Atención norma derogada, ver regulación posterior

Orden de 21 de febrero de 2000 por la que se aprueba el Reglamento de acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica

Artículo 1 Fin, objeto y ámbito de aplicación

1. El fin de este Reglamento es lograr un adecuado grado de seguridad, calidad y confianza en la prestación de servicios de certificación y proteger debidamente los derechos de los usuarios, estableciendo los sistemas de acreditación de prestadores de servicios de certificación y de certificación de determinados productos de firma electrónica.

2. Es objeto de este Reglamento la regulación del sistema de acreditación de prestadores de servicios de certificación y de certificación de los productos de firma electrónica respecto de los que es competente la Secretaría General de Comunicaciones del Ministerio de Fomento.

3. El sometimiento a los sistemas de acreditación y de certificación regulados en este Reglamento será voluntario.

Artículo 2 Organo de acreditación y certificación

1. La Secretaría General de Comunicaciones del Ministerio de Fomento es el órgano competente para, salvaguardando la seguridad en las comunicaciones, acreditar a los prestadores de servicios de certificación y certificar los productos de firma electrónica a los que se refiere el apartado siguiente.

2. La competencia de la Secretaría General de Comunicaciones para certificar productos de firma electrónica se ejercerá sobre aquellos que cumplan las siguientes condiciones:

• Que estén destinados a conectarse directa o indirectamente a los puntos de terminación de una red pública de telecomunicaciones, con el objeto de enviar, procesar o recibir señales.
• Que estén destinados a garantizar la seguridad de cualquier tipo de información que se transmita por vía electrónica por redes de telecomunicaciones.

3. Se entiende que estas circunstancias concurren, especialmente, en los dispositivos de creación de firma y en los de verificación de firma electrónica avanzada.

4. Respecto de los productos de firma electrónica en los que no se den las condiciones previstas en el apartado 2, su certificación se llevará a cabo con arreglo a la Ley 21/1992, de 16 de julio, de Industria.

Artículo 3 Evaluación previa de prestadores de servicios y productos de firma electrónica

1. El otorgamiento de la correspondiente acreditación o del certificado de conformidad por la Secretaría General de Comunicaciones, exigirá la previa evaluación del prestador de servicios o la del producto de firma electrónica para los que se solicite, realizada por una entidad facultada para actuar conforme al artículo 6.5 del Real Decreto-ley 14/1999, de 17 de septiembre, sobre firma electrónica y a este Reglamento. Al término de la evaluación efectuada, dicha entidad emitirá un certificado de cumplimiento de los requisitos exigibles o un informe de evaluación, según lo que dispongan las normas aplicables en cada caso. En esta norma, salvo que otra cosa se exprese, las expresiones «informe» o «informe de evaluación» se referirán tanto al certificado como al informe propiamente dicho.

2. El informe de evaluación describirá el procedimiento y las normas aplicadas para llevarla a cabo, así como los resultados de las pruebas efectuadas. Este informe será entregado a la persona o entidad que haya solicitado la evaluación.

Artículo 4 Contenido de las resoluciones de acreditación o de certificación

Las resoluciones por las que se acredite a los prestadores del servicio de firma electrónica o se certifiquen los productos, confirmarán que la evaluación se ha realizado correctamente de acuerdo con las normas establecidas en este Reglamento y que la conclusión alcanzada es coherente con los resultados de la evaluación practicada. Cuando este Reglamento establezca otros requisitos para la acreditación de un prestador de servicios o la certificación de un producto de firma electrónica, la resolución también confirmará su cumplimiento.

Artículo 5 Independencia de las entidades de evaluación

Las entidades de evaluación de prestadores de servicios de certificación y de productos de firma electrónica no podrán tener relación de dependencia alguna con los prestadores de servicios ni con los fabricantes o importadores de productos de firma electrónica que soliciten su intervención en el proceso de acreditación o certificación.

Artículo 6 Acreditación de las entidades de evaluación

1. Podrán actuar como entidades de evaluación de prestadores de servicios de certificación y de productos de firma electrónica, los organismos públicos o privados que hayan sido acreditados por la Entidad Nacional de Acreditación (ENAC) o por cualquier otra entidad de acreditación, en el marco del esquema común de acreditación promovido por la Unión Europea.

