Certificación española
35.1 Certificación española
En el contexto de las gestiones comerciales electrónicas, España ha desarrollado un marco normativo robusto para la certificación digital y la firma electrónica que establece los requisitos legales, técnicos y de seguridad que deben cumplir los certificados digitales utilizados en transacciones electrónicas y procedimientos administrativos. La certificación española se integra dentro del marco europeo definido por el Reglamento eIDAS (Reglamento (UE) 2014/910 sobre identificación electrónica y servicios de confianza para transacciones electrónicas), garantizando que los certificados emitidos en España tengan validez en toda la Unión Europea.
Después de comprender los aspectos técnicos de la criptografía y cómo funcionan los certificados digitales, es esencial conocer el marco específico de autoridades y requisitos que rigen la certificación en España, así como los derechos y obligaciones que estos marcos establecen para ciudadanos, empresas y administraciones públicas.
Marco normativo español
La certificación digital en España se regula mediante la Ley 59/2003 de Firma Electrónica, que establece la equivalencia legal entre la firma electrónica y la firma manuscrita en determinados contextos. Esta ley fue modificada por el Real Decreto-ley 6/2010 para adaptar la legislación española al Reglamento eIDAS, que se aplicó directamente en toda la Unión Europea a partir de julio de 2016. El eIDAS establece categorías claras de prestadores de servicios de confianza, distinguiendo entre prestadores cualificados y no cualificados, y define los requisitos técnicos y organizativos que cada categoría debe cumplir.
A nivel operativo, varias administraciones españolas tienen competencias en la certificación digital. La Dirección General de la Policía gestiona la emisión del DNI electrónico a través de sus comisarías. La Fábrica Nacional de Moneda y Timbre (FNMT) es el prestador cualificado de certificados digitales para ciudadanos y empresas que requieren certificados avanzados. El Ministerio de Asuntos Económicos y Transformación Digital supervisa el cumplimiento de los requisitos de eIDAS y mantiene el registro de prestadores cualificados españoles.
Autoridades de certificación españolas
La autoridad de certificación más importante en España es la FNMT-RCM (Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda). La FNMT opera como prestador cualificado bajo el eIDAS y emite certificados digitales para personas físicas, administraciones públicas y empresas. Los certificados de la FNMT incluyen varias clases: certificados de persona física para firma electrónica avanzada, certificados de administración electrónica para organismos públicos, y certificados de empresa para sociedades mercantiles.
Además de la FNMT, existen otros prestadores cualificados españoles privados inscritos en el registro mantenido por el Ministerio. Prestadores como Camerfirma, Certimgra, o Certicámara ofrecen servicios de certificación cualificada en determinados sectores (especialmente relacionados con cámaras de comercio o colegios profesionales). Estos prestadores deben cumplir con los mismos requisitos técnicos y legales que la FNMT para mantener su estatus de cualificado.
Requisitos técnicos españoles
Los certificados emitidos en España por prestadores cualificados deben cumplir con requisitos técnicos específicos. El estándar de base es X.509 versión 3, que define la estructura de certificados digitales a nivel internacional. Los certificados españoles deben incluir extensiones específicas como la Qualified Certificate Statement (QCSStatement), que identifica al certificado como cualificado según el eIDAS.
Los algoritmos criptográficos utilizados en España están alineados con las recomendaciones europeas: claves RSA de al menos 2048 bits, o equivalentes en ECDSA (típicamente 256 bits o superiores). El algoritmo de huella digital debe ser SHA-256 o superior. Estos requisitos aseguran que los certificados emitidos en España mantienen un nivel de seguridad consistente con el resto de la Unión Europea y resisten los ataques criptográficos conocidos actualmente.
Procedimiento de certificación para ciudadanos
Para un ciudadano español, el procedimiento de obtención de un certificado digital cualificado comienza accediendo a la web de la FNMT. El ciudadano crea una solicitud en línea, proporcionando su número de documento de identidad (NIE, DNI o pasaporte) y datos personales. Posteriormente, debe presentarse presencialmente en una oficina de la FNMT o en una oficina colaboradora (frecuentemente notarías o registros de la propiedad) para verificar su identidad.
Durante la verificación presencial, un registrador comprueba que el solicitante es quien dice ser, utilizando el documento de identidad original. A continuación, el ciudadano recibe el dispositivo (tarjeta inteligente o token USB) que contiene el certificado y la clave privada generados por la FNMT. El coste de este procedimiento es mínimo (típicamente entre 20 y 40 euros) o gratuito en algunos casos.
Certificación para empresas
Las empresas españolas pueden obtener certificados digitales cualificados a través de varios procedimientos. Para sociedades mercantiles inscritas en el Registro Mercantil, la FNMT ofrece certificados de empresa que autentican la identidad legal de la sociedad. El procedimiento requiere que una persona con capacidad legal de representación de la empresa (administrador, apoderado) se presente con documentación corporativa (poderes notariales, certificado de constitución, etc.).
Las administraciones públicas españolas (ministerios, comunidades autónomas, ayuntamientos) disponen de sus propios sistemas de certificación integrados en la infraestructura de clave pública administrativa (PKI). Utilizan certificados especializados de administración electrónica que cumplen con requisitos aún más estrictos que los certificados ordinarios de empresa.
Reconocimiento internacional y validez en la UE
Un certificado cualificado emitido en España por la FNMT es reconocido como válido en toda la Unión Europea gracias al eIDAS. Un ciudadano español puede realizar transacciones electrónicas con administraciones de otros países europeos utilizando su certificado español. De forma equivalente, certificados emitidos en otros países europeos por prestadores cualificados son reconocidos en España.
Este reconocimiento mutuo es posible porque todos los prestadores cualificados de la UE están inscritos en el registro central mantenido por la Comisión Europea, que es público y consultable. Esto permite que cualquier autoridad, administración o empresa en España verifique que un certificado presentado por una entidad de otro país europeo proviene efectivamente de un prestador legítimo y cualificado.
Regulación de privacidad y protección de datos
Los prestadores de servicios de certificación en España están sujetos al Reglamento General de Protección de Datos (GDPR) y a la Ley Orgánica de Protección de Datos (LOPDGDD). Deben establecer políticas claras sobre la recolección, almacenamiento y tratamiento de datos personales de los titulares de certificados. Los titulares tienen derecho a acceder a sus datos, rectificarlos, o solicitar su supresión, con las excepciones permitidas por la ley para mantener registros de certificados revocados.
Ideas clave
- La certificación digital en España se regula mediante la Ley 59/2003 de Firma Electrónica y el Reglamento eIDAS europeo, que establece equivalencia legal entre firma electrónica y firma manuscrita.
- La FNMT-RCM es la principal autoridad de certificación española cualificada, aunque existen otros prestadores privados cualificados inscritos en el registro ministerial.
- Los certificados españoles deben cumplir con estándares técnicos internacionales X.509, utilizar criptografía de al menos 2048 bits RSA, y incluir la extensión QCSStatement que identifica al certificado como cualificado.
- El procedimiento para obtener un certificado requiere solicitud en línea seguida de verificación presencial de identidad ante la FNMT u oficina colaboradora.
- Los certificados cualificados emitidos en España son válidos en toda la Unión Europea y son reconocidos por todas las administraciones europeas gracias al eIDAS.
- Los prestadores de certificación están sujetos al GDPR y LOPDGDD, estableciendo obligaciones respecto al tratamiento de datos personales de los titulares.