Anexo

1. Introducci髇

La Ley 59/2003, de 19 de diciembre, de firma electr髇ica es la norma general que regula las caracter韘ticas y el uso de la firma electr髇ica. Esta Ley permite, de acuerdo con el art韈ulo 4, que las administraciones p鷅licas hagan uso de los mecanismos de firma electr髇ica y que establezcan condiciones adicionales a su uso para salvaguardar las garant韆s de cada procedimiento.

Por otra parte, la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos establece los tipos de firma a utilizar por parte de la ciudadan韆 y de las administraciones p鷅licas cuando se relacionan por medios electr髇icos.

La Ley de acceso electr髇ico de los ciudadanos a los servicios p鷅licos ha sido objeto de un despliegue reglamentario posterior. En primer lugar, esta Ley ha sido desarrollada por el Real decreto 1671/2009, por el que se despliega parcialmente la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos, el cual introduce determinadas obligaciones relacionadas con el uso de la firma electr髇ica para las administraciones de 醡bito estatal. Este Real decreto se aplica a las administraciones catalanas de forma supletoria, es decir, en aquellos casos en que no haya una norma propia de 醡bito auton髆ico que cubra un determinado supuesto de hecho.

En segundo lugar, se han aprobado el Esquema Nacional de Seguridad y el Esquema Nacional de Interoperabilidad ( Real decreto 3/2010 y Real decreto 4/2010, respectivamente), por los que se despliega la Ley de acceso electr髇ico de los ciudadanos a los servicios p鷅licos en aspectos puntuales relacionados con la gesti髇 de los sistemas de informaci髇 de las administraciones p鷅licas y de acuerdo con la remisi髇 legal operada por el art韈ulo 42 de la Ley. Estos documentos establecen unas bases comunes para todas las administraciones p鷅licas con el fin de asegurar la interoperabilidad entre los sistemas de informaci髇 garantizando la normalizaci髇, la seguridad y la conservaci髇 de la informaci髇.

El contenido de las disposiciones del Esquema Nacional de Seguridad y del Esquema Nacional de Interoperabilidad es incorporado en los diferentes apartados de este Protocolo y, particularmente, se integran en la evaluaci髇 de los riesgos para la determinaci髇 de los sistemas de firma que se quiera utilizar.

En el 醡bito de Catalu馻, el Decreto 56/2009, de 7 de abril, para el impulso y el desarrollo de los medios electr髇icos a la Administraci髇 de la Generalidad es la norma que despliega las bases establecidas por la Ley de acceso electr髇ico de los ciudadanos a los servicios p鷅licos. Posteriormente, se han aprobado la Ley 29/2010, de 3 de agosto, del uso de los medios electr髇icos en el sector p鷅lico de Catalunya; la Ley 26/2010, de 3 de agosto, de r間imen jur韉ico y de procedimiento de las administraciones p鷅licas de Catalu馻, y el Decreto 232/2013, de 15 de octubre, por el que se crea la Sede electr髇ica, textos que completan el cuerpo normativo regulador del uso de los medios electr髇icos en Catalu馻.

2. Objeto del Protocolo

El objeto de este Protocolo es establecer los criterios comunes en la Administraci髇 de la Generalidad de Catalu馻 con respecto a los aspectos t閏nicos y organizativos necesarios para la implantaci髇 de los sistemas de identificaci髇 y firma electr髇ica para cada tr醡ite o servicio, en funci髇 de su grado de seguridad.

3. 羗bito de aplicaci髇

Este Protocolo se aplica a los tr醡ites o procedimientos que se producen en las relaciones entre la Administraci髇 de la Generalidad de Catalu馻 y los ciudadanos y ciudadanas, y en las relaciones entre los diferentes 髍ganos administrativos, en los 醡bitos siguientes:

• a) En el 醡bito subjetivo establecido en el art韈ulo 2 del Decreto 56/2009.
• b) En el 醡bito de las relaciones interadministrativas, mediante convenios u otros instrumentos jur韉icos.
• c) En el 醡bito de las relaciones interorg醤icas, en los t閞minos establecidos por acuerdo del Gobierno.

4. 觬ganos competentes

A los efectos de la aplicaci髇 de este Protocolo, son 髍ganos competentes:

4.1 觬ganos competentes en la elaboraci髇, la ejecuci髇 y el seguimiento del Protocolo

Departamentos de la Generalitat: los departamentos y entidades u organismos vinculados o dependientes son los responsables de implantar los servicios electr髇icos en el 醡bito de sus competencias, con el objetivo de mejorar la eficacia, la eficiencia y la transparencia de los servicios p鷅licos. En el marco de este Protocolo, son los encargados de adecuar los criterios de este documento a los tr醡ites o procedimientos electr髇icos.