2. Con carácter previo al inicio de la actividad de acreditación prevista en el apartado anterior, se firmará el Convenio de colaboración previsto en el artículo 11 de este Reglamento.

Artículo 7 Procedimiento de acreditación de las entidades de evaluación

1. Para la acreditación de las entidades de evaluación, la ENAC tomará en consideración los siguientes aspectos:

• a) La forma en que garantizan su independencia respecto a los fabricantes o importadores de productos de firma electrónica y prestadores de servicios sometidos a evaluación.
• b) Su competencia técnica.
• c) Sus locales y equipos.
• d) Los procedimientos de trabajo que emplean.

  Los aspectos referidos en las letras b), c) y d) se valorarán en función de la actividad para la que las entidades de evaluación soliciten su acreditación.

2. Los aspectos relacionados en el apartado anterior se valorarán de acuerdo con las normas que, a propuesta de la ENAC, se determinen por la Secretaría General de Comunicaciones, mediante resolución publicada en el «Boletín Oficial del Estado», respetando el siguiente orden de prelación:

• 1.º Normas, especificaciones o recomendaciones aprobadas por organismos europeos, que sean generalmente aplicadas en la industria.
• 2.º Normas, especificaciones o recomendaciones adoptadas por organismos internacionales, generalmente aplicadas.
• 3.º Normas nacionales generalmente aplicadas.

3. La acreditación se otorgará para la evaluación de prestadores de servicios o de productos de firma electrónica, o para ambos fines, si la entidad de evaluación estuviera suficientemente capacitada para su realización.

4. La ENAC comunicará a la Secretaría General de Comunicaciones las acreditaciones de entidades de evaluación que otorgue, en los términos que se establezcan en el Convenio de colaboración previsto en el artículo 11.

Artículo 8 Obligaciones de las entidades de evaluación

Las entidades de evaluación deberán cumplir las obligaciones que les sean exigibles entre las establecidas en el capítulo III del Reglamento de la Infraestructura para la Calidad y la Seguridad Industrial, aprobado por el Real Decreto 2220/1995, de 28 de diciembre, y las que a continuación se establecen:

• Facilitar información actualizada a cualquier persona que lo solicite, en relación con la función de evaluación (evaluación de prestadores o de productos) para la que hayan obtenido la acreditación.
• Abonar los gastos originados por la evaluación realizada para su acreditación como entidad de evaluación.
• No utilizar la acreditación de manera que pueda perjudicar la reputación del organismo evaluador de la misma.
• Cesar inmediatamente en el uso de la acreditación a partir de la fecha en que ésta sea retirada.
• Indicar, con la mayor claridad posible y en todos los contratos celebrados con sus clientes, que cualquiera de los exámenes e informes previos que se realicen, no implican, de manera alguna, una aprobación por la Secretaría General de Comunicaciones del prestador o producto evaluado.

Artículo 9 Vigencia de las acreditaciones

La ENAC fijará el período de validez de las acreditaciones, de conformidad con lo establecido en el artículo 17.f) del Reglamento de la Infraestructura para la Calidad y la Seguridad Industrial. Asimismo, tendrá en cuenta la actividad para la que se acredite a una entidad de evaluación y la tecnología utilizada por ésta.

Artículo 10 Extinción de las acreditaciones

1. La acreditación de la entidad de evaluación se extinguirá por las siguientes causas:

• a) El vencimiento del plazo por el que se otorgó.
• b) La renuncia expresa del interesado.
• c) El cese de actividad por la entidad de evaluación.

2. La extinción de la acreditación será declarada por la entidad de acreditación prevista en el artículo 6.

Artículo 11 Régimen de colaboración entre la Secretaría General de Comunicaciones y la Entidad Nacional de Acreditación

Entre la Secretaría General de Comunicaciones y la ENAC, se celebrará un convenio de colaboración para determinar el régimen de información y cooperación mutua en cuanto al otorgamiento de acreditaciones y el control posterior de las entidades de evaluación que pueda realizarse. Igualmente, se establecerá la participación de los representantes de la Secretaría General de Comunicaciones en los órganos gestores de la ENAC.

