Agencia Estatal Boletín Oficial del Estado

2.1

Referencias normativas

—

[i.11] sin efecto.

—

EUCC Esquema europeo de certificación de la ciberseguridad basado en los criterios comunes

—

NOTA 10 Véase ETSI EN 319 102-1 [3] para obtener orientación y ETSI TS 119 172-4 [8] a fin de obtener orientaciones adicionales para el caso de firma o sello cualificado de la UE.

—

OVR-6.1-02 La declaración de prácticas del SVS (servicio de validación de firmas) se estructurará con arreglo al anexo A.

—

OVR-6.1-03 La declaración de prácticas del SVS enumerará o hará referencia a las políticas del SVS admitidas (por ejemplo, a través de identificadores de objeto) y las describirá brevemente.

—

OVR-6.3-02 La política de seguridad documentará los controles de seguridad y privacidad aplicados para proteger los datos personales.

—

OVR-7.2-02 El personal del prestador de servicio de validación de firmas (SVSP) en funciones de confianza y, en su caso, sus subcontratistas en funciones de confianza, deberán ser capaces de cumplir el requisito de poseer los «conocimientos especializados, la experiencia y las cualificaciones» necesarios obtenidos a través de formación y credenciales formales, o de la experiencia real, o de una combinación de ambas cosas.

—

OVR-7.2-03 El cumplimiento de los requisitos de OVR-7.2-02 incluirá actualizaciones periódicas (al menos cada doce meses) sobre las nuevas amenazas y las prácticas de seguridad actuales.

—

OVR-7.5-02 [CONDICIONAL] Cuando se firmen los informes de validación, una CA fiable expedirá el certificado de firma pública del SVSP correspondiente a la clave de firma privada del SVSP, de conformidad con la política de certificación NCP+ especificada en la norma ETSI EN 319 411-1 [12]. Debe expedirse de conformidad con una política de certificación adecuada especificada en la norma ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [CONDICIONAL] Cuando se firmen informes de validación, la clave de firma privada del SVSP se custodiará y utilizará en un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:

—

OVR-7.5-04 sin efecto.

—

OVR-7.5-06 Una clave de firma privada de SVSP solo se exportará e importará a un dispositivo criptográfico seguro diferente cuando dicha exportación e importación se lleven a cabo de forma segura y de conformidad con la certificación de dichos dispositivos.

—

OVR-7.7-02 A fin de garantizar que los sistemas en los que se desarrolla la aplicación aplican medidas de seguridad adecuadas y se adaptan a entornos de aplicación específicos, la SVA (aplicación de validación de firmas) utilizará un entorno de aplicación que esté recibiendo mantenimiento con correcciones de seguridad actualizadas.

—

OVR-7.7-03 Se aplicarán a la SVA los siguientes requisitos que se especifican en ETSI TS 119 101 [1], cláusula 5.2: GSM 1.3.

—

OVR-7.8-02 Si se permite el acceso a distancia a sistemas que almacenan o tratan datos confidenciales, se adoptará una política formal, que se describirá como parte de los elementos exigidos por OVR-6.3-02.

—

OVR-7.8-04 El escaneado de vulnerabilidades exigido en el REQ-7.8-13 de ETSI EN 319 401 [1] se realizará al menos una vez al trimestre.

—

OVR-7.8-05 La prueba de penetración exigida por REQ-7.8-17X de ETSI EN 319 401 [1] se realizará al menos una vez al año.

—

OVR-7.8-06 Los cortafuegos estarán configurados de manera que impidan todos los protocolos y accesos que no sean necesarios para el funcionamiento del SVSP.

—

OVR-7.12-02 El plan de cese del TSP cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].

—

OVR-7.14-01 Se aplicarán los requisitos especificados en la norma ETSI EN 319 401 [2], cláusula 7.14.

—

VPR-8.1-07 La aplicación de validación (SVA) cumplirá los requisitos de ETSI TS 119 101 [1], cláusula 7.4 SIA 1 a SIA 4.

—

VPR-8.1-11 [CONDICIONAL] Cuando el SVS tenga por objeto validar firmas electrónicas cualificadas o sellos electrónicos cualificados, de conformidad con el artículo 32, apartado 1, (o el artículo 40, respectivamente) del Reglamento (UE) n.o 910/2014 [i.1], el proceso de validación se ajustará a los requisitos de ETSI TS 119 172-4 [8].

—

SVP-8.2-03 La respuesta de validación de la firma llevará el identificador de objeto (OID( de la política del SVS.

—

SVR-8.4-02 El informe de validación se ajustará a ETSI TS 119 102-2 [9].

—

SVR-8.4-07 [CONDICIONAL] Cuando el SVS no procese completamente una política de validación de firmas, el informe, además de informar sobre las limitaciones validadas, comunicará las limitaciones que hayan sido ignoradas o anuladas.

—

SVR-8.4-15 El informe de validación indicará claramente el origen de cada PoE (prueba de existencia) —desde el interior de la firma, desde el cliente o desde el servidor).

—

SVR-8.4-16 El informe de validación llevará una firma de informe de validación, que será la firma digital del SVSP.