Secretar韆 de Administraci髇 y Funci髇 P鷅lica: mediante la Oficina de Procesos y Administraci髇 Electr髇ica (OPAE), la Secretar韆 es el 髍gano competente para el impulso de los medios electr髇icos en el 醡bito de la Administraci髇 de la Generalidad de Catalu馻. En el marco de este Protocolo, es el 髍gano encargado de elaborarlo y actualizarlo y, si procede, de impulsar las medidas de ejecuci髇 y desarrollo que correspondan.

Centro de Telecomunicaciones y Tecnolog韆s de la Informaci髇 (CTTI): es el 髍gano competente en el desarrollo de la pol韙ica en materia de tecnolog韆s de la informaci髇 y la comunicaci髇. En el marco de este Protocolo, tiene encomendada la funci髇 de desarrollar las herramientas corporativas necesarias para la identificaci髇 y la firma.

Consorcio Administraci髇 Abierta de Catalu馻 (Consorcio AOC): es el 髍gano competente en crear soluciones corporativas y prestar servicios de administraci髇 electr髇ica comunes para todas las administraciones catalanas, reutilizar las aplicaciones y los servicios de administraci髇 electr髇ica que se desarrollen, garantizar la identidad y acreditar la voluntad en las actuaciones de los ciudadanos y ciudadanas, y del personal del sector p鷅lico, as� como la confidencialidad y el no rechazo en las comunicaciones electr髇icas.

Asimismo, por el Acuerdo GOV/138/2013, de 15 de octubre de 2013, el Consorcio AOC presta servicios de firma electr髇ica en el sector p鷅lico de Catalu馻 en las comunicaciones electr髇icas que llevan a cabo las entidades del sector p鷅lico de Catalu馻.

Comisi髇 para el Impulso de los Medios Electr髇icos en la Administraci髇 (CIMEA): la Comisi髇 para el Impulso de los Medios Electr髇icos en la Administraci髇 tiene por objeto la coordinaci髇 de la actuaci髇 de los departamentos que ejecutan pol韙icas transversales en el 醡bito del impulso y el desarrollo de los medios electr髇icos en la actuaci髇 administrativa, a efectos de definir las pol韙icas y las estrategias TIC en el 醡bito de la Generalidad y su sector p鷅lico.

Las funciones de la Comisi髇 para el Impulso de los Medios Electr髇icos en la Administraci髇 son:

• - La supervisi髇 estrat間ica y la definici髇 de prioridades en relaci髇 con los proyectos corporativos que se implementen en este 醡bito.
• - El seguimiento de la planificaci髇 estrat間ica aprobada, el control de la ejecuci髇, la detecci髇 de las disfuncionalidades y la propuesta de soluciones.
• - La coordinaci髇 entre los departamentos de la Administraci髇 de la Generalidad de Catalu馻 y sus organismos p鷅licos para racionalizar el impacto de las tecnolog韆s de la informaci髇 y unificar los criterios y las metodolog韆s utilizadas.

Asimismo, le corresponde formalizar, con car醕ter previo, este Protocolo, as� como las modificaciones y actualizaciones posteriores.

4.2 觬ganos competentes en el impulso de servicios o tr醡ites electr髇icos

Departamentos de la Generalidad: los departamentos y los 髍ganos que dependen de ellos son los responsables de implantar servicios electr髇icos en el 醡bito de sus competencias, con el objetivo de mejorar la eficacia, la eficiencia y la transparencia de los servicios p鷅licos.

Direcci髇 General de Atenci髇 Ciudadana y Difusi髇 (DGACD): es el 髍gano competente en la definici髇 y el desarrollo de la pol韙ica de atenci髇 a la ciudadan韆. En el marco de este Protocolo, es el 髍gano que pone a disposici髇 de los departamentos la plataforma corporativa de servicios electr髇icos Tr醡ites gencat, que incorpora mecanismos de identificaci髇 y firma.

Departamento de Empresa y Ocupaci髇: mediante la Ventanilla 趎ica Empresarial, que act鷄 como red interadministrativa para facilitar el acceso a los tr醡ites de los procedimientos administrativos que son competencia de los diversos departamentos, as� como para facilitar las relaciones entre empresas y administraciones p鷅licas catalanas.

Centro de Telecomunicaciones y Tecnolog韆s de la Informaci髇 (CTTI): es el 髍gano competente en el desarrollo de la pol韙ica en materia de tecnolog韆s de la informaci髇 y la comunicaci髇.

