—

[1] ETSI EN 319 401 V3.1.1 (2024-06) «Firmas electrónicas e infraestructuras de confianza (ESI). Requisitos de política general para proveedores de servicios de confianza».

—

[2] ETSI EN 319 411-1 V1.5.1 (2025-04) «Firmas electrónicas e infraestructuras (ESI). Política y requisitos de seguridad para los proveedores de servicios de confianza que emiten certificados. Parte 1: Requisitos generales».

—

[3] ETSI EN 319 522-1 V1.2.1 (2024-01) «Firmas electrónicas e infraestructuras (ESI). Servicios de entrega electrónica registrada. Parte 1: Marco y arquitectura».

—

[4] ETSI EN 319 522-2 V1.2.1 (2024-01) «Firmas electrónicas e infraestructuras (ESI). Servicios de entrega electrónica registrada. Parte 2: Contenidos semánticos».

—

[5] Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: «Agreed Cryptographic Mechanisms» («Mecanismos criptográficos acordados», documento en inglés) publicado por la Agencia de la Unión Europea para la Ciberseguridad («ENISA») (1).

—

[6] ISO/IEC 15408-1:2022 «Seguridad de la información, ciberseguridad y protección de la privacidad. Criterios de evaluación para la seguridad de TI».

—

[7] Reglamento de Ejecución (UE) 2024/482 de la Comisión (2), por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo que respecta a la adopción del esquema europeo de certificación de la ciberseguridad basado en criterios comunes (EUCC).

—

[8] Reglamento de Ejecución (UE) 2024/3144 de la Comisión (3), por el que se modifica el Reglamento de Ejecución (UE) 2024/482 en lo que respecta a las normas internacionales aplicables y se corrige dicho Reglamento de Ejecución.

—

[9] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules» («Requisitos de seguridad para módulos criptográficos»)

—

sello electrónico avanzado: según se define en el Reglamento (UE) n.o 910/2014 [i.1].

—

firma electrónica avanzada: según se define en el Reglamento (UE) n.o 910/2014 [i.1].

—

sello electrónico cualificado: según se define en el Reglamento (UE) n.o 910/2014 [i.1].

—

firma electrónica cualificada: según se define en el Reglamento (UE) n.o 910/2014 [i.1].

—

dispositivo criptográfico seguro: dispositivo que custodia la clave privada del usuario, la protege de ser puesta en peligro y realiza funciones de firma o descifrado en nombre del usuario.

—

REQ-ERDS-5.1.1-01 El ERDS (servicio de entrega electrónica certificada) velará por que se garanticen adecuadamente la disponibilidad, integridad y confidencialidad del contenido del usuario mientras sea gestionado por el ERDS, seleccionando técnicas criptográficas adecuadas de integridad y confidencialidad conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [5].

—

REQ-QERDS-5.2.1.1-01 El prestador de servicio cualificado de entrega electrónica certificada (QERDSP) verificará con un nivel de confianza muy elevado la identidad del destinatario, ya sea directamente o recurriendo a un tercero, y utilizando uno de los siguientes medios o una combinación de los mismos, según sea necesario:

—

REQ-QERDS-5.2.1.1-01A El QERDSP verificará la identidad del remitente por los medios adecuados, ya sea directamente o recurriendo a un tercero, sobre la base de uno de los métodos siguientes o de una combinación de los mismos:

—

NOTA El tercero que verifique la identidad del remitente y del destinatario podrá ser otro QERDSP si el remitente y el destinatario están suscritos a diferentes QERDSP.

—

REQ-QERDS-5.2.1.2-03 Si la identificación del destinatario se basa en un proceso interno del QERDS, el QERDSP llevará a cabo todo el proceso en un entorno seguro y controlado.