Artículo 12 Funciones del órgano de acreditación y certificación

La Secretaría General de Comunicaciones velará por el correcto funcionamiento del sistema de acreditación y certificación. Para ello, y sin perjuicio de lo que se estipule en el Convenio de colaboración con la ENAC, la Secretaría General de Comunicaciones podrá realizar o encargar exámenes sobre prestadores de servicios acreditados o los productos de firma electrónica certificados, con el fin de comprobar que se mantienen todos los requisitos en función de los cuales se otorgó la correspondiente acreditación o certificación.

A tal fin, los prestadores de servicios de certificación, deberán colaborar con los agentes o el personal inspector de la Secretaría General de Comunicaciones, en los términos establecidos en el artículo 17 del Real Decreto-Ley 14/1999, de 17 de septiembre.

Artículo 13 Coordinación con otros sistemas de acreditación y certificación

El sistema de acreditación y certificación previsto en este Reglamento, podrá ser coordinado con otros establecidos para la evaluación de la seguridad de las tecnologías de la información o de los productos de firma electrónica respecto de los que la Secretaría General de Comunicaciones no actúe como órgano de acreditación o certificación, mediante el intercambio de información, el envío de observadores, la armonización, hasta donde sea posible, de los criterios de evaluación aplicados u otras medidas orientadas al aprovechamiento conjunto de conocimientos y experiencias. El alcance de dichas medidas podrá ser concretado, mediante la celebración de un convenio de colaboración entre los responsables de los distintos sistemas de acreditación y certificación mencionados.

Artículo 14 Concepto de prestador de servicios de certificación

Los prestadores de servicios de certificación de firma electrónica que lo deseen pueden solicitar su acreditación, especificando el ámbito, general o referido a una o varias actividades concretas, para el que requieran la acreditación. A los efectos de este Reglamento, son prestadores de servicios de certificación:

• Las personas físicas o jurídicas que expidan certificados al público.
• Las personas físicas o jurídicas que, además de expedir certificados al público, presten otros servicios relacionados con la firma electrónica, como los de consignación de fecha y hora, los de directorio o los de archivo de documentos electrónicos.

Artículo 15 Acreditación de los prestadores de servicios que expidan certificados al público

1. Para la acreditación de los prestadores que expidan certificados reconocidos al público, se exigirá el cumplimiento de los requisitos establecidos en los artículos 11 y 12 del Real Decreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica. El cumplimiento de la obligación establecida en el artículo 12.g) del Real Decreto-ley 14/1999, de 17 de septiembre, será controlado, en todo caso, por la Secretaría General de Comunicaciones.

Los prestadores de servicios de certificación que no expidan certificados reconocidos, podrán ser acreditados si cumplen las condiciones previstas en el artículo 11 del Real Decreto-ley 14/1999, de 17 de septiembre, sobre firma electrónica.

2. En ambos casos, podrán reconocerse distintos niveles de acreditación, en función de lo que se establezca en las normas a las que se refiere el artículo 17.

Artículo 16 Requisitos para la acreditación de prestadores de servicios relacionados con la firma electrónica, distintos de la emisión de certificados

1. Los prestadores de servicios que, además de emitir certificados al público, presten algún otro servicio relacionado con la firma electrónica, podrán solicitar que su acreditación comprenda éstos. La acreditación se otorgará si, de acuerdo con el informe emitido por la entidad de evaluación, desarrollan la actividad de que se trate con un grado suficiente de fiabilidad. Podrán reconocerse distintos niveles de acreditación, en función de lo que se establezca en las normas a las que se refiere el artículo 17.

2. En la acreditación de las personas que presten un servicio de consignación de fecha y hora, se valorarán especialmente el grado de exactitud de los datos temporales que constaten, la disponibilidad de éstos para las partes y los mecanismos empleados para evitar su alteración.