5. Identidad electr髇ica y firma electr髇ica

A los efectos de determinar la identidad y firma electr髇ica adecuada al grado de seguridad de cada tr醡ite o servicio electr髇ico, este Protocolo establece:

• 1. Los mecanismos de identificaci髇 y firma electr髇ica aplicables para cada tr醡ite o servicio, de acuerdo con el Reglamento europeo 910/2014 relativo a la identificaci髇 electr髇ica y los servicios de confianza (en adelante ReIdAS) y las normativas auton髆icas y estatales en materia de identificaci髇 y firma electr髇ica.
• 2. Los mecanismos de firma electr髇ica y sello electr髇ico, de acuerdo con lo que determinan las secciones 4 y 5 del ReIdAS, que se establecen en el punto 6 de este Protocolo son:
  • - Firmas y sellos electr髇icos
  • - Firmas y sellos electr髇icos avanzados
  • - Firmas y sellos electr髇icos avanzados basados en certificados calificados
  • - Firmas y sellos electr髇icos calificados
• 3. La admisi髇 de los mecanismos de identificaci髇 y firma electr髇ica seg鷑 la clasificaci髇 de los niveles de seguridad que determina el art韈ulo 8 del ReIDAS y otras normas estatales en materia de seguridad, que se establecen en el punto 7. Estos mecanismos se clasifican en tres niveles de seguridad:
  • - Nivel de seguridad bajo, con el objetivo de reducir el riesgo de uso indebido o alteraci髇 de la identidad presentada.
  • - Nivel de seguridad sustancial, con el objetivo de reducir sustancialmente el riesgo de uso indebido o alteraci髇 de la identidad.
  • - Nivel de seguridad alto, con el objetivo de evitar el uso indebido o la alteraci髇 de la identidad.
• 4. Criterios generales para la determinaci髇 del grado de seguridad que requiere un tr醡ite o servicio electr髇ico, que se establecen en el punto 8 de este Protocolo.
• 5. El 髍gano competente en el desarrollo de un servicio electr髇ico determinar� los mecanismos de identificaci髇 o de firma electr髇ica que sean pertinentes para cada tr醡ite, vista la diversa funcionalidad de ambos mecanismos electr髇icos.
• 6. De conformidad con el art韈ulo 26. b) del ReIDAS y el art韈ulo 3 de la Ley de 59/2003 de firma electr髇ica, la firma electr髇ica tiene que permitir la identificaci髇 de la persona que firma el documento. El 髍gano competente en la creaci髇 del servicio, de acuerdo con la normativa de procedimiento administrativo aplicable, determinar� si se requieren exclusivamente mecanismos de firma para la producci髇 de los dos efectos.

6. Mecanismos de identificaci髇 y firma electr髇ica

Los mecanismos de identificaci髇 y firma electr髇ica para acreditar la identidad de usuarios y signatarios por medios electr髇icos se determinar� en funci髇 del sujeto y el grado de seguridad del tr醡ite correspondiente. Los mecanismos admitidos son:

6.1 Mecanismos de identificaci髇

6.1.1 Para personas f韘icas

• - Los certificados electr髇icos cualificados que hayan sido emitidos por prestadores de servicios de certificaci髇 (PSC) incluidos en la lista de confianza de prestadores de servicios de certificaci髇, denominada Trusted Services List (en adelante TSL) publicada por el 髍gano competente de cualquier pa韘 de la Uni髇 Europea de acuerdo con lo que establece el ReIdAS.
• - Se tiene que admitir, con car醕ter general, cualquiera de los medios de identificaci髇 incluidos en la lista que publicar� la Comisi髇 Europea para acceder a los servicios prestados en l韓ea por un organismo del sector p鷅lico en un estado miembro, a efectos de la autenticaci髇 transfronteriza, conforme a lo que establece el ReIdAS.
• - El certificado cualificado de firma avanzada idCAT para los ciudadanos que emite el Consorcio AOC.
• - Los certificados del DNI electr髇ico, de acuerdo con lo que establece la Ley 11/2007 de acceso electr髇ico de los ciudadanos a los servicios p鷅licos.
• - El mecanismo idCAT-SMS, que es un mecanismo de identificaci髇 y firma electr髇ica de los ciudadanos (personas f韘icas) no criptogr醘ico, basado en el env韔 de c骴igos de un solo uso en dispositivos m髒iles, gestionado por el Consorcio AOC.

