Mecanismos de identificación y firma electrónica
A la hora de poner en funcionamiento un trámite electrónico, se plantea de forma recurrente cuál es el criterio a seguir para decidir qué mecanismos de identificación y firma electrónica puede utilizar la ciudadanía para relacionarse con una Administración pública, sobre todo teniendo en cuenta los cambios normativos que se producen de forma constante al respecto.
Los mecanismos de identificación y firma electrónica que, resumidamente, pueden utilizar los interesados son (para más información, consulte los artículos 9 y 10 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las administraciones públicas):
Los mecanismos basados en certificados calificados (puntos ayb anteriores) “deben ser aceptados”, en cumplimiento del Reglamento núm. 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza (ReIdAS) y la propia Ley 39/2015, de 1 de octubre, mientras que el resto de sistemas ( apartado c) “pueden ser aceptados”, siempre teniendo en cuenta el nivel de seguridad que ofrecen.
Criterios de aplicación
El Esquema Nacional de Seguridad (Real Decreto 311/2022, de 3 de mayo, en adelante, ENS) prevé que los mecanismos de identificación y firma electrónica pueden tener tres niveles de seguridad, junto con los criterios a seguir para establecerlos en cada caso. También establece los criterios para determinar qué nivel requiere un sistema o actuación concreta.
Por tanto, para definir cuál es el nivel de seguridad que requieren los sistemas de cada Administración pública y, en particular, el tipo de credencial que resulta admisible por la identificación y la firma electrónica para una actuación concreta, debe tenerse en cuenta lo que expone el ENS y buscar el equilibrio entre la seguridad y la usabilidad (se amplía en el apartado siguiente).
En este sentido, los servicios que ofrece el Consorci AOC permiten a la ciudadanía identificarse y firmar documentos tanto con certificados electrónicos cualificados como utilizando los sistemas basados en el envío de contraseñas de un solo uso Cl@ve e idCAT Móvil, de forma que cada administración usuaria puede decidir en qué casos pueden ser aceptados.
En el ámbito de la Generalidad de Cataluña, por ejemplo, esta decisión queda definida por la Orden VPD/93/2022, de 28 de abril, por la que se aprueba el Catálogo de sistemas de identificación y firma electrónica, y en especial por la Orden PRE/158/2022, de 30 de junio, por la que se aprueba la Guía de uso de los sistemas de identificación y firma electrónica en el ámbito de la Administración de la Generalidad. Esta última Orden establece en su punto segundo y, a todos los efectos, que se admiten todos los mecanismos del catálogo para todos los trámites y servicios. La propia guía establece un procedimiento para exceptuar este criterio y limitar la aceptación de alguno de los mecanismos ya sea por la existencia de:
Niveles de seguridad de los mecanismos de identificación y firma
Como se comentaba, el ENS prevé tres niveles de seguridad (bajo, medio y alto) y los criterios a seguir para establecerlos en cada caso, en concreto en el Anexo I, punto tercero.
El propio ENS, en su Anexo II, define los criterios para asignar un nivel de seguridad a un mecanismo de identificación y firma electrónica.
Así, el punto relativo al marco operacional (punto 4.2.5 sobre Mecanismo de autenticación [control op.acc.5]) define los requisitos que deben cumplir los mecanismos de identificación electrónica que deberá utilizar la ciudadanía, entendida como usuaria externa de la organización, para cada nivel de seguridad. En resumen, para cada nivel se aceptan:
Por otra parte, los niveles a aplicar en cuanto a los mecanismos de firma electrónica (definidos en el punto 5 Medidas de protección [mp], en concreto el punto 5.7.3 Firma electrónica [control mp.info.3]), que en resumen aceptan:
Qué ofrece el Consorci AOC
El Servicio VALID del Consorci AOC permite a las administraciones públicas catalanas aceptar tanto idCAT Móvil como Cl@ve y certificados calificados en procesos de identificación electrónica y ofrece un mecanismo de firma electrónica ordinaria vinculado a la credencial presentada. Las administraciones pueden decidir si aceptan todos o sólo algunos de estos mecanismos, y disponer de diferentes configuraciones para hacerlo de acuerdo con cada necesidad concreta.
En el caso del servicio e-NOTUM, que dispone de un portal para la ciudadanía para practicar notificaciones electrónicas, el tipos de credencial a aceptar puede ser fijado por cada notificación concreta.
Enlaces relacionados
¿Cuándo utilizar un sistema de identificación o un sistema de firma? Casos de uso.
La firma electrónica de las facturas