Artículo 17 Criterios y normas aplicables para la evaluación de prestadores de servicios

Las entidades de evaluación determinarán el cumplimiento de las condiciones previstas para la acreditación de los prestadores de servicios de certificación conforme a las normas que se indiquen en el «Diario Oficial de las Comunidades Europeas». En su defecto, se aplicarán las normas que determine la Secretaría General de Comunicaciones y cuyos números de referencia se publiquen en el «Boletín Oficial del Estado».

Para su fijación, se respetará el orden de prelación establecido en el artículo 7.2 de este Reglamento.

Artículo 18 Solicitud de la acreditación

1. El prestador de servicios que esté interesado en obtener una acreditación deberá presentar, en cualquiera de los lugares indicados en el artículo 38.4 de la Ley 30/1992, una solicitud dirigida a la Secretaría General de Comunicaciones, que contenga los elementos indicados en el artículo 70 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

2. A dicha solicitud, deberá adjuntar el informe de evaluación emitido por la entidad de evaluación acreditada que hubiera examinado la actividad para la que pide la acreditación.

Artículo 19 Resolución del órgano de acreditación

1. La Secretaría General de Comunicaciones otorgará la acreditación solicitada si el procedimiento aplicado para la evaluación es el adecuado para la actividad de que se trate y se cumplen los demás requisitos incluidos en este Reglamento para obtener la acreditación.

2. Si considera que el procedimiento o las normas aplicadas son inadecuados, indicará al prestador de servicios, mediante resolución, qué pruebas han de realizarse o qué normas deben aplicarse para que el procedimiento de evaluación pueda ser aceptado.

3. El plazo máximo de resolución y notificación será de seis meses, contados desde que la solicitud del prestador haya tenido entrada en cualquiera de los registros del Ministerio de Fomento. Si la Secretaría General de Comunicaciones no hubiera notificado la resolución en este plazo, el prestador de servicios podrá entender estimada su solicitud.

4. Las resoluciones de acreditación de prestadores de servicios de certificación serán publicadas en el «Boletín Oficial del Estado» y notificadas a la Comisión Europea, de acuerdo con lo dispuesto en la normativa comunitaria.

Artículo 20 Contenido y vigencia de la acreditación

1. La resolución por la que se otorgue la acreditación a un prestador de servicios obligará a éste a mantener, en todo momento, los requisitos con arreglo a los cuales consiguió su acreditación.

2. La acreditación tendrá una vigencia de cuatro años. A su vencimiento, podrá ser renovada por períodos iguales, siempre que se constate, mediante informe favorable de una entidad de evaluación, que el prestador sigue cumpliendo las condiciones exigibles para su acreditación. Será aplicable a este supuesto, lo dispuesto en el artículo 19, en cuanto al plazo máximo de resolución y notificación y al sentido del silencio administrativo.

Artículo 21 Modificación de la acreditación

1. Los prestadores de servicios podrán solicitar la revisión de su acreditación con el fin de acceder a un nivel distinto, si demuestran, mediante informe favorable de una entidad de evaluación, que reúnen las condiciones necesarias para ello. El plazo para resolver sobre dicha solicitud será de seis meses y el silencio administrativo, si lo hubiere, será positivo.

2. La resolución de acreditación podrá ser modificada, cuando los prestadores dejen de cumplir las condiciones establecidas para cada tipo de acreditación. La resolución de modificación será dictada en expediente contradictorio, en el plazo de seis meses.

3. Las resoluciones por las que la Secretaría General de Comunicaciones renueve, de acuerdo con el artículo anterior, amplíe o rebaje la acreditación de un prestador de servicios, se publicarán en el «Boletín Oficial del Estado» y serán notificadas a la Comisión Europea, de acuerdo con lo dispuesto en la normativa comunitaria.

Artículo 22 Extinción de la acreditación

1. La acreditación de un prestador de servicios se extinguirá por las siguientes causas:

• a) El vencimiento de su plazo de otorgamiento, sin que se haya solicitado su renovación.
• b) La renuncia expresa del prestador de servicios.
• c) El cese en la actividad de certificación de que se trate, del prestador de servicios.

2. La extinción de la acreditación será declarada por la Secretaría General de Comunicaciones, una vez constatada.

3. La resolución por la que se declare la extinción de la acreditación de un prestador de servicios, será publicada en el «Boletín Oficial del Estado», y se notificará a la Comisión Europea, de acuerdo con la normativa comunitaria.