6.1.2 Para personas jur韉icas

• - Los certificados reconocidos o cualificados emitidos a favor de una persona jur韉ica o un ente sin personalidad jur韉ica y custodiados por una persona f韘ica, titular del certificado, la cual lo puede utilizar para actuar en nombre de la empresa o del ente indicado en el certificado.
• - Los certificados cualificados emitidos a favor de una persona jur韉ica o un ente sin personalidad jur韉ica, con indicaci髇 expresa de la representaci髇 que ejerce la persona f韘ica titular del certificado.
• - Los certificados de sello electr髇ico cualificado emitidos a favor de una persona jur韉ica o a un ente sin personalidad por prestadores de servicios de certificaci髇 (PSC), incluidos en la TSL publicada por el 髍gano competente de cualquier pa韘 de la Uni髇 Europea de acuerdo con lo que establece el ReIdAS.
• - Los mecanismos utilizados para la identificaci髇 de personas f韘icas que autentiquen la identidad de un ciudadano que declara representar a una persona jur韉ica. Esta representaci髇 se podr� verificar mediante la consulta a un registro en l韓ea de representaciones, especialmente, mediante el servicio REPRESENTA del Consorcio AOC, cuyas condiciones son accesibles mediante la sede electr髇ica de la Generalidad.

6.1.3 Para los empleados p鷅licos

• - El certificado reconocido o calificado que el Consorcio AOC emite a los empleados del sector p鷅lico de Catalu馻 en dispositivo seguro de creaci髇 de firma: la T-CAT.
• - El certificado reconocido o calificado que el Consorcio AOC emite a los empleados del sector p鷅lico de Catalu馻 en soporte software: la T-CAT P.
• - Los certificados reconocidos o cualificados emitidos por prestamistas incluidos en la TSL, publicada por el Ministerio de Industria, Energ韆 y Turismo conforme al perfil "Empleado p鷅lico" aprobado por el Consejo Superior de Administraci髇 Electr髇ica.
• - Otros sistemas no criptogr醘icos, como los usuarios y contrase馻s de las plataformas EACAT y GICAR.
• - Los certificados reconocidos o cualificados emitidos por prestadores incluidos en la TSL, publicada por el Ministerio de Industria, Energ韆 y Turismo que acrediten la vinculaci髇 del titular a un ente de la Administraci髇 de la Generalidad de Catalu馻.
• - Excepcionalmente, el DNI electr髇ico, de acuerdo con la Ley 11/2007 de acceso de los ciudadanos a los servicios p鷅licos.

6.1.4 Para los entes de la Administraci髇 de la Generalidad de Catalu馻

• - Los certificados cualificados de sede electr髇ica y de servidor seguro que el Consorcio AOC emite a los entes del sector p鷅lico de Catalu馻.
• - Los certificados electr髇icos cualificados emitidos por otros prestadores de servicios de certificaci髇 –diferentes del Consorcio AOC– incluidos en la TSL del Ministerio de Industria, Energ韆 y Turismo conforme al perfil "Sede electr髇ica administrativa" aprobado por el Consejo Superior de Administraci髇 Electr髇ica.
• - Otros certificados cualificados de autenticaci髇 de sitio web, de acuerdo con lo que establece el art韈ulo 45 del ReIdAS, emitidos a nombre de un ente de la Administraci髇 de la Generalidad de Catalu馻.

6.1.5 Otros mecanismos de identificaci髇

La incorporaci髇 de nuevos mecanismos de identificaci髇 electr髇ica, cuando estos mecanismos est閚 disponibles en el mercado para los usuarios de su 醡bito subjetivo, se realizar� conforme al procedimiento establecido en el punto 9 de este Protocolo.

6.2 Mecanismos de firma y sello electr髇ico

Se admitir� el uso de los mecanismos de firma y sello electr髇ico de las personas, de los empleados p鷅licos y tambi閚 de la Administraci髇 de la Generalidad de Catalu馻 que, de conformidad con lo que establece el art韈ulo 27 del ReIDAS:

• - sean conformes a alguno de los formatos de referencia que definir� la Comisi髇 Europea para las firmas avanzadas;
• - o, cuando sean de un formato alternativo, se hayan generado con los m閠odos de referencia que definir� la misma Comisi髇.

Asimismo, se admitir醤 otros mecanismos que se clasifiquen de acuerdo con este Protocolo.

6.2.1 Para personas f韘icas

• - Los certificados electr髇icos que hayan sido emitidos por prestadores de servicios de certificaci髇 (PSC) incluidos en la TSL publicada por el 髍gano competente de cualquier pa韘 de la Uni髇 Europea de acuerdo con lo que establece el ReIdAS.
• - El certificado reconocido o cualificado de firma avanzada idCAT que emite el Consorcio AOC.
• - Los certificados del DNI electr髇ico, de acuerdo con lo que establece la Ley 11/2007 de acceso electr髇ico de los ciudadanos a los servicios p鷅licos.
• - El mecanismo idCAT-SMS como mecanismo de firma electr髇ica de los ciudadanos (personas f韘icas) no criptogr醘ico.

