La Loi 25/2015, du 28 juillet, sur les mécanismes de la deuxième chance, la réduction de la charge financière et d'autres mesures sociales incorpore, dans sa Quatrième Disposition Finale, une modification de la Loi 59/2003, du 19 décembre, sur les signatures électroniques orienté vers la régularisation de la signature centralisée de caractère personnel. Ce système de signature électronique permet d'héberger des certificats personnels sur un serveur centralisé et offre à ses utilisateurs des mécanismes pour activer à distance leur utilisation.
Bien que, depuis quelques années, certaines entités utilisent des appareils et des outils signés de manière centralisée pour gérer les certificats personnels utilisés dans une organisation, cette pratique n'était pas réglementée. En effet, elle allait à l'encontre de ce qui était précisé dans la loi sur les signatures électroniques, qui exigeait le contrôle exclusif de la clé par le signataire afin de pouvoir considérer les signatures comme avancées. La modification publiée permet de considérer les signatures centralisées comme avancées, et réglemente leur utilisation.
Plus précisément, les articles de la loi 59/2003, telle que modifiée, sont les suivants :
- Article 3.2 : Modification de la définition de signature avancée. Auparavant, le signataire devait avoir le contrôle exclusif de la clé. Afin de permettre aux clés de ne pas les avoir, le signataire a ajouté "avec un haut niveau de confiance" à la définition.
- Article 6.2 : Modification de la définition de signataire. Il avait l'habitude de dire que le signataire devait disposer d'un dispositif sécurisé de création de signature. La loi précise désormais que le signataire « utilise » cet appareil.
- Article 7.2 : Modification des conditions de garde des clés du certificat. Ils y ont ajouté "ou, le cas échéant, les moyens d'y accéder" afin de ne pas obliger le signataire à avoir le certificat chez lui.
- Article 12.c : Avant il fallait s'assurer que le signataire disposait de la clé privée du certificat, maintenant il faut s'assurer qu'il a le contrôle exclusif de son utilisation.
- Article 18.a : Modification de l'obligation, pour le prestataire de services de certification, de ne pas conserver de données còpia L'article précise que seuls les fournisseurs de services de certification qui émettent des certificats reconnus sont habilités à gérer les clés privées des certificats pour le compte du signataire et, par conséquent, à proposer ce service.
- Article 18.b-1 : Il parle des informations que le prêteur doit donner au signataire, et ils ont ajouté « ou, dans son cas, des moyens qui le protègent » pour permettre la signature centralisée.
- Article 20.1-e : Des obligations du CSP ont été ajoutées s'il gère les données de création de signature, qu'il devra garder et protéger.
- Article 23 : Modification des limitations de responsabilité du CSP. Là où il était précédemment fait référence aux données de création de signature, « ou données y donnant accès » a été ajouté.
- Article 29 : Le système peut être audité, le cas échéant. Si tel est le cas, les audits seront effectués par le Prêteur.
Le Consortium AOC offre aux Administrations Publiques Catalanes un ensemble de service de signature centralisé. Bien que le service soit actuellement proposé via des certificats de sceau électronique, des tests sont effectués par signature personnelle à l'aide de certificats de signature avancés. TCATLes résultats obtenus avec -P sont satisfaisants. Nous espérons pouvoir proposer ce service début 2016.