Artículo 23 Reconocimiento mutuo de acreditaciones

1. Serán reconocidas en España las acreditaciones concedidas a los prestadores de servicios en otros Estados de la Unión Europea para las clases y niveles de acreditación equivalentes a los establecidos en este Reglamento.

2. Con arreglo al mismo criterio, podrán ser reconocidas las acreditaciones otorgadas en un Estado que no sea miembro de la Unión Europea, a un prestador de servicios reconocido en virtud de un acuerdo entre la Comunidad Europea y terceros países u organizaciones internacionales.

Artículo 24 Requisitos para la certificación de dispositivos de firma electrónica

1. La Secretaría General de Comunicaciones podrá certificar, como dispositivos seguros de creación de firma, los dispositivos que, a tenor de los informes emitidos por una entidad de evaluación acreditada, cumplan los requisitos establecidos en el artículo 19 del Real Decreto-ley 14/1999, de 17 de septiembre.

2. La Secretaría General de Comunicaciones podrá determinar la conformidad de los dispositivos de verificación de firma electrónica avanzada con los requisitos señalados en el artículo 22.1 del Real Decreto-ley 14/1999, de 17 de septiembre, de acuerdo con lo que dispone el artículo siguiente.

Artículo 25 Normas para la evaluación de dispositivos de firma electrónica

La evaluación de la conformidad de los dispositivos seguros de creación de firma y de los dispositivos de verificación de firma electrónica avanzada con los requisitos exigibles en cada caso, se realizará aplicando aquellas normas cuyos números de referencia se publiquen en el «Diario Oficial de las Comunidades Europeas». En su defecto, se aplicarán las normas que determine la Secretaría General de Comunicaciones y cuyas referencias se publiquen en el «Boletín Oficial del Estado». Para su fijación, se respetará el orden de prelación establecido en el artículo 7.2 de este Reglamento.

Artículo 26 Procedimiento aplicable al otorgamiento del certificado de conformidad

1. Las solicitudes de certificación de dispositivos de creación y de verificación de firma electrónica podrán ser presentadas por sus fabricantes o importadores o por los prestadores de servicios.

2. El procedimiento para la obtención de la certificación será el regulado en los artículos 18 y 19 de este Reglamento, entendiéndose, a estos efectos, que las referencias hechas a los prestadores de servicios lo son a los fabricantes, importadores o comercializadores de dichos dispositivos.

3. Las resoluciones por las que se otorguen los certificados de conformidad serán publicadas en el «Boletín Oficial del Estado».

Artículo 27 Vigencia de los certificados de conformidad

Los certificados de conformidad especificarán el período de vigencia por el que se expiden, el cual, en ningún caso, podrá ser superior a cinco años. A su término, los certificados podrán ser renovados, siempre que se acredite, mediante informe favorable de una entidad de evaluación, que se cumplen las condiciones exigibles para la certificación del dispositivo de que se trate. Será aplicable a este supuesto, lo dispuesto en el artículo 19.3 de este Reglamento.

Artículo 28 Caducidad de los certificados

1. La Secretaría General de Comunicaciones podrá retirar un certificado de conformidad cuando compruebe que los dispositivos de creación o de verificación de firma electrónica al que afecte ya no cumplen los requisitos que determinaron su otorgamiento.

2. La resolución de caducidad del certificado se dictará, en el plazo de seis meses, en expediente contradictorio y se publicará en el «Boletín Oficial del Estado».

Artículo 29 Reconocimiento mutuo de certificados

1. Se reconocerá eficacia a los certificados sobre dispositivos seguros de creación de firma electrónica y de verificación de firma electrónica avanzada que hayan sido expedidos por los organismos designados, para ello, por los Estados miembros de la Unión Europea.

2. Igualmente, se reconocerá eficacia a los certificados sobre dispositivos seguros de creación de firma electrónica y de verificación de firma electrónica avanzada que hayan sido expedidos por los organismos designados por Estados que no sean miembros de la Unión Europea, cuando un acuerdo internacional de reconocimiento mutuo vinculante para España así lo disponga.