6.2.2 Para personas jur韉icas

Las personas jur韉icas y los entes sin personalidad jur韉ica podr醤 generar firmas electr髇icas con los mecanismos de identificaci髇 detallados en el punto 6.1.2 de este Protocolo.

6.2.3 Para los empleados p鷅licos

Los empleados p鷅licos podr醤 generar firmas electr髇icas con los mecanismos de identificaci髇 detallados en el punto 6.1.3 de este Protocolo.

Se recomienda que, cuando los empleados p鷅licos utilicen firmas electr髇icas con sistemas no criptogr醘icos, estos sistemas se formalicen mediante el uso de un sello electr髇ico y, en su caso, con c骴igo seguro de verificaci髇.

6.2.4 Para los entes de la Administraci髇 de la Generalidad de Catalu馻

• - En el 醡bito de la actuaci髇 administrativa automatizada, y de acuerdo con la Ley 11/2007 de acceso electr髇ico de los ciudadanos a los servicios p鷅licos:
  • - El c骴igo seguro de verificaci髇 (CSV), como mecanismo de firma electr髇ica de los entes de la Administraci髇 de la Generalidad de Catalu馻.
  • - Los certificados reconocidos o cualificados de sello electr髇ico que el Consorcio AOC emite a los entes del sector p鷅lico de Catalu馻.
  • - Los certificados reconocidos o cualificados emitidos por otros prestadores de servicios de certificaci髇 incluidos en la TSL del Ministerio de Industria, Energ韆 y Turismo, conforme al perfil "Sello electr髇ico" aprobado por el Consejo Superior de Administraci髇 Electr髇ica.
  • - Los certificados reconocidos de persona jur韉ica que el Consorcio AOC emite a los entes del sector p鷅lico de Catalu馻.
  • - Los certificados reconocidos de persona jur韉ica emitidos a los entes de la Administraci髇 de la Generalidad de Catalu馻 por otros prestadores de servicios de certificaci髇 incluidos en la TSL del Ministerio de Industria, Energ韆 y Turismo.

6.2.5 Sellos de tiempo

Las firmas electr髇icas avanzadas incorporan sellos de tiempo generados por alguno de los servicios siguientes:

• - El servicio sello de tiempo del Consorcio AOC.
• - Los servicios publicados en la sede electr髇ica del Ministerio de Industria, Energ韆 y Turismo en el apartado "Otros servicios en relaci髇 con la firma electr髇ica - Servicios de validaci髇 temporal".
• - Cualquier otro servicio de sello de tiempo cualificado conforme a lo que establece la secci髇 6 del ReIdAS y que haya sido incluido en una de las listas de servicios de confianza publicadas por los estados miembros de la Uni髇 Europea, de acuerdo con lo que establece el art韈ulo 22 del ReIdAS.

6.2.6 Otros mecanismos de firma

La incorporaci髇 de nuevos mecanismos de firma electr髇ica, como los mecanismos de firma biom閠rica, cu醤do 閟tos est閚 disponibles en el mercado para los usuarios de su 醡bito subjetivo, se debe realizar conforme al procedimiento establecido en el punto 9 de este Protocolo.

7. Admisi髇 de mecanismos de identificaci髇 y firma electr髇ica

7.1 Admisi髇 de mecanismos de identificaci髇 electr髇ica

Con car醕ter general, los ciudadanos y ciudadanas pueden identificarse electr髇icamente ante la Administraci髇 de la Generalidad de Catalu馻 utilizando cualquier sistema de identificaci髇 que cuente con un registro previo como usuario que permita garantizar su identidad.

La admisi髇 de los mecanismos de identificaci髇 y firma electr髇ica se realiza conforme a los niveles de seguridad requeridos en el Esquema Nacional de Seguridad.

Los mecanismos de identificaci髇 electr髇ica considerados admisibles para los tr醡ites de una categor韆 determinada son tambi閚 admisibles para los tr醡ites clasificados de categor韆 inferior.

Cuando en el contexto de un servicio electr髇ico de la Administraci髇 de la Generalidad se deba garantizar la protecci髇 de la confidencialidad de los datos implicados mediante mecanismos de identificaci髇 electr髇ica, se admitir醤 los sistemas siguientes:

7.1.1 Para los tr醡ites clasificados con categor韆 alta

Se admiten los sistemas de identificaci髇 electr髇ica de nivel de seguridad alto, que son los que hacen un registro de los usuarios presencial y fiable y proveen a los usuarios de un medio de identificaci髇 electr髇ica de doble factor.

