Decret del 22-4-2015 pel qual s'aproven els números de referència de normes relatives a dispositius de signatura electrònica i de segell electrònics, i altres sistemes, mitjans i productes relacionats

ga27036016 Decret pel qual s’aproven els números de referència de normes relatives a dispositius de signatura electrònica i de segell electrònics, i altres sistemes, mitjans i productes relacionats Decret del 22-4-2015 pel qual s’aproven els números de referència de normes relatives a dispositius de signatura electrònica i de segell electrònics, i altres sistemes, mitjans i productes relacionats. Exposició de motius La Llei 35/2014 , del 27 de novembre, de serveis de confiança electrònica regula, entre d’altres, els serveis de confiança electrònica i el seus efectes substantius en l’àmbit de les relacions privades i en el de les administracions públiques, l’activitat dels prestadors de serveis de confiança electrònica qualificats, i les condicions de supervisió que els hi apliquen. Una de les novetats rellevants de la Llei 35/2014 és la regulació de la signatura electrònica qualificada amb claus centralitzades, gestionades per un prestador de serveis qualificats, com alternativa i complement als sistemes basats en targetes criptogràfiques. L’article 9 regula els dispositius de creació de signatura electrònica i de segell electrònic i en l’apartat 3 especifica que “el Govern pot establir números de referència de normes relatives a dispositius de signatura electrònica i de segell electrònics, i altres sistemes, mitjans i productes relacionats a què es refereix aquesta Llei, que han de ser publicats al Butlletí Oficial del Principat d’Andorra. Es presumeix el compliment dels requisits establerts en aquesta Llei quan el dispositiu s’ajusti a aquestes normes”. Per la seva part, l’article 10.3 estableix que “la generació o la gestió de les dades de creació de la signatura electrònica i del segell electrònic en nom del signatari són a càrrec d’un prestador de serveis de confiança electrònica qualificat”, mentre que l’apartat 4 del mateix article indica que “els prestadors de serveis de confiança electrònica qualificats que gestionin les dades de creació de la signatura electrònica i del segell electrònic en nom del signatari, poden fer còpies de seguretat de les dades de creació de la signatura electrònica i del segell electrònic, sempre que es compleixin els requisits següents: a) Que la seguretat dels conjunts de dades copiades sigui del mateix nivell que per als conjunts de dades originals. b) Que el nombre de conjunts de dades copiades no superi el mínim necessari per garantir la continuïtat del servei”. Així mateix, l’article 26.8 determina que “el Govern pot establir números de referència de normes per a sistemes i productes dignes de confiança electrònica. Es presumeix el compliment dels requisits que estableix aquest article quan els sistemes i productes molt segurs compleixin aquestes normes”. Finalment, els articles 35 i 36 preveuen la necessitat que els prestadors de serveis de confiança electrònica indicats a l’article 33.1 siguin auditats de forma periòdica per confirmar el compliment dels requeriments legals. En virtut de les competències atribuïdes pels articles anteriorment indicats de la Llei 35/2014 , del 27 de novembre, de serveis de confiança electrònica, i a proposta del cap de Govern, el Govern, en la sessió del 22 d’abril del 2015, Decreta Article únic S’aprova la publicació dels números de referència de les següents normes: - En relació amb l’aplicació de signatura emprada pel signatari (per exemple, porta signatures): - CEN CWA 14170: Requisits de seguretat d’aplicacions de creació de signatura. - prEN 419 111-1: Perfils de protecció per a aplicació de creació i de comprovació de signatura - Part 1: introducció. Revisió de la CWA 14170 (maig de 2004). - prEN 419 111-2: Perfils de protecció per a aplicació de creació i de comprovació de signatura - Aplicació de creació de signatura - Part 2: perfils PP de base. Revisió de la CWA 14170 (maig de 2004). - prEN 419 111-3: Perfils de protecció per a la creació i la comprovació de signatures electròniques - Aplicació de creació de signatura - Part 3: extensions possibles. Revisió de la CWA 14170 (maig de 2004). - En relació amb el programari de signatura des de servidor/gestió de claus centralitzades: - CEN/TS 419 241:2014: Requisits de seguretat per a sistemes fiables que donen suport a la signatura des del servidor. - En relació amb el maquinari de signatura des de servidor/gestió de claus centralitzades: - Opció 1: Una combinació apropiada de les normes: - CEN CWA 14167-2 (amb còpia de seguretat): Requisits de seguretat de sistemes fiables que gestionen certificats per a signatures electròniques - Part 2: Mòdul criptogràfic per a operacions de signatura de CSP amb còpia de seguretat - Perfil de Protecció – CMCSOB-PP. - CEN CWA 14167-3 (generació de claus): Requisits de seguretat de sistemes fiables que gestionen certificats per a signatures electròniques - Part 3: mòdul criptogràfic per serveis de generació clau de CSP - Perfil de protecció CMCKG-PP. - CEN CWA 14167-4 (sense còpia de seguretat): Requisits de seguretat de sistemes fiables que gestionen certificats per a signatures electròniques - Part 4: mòdul criptogràfic per a operacions de signatura de CSP - perfil de Protecció – CMCSO-PP. - Opció 2: - FIPS 140-2 nivell 3 o superior: Requisits de seguretat per mòduls criptogràfics. - En relació amb l’auditoria de prestació del servei de confiança electrònica: - EN 319 401: Signatures electròniques i infraestructures (ESI) - Exigències de política general dels prestataris de serveis de confiança encarregant-se de les signatures electròniques. Disposició final. Entrada en vigor Aquest Decret entrarà en vigor l’endemà de la seva publicació al Butlletí Oficial del Principat d’Andorra. Cosa que es fa pública per a coneixement general. Andorra la Vella, 22 d’abril del 2015 Antoni Martí Petit Cap de Govern