue, indicando los criterios y procedimientos de evaluación que haya aplicado’’.

Dado que en el proyecto de reglamento se permite el funcionamiento de entidades de evaluación homologadas en el extranjero, podría completarse este apartado con el procedimiento que seguirían aquellas entidades homologadas por un proceso equivalente al de la ENAC en el extranjero, es decir, establecer el sistema de reconocimiento mutuo de homologaciones

Artículo 9. Vigencia de las homologaciones

Se da por reproducido lo planteado para el primer párrafo de este artículo en concordancia con lo dicho para el artículo 6.

Artículo 12. Funciones del organo de acreditación y certificación

Se da por reproducido lo planteado para el primer párrafo de este artículo en concordancia con lo dicho para el artículo 6.

Artículo 14. Concepto de prestador de servicios de certificación

Como muy bien se indica en la Posición Común CE 28/1999, aprobada por el Consejo el 28 de junio de 1999, relativa al establecimiento de un marco comunitario para la firma electrónica, el ámbito en que se desenvuelve la actividad de los prestadores de servicios de certificación no se restringe a la expedición y gestión de certificados de autenticación, sino que también incluye otros servicios o productos que incluyen la firma electrónica como pueden ser los siguientes:

En esta misma línea de considerar determinadas actividades asociadas, el texto proyectado admite la figura del prestador que además de expedir certificados al público preste otros servicios relacionados, entre los que se incluyen la consignación de fecha y hora, los de directorio, o los de archivo de documentos electrónicos.

No obstante, los tipos de servicios prestados por los proveedores de servicios de certificación relacionados con la firma electrónica irán evolucionando en función de los avances tecnológicos que se vayan produciendo, por lo que resulta ocioso hacer una enumeración detallada de estos. Dada la importancia que se supone tendrán en el futuro, se sugiere la incorporación de otros servicios prestados por estos proveedores relacionados con la firma electrónica como son los certificados de sitio seguro y sitio seguro cualificado, que acreditan la personalidad del titular del sitio que se está visitando en una red telemática. También se propone la incorporación del servicio de certificados para objetos que sirve para acreditar el autor o fabricante de dicho objeto. Por ello se propone la redacción alternativa al punto segundo del articulo 14:

"- Las personas físicas o jurídicas que, además de expedir certificados al público, presten otros servicios relacionados con la firma electrónica, como los de consignación de fecha y hora, los de directorio, los de sitio seguro y sitio seguro cualificado, los de objetos o los de archivo de documentos electrónicos."

Sin perjuicio de lo anterior, el detalle con el que se describen estos denominados servicios relacionados es a todas luces insuficiente, lo que va a dificultar enormemente la labor de los evaluadores, pudiendo además crear cierta confusión entre los prestadores al no conocer con exactitud la definición de estos servicios. Es por ello que en este punto parece cuando menos necesario profundizar más en su definición, e incluso si fuera posible hacer referencia a normativa técnica que cubra con la suficiente precisión este campo.

Artículo 15. Acreditación de los prestadores de servicios que expidan certificados al público

En el segundo párrafo, del apartado 1 donde dice "... Real Decreto 14/1999, de ...", debiera decir "... Real Decreto-Ley 14/1999, de..."

En el apartado 2 se determina que los prestadores de servicios de certificación podrán establecer distintos niveles de acreditación en función de los criterios, planes y controles aplicados por estos.

Esto provocará que en un mercado con varios proveedores de servicios de acreditación, para un mismo tipo de servicio, se ofrezcan distintos niveles de acreditación, lo cual puede confundir y crear inseguridad en el usuario de estos servicios, entrando en contradicción con el fin expuesto en el artículo 1 de este Reglamento "lograr un adecuado grado de seguridad, calidad y confianza en la prestación de servicios de certificación y proteger debidamente los derechos de los usuarios, ... ".

Es por ello por lo que se propone que, una vez determinado un tipo de servicio se normalicen los niveles de acreditación para dicho tipo de servicio en coordinación con los distintos organismos de acreditación de la Comunidad Europea.

Artículo 17. Criterios y normas aplicables para la evaluación de prestadores de servicios.

El artículo 3.5 de la Posición Común CE 28/1999 establece que la Comisión podrá determinar y publicar en el DOCE los números de referencia de las normas que gocen de reconocimiento general para productos de firma electrónica. Los Estados Miembros presumirán que los productos de firma electrónica que se ajusten a dichas normas son conformes con los requisitos que en este texto se establecen para los proveedores de servicios de firma electrónica y dispositivos de creación de firma electrónica.

Este proyecto de Reglamento dispone en este artículo 17 que las entidades de evaluación determinarán el cumplimiento de las condiciones previstas para la acreditación conforme a estas normas publicadas en el DOCE, o en su defecto las normas que determine la SGC y se publiquen en el BOE.

Según recoge el texto de la Posición Común citada, la posible determinación de las referencias de estas normas técnicas habrá de realizarse de acuerdo con el procedimiento establecido en su Artículo 9, en el que interviene la Comisión y el Comité de la firma electrónica.

Teniendo en cuenta que la Directiva sobre firma electrónica todavía no ha sido aprobada, y que una vez aprobada las normas técnicas no podrán determinarse de forma inmediata, estimamos que la aprobación del Reglamento proyectado debería acompañarse de la publicación en el BOE de las referencias a las normas técnicas en las que se basará la acreditación de prestadores. Sólo así se conseguiría que tanto potenciales entidades de evaluación como empresas interesadas en la prestación de servicios de certificación pudieran tener una noción clara de lo que se les va a exigir, no sólo desde los aspectos más formales como son los procedimientos de homologación y acreditación sino también desde el punto de vista del contenido de sus actividades.

En suma, consideramos que esta publicación de las referencias a las normas técnicas en el BOE es deseable para permitir una rápida introducción de prestadores de estos servicios y la consiguiente difusión entre los usuarios de la firma electrónica.

Artículo 23. Reconocimiento mutuo de acreditaciones.

El apartado 1 de dicho artículo dispone que ‘serán reconocidas en España las acreditaciones concedidas a los prestadores de servicios en otros Estados de la Unión Europea, siempre que, por los requisitos, el procedimiento y las normas aplicadas para su otorgamiento, garanticen un nivel de exigencia equivalente al establecido en este Reglamento para la obtención de una acreditación en España’.

Asimismo, el apartado 3 de dicho artículo establece que ‘La resolución de reconocimiento será dictada, en ambos casos, por la Secretaría General de Comunicaciones, previo examen de la resolución de otorgamiento de la acreditación y, en su caso, del informe de evaluación emitido, en el plazo señalado en el artículo 20.3’.

El sistema de acreditación y certificación que desarrolla este proyecto de Reglamento es voluntario, lo que conlleva la coexistencia en el mercado español de prestadores de servicios acreditados y no acreditados. Sin embargo, el método y los criterios de otorgamiento de dichas acreditaciones pueden variar con respecto a otros países, incluso dentro del ámbito de la Unión Europea, dándose el caso de que un prestador de servicios de certificación acreditado conforme al criterio de un país no obtenga dicha categoría en España. La existencia de regulaciones diferentes en cada país puede dificultar el desarrollo del comercio electrónico y el propio funcionamiento del mercado interno, como así se reconoce en la propuesta de Directiva, de 22 de abril de 1999, sobre firma electrónica.

De acuerdo con el sistema que se propone en este Reglamento, un prestador de servicios ya acreditado en otro país se debe someter a un nuevo proceso de acreditación si desea ser considerado como tal en España.

No obstante, la influencia de un marco legal común para la firma electrónica, como el acordado en la Unión Europea, debería extenderse también a los procedimientos de reconocimiento mutuo de las acreditaciones. Dicha armonización podría lograrse estableciendo un sistema de convalidación de los procedimientos de acreditación de varios países, a través del cual se equipararían las acreditaciones otorgadas en países diferentes.

Por ello, en este artículo podría considerarse la posibilidad de hacer referencia a un futuro sistema de convalidación de procedimientos de acreditación entre países de la Unión Europea o países no comunitarios con los que se disponga de convenio, o, en todo caso, redactar el artículo de forma que no quede comprometida la interoperabilidad de los servicios de certificación.

Con respecto a la referencia al artículo 20.3 realizada en el apartado 3, señalar que se trata de una errata, y que la referencia correcta es al artículo 19.3.

Artículo 25. Normas para la evaluación de dispositivos de firma electrónica.

Es importante resaltar que las normas técnicas a que se refiere la Posición Común 28/1999 sólo pretenden garantizar la seguridad en la creación de la firma electrónica, y no en el proceso de verificación de la misma, con relación al que únicamente muestra en su Anexo IV una serie de recomendaciones. En consecuencia, las normas técnicas que se vayan a referenciar en el DOCE no van a dar cobertura al proceso de verificación de firma electrónica.

Ante esta problemática caben dos posibilidades. La primera consiste en mantener la edición actual del reglamento y complementar las normas técnicas publicadas en el DOCE con normas publicadas en el BOE destinadas específicamente a la verificación de firma electrónica.

La segunda posibilidad pasaría por modificar este artículo 25 eliminando del mismo la referencia a los dispositivos de verificación, y dirigiéndolo únicamente a la evaluación de dispositivos de creación de firma electrónica. Esta posibilidad parece la más alineada con el Real Decreto-Ley 14/1999, que en su artículo 20 parece considerar únicamente la normativa técnica que afecta a la creación de la firma electrónica, y no así a la de verificación.

El presente certificado se expide al amparo de lo previsto en el artículo 27.5 de la Ley 30/1992, de 26 de noviembre, y el Artículo 23.2 de la Orden de 9 de abril de 1997, por la que se aprueba el Reglamento de Régimen Interior de la Comisión del Mercado de las Telecomunicaciones, con anterioridad a la aprobación del Acta de la sesión correspondiente.

Vº Bº

EL VICEPRESIDENTE

LA DIRECTORA DE LA

ASESORÍA JURÍDICA

Florenci Bach i Montserrat

Lucía Aguilera Pérez

P.V. art. 7.2 O.M. de 9 de abril de 1997

(B.O.E. de 11 de abril de 1997)