Se admiten con car醕ter obligatorio:

• - Los certificados reconocidos o cualificados que se emitan en un dispositivo cualificado de creaci髇 de firma electr髇ica, de entre los establecidos en el punto 6 de este Protocolo, atendiendo a las tipolog韆s de certificados y del colectivo espec韋ico.
• - Cualquiera de los medios de identificaci髇 que haya sido clasificado con nivel de seguridad alto y se incluya en la lista que, conforme a lo que establece el ReIDAS en el cap韙ulo 2, publicar� la Comisi髇 Europea para acceder a los servicios prestados en l韓ea por un organismo del sector p鷅lico en un estado miembro, a efectos de la autenticaci髇 transfronteriza.

7.1.2 Para los tr醡ites clasificados con categor韆 media o sustancial

Se admiten los sistemas de identificaci髇 electr髇ica de nivel de seguridad media o sustancial, que son los que hacen un registro fiable de los usuarios, el cual se podr� llevar a cabo de manera presencial o remota (en l韓ea), y proveen a los usuarios de unas credenciales de robustez sustancial.

Concretamente,

• a. Obligatoriamente, los certificados reconocidos o cualificados y los certificados reconocidos o cualificados de sello electr髇ico establecidos en el punto 6 de este Protocolo, atendiendo a las tipolog韆s de certificados y del colectivo espec韋ico.
• b. Obligatoriamente, cualquiera de los medios de identificaci髇 que haya sido clasificado con nivel de seguridad sustancial y se incluya en la lista que, conforme a lo que establece el ReIDAS en el cap韙ulo 2, publicar� la Comisi髇 Europea para acceder a los servicios prestados en l韓ea por un organismo del sector p鷅lico en un estado miembro, a efectos de la autenticaci髇 transfronteriza.
• c. El mecanismo idCAT-SMS.
• d. Cualquier otro mecanismo que haya sido clasificado con nivel medio, de acuerdo con lo que establece este Protocolo.

7.1.3 Para los tr醡ites clasificados con categor韆 baja

Son admisibles los mecanismos de identificaci髇 de nivel de seguridad bajo, que son los que hacen un registro ordinario de los usuarios (que no incluyen la verificaci髇 fiable del documento identificador oficial ni la comprobaci髇 de los otros datos de identificaci髇 personal y/o de otros atributos que se establezcan) o proveen a los usuarios de unas credenciales de robustez baja.

7.2 Admisi髇 de mecanismos de firma electr髇ica

Con car醕ter general, las personas f韘icas interesadas pueden acreditar mediante una firma electr髇ica la autenticidad de la expresi髇 de su voluntad y consentimiento, as� como la integridad y la inalterabilidad de los datos y/o documentos que quieran firmar.

Una persona jur韉ica o un ente sin personalidad pueden acreditar el origen y la integridad de los datos y/o de los documentos que remita a la Administraci髇 de la Generalidad de Catalu馻, en el contexto de un servicio electr髇ico, mediante un sello electr髇ico o una firma electr髇ica cualificada del representante del ente.

Los mecanismos de firma electr髇ica considerados admisibles para los tr醡ites clasificados con una categor韆 determinada son tambi閚 admisibles para las actuaciones clasificadas de categor韆 inferior.

En particular, cuando en el contexto de un servicio electr髇ico de la Administraci髇 de la Generalidad de Catalu馻 se requiera una firma electr髇ica para garantizar la protecci髇 de la integridad y de la autenticidad de los datos o de los documentos implicados, se admitir醤 las firmas siguientes:

7.2.1 Para los tr醡ites clasificados con categor韆 alta

Se admiten firmas electr髇icas reconocidas o cualificadas o sellos electr髇icos reconocidos o cualificados, seg鷑 corresponda, con car醕ter obligatorio:

• - Con respecto a los formatos, los servicios electr髇icos ofrecidos por los organismos de los estados miembros de la Uni髇 Europea tienen que reconocer las firmas cualificadas que sean conformes a alguno de los formatos de referencia que se definir醤 para las firmas cualificadas o que se hayan generado con los m閠odos de referencia cuando sean de un formato alternativo, seg鷑 lo que establece el art韈ulo 27 del ReIDAS, a efectos de garantizar la interoperabilidad en el acceso transfronterizo a los servicios p鷅licos.
• - Con respecto a los certificados utilizados, se tienen que admitir las firmas electr髇icas generadas con los certificados reconocidos o cualificados de firma electr髇ica, de entre los previstos en el apartado 6.2 de este Protocolo, que se emitan en un dispositivo cualificado de creaci髇 de firma electr髇ica. Tambi閚 los sellos electr髇icos generados con los certificados de sello electr髇ico reconocidos o cualificados, de entre los previstos en el apartado 6.2 de este Protocolo, que se emitan en un dispositivo cualificado de creaci髇 de sellos electr髇icos, atendiendo a las tipolog韆s de certificados y del colectivo espec韋ico.

7.2.2 Para los tr醡ites clasificados de categor韆 media o sustancial

Ser醤 admisibles las firmas electr髇icas avanzadas y los sellos electr髇icos avanzados que se fundamenten en un procedimiento de registro fiable de la identidad de los usuarios; tambi閚 las firmas electr髇icas avanzadas basadas en un certificado reconocido o cualificado de firma electr髇ica y los sellos electr髇icos avanzados basados en certificados cualificados de sello electr髇ico, conforme a lo que establece el ReIDAS en los art韈ulos 27.1 y 37.1, as� como las firmas electr髇icas ordinarias generadas a partir de un mecanismo de identificaci髇 de nivel de seguridad sustancial, como los considerados en el apartado 6.1.2 de este Protocolo u otros que se puedan incorporar conforme al apartado 9.

Concretamente,

• - Respecto a los formatos, los servicios electr髇icos ofrecidos por los organismos de los estados miembros de la Uni髇 Europea tienen que reconocer las firmas electr髇icas avanzadas y las firmas avanzadas basadas en un certificado cualificado de firma electr髇ica que sean conformes a alguno de los formatos de referencia que se definir醤 para las firmas electr髇icas avanzadas, o que se hayan generado con los m閠odos de referencia cuando sean de un formato alternativo, conforme a lo que establece el art韈ulo 27 del ReIDAS, a efectos de garantizar el correcto tratamiento de los documentos firmados electr髇icamente en el uso transfronterizo de los servicios p鷅licos.
• - Con respecto a los certificados utilizados, se tienen que admitir las firmas electr髇icas generadas con los certificados de firma electr髇ica considerados en el apartado 6.2 de este Protocolo. Tambi閚 los sellos electr髇icos generados con los certificados de sello electr髇ico considerados en el mismo apartado 6.2 de este Protocolo, atendiendo a las tipolog韆s de certificados que se detallan para cada uno de los colectivos que se especifican.
• - Ser醤 admisibles las basadas en el mecanismo idCAT-SMS.
• - Cualquier otro mecanismo que haya sido clasificado con nivel medio, de acuerdo con lo que establece este Protocolo.

7.2.3 Para los tr醡ites clasificados con categor韆 baja

Se admiten los mecanismos que generan firmas electr髇icas ordinarias a partir de un mecanismo de identificaci髇 de nivel de seguridad bajo, como los descritos en el apartado 7.1.3 de este Protocolo u otros que se puedan incorporar de acuerdo con el apartado 9.

7.2.4 Uso de sellos de tiempo

Se admiten las firmas electr髇icas avanzadas que incorporan sellos de tiempo generados por alguno de los servicios descritos en el apartado 6.2.5 de este Protocolo.

8. Criterios comunes para el establecimiento de mecanismos de identificaci髇 y firma electr髇ica en la implantaci髇 de servicios electr髇icos

8.1 Criterio general

Se establece como criterio general que, para la identificaci髇 y la firma electr髇ica en los tr醡ites o servicios electr髇icos, se admitir醤 los mecanismos de identificaci髇 y firma clasificados con nivel de seguridad medio o sustancial, conforme a los apartados 7.1.2 y 7.2.2 de este Protocolo.

8.2 Criterios de aplicaci髇 de nivel alto de seguridad

Se requerir� el establecimiento de un nivel de seguridad alto en la implantaci髇 de sistemas de identificaci髇 y firma electr髇ica para el establecimiento de tr醡ites o servicios electr髇icos que re鷑an alguno de estos requisitos:

• - Identificaci髇 y firma de tr醡ites que den acceso o transfieran datos de alto nivel de protecci髇 seg鷑 el art韈ulo 7 de la Ley org醤ica de protecci髇 de datos de car醕ter personal ( LOPD) o cuando el acceso a los datos pueda afectar a los derechos de terceras persones especialmente protegidas por la LOPD.
• - Identificaci髇 y firma en el tr醡ite o proceso de contrataci髇, de conformidad con la disposici髇 adicional decimosexta f), de la Ley 59/2003, de 19 de diciembre, de firma electr髇ica.
• - Identificaci髇 y firma en el tr醡ite o proceso de concesi髇 de subvenciones u otros tr醡ites con un contenido econ髆ico de m醩 de 60.000 euros o cuando as� est� establecido en las bases reguladoras de las convocatorias.
• - Los tr醡ites o procedimientos que la normativa espec韋ica establezca con un nivel alto de identificaci髇 o firma electr髇ica.

8.3 Criterio de aplicaci髇 de nivel bajo de seguridad

Se requerir� el establecimiento de un nivel de seguridad bajo en los sistemas de identificaci髇 y firma electr髇ica para tr醡ites o servicios electr髇icos que re鷑an alguno de estos requisitos:

• - Identificaci髇 y/o firma en tr醡ites de pago o autoliquidaciones de tasas y tributos.
• - Todos los tr醡ites electr髇icos o servicios electr髇icos de un procedimiento administrativo, a excepci髇 de las actuaciones siguientes: formular solicitudes, presentar declaraciones responsables, interponer recursos, desistir de acciones o renunciar a derechos, as� como aquellos tr醡ites que contengan una informaci髇 de un nivel m醩 elevado de seguridad.
• - Otros tr醡ites o procedimientos en los que la normativa espec韋ica establece un sistema de identificaci髇 y firma de nivel bajo de seguridad.

8.4 Aprobaci髇 de otros criterios de establecimiento de nivel de seguridad

Los 髍ganos que impulsen o modifiquen servicios electr髇icos podr醤 proponer un nivel de seguridad diferente al establecido en los apartados anteriores de este Protocolo, atendiendo a criterios de seguridad y garant韆 jur韉ica.

La modificaci髇 de los criterios de este apartado requiere el informe de la Secretar韆 de Administraci髇 y Funci髇 P鷅lica sobre la adecuaci髇 de la propuesta de modificaci髇 del nivel de seguridad.

9. Mecanismos de revisi髇 del Protocolo de identificaci髇 y firma electr髇ica

9.1 Actualizaci髇 y seguimiento del Protocolo

La Secretar韆 de Administraci髇 y Funci髇 P鷅lica emitir� un informe anual sobre la aplicaci髇 y la ejecuci髇 de este Protocolo, as� como la adecuaci髇 y la revisi髇 de los criterios para el establecimiento de mecanismos de identificaci髇 y firma electr髇ica al nivel de seguridad adecuado al tr醡ite, establecidos en este Protocolo.

El informe propondr�, si procede, la actualizaci髇, la incorporaci髇 o la supresi髇 de los mecanismos de identificaci髇 y firma electr髇ica establecidos en este Protocolo, as� como la actualizaci髇 y la revisi髇 del nivel de seguridad de estos mecanismos.

El informe anual se presentar� a la CIMEA, que informar� sobre la incorporaci髇, la actualizaci髇 o la supresi髇 de los mecanismos de identificaci髇 y firma electr髇ica establecidos en este Protocolo.

9.2 Revisi髇 de la clasificaci髇 de los niveles de seguridad de los sistemas de identificaci髇 y firma electr髇ica y la incorporaci髇 de nuevos mecanismos

Corresponde a la Secretar韆 de Administraci髇 y Funci髇 P鷅lica, de oficio o a propuesta de los 髍ganos competentes establecidos en el art韈ulo 4 de este Protocolo, la revisi髇 de la clasificaci髇 de los niveles de seguridad de los sistemas de identificaci髇 y firma electr髇ica, y la incorporaci髇 de nuevos mecanismos con el informe previo del Centro de Seguridad de la Informaci髇 de Catalu馻, en relaci髇 con el control de la seguridad de los mecanismos propuestos, y del Consorcio AOC.

9.3. Actualizaci髇 de los mecanismos de identificaci髇 y firma electr髇ica

La actualizaci髇 de los mecanismos de identificaci髇 y firma electr髇ica establecidos en este Protocolo se acuerda mediante resoluci髇 de la Secretar韆 de Administraci髇 y Funci髇 P鷅lica, con el informe previo de la CIMEA.

Las resoluciones de actualizaci髇 se publicar醤 en la Sede electr髇ica de la Generalidad de Catalu馻, donde se informar� de los servicios electr髇icos afectados por las actualizaciones. Asimismo, los 髍ganos que tramitan los servicios electr髇icos que se vean afectados por la actualizaci髇, lo tienen que comunicar en sus sedes.

Cualquier organismo puede proponer a la Secretar韆 de Administraci髇 y Funci髇 P鷅lica la actualizaci髇 o supresi髇 de un sistema de identificaci髇 o firma electr髇ica.