—

REQ-QERDS-5.2.2-03 [CONDICIONAL] Cuando el QERDSP vincule medios de autenticación con una identidad de remitente verificada con arreglo a la cláusula 5.2.1, serán uno de los siguientes:

—

REQ-QERDS-5.2.2-03A [CONDICIONAL] Cuando el QERDSP vincule medios de autenticación con una identidad de destinatario verificada con arreglo a la cláusula 5.2.1, serán uno de los siguientes, siempre que los medios, o cualquier combinación de ellos, garanticen un nivel de confianza muy elevado en relación con la identidad del destinatario autenticado:

—

REQ-QERDS-5.2.2-04 [CONDICIONAL] Si el remitente se conecta al QERDS en una conexión segura que requiere una autenticación mutua de máquina a máquina entre la máquina del remitente y el servidor del QERDS sobre la base de certificados expedidos con arreglo a la política NCP definida en la norma ETSI EN 319 411-1 [2], una vez establecida esta conexión segura, podrán adoptarse mecanismos de autenticación de un solo factor para una segunda fase de autenticación del remitente si los procedimientos organizativos y las medidas de seguridad implantados garantizan la confianza en la autenticación del remitente.

—

REQ-ERDS-5.4.1-06 El ERDS generará y pondrá a disposición de las partes interesadas legítimas pruebas del ERDS sobre eventos de la ERD, tal como se definen en la cláusula 6 del ETSI EN 319 522-1 [3].

—

REQ-ERDS-5.4.1-07 El prestador de servicio de entrega electrónica certificada (ERDSP) archivará las pruebas y/o los resúmenes de pruebas de cada prueba que haya expedido.

—

REQ-ERDS-5.4.1-08 Las pruebas del ERDS generadas por él se ajustarán a la semántica de las pruebas que se establece en la cláusula 8 de ETSI EN 319 522-2 [4].

—

REQ-ERDS-7.2.1-02 El personal del ERDSP en funciones de confianza deberá ser capaz de cumplir el requisito de poseer los conocimientos especializados, la experiencia y las cualificaciones necesarios obtenidos a través de formación y credenciales formales, o de la experiencia real, o de una combinación de ambas cosas.

—

REQ-ERDS-7.2.1-03 El cumplimiento de los requisitos de REQ-ERDS-7.2.1-02 incluirá actualizaciones periódicas (al menos cada doce meses) sobre las nuevas amenazas y las prácticas de seguridad actuales.

—

REQ-ERDS-7.3.1-02 Se aplicarán todos los requisitos de la norma ETSI EN 319 401 [1], apartado 7.3.3.

—

REQ-ERDS-7.5-01A El ERDS seleccionará y utilizará técnicas criptográficas adecuadas conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [5].

—

REQ-ERDSP-7.5-03 La clave privada de firma del ERDS se custodiará y utilizará en un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:

Esta certificación se referirá a un objetivo de seguridad o perfil de protección, o a una documentación sobre seguridad y diseño de módulo, que cumpla los requisitos del presente documento, sobre la base de un análisis de riesgos y teniendo en cuenta las medidas de seguridad físicas y otras medidas de seguridad no técnicas.

Si el dispositivo criptográfico seguro cuenta con una certificación EUCC [7][8], dicho dispositivo se configurará y utilizará de conformidad con dicha certificación.

—

REQ-ERDSP-7.8-04 El ERDSP utilizará protocolos y algoritmos de vanguardia para el cifrado a nivel de la capa de transporte de conformidad con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [5].

—

REQ-ERDSP-7.8-06 El escaneado de vulnerabilidades exigido en el REQ-7.8-13 de ETSI EN 319 401 [1] se realizará al menos una vez al trimestre.

—

REQ-ERDSP-7.8-07 La prueba de penetración exigida por REQ-7.8-17X de ETSI EN 319 401 [1] se realizará al menos una vez al año.

—

REQ-ERDSP-7.8-08 Los cortafuegos estarán configurados de manera que impidan todos los protocolos y accesos que no sean necesarios para el funcionamiento del prestador de servicios de confianza.

—

REQ-ERDS-7.12-03 El plan de cese del ERDSP cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].

—

REQ-ERDS-7.14-01 Se aplicarán los requisitos especificados en la norma ETSI EN 319 401 [1], cláusula 7.14.