—

SVR-8.4-17 [CONDICIONAL] Cuando se firmen los informes de validación, el formato y el objetivo de la firma se ajustarán a ETSI TS 119 102-2 [9].

—

OVR-9-05 [CONDICIONAL] Al elaborar una política de SVS sobre una política de servicios de confianza definida en el presente documento, se llevará a cabo una evaluación de riesgos a fin de evaluar los requisitos operativos y determinar los requisitos de seguridad que deben incluirse en la política para la aplicabilidad y comunidad declaradas.

—

OVR-9-06 [CONDICIONAL] Al elaborar una política de SVS sobre una política de servicios de confianza definida en el presente documento, la política se aprobará y modificará de conformidad con un proceso de revisión definido, incluidas las responsabilidades relativas al mantenimiento de la política.

—

OVR-9-07 [CONDICIONAL] Al elaborar una política de SVS sobre una política de servicios de confianza definida en el presente documento, deberá existir un proceso de revisión definido a fin de garantizar que la política esté admitida por las declaraciones prácticas.

—

OVR-9-08 [CONDICIONAL] Al elaborar una política de SVS sobre una política de servicios de confianza definida en el presente documento, el TSP facilitará a su comunidad de usuarios las políticas que admite.

—

OVR-9-09 [CONDICIONAL] Al elaborar una política de SVS sobre una política de servicios de confianza definida en el presente documento, se facilitarán a los suscriptores las revisiones de las políticas admitidas por el TSP.

—

VPR-B-02 [CONDICIONAL] Si el SVSP es un prestador cualificado de servicio de validación de firmas (QSVSP), la implementación deberá cumplir lo dispuesto en ETSI TS 119 172-4 [8].

—

NOTA 2 sin efecto.

—

OVR-B-04 [CONDICIONAL] Si el SVSP es un QSVSP, los ensayos de OVR-B-03 comprobarán diferentes casos de uso, positivos y negativos.

—

VPR-B-11 [CONDICIONAL] Si el SVSP es un QSVSP, el SVSP controlará el cálculo del hash (ya sea efectuando el cálculo en el lado del servidor o controlando al cliente si está permitido en el lado del cliente).

—

NOTA 5 sin efecto.

—

NOTA 6 sin efecto.

—

VPR-B-15 [CONDICIONAL] Si el SVSP es un QSVSP, a fin de cumplir lo dispuesto en VPR-B-13 a VPR-B-14 el informe de validación será conforme con ETSI TS 119 102-2 [9].

—

VPR-B-16 [CONDICIONAL] Si el SVSP es un QSVSP, la aplicación se ajustará a los mecanismos criptográficos acordados publicados por el Grupo Europeo de Certificación de la Ciberseguridad de ENISA [10] para el uso de técnicas criptográficas adecuadas a la hora de prestar servicios cualificados de validación para firmas electrónicas cualificadas.

—

A fin de garantizar que se verifiquen todas las condiciones exigidas por el artículo 32, apartado 1, y el artículo 40 del Reglamento (UE) n.o 910/2014 [i.40], es necesario un algoritmo de validación correcto. Proporciona el mismo resultado determinista para una firma o sello presentado para su validación. La política de validación de firmas es crucial para este fin. Se ha publicado con esta perspectiva la norma ETSI TS 119 172-4 [8], basada en el algoritmo de validación especificado en la norma ETSI EN 319 102-1 [3].

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) «Firmas electrónicas e infraestructuras de confianza (ESI). Procedimientos para la creación y validación de firmas digitales AdES. Parte 1: Creación y validación».

—

Todas las referencias a «ETSI TS 119 102-1 [1]» se entenderán hechas a «ETSI EN 319 102-1 [1]».

—

[2] ETSI TS 119 612 V2.3.1 (2024-11) «Electronic Signatures and Infrastructures (ESI); Trusted Lists» [«Firmas electrónicas e infraestructuras (ESI). Listas de confianza»].

—

[13] ETSI TS 119 101 V1.1.1 (2016-03) «Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation» [«Firmas electrónicas e infraestructuras (ESI). Requisitos de política y seguridad para las solicitudes de creación y validación de firmas»].

—

i) Si un certificado de entidad final representa un ancla de confianza, no se utilizarán las «RevocationCheckingConstraints» («restricciones relativas a la comprobación de la revocación»).

—

ii) Si un certificado de entidad final no representa un ancla de confianza, las «RevocationCheckingConstraints» se establecerán en «eitherCheck» («cualquier comprobación»), según se define en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.1.

—

iii) Si un certificado de entidad final representa un ancla de confianza, no se utilizarán las «RevocationFreshnessConstraints» («restricciones relativas a la actualidad de la revocación») definidas en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.2.

—

iv) Si un certificado de entidad final no representa un ancla de confianza, se utilizarán las «RevocationFreshnessConstraints» definidas en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.2, con un valor máximo de 24 horas para el certificado de firma. No se fijará ningún valor para las «RevocationFreshnessConstraints» para los certificados distintos del certificado de firma, incluidos los certificados que admitan sellos de tiempo.

—

REQ-4.4.2-03 Si alguno de los controles especificados en REQ-4.4.2-01 no es conforme, entonces: