M R e a l C a s a d e l a M o n e d a i á l K JFábrica Nacionald e M o n e d a y T . m b r e J U W T R D t A u ü M J U C l n

CONVENIO ENTRE LA JUNTA DE ANDALUCLA Y LA FABRICA

NACIONAL DE MONEDA Y TIMBRE PARA LA PRESTACIÓN DE

SERVICIOS DE CERTIFICACIÓN DE FKMA ELECTRÓNICA

En Sevilla, a 26 de julio de 2002

REUNIDOS

De una parte, la Excma. Sra. D* CARMEN HERMOSÍN BONO, Consejera deJusticia y Administración Pública de la Junta de Andalucía, en nombre yrepresentación del citado Organismo, en virtud de las competencias atribuidas por elDecreto 139/2000, de 16 de Mayo.

Y de otra, el limo. Sr. D. GONZALO JORGE FERRÉ MOLTÓ, Director General dela Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda, actuando enrepresentación de la Entidad Pública Empresarial, en virtud de las competencias quele atribuye el artículo 19 del Estatuto aprobado por Real Decreto 1114/1999, de 25de junio.

EXPONEN

PRIMERO.- El Real Decreto-Ley 14/1999, de 17 de septiembre, de firmaelectrónica establece el régimen jurídico aplicable al uso de firma electrónica y laprestación de servicios de certificación, extendiendo su ámbito subjetivo a todos losprestadores de estos servicios establecidos en España.

SEGUNDO.- Por su parte, el artículo 2 de los Estatutos de la Fábrica Nacional deMoneda y Timbre-Real Casa de la Moneda, aprobado por Real Decreto 1114/1999,de 25 de junio, reconoce como fines de la Entidad la prestación, en el ámbito de lasAdministraciones Públicas, o sus Organismos públicos, vinculados o dependientes,de servicios de seguridad, técnicos y administrativos, en las comunicaciones a travésde técnicas y medios electrónicos, informáticos y telemáticos así como laexpedición, fabricación y suministro de los títulos o certificados de usuarios, deacuerdo con lo que establezcan las disposiciones legales correspondientes.

d e M o n e d a y T . m b r e J U f l T R ü t A T i u M J U t l n

R e a l C a s a d e l a M o n e d a ¿ í í ^ ' í !Fábrica Nacional

Estando ambas partes interesadas en procurar la máxima extensión de la prestaciónde estos servicios para facilitar a los ciudadanos las relaciones administrativas através de las técnicas y medios electrónicos, informáticos y telemáticos (EIT), seprocede a la formalización del presente convenio con arreglo a las siguientescláusulas:

CLAUSULAS

PRIMERA.- OBJETO

1.- Constituye el objeto del presente Convenio la prestación de los serviciostécnicos, administrativos y de seguridad necesarios en orden a garantizar lavalidez y eficacia de la emisión y recepción de comunicaciones ydocumentos producidos a través de técnicas y medios EIT en el ámbito de laJunta de Andalucía y de conformidad con las condiciones técnico-administrativas que en las cláusulas siguientes se estipulan.

2.- En particular, la Eábrica Nacional de Moneda y Timbre-Real Casa de laMoneda (FNMT-RCM) prestará los servicios que al efecto se enumeran enel anexo I de este convenio.

SEGUNDA.- ÁMBITO DE APLICACIÓN

En virtud del presente Convenio, la Fábrica Nacional de Moneda y Timbre-RealCasa de la Moneda podrá prestar servicios EIT a las personas físicas que tenganla condición de usuarios de acuerdo con la normativa vigente y las cláusulas deeste Convenio, cuando los usuarios se relacionen con la Junta de Andalucía, enel marco de sus respectivas competencias.

A tal efecto la Junta de Andalucía, asume que los certificados (títulos deusuario) que expida la FNMT-RCM son universales y que por tanto servirán paralas relaciones jurídicas que al efecto mantengan los ciudadanos con lasdiferentes Administraciones públicas, los órganos administrativos o en su casolas entidades privadas que hayan suscrito el correspondiente convenio con laFNMT-RCM.

De igual forma los certificados que, al amparo de la normativa vigente y delpresente convenio tipo, haya expedido o expida la FNMT-RCM, podrán serutilizados por los usuarios en sus relaciones con la Junta de Andalucía.

1?Real Casa de la MonedaFábrica Naoonald e M o n e d a y T . m b r e J U f fl f t D I r u i u f fl D C I n

TERCERA.- OBLIGACIONES DE LAS PARTES PARA LA PRESTACIÓNEFECTIVA DE LOS SERVICIOS OBJETO DEL CONVENIO.

1.- Para la prestación efectiva de los servicios objeto del convenio, La FNMT-RCM se compromete a:

S La prestación de la infraestructura técnica y organizativa que a talefecto, se requiera.

S La aportación de los derechos de propiedad industrial, intelectualnecesarios, garantizando la titularidad de estos derechos.

S La asistencia técnica que se precise con objeto de facilitar a la Junta deAndalucía la información necesaria para el buen funcionamiento de lossistemas.

•S La actualización tecnológica de los sistemas, de acuerdo con el estadode la técnica, sin perjuicio de la aprobación de los requisitos técnicoscorrespondientes por el Consejo Superior de Informática o, en su caso,por el órgano competente.

S La emisión de sellos de tiempo en las transacciones a petición delconviniente

S La aportación de la tecnología necesaria para que las obligaciones delconviniente puedan ser realizadas.

S En cualquier caso los medios técnicos y tecnología empleados por laFNMT-RCM permitirán demostrar la fiabilidad del servicio decertificación electrónica, la constatación de la fecha y hora deexpedición o revocación de un certificado, la comprobación de laidentidad del destinatario del certificado y, en su caso, exclusivamentefrente al que ha registrado, los atributos pertinentes, la fiabilidad de lossistemas y productos que contarán con la debida protección contraalteraciones, así como con los niveles de seguridad técnica ycriptográfica idóneos dependiendo de los procedimientos donde seutilicen y, en general los que resulten de aplicación de conformidad conla normativa comunitaria o nacional correspondiente.

R e a l C a s a d e l a M o n e d a ¿ 5 ? , ;F á b r i c a N a c i o n a l * * * • "d e M o n e d a y T . m b r e } \ ) m T J £ f t T I Ü W U J C m

2. Por su parte la Junta de Andalucía conviene:

"f La obligación a la emisión de acuse de recibo firmadoelectrónicamente, en las comunicaciones recibidas donde se hagaconstancia expresa de la fecha y hora de recepción de las mismas.

S A la guarda de las notificaciones, comunicaciones o documentaciónemitida y recibida en las transacciones.

S Al cifrado de las comunicaciones emitidas y recibidas.

S Lo anteriormente expuesto deberá realizarse con independencia de quela tecnología aplicada sea la aportada por la propia FNMT o porterceros.

S A la realización de las actividades de identificación previa a laobtención del certificado electrónico y en su caso de comprobación delos atributos correspondientes. A tal efecto, dispondrá de una red deoficinas de atención al público que cuente con los medios informáticosprecisos para conectarse telemáticamente con la FNMT-RCM.

S Las aplicaciones informáticas necesarias para llevar a cabo lasactividades de identificación serán facilitadas por la FNMT-RCM quienserá responsable en todo caso del cumplimiento de los requisitosexigidos en el artículo 8 del Decreto Ley 14/1999, de 17 deseptiembre, de Firma Electrónica.

S El número y ubicación de las oficinas se determinará en el Anexo II deeste convenio, en función del programa de implantación de losservicios, sin perjuicio de la existencia de otras oficinas dependientesde los organismos públicos y Administraciones públicas que suscribanun convenio con la FNMT-RCM para la prestación de los servicios deidentificación.

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J U W T R D I R M Ü R U J C I R

CUARTA.- PRECIO Y CONDICIONES DE PAGO

La FNMT-RCM percibirá, por los servicios EIT prestados a la Junta deAndalucía la cantidad de QUINIENTOS UN MIL CIENTO NOVENTA Y NUEVE(501.199) Euros/año (Impuestos incluidos).

La FNMT-RCM podrá realizar facturaciones parciales contra certificacionesparciales conformadas por la Junta de Andalucía.

El pago se efectuará en el plazo de 1 mes contra la prestación de lascorrespondientes facturas.

La demora en el pago se regirá por lo dispuesto en el artículo 45 de la LeyGeneral Presupuestaria.

Anualmente se aplicará un incremento en los precios estipulados,correspondiente al índice de Precios al Consumo (IPC)

QUINTA.- REGIMEN DE PRESTACIÓN DE LOS SERVICIOS

La prestación de los servicios EIT a que se refiere la Cláusula primera, serealizará atendiendo a lo establecido en el Anexo I.

A tal efecto ambas partes se comprometen a asumir las obligaciones necesariasa tal fin. Igualmente la Junta de Andalucía se obliga a velar frente a los usuariospor el cumplimiento de las obligaciones que le correspondan como encargadosdel registro de certificados.

SEXTA.- PLAZO DE DURACIÓN

1.- El Convenio tendrá un plazo de duración de tres años (3 años). No obstante,se producirá la prórroga automática del mismo, por periodos iguales, si nomediara denuncia de ninguna de las partes con tres meses de antelación a suvencimiento.

2.- Las partes podrán proponer la revisión del Convenio en cualquier momentode su vigencia, a efectos de incluir las modificaciones que resultenpertinentes.

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T i m b r e J U „ T f \ D I R T I Ü R U J C I R

SÉPTIMA.- RESPONSABILIDAD

La FNMT-RCM como prestador de los servicios de certificación responderáfrente a terceros de los daños y perjuicios que les causara el funcionamiento delsistema siempre que se observe por la entidad conviniente lo dispuesto en lacláusula 5a. En todo caso la FNMT podrá repetir contra la Entidad que hubierarealizado las funciones de identificación, si la causa del daño tuviera su origenen la actuación dolosa o culposa de las oficinas que en cumplimiento de lacláusula tercera de este convenio hubiese establecido.

OCTAVA.- RESOLUCIÓN

1.- El Convenio podrá resolverse por parte de la Junta de Andalucía cuandoexistiera manifiesta falta de calidad del servicio por parte de la FNMT-RCMo incumplimiento grave de las obligaciones de ésta en el desarrollo de suactividad.

2.- La FNMT-RCM podrá instar la resolución del convenio por falta de pagodel precio convenido o por incumplimiento grave de las obligaciones quecorresponden a la Junta de Andalucía y que figuran en las cláusulas de esteConvenio.

NOVENA.- PROTECCIÓN DE DATOS

El régimen de protección de datos de carácter personal derivados de esteConvenio y de la actuación conjunta de los dos organismos será el previsto en laLey Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de CarácterPersonal y en su normativa de desarrollo. Los ficheros serán de titularidadpública y su creación, modificación o supresión se realizará por disposicióngeneral publicada en el Boletín Oficial del Estado.

DÉCIMA.- DERECHO APLICABLE Y RESOLUCIÓN DE CONFLICTOS

1.- La prestación de los servicios de certificación contemplados en el presenteConvenio se realizará con sujeción a la regulación contenida en el RealDecreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica, asícomo a las disposiciones que sean de aplicación y en su caso, cuantas

R e a l C a s a d e l a M o n e d a i ¿ Í t UFábnca Nacionald e M o n e d a y t m . b r e J U I I T R ü l W I D R U J C I R

disposiciones se dictaren, durante la vigencia del convenio y que afectarenal objeto del mismo.

2.- El presente Convenio tiene naturaleza administrativa. Las partes secomprometen a resolver de mutuo acuerdo las incidencias que pudieransurgir en su interpretación y cumplimiento.

Las cuestiones litigiosas que pudieran surgir entre las partes durante eldesarrollo y ejecución del mismo se someterán a la jurisdicción contencioso-administrativa, conforme a lo dispuesto en la Ley reguladora de la misma.

UNDÉCIMA.- INICIO DE LA PRESTACIÓN.

El presente Convenio, entrará en vigor a la firma del mismo, al haber sido aprobadosu modelo tipo por el Consejo de Administración de la FNMT-RCM el 26 de Marzode 2001 y ratificado por la Subsecretaría de Economía en fecha 3 de Abril de 2001.

El Director General De La La Consejera de Justicia yFábrica Nacional De Moneda Y Administración Pública

T i m b r e - D E L AReal Casa De La Moneda JUNTA DE ANDALUCÍA

Fdo.: Gonzalo Jorge Ferré Moltó. Fdo.: Carmen Hermosín Bono

^ ¡ » f l i t

M R c a l C a s a d e l a M o n e d a "Fábrica Nacionald e M o n e d a y T T m b r e J U Í I T R D I n T f l j A U I U H

ANEXO I

Servicios a prestar

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J U T I T f t D I r \ T 1 D M J J l l r \

Servicios a prestar

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda (FNMT-RCM),como prestadora de servicios de certificación, emitirá para todo aquel usuario quelo solicite un conjunto de certificados, denominado "Certificado Básico" o "Títulode Usuario", que permite al Sujeto o Titular del mismo comunicarse con lasAdministraciones Públicas de forma segura.

El formato de los certificados utilizados por la FNMT-RCM se basa en el definidopor la Unión Internacional de Telecomunicaciones, sector de normalización de lastelecomunicaciones, en la Recomendación UIT-T X.509, de fecha Junio del 97 osuperiores (ISO/IEC 9594-8 de 1997). El formato será el especificado en laVersión 3 del certificado, especificado en esta norma

El certificado será valido para el uso con protocolos de comunicación estándares demercado, tipo SSL, TLS, etc.

Como servicios de certificación asociados para el uso de los certificados por partede sus titulares, la FNMT-RCM ofrecerá los siguientes servicios técnicos:

- acreditación de usuariosemisión, revocación y archivo de certificados de clave pública

- publicación de certificados y listas de revocación- registro de eventos significativos

Generación y gestión de claves

Generación v eestión de las claves

En el procedimiento de obtención de certificados para la relación del ciudadano conla administración, la FNMT-RCM desarrollará los elementos necesarios paraactivar, en el puesto del solicitante, el software que genere a través de su navegadorweb, un par de claves, pública y privada, que le permitirá firmar y autenticarse, asícomo proteger la seguridad de sus comunicaciones a través de mecanismos decifrado.

R e a l C a s a d e l a M o n e d a ¿ Í m ]F á b r i c a N a c i o n a l s * * - í i Jd e M o n e d a y T . m b r e j ^ T R f t R r l D R U J C l R

Las claves privadas serán utilizadas bajo el control del software de navegación web,del que disponga el propio usuario, enviando todas las claves públicas a la FNMT-RCM con el fin de integrarlas en un certificado.

Las claves privadas de firma, permanecerán siempre bajo el control del propietariode las mismas, y guardadas en el soporte correspondiente, no guardándose copia deellas por la FNMT-RCM.

La FNMT-RCM garantizará que el usuario, Sujeto o Titular del certificado, es elpropietario de las claves privadas correspondientes a las claves públicas que seconsignan en el certificado, mediante la obtención de las pruebas de posesiónoportunas, a través de la adjudicación del número de identificación único.

Archivo de las claves públicas

Las claves públicas de los usuarios permanecerán archivadas, por si fuera necesariosu recuperación, en archivos seguros, tanto física como lógicamente, durante unperiodo no menor de 15 años.

Propiedad y dominio de las claves

Las claves privadas son propiedad personal de los Sujetos o Titulares de loscertificados, los cuales tienen todos los derechos sobre su uso y utilización.

Las claves públicas son propiedad personal de los Sujetos o Titulares de loscertificados, independientemente del soporte físico donde estén almacenadas yprotegidas.

Renovación de claves

La FNMT-RCM identifica una relación uno a uno entre la clave pública de unusuario y su certificado de clave pública, no previéndose utilizar distintoscertificados para una misma clave. Es por esto que las claves se renovarán con loscertificados.

10

^ 1 ?M R e a l C a s a d e l a M o n e d a ■ - "

Fábrica Naóonald e M o n e d a y T . m b r * J U M T A D i R T I Ü R U J C I R

ACREDITACIÓN DE USUARIOS

Acreditación de usuarios

La acreditación de usuarios supone la declaración de la voluntad, por parte de unapersona, de solicitar a la FNMT-RCM la emisión, revocación o suspensión del"Certificado Básico" o "Título de Usuario", emitido por la FNMT-RCM. Además,en este acto, el solicitante aportará los datos que le serán requeridos, y acreditará suidentidad.Esta acreditación podrá ser realizada por la propia FNMT-RCM o cualquier otraAdministración pública. En ambos casos la acreditación se llevará a cabo según lodispuesto por la FNMT-RCM, al objeto de que esta acreditación sea homogénea entodos los casos. De igual manera será la FNMT-RCM, quien defina y aporte losmedios necesarios para la realización de esta acreditación.

En el caso de que la acreditación la realizara una Administración pública, distinta dela FNMT-RCM, la persona que se encargue de la actividad de acreditación ha de serpersonal al servicio de la Administración pública. En estos casos la FNMT-RCM,dará soporte a la implantación de las distintas oficinas de acreditación que seestablezcan, en los siguientes términos:

a) Aportación de la aplicación informática de acreditaciónb) Aportación de la documentación relativa a la instalación y manejo de la

aplicación, así como toda aquella referente a los procedimientos y normassobre la acreditación.

c) Acreditación y formación de los encargados de las oficinas de acreditación, loque supone la emisión de un certificado emitido por la FNMT-RCM para cadaencargado de oficina de acreditación, que permita garantizar la seguridad delas comunicaciones con la FNMT-RCM, incluyendo la firma electrónica delas solicitudes de acreditación.

Solicitantes de certificados

Los solicitantes de certificados deberán estar en posesión del número deidentificación fiscal (NIF) válido y vigente. Cuando el solicitante sea extranjero, yno posea el NIF, deberán estar en posesión del número de identificación deextranjeros (NIE).

11

R e a l C a s a d e l a M o n e d a v W MFábrica Nacionald e M o n e d a y W e J U f l T R Ü E n T i D R U J Ü n

Necesidad de presentarse en persona

La FNMT-RCM requiere presencia física del interesado para formalizar elprocedimiento de acreditación. Para ello la persona que vaya a solicitar suinscripción en la oficina de acreditación, deberá presentarse en persona o portar elmodelo de solicitud del anexo III con firma legitimada notarialmente, ante la oficinade acreditación autorizada y con la documentación requerida, con el fin de acreditarsu identidad.

Necesidad de confirmar la identidad por la Oficina de Acreditación

La solicitud de inscripción deberá completarse con la presentación de ladocumentación necesaria de identificación ante una oficina de acreditación, la cual,a través del encargado de acreditación, verificará y confirmará que los documentosaportados cumplen todos los requerimientos para su identificación.

Necesidad de confirmar la identidad de los componentes por la FNMT-RCM

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda, una vez firmadoel convenio requerirá si la solicitud del certificado fuera para descargarlo en unservidor u otro componente, la aportación de la documentación necesaria que leacredite como responsable de dicho componente, y en su caso la propiedad delnombre del dominio o dirección IP.

Incorporación de la dirección de correo electrónico del titular al certificado

La incorporación de la dirección de correo electrónico del titular al certificado, noes exigible, y solamente se hará en el caso de que el titular aporte dicha dirección enel momento de la acreditación.

Esta incorporación se realizará a los efectos de que el certificado pueda soportar elprotocolo S/MIME en el caso de que la aplicación utilizada por el usuario así lorequiera.

Cuando la dirección del correo electrónico del titular del certificado conste en unade las extensiones del propio certificado, la FNMT-RCM, como firmante yresponsable del mismo, no garantizará en ningún momento, que esta dirección estévinculada con el titular del certificado, por lo que la confianza o no en que esta

12

R e a l C a s a d e l a M o n e d a sFábnca Nacionald e M o n e d a y T . m b r e J U Í l T ñ Ü I M 1 D A U I C 1 R

dirección sea la del titular del certificado dependerá del usuario que verifique lavalidez del certificado.

Obtención del "Certificado Básico" o "Título de usuario"

Para la obtención de este certificado, así como para su revocación o suspensión, elsolicitante deberá observar las normas y procedimientos desarrollados a tal fin porla FNMT-RCM.

Emisión, revocación y archivo de certificados de clave pública

Emisión de los certificados

La emisión de certificados supone la generación de documentos electrónicos queacreditan la identidad u otras propiedades del usuario y su correspondencia con laclave pública asociada; así como su posterior envío al directorio de manera que seaaccesible por todas las personas interesadas en hacer uso de sus claves públicas.

La emisión de certificados por parte de la FNMT-RCM, sólo puede realizarla ellamisma, no existiendo ninguna otra entidad u organismo con capacidad de emisión deestos certificados.

La FNMT-RCM, por medio de su firma electrónica, garantizará los certificados, asícomo la verificación de la identidad y cualesquiera otras circunstancias personalesde sus titulares. Por otro lado, y con el fin de evitar la manipulación de lainformación contenida en los certificados, la FNMT-RCM utilizará mecanismoscriptográficos para asegurar la autenticidad e integridad de dicho certificado.

La FNMT - RCM, una vez emitido el certificado, lo publicará y mantendrá en unservicio de acceso público telemático, universal, en línea y siempre disponible, alos certificados emitidos y durante todo el periodo de vida del mismo.La FNMT-RCM garantiza para un certificado emitido:

a) Que el usuario dispone de la clave privada correspondiente a la clave publicadel certificado, en el momento de su emisión.

b) Que la información incluida en el certificado se basa en la informaciónproporcionada por el usuario.

c) Que no omite hechos conocidos que puedan afectar a la fiabilidad delcertificado

13

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T í m b r » J U Í 1 T R Ü T . r U I D B U J C l R

Aceptación de certificados

S Para que un certificado sea publicado por la FNMT-RCM, éstacomprobará previamente:

a) Que el signatario es la persona identificada en el certificadob) Que el signatario tiene un identificativo únicoc) Que el signatario dispone de la clave privada

S Al aceptar un certificado emitido, el titular acepta que:

a) La clave privada con la que se genera la firma electrónica correspondea la clave pública del certificado.

b) Ninguna persona no autorizada tiene acceso a su clave privadac) Toda la información entregada durante la acreditación por parte del

titular es exactad) El certificado será usado exclusivamente para fines legales y

autorizados, y de acuerdo con lo establecido por la FNMT-RCM.e) El usuario final del certificado no es una Autoridad de Certificación, y

no utilizará su clave privada asociada a la clave pública que aparece enel certificado para firmar otros certificados(u otros formatos decertificados de clave pública), o listados de certificados, como unaAutoridad de Certificación o de otra manera.

S Al aceptar un certificado, el titular asume el deber, sobre suclave privada:

a) A conservar su controlb) A tomar las precauciones suficientes para prevenir su pérdida,

revelación, modificación o uso no autorizado.

La FNMT-RCM considerará válido un certificado si una vez aceptado por elusuario y publicado, no recibe de éste ninguna comunicación de revocación delmismo.

Al aceptar el certificado, el titular reconoce estar de acuerdo con los términos ycondiciones contenidas en la normativa existente al efecto y lo suscrito en elcontrato.

14

¿7%Real Casa de la MonedaFábrica Nacionald e M o n e d a y T , m b r e J U Í 1 T R D I M I D M U C f f i

La extinción de la condición de usuario público se regirá por lo dispuesto enel correspondiente convenio o lo que se determine, en su caso, por resoluciónjudicial o administrativa.

Publicación de certificados de clave pública y listas de revocación

Publicación de certificados de clave pública

Una vez aceptado un certificado por parte del usuario, la FNMT-RCM publicará éstecertificado emitido, en un directorio seguro.

Cuando el certificado sea revocado, temporal o definitivamente, este será publicadoen las Listas de Revocación, al menos hasta un año después de su fecha decaducidad.

Esta publicación puede ser:

a) Publicación directa por parte de la FNMT-RCM.- Esta operación larealiza la FNMT-RCM a través de la publicación en un directorio propio enque ofrece acceso a:• Los certificados emitidos.• Listas de certificados revocados

La actualización en el directorio seguro de los certificados se hará de lasiguiente forma:

• Los certificados emitidos, una vez la FNMT-RCM tenga constancia que elcertificado emitido ha sido aceptado por el titular del certificado.

• Los certificados revocados temporal o definitivamente, en el momentode producirse la revocación. La actualización en el directorio seguro de laslistas de revocación se realizará diariamente de forma incremental, ysemanalmente por renovación de los listados.

La consulta de este directorio se realizará on-line, por acceso directo delusuario. Este servicio permite la disponibilidad continua y la integridad de lainformación almacenada en el directorio.

16

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J U T 1 T R D I R T T O N J U t l R

Revocación y suspensión de certificados electrónicos

1.- La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda, dejará sinefecto los certificados electrónicos otorgados a los usuarios cuando concurraalguna de las siguientes circunstancias:

a) Solicitud de revocación del usuario.b) Resolución judicial o administrativa que lo ordene.c) Fallecimiento del usuario o incapacidad sobrevenida.d) Finalización del plazo de vigencia del certificado.e) Solicitud de renovación por pérdida o inutilización por daños en el

soporte del certificado.f) Utilización indebida por un tercero.g) Inexactitudes graves en los datos aportados por el usuario para la

obtención del certificado.

La extinción de la eficacia de un certificado producirá efectos desde la fechaen que la Fábrica Nacional de Moneda y Timbre - Real Casa de la Monedatuviera conocimiento fehaciente de cualquiera de los hechos determinantes dela extinción previstos en el apartado anterior. En el supuesto de expiración delperíodo de validez del certificado, la extinción surtirá efectos desde quetermine el plazo de validez.

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda podrásuspender temporalmente la eficacia de los certificados si así lo solicita elusuario o lo ordena una autoridad judicial o administrativa, o cuando existandudas razonables, por parte de cualquier usuario público, sobre la vigencia delos datos declarados y su verificación requiera la presencia física delinteresado. En este caso, la Dirección de la Fábrica Nacional de Moneda yTimbre-Real Casa de la Moneda podrá requerir, de forma motivada, sucomparecencia ante una Oficina de Acreditación al efecto de la práctica de lascomprobaciones que procedan. El incumplimiento de este requerimientopodrá dar lugar a la revocación del certificado.

15

* " o ™ * 1 " r ™ " e J U r i T R D I W I Ü B U I C WR e a l C a s a d e l a M o n e d a i ¿ y <F á b r i c a N a c i o n a l ^ * *

previamente por el Plan de Seguridad Integral. Este acceso se realizará conautenticación previa

d) El resto de los usuarios, tendrán el acceso restringido a su propio certificado,y a los de los órganos de la Administración General del Estado, y organismospúblicos vinculados o dependientes de ella, y a los de las ComunidadesAutónomas, las entidades locales y las entidades de Derecho públicovinculadas a ellas. El acceso será solamente de lectura, no pudiendo realizaroperaciones para añadir, borrar, modificar o hacer listados de entrada en eldirectorio.

En cuanto a las listas de revocación, tanto las publicadas interna como externamente,el acceso será público y universal, para verificar este hecho.

Registro de eventos significativos

Tipos de eventos registrados

La FNMT-RCM registrará todos aquellos eventos relacionados con sus serviciosque puedan ser relevantes con el fin de verificar que todos los procedimientosinternos necesarios para el desarrollo de la actividad se desarrollan de acuerdo a lanormativa legal aplicable y a lo establecido en el Plan de Seguridad Interna, ypermitan detectar las causas de una anomalía detectada.

Todos los eventos registrados son susceptibles de auditarse, bien por medio de unaauditoría interna o externa.

Frecuencia v periodo de archivo de un registro de un evento

La frecuencia de realización de las operaciones de registro dependerá de laimportancia y características de los eventos registrados (bien sea para salvaguardarla seguridad del sistema o de los procedimientos), garantizando siempre laconservación de todos los datos relevantes para la verificación del correctofuncionamiento de los servicios.

El periodo de archivado de los datos correspondientes a cada registro dependeráasimismo de la importancia de los eventos registrados.

18

3 ? 1 ?MReal Casa de la Moneda

F á b r i c a N a c i o n a l _d e M o n e d a y T . m b r e J U f l T R Ü T W T O f f l D C l R

Tanto los certificados como las listas de revocación van firmadas con la claveprivada de firma de la FNMT-RCM.

b) Publicación en directorios externos.- La FNMT-RCM puede publicarexternamente, en directorios públicos ofrecidos por otras entidades uOrganismos, mediante replicación periódica u on-line, tanto certificadoscomo listas de certificados revocados temporal o definitivamente. Estaslistas, al igual que las publicadas internamente, irán firmadas con la clave defirma de la FNMT-RCM.

Frecuencia de la publicación en directorios externosLa publicación en directorios externos a la FNMT-RCM podrá ser realizadaperiódicamente o de forma on-line, en función de los requerimientos de la entidad uOrganismo que ofrezca el directorio.

Control de acceso

En la publicación directa por parte de la FNMT-RCM, el acceso al directorio serealizará en función del tipo de usuario, de forma que:

a) Los órganos de la Administración General del Estado, así como losorganismos públicos vinculados o dependientes de ella, tendrán acceso atodos los certificados sin ninguna restricción en cuanto a la informacióncontenida en el directorio. El acceso se realizará con autenticación previa.Este acceso estará restringido a sólo lectura y búsqueda, pudiendo utilizarcomo clave de búsqueda cualquier información contenida en una entrada de unusuario.

b) Las Comunidades Autónomas, las entidades locales y las entidades deDerecho público vinculadas a ellas, tendrán igualmente acceso a todos loscertificados sin ninguna restricción en cuanto a la información contenida enel directorio. El acceso se realizará con autenticación previa. Este accesoestará restringido a sólo lectura y búsqueda, pudiendo utilizar como clave debúsqueda cualquier información contenida en una entrada de un usuario.

c) Los operadores y administradores de la infraestructura y los módulosinternos, tendrán acceso a toda la información existente en el directorio,pudiendo realizar todo tipo de operaciones en función del perfil definido

17

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m f a r e J U fl T R D I A f fl f fl U l t l R

f\/l Fábrica Nacsonal

Archivo de un registro de eventos

La FNMT-RCM realizará una grabación segura y constante de todos los eventosrelevantes desde el punto de vista de la seguridad y auditoría (operacionesrealizadas) que vaya realizando, con el fin de reducir los riesgos de vulneración,mitigar cualquier daño que se produjera por una violación de la seguridad y detectarposibles ataques a la seguridad de la misma.

Este archivo está provisto de un alto nivel de integridad, confidencialidad ydisponibilidad para evitar intentos de manipulación de los certificados y eventosalmacenados.

La FNMT-RCM mantendrá archivados todos los eventos registrados másimportantes, manteniendo su accesibilidad, durante un periodo nunca inferior a 15años.

En el caso del archivo histórico de los certificados, éstos permanecerán archivadosdurante al menos 15 años.

Datos relevantes que serán registrados

a) La emisión y revocación y demás eventos relevantes relacionados conlos certificados.

b) Todas las operaciones referentes a la firma de los certificados por laFNMT-RCM.

c) Las firmas y demás eventos relevantes relacionados con las Listas deCertificados Revocados.

d) Todas las operaciones de acceso al archivo de certificados.

e) Eventos relevantes de la generación de claves.

f) Todas las operaciones del servicio de archivo de claves y del acceso alarchivo de claves propias expiradas.

g) Todas las operaciones relacionadas con la recuperación de claves.

19

•Tí"Real Casa de la MonedaFábrica Nacionald e M o n e d a y T - m b r e J U T I T f t D E M I B W U C I R

Las funciones de administración y operación de los sistemas de archivado yauditoría de eventos serán siempre encomendadas a personal especializado y deconfianza de la FNMT-RCM.

Protección de un registro de actividad

Una vez registrada la actividad de los sistemas, los registros no podrán sermodificados, ni borrados, permaneciendo archivados en las condiciones originalesdurante el periodo señalado.

Este registro tendrá sólo acceso de lectura, estando restringido a las personasautorizadas por la FNMT-RCM.

La grabación del registro, con el fin de que no pueda ser manipulado ningún dato pornadie, se realizará automáticamente por un software específico que a tal efecto laFNMT-RCM estime oportuno.

El registro auditado, además de las medidas de seguridad establecidas en sugrabación y posterior verificación, estará protegido de cualquier contingencia,modificación, pérdida y revelación de sus datos, durante su grabación en soportesexternos, cambio de este soporte y almacenamiento de los mismos.

La FNMT-RCM garantiza la existencia de copias de seguridad de todos los registrosauditados.

20

R e a l C a s a d e l a M o n e d a j $ £ j jFábrica Nacionald e M o n e d a y T - m b r e J U W R K r \ t l B f fl D C ] n

anexo nPRECIOS Y PLAN DE IMPLANTACIÓN

21

R e a l C a s a d e l a M o n e d a y | ? t jF á b r i c a N a c i o n a l *d e M o n e d a y T . m b r e J X J T I T ñ Ü t M i D f f l j J t l n

1. Precio anual de los servicios

Se establece un precio fijo por un importe de cuatrocientos treinta y dos mil sesentay ocho (432.068) Euros / año, según tabla reflejada en el apartado 8 de este anexo

Este importe incluye la extensión del servicio a todos aquellos municipios de laComunidad Autónoma conviniente con una población inferior a los 50.000habitantes que se adhieran al presente convenio.

2. Constitución de las oficinas de Acreditación

Se constituirá una oficina central de acreditación, en la siguiente dirección:

Plaza de la Gavidia, 1041071 Sevilla

No obstante, podrán implantarse cuantas oficinas de acreditación se estime conveniente por parte de la Junta de Andalucía, las cuales deberán hacerse publicas, indicando su dirección postal y horario de atención al público, en la direcciónwww.juntadeandalucia.es

El precio para la constitución de oficinas de acreditación adicionales a la oficinacentral, se establece en:

- 24,70 Euros por puesto de acreditación. Este precio incluye el software deacreditación.

- 31 Euros cada persona encargada de acreditación autorizada. Este precioincluye la emisión de una tarjeta por cada persona y su formación en lasinstalaciones de la FNMT-RCM. En el caso en que la formación se preste enlas instalaciones del conviniente, a la tarifa anterior le serán añadidos losgastos derivados de la estancia fijados en 154,30 Euros/día por persona, maslos derivados del desplazamiento.

22

R e a l C a s a d e l a M o n e d a -Fábrica Nacionald e M o n e d a y T . m b r e J U T f T R D I r U l ü r W J C I R

3. Soporte Técnico

Se establece una bolsa de 0 horas de soporte técnico a la implantación cuyo precioserá de 92,60 Euros/hora.

En el caso en que el soporte técnico se preste en las instalaciones del conviniente, ala tarifa anterior le serán añadidos los gastos derivados de la estancia fijados en154,30 Euros/día por persona, mas los derivados del desplazamiento.

Por otro lado, con el fin de poder comunicar a la Junta de Andalucía cualquierobservación que la FNMT-RCM considere necesaria, se establecen las siguientesdirecciones electrónica y postal:

Dirección electrónica: dgoics@cjap.junta-andalucia.esDirección postal: Plaza de la Gavidia, 10

41071 Sevilla

4. Servicio de Directorio

Este concepto incluye la replica diaria de las listas de certificados revocados desdela FNMT-RCM a las instalaciones del conviniente por redes públicas y una licenciade uso del directorio X.500 InJoin Directory Server de Critical Path en las propiasinstalaciones del cliente.

Este servicio no incluye la instalación ni el mantenimiento, que serán por cuenta delconviniente.

El directorio y su contenido no podrá ser cedido a terceros bajo ningún concepto, ydeberá ser protegido contra todo acceso por entidades ajenas al conviniente,incluyendo el acceso de consulta

5. Certificados para servidor o componente y firma de código.

El precio anual de los servicios establecido en la cláusula 1 de este anexo incluye 4certificados de servidor o componente y 1 de firma de código.

El precio de los certificados adicionales será de 308,62 Euros/año por cadacertificado de servidor o componente y 617,24 Euros/año por cada certificado defirma de código.

23

Real Casa de la MonedaFábrica Nacionalde Moneda yTimbre

<f^

JUTITA DI rUIÜRUICm

Certificado de servidor es aquel que permite identificar un servidor web o unaURL

Certificado de firma de código es aquel que permite firmar código ejecutablecomo applets de Java

6. Fechado Digital

El precio de este servicio se facturará por dos conceptos:

1. Por alta sistema: Este concepto es de 3.086,20 Euros. Este precio incluye laslibrerías necesarias para el uso de la aplicación, pero no los posibles desarrollosque haya que realizar.

2. Por número de paquetes o lotes de sellados a realizar en el año: el importe decada paquete de sellados se facturará anualmente de acuerdo a la siguiente tabla:

Tramos en número desellados / año

Precio por paquete de10.000 sellados

(Euros)Hasta 10.000 6172,39Entre 10.001 y 100.000 4.937,92Entre 100.001 y 500.000 3.703,43Más de 500.000 3.086,20

A modo de ejemplo, y para una cantidad de 28.000 sellados, el cálculo del importe de losmismos se realizará de la siguiente forma:1. Se calcularán los paquetes completos necesarios para el número de sellados

previstos, es decir, 28.000/10.000 = 2,8paquetes, por lo que se necesitarían adquirir3 paquetes completos.

2. Buscar en ¡a tabla el coste unitario de estos paquetes. Para esto se toma comoreferencia el tramo en el que está comprendido el número de sellados a contratar. Enel caso del ejemplo, este tramo será el comprendido entre 10.001 y 100.000, es decir,el coste unitario de cada paquete sería efe 4.937,92 € Finalmente, se aplica el costeunitario por paquete, al total de paquetes de sellado necesarios. Siguiendo con

24

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T i m b r e J U t t T R Ü E M 1 D H U I C 1 R

nuestro ejemplo, el coste total de los 28.000 sellados, sería el resultado demultiplicar 4.937,92 € (coste unitario por paquete) por 3 (número de paquetesnecesarios), lo que nos dará una cantidad de 14.813,76 Euros.

7. Reducción de cuotas.

Cuando la cuenta de resultados del proyecto, incluidos todos sus costes, alcancesuperávit, éste se aplicará a la reducción proporcional de las cuotas soportadas porlos usuarios públicos del sistema.

8. Tabla de Precios

amo' Segmentación por población Cuota anual(Euros)

P/U(Euros

Mínimo Máximo1 250.000 30.861,98 0,122 250.000 500.000 92.585,92 0,193 500.000 1.000.000 154.309,86 0,154 1.000.000 2.000.000 246.895,77 0,125 2.000.000 4.000.000 370.343,66 0,096 4.000.000 432.068,00

El coste para una Comunidad Autónoma que se encuentre en un tramo x será elmenor de las dos cifras siguientes:

1. Precio del tramo x2. Precio del tramo (x-1) + (Resto de habitantes * P/U(x-1)),

siendo resto de habitantes la diferencia entre la poblaciónreal de la Comunidad Autónoma y el valor poblacionalmínimo del tramo correspondiente.

9. Tarjetas criptográficas

En el caso de que el certificado solicitado, requiera que el soporte del mismo seauna tarjeta criptográfica, el Organismo deberá de hacerse cargo del coste de lasmismas. El precio se establece 15,03 Euros por cada una de ellas. Dicho precio,contempla el plástico con su formato estándar y definido por la RCM-FNMT, lapersonalización de la misma y su envío al Organismo solicitante del certificado. Eneste precio no está contemplada cualquier variación sobre el modelo original

25

f ^M Real Casa de la Moneda

Fábrica Nacionald e M o n e d a y T i m b r e J U H T R D I n i H J R U I C I R

diseñado por la RCM-FNMT (variación de formato, incorporación de fotografía,logos, etc.).10. IVATodos los importes serán incrementados con el IVA correspondiente.

11. Posibilidades de uso de Clase 1 y Clase IS

La Fábrica Nacional de Moneda y Timbre emitirá certificados tipo Clase 1 oClase IS cuando se utilicen para proyectos de la Intranet del conviniente, siempresin posibilidades de uso generalizado por el ciudadano.

En los casos en los que se demande este tipo de servicios, se realizará laprestación, previa adenda al convenio, en la que se estipulará el importe delservicio, en base a la cantidad de certificados a emitir.

26

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J U H T R D I M I B A U J C l f *

Plan de Implantación (Tentativo)

Entrega de documentación y productos- Aportación de manuales de uso e instalación de los productos.- Aportación del software y documentación técnica, incluyendo ejemplos de

aplicación.- Aportación del software de verificación de listas de revocación.- Aportación del software de firma.

Acreditación de encargados de acreditar

- Relación de oficinas de acreditación, incluyendo su denominación ydirección postal completa y dirección IP.

- Relación del número de puestos por oficina de acreditación.- Selección de los encargados de acreditar.- Relación de encargados de acreditar por puesto, incluyendo su nombre y

apellidos, NIF, y dirección postal completa.- Calendario de implantación de las oficinas de acreditación.- Formación de los encargados de acreditar.- Acreditación de encargados de acreditar, entrega de tarjetas, equipo lógico

(software), lectores y manuales.- Constitución de las oficinas y comienzo de la acreditación de usuarios.

Implantación de aplicativos- Aportación de la documentación necesaria para la emisión de los certificados

de servidor o componente y las claves a firmar.- Emisión de certificados de firma de código y de servidor o componente

necesarios, Definición de los servicios a prestar.- Calendario de puesta en marcha de las aplicaciones.- Soporte técnico a la implantación por la FNMT.- Evaluación de la conformidad de cumplimiento del punto 1.2 relativa a

extensión de los servicios.

27

Tí"Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J U f l T R f t f t f l ü R U J C l R

Comunicación a los usuarios de los nuevos servicios.

- Envió de correo electrónico, comunicando los nuevos servicios disponibles,a los usuarios activos con dirección de correo electrónico

- Redacción conjunta de nota de prensa y envío a los medios- Publicación de servicios en el apartado de Colaboraciones del web de la

FNMT.

28

LitReal Casa de la MonedaFábnca Nacionald e M o n e d a y T . m b r e J U F t T R D E R fl D R U I C I R

anexo ra

DOCUMENTOS DE SOLICITUD DE EMISIÓN Y REVOCACIÓN DECERTIFICADOS

29

Real Casa de la MonedaFábrica Nacionald e M o n e d a y T . m b r e J Ü T I T R D E R f l D R U I C I R

Insertar:

contrato_emision_blanco.pdfcontrato_revocacion_blanco.pdfReverso contratos 20020125.pdf

30

¿ t o f ^I V 1. de Moneda y limbre

R e a l C a s a d e l a M o n e d a 1 , ¡ jF á b r i c a N a c i o n a l ' " '■

JUWTR DI RT1DRUJC1R

ADENDA AL CONVENIO SUSCRITO EL 26 DE JULIO DE 2002 ENTRE LAJUNTA DE ANDALUCÍA Y LA FÁBRICA NACIONAL DE MONEDA Y TIMBRE- REAL CASA DE LA MONEDA PARA LA PRESTACIÓN DE SERVICIOS DECERTIFICACIÓN DE FIRMA ELECTRÓNICA.

En Sevilla, 13 de julio de 2005

REUNIDOS

De una parte, la Excma. Sra. D3. MARÍA JOSÉ LÓPEZ GONZÁLEZ, Consejera deJusticia y Administración Pública de la Junta de Andalucía, en nombre y representacióndel citado Organismo, en virtud de las competencias atribuidas por el Decreto 12/2004,de 24 de Abril.

Y de otra parte el limo. Sr. D. Sixto Heredia Herrera, Director General de la FábricaNacional de Moneda y Timbre - Real Casa de la Moneda (en adelante FNMT-RCM),actuando en representación de esta Entidad Pública Empresarial, en virtud delnombramiento efectuado por el Real Decreto 802/2004, de 23 de abril, y de lascompetencias que le atribuye el artículo 19 del Estatuto aprobado por Real Decreto1114/1999, de 25 de junio.

Reconociéndose la capacidad legal necesaria para formalizar la presente Adendaal Convenio citado, ambas partes

EXPONEN

Primero.- Que la Junta de Andalucía y la FNMT-RCM suscribieron, con fecha 26 dejulio de 2002, un Convenio para la prestación de servicios de certificación de firmaelectrónica, y concretamente los servicios técnicos, administrativos y de seguridadnecesarios en orden a garantizar la validez y eficacia de la emisión y recepción decomunicaciones y documentos producidos a través de técnicas y medios EIT en elámbito de actuación de la Junta de Andalucía, con el alcance definido en tal convenio ysus documentos anexos.

M R e a l C a s a d e l a M o n e d a " l i i - M IF á b r i c a N a c i o n a l f í s g t lde Moneda y Timbre

JUÍITR DE RI1DRUJCIR

Segundo.- Que para formalizar adecuadamente la prestación, por parte de la FNMT-RCM, de nuevos servicios no previstos en el vigente Convenio, se tienen que modificarlos textos de las cláusulas primera y segunda del mencionado Convenio de títulos"Objeto" y "Ámbito de Aplicación" respectivamente.

Tercero.- Que en la cláusula cuarta, del mencionado Convenio, se indica:

"La FNMT-RCM percibirá, por los servicios EIT prestados a la Junta deAndalucía la cantidad de QUINIENTOS UN ML CIENTO NOVENTA Y NUEVE(501.199) Euros/año (impuestos incluidos).

La FNMT-RCM podrá realizar facturaciones parciales contra certificacionesparciales conformadas por el Junta de Andalucía.

El pago se efectuará en el plazo de 1 mes contra la prestación de lascorrespondientes facturas.

La demora en el pago se regirá por lo dispuesto en el artículo 45 de la Ley GeneralPresupuestaria..

Anualmente se aplicará un incremento en los precios estipulados, correspondienteal índice de Precios al Consumo (IPC) "

Cuarto.- Que en la cláusula sexta, del mencionado Convenio, se indica:

"PLAZO DE DURACIÓN-

1.- El Convenio tendrá una duración de un año (1 año). No obstante se producirála prórroga automática del mismo, por periodos iguales, si no mediara denunciade ninguna de las partes con tres meses de antelación a su vencimiento.

2.- Las partes podrán proponer la revisión del Convenio en cualquier momento desu vigencia, a efectos de incluir las modificaciones que residten pertinentes."

Quinto.- Siendo necesario ampliar el alcance de la cobertura que en el actual texto delConvenio se contempla, para la prestación de servicios de certificación de firmaelectrónica, y concretamente los servicios técnicos, administrativos y de seguridadnecesarios en orden a garantizar la validez y eficacia de la emisión y recepción decomunicaciones y documentos producidos a través de técnicas y medios EIT en elámbito de actuación de la Junta de Andalucía,

M R e a l C a s a d e l a M o n e d a ] , ;Fábrica Nacionalde Moneda y Timbre

JUTITR DE R11DRUJC1R

A tal fin, ambas partes, acuerdan modificar el contenido del Convenio citado en lo queconcierne al contenido de los expositivos segundo, tercero y cuarto de la presenteAdenda, así como en sus Anexos I, II y III, con arreglo a las siguientes

CLAUSULAS

PRIMERA.- MODIFICACIÓN DE LA CLÁUSULA PRIMERA.

La cláusula primera del Convenio para la prestación de servicios de firma electrónicasuscrito entre la Junta de Andalucía y la Fábrica Nacional de Moneda y Timbre - RealCasa de la Moneda, el día 26 de julio de 2002, queda redactada de la siguiente manera:

"PRIMERA.- OBJETO.

1.- Constituye el objeto del presente Convenio la prestación de los serviciostécnicos, administrativos y de seguridad necesarios en orden a garantizar lavalidez y eficacia de la emisión y recepción de comunicaciones y documentosproducidos a través de técnicas y medios EIT en el ámbito de actuación de laJunta de Andalucía con las condiciones técnico-administrativas que en lascláusulas siguientes se estipulan.

2.- En particular, ¡a FNMT-RCM prestará los servicios esenciales que al efectose enumeran en el capítulo I del anexo I de este convenio. También prestaráa petición de la Junta de Andalucía cualquiera, o la totalidad, de los serviciosavanzados que al efecto se enumeran en el capitulo II del mismo anexo I deeste convenio."

SEGUNDA.- MODIFICACIÓN DE LA CLÁUSULA SEGUNDA.

La cláusula segunda del Convenio para la prestación de servicios de firma electrónicasuscrito entre la Junta de Andalucía y la Fábrica Nacional de Moneda y Timbre - RealCasa de la Moneda, el día 26 de julio de 2002, queda redactada de la siguiente manera:

M R c a l C a s a d e l a M o n e d a " 1 , . _ i l ]F á b r i c a N a c i o n a l ¿ s £ l jde Moneda yTimbre

JUTJTR DE RTtDRUJCIR

"- ÁMBITO DE APLICACIÓN.-

En virtud del presente Convenio, la Fábrica Nacional de Moneda y Timbre-Real Casade la Moneda podrá prestar servicios EIT a las personas físicas que tengan lacondición de usuarios de acuerdo con la normativa vigente y las cláusulas de esteConvenio, cuando los usuarios se relacionen con la Junta de Andalucía y también contodas sus Diputaciones, con todos sus Municipios, con su Cámara de Cuentas, con ElDefensor del Pueblo, con el Parlamento y con todas las Universidades Públicas de laComunidad Autónoma de Andalucía, en el marco de sus respectivas competencias ysiempre que previamente se hubieran adherido las referidas Entidades al Convenio, locual deberá formalizarse a través del oportuno Protocolo de Adhesión que se suscribaal efecto entre ¡a Junta de Andalucía y cualquier Entidad interesada de entre lasrelacionadas, del que se dará traslado a la FNMT-RCM.

A tal efecto, la Junta de Andalucía, asume que ¡os certificados (lindos de usuario) queexpida la FNMT-RCM son universales y que por'tanto servirán para las relacionesjurídicas que al efecto mantengan ¡os ciudadanos con ¡as diferentes Administracionespúblicas, los órganos administrativos o en su caso ¡as entidades privadas que hayansuscrito el correspondiente convenio con la FNMT-RCM.

De igual forma los certificados que, al amparo de ¡a normativa vigente y del presenteconvenio tipo, haya expedido o expida la FNMT-RCM, podrán ser utilizados por losusuarios en sus relaciones con la Junta de Andalucía."

TERCERA.- MODIFICACIÓN DE LA CLÁUSULA CUARTA.

La cláusula cuarta del Convenio para la prestación de servicios de firma electrónicasuscrito entre la Junta de Andalucía y la Fábrica Nacional de Moneda y Timbre - RealCasa de la Moneda, el día 26 de julio de 2002, queda redactada de la siguiente manera:

"CUARTA.- Precio y Condiciones de Pago.

La FNMT-RCM percibirá, por ¡os servicios EIT prestados a ¡a Junta de Andalucía¡a cantidad de UN MILLÓN CIENTO NOVENTA Y SIETE MIL CIENTONOVENTA Y NUEVE €/año (1.197.199,00) Euros/año (impuestos incluidos),repartidos en dos tramos de facturación, el primero desde el 1 de enero hasta el 31de julio y el segundo desde el I de agosto hasta el 31 de diciembre de cada añonatural, mientras dure su vigencia, que se incrementarán a partir de la facturaciónde los dos primeros tramos correspondientes a 2005, aplicando la variación delIPC publicado en los doce meses anteriores de acuerdo con el índice aprobado porel I.N.E,. El detalle de los servicios incluidos en este precio se contiene en el AnexoIIde ¡aprésente Adenda a¡ Convenio.

-A-

M1 ▼ JL de Moneda y Timbre

R e a l C a s a d e l a M o n e d a " l , i _ 'F á b r i c a N a c i o n a l - "

JUTITR DE RÍIDRUIC1R

La FNMT-RCM aportará a cada Campaña Publicitaria anual de promoción en eluso del Certificado Electrónico por el ciudadano que la Junta de Andalucía realiceen su ámbito de actuación, un líquido del 8% del importe anual, sin impuestos, queella, a su vez, perciba por los servicios EIT prestados a la Junta de Andalucía enlos términos en ¡a presente Adenda recogidos, y siempre que se hubiese dotado ¡acorrespondiente partida en su presupuesto anual y que se encuentre vigente elConvenio.

Si hubiera petición expresa de servicios avanzados hecha por ¡a Junta deAndalucía, la cantidad anterior quedaría incrementada por el importecorrespondiente que de la aplicación de las tablas del capitulo II del Anexo II dePrecios se dedujeran.

La FNMT-RCM podrá realizar facturaciones parciales contra certificacionesparciales conformadas por el Junta de Andalucía.

El pago se efectuará en el plazo de l mes contra la prestación de lascorrespondientes facturas.

La demora en el pago se regirá por lo dispuesto en el articulo 45 de la Ley GeneralPresupuestaria.

Anualmente se aplicará un incremento en los precios estipulados, correspondienteal índice de Precios al Consumo (IPC) "

CUARTA.- MODIFICACIÓN DE LA CLÁUSULA SEXTA.

La cláusula sexta del Convenio para la prestación de servicios de firma electrónicasuscrito entre la Junta de Andalucía y la Fábrica Nacional de Moneda y Timbre - RealCasa de la Moneda, el día 26 de julio de 2002, queda redactada de la siguiente manera:

"PLAZO DE DURACIÓN-

1.- El Convenio tendrá una duración de un año (I año). No obstante se producirá¡a prórroga automática del mismo, por periodos iguales, si no mediara denunciade ninguna de las partes con tres meses de antelación a su vencimiento.

2.- En el caso de que durante la vigencia del Convenio o de cualquiera de susprórrogas automáticas se produjera que la FNMT-RCM llegase a firmar unonuevo, del mismo objeto que el presente, en el que quedara reflejado que su ámbitode aplicación juera a dar cobertura, además de a la Junta de Andalucía, a otrosOrganismos y Administraciones Públicas, manteniendo las mismas o mejorescondiciones que aquellas con las que se encontrase en ese momento definido el

^ S r * ¿ ^M R e a l C a s a d e l a M o n e d a 1 , iFábrica Nacionalde Moneda y Timbre

JUT1TR DE RT1DRUJC1R

Convenio, se procederá, a propuesta de ¡a Junta de Andalucía, a ¡a cancelación delConvenio previa adhesión expresa de la Junta de Andalucía al nuevo.

3.- Las partes podrán proponer la revisión del Convenio en cualquier momento desu vigencia, a efectos de incluir las modificaciones que resulten pertinentes."

QUINTA.- MODIFICACIÓN DEL ANEXO I.

Con el fin de adecuar lo contenido en la cláusula anterior e incluir los nuevos serviciosque la FNMT-RCM está en condiciones de prestar: certificado de persona jurídica (endesarrollo normativo), certificado de atributos, publicación en directorio externo yvalidación de certificados vía OCSP, se modifica el Anexo I del Convenio de referencia,insertando su actual texto contenido bajo la denominación de capítulo I y añadiendo unonuevo, el capítulo II, que se detalla al final de la presenta adenda.

SEXTA.- MODIFICACIÓN DEL ANEXO II.

Con el fin de adecuar lo contenido en la cláusula anterior e incluir los precios de losnuevos servicios que la FNMT-RCM está en condiciones de prestar, así como paraadecuar el nuevo contenido de la cláusula cuarta del Convenio, más arriba referida, aldel parágrafo 1 del Anexo II, se modifica éste, incluyendo un capitulado en sucontenido, que se inserta al final de la presente adenda.

SÉPTIMA.- MODIFICACIÓN DEL ANEXO III.

Con el fin de adecuar el contenido del Anexo III del Convenio a los actualesformularios de solicitud de emisión, revocación, suspensión y cancelación desuspensión de certificados que en la actualidad están vigentes, se modifica el referidoAnexo III por la inclusión en el mismo de los referidos formularios.

OCTAVA.- Quedan subsistentes y sin alteración alguna, el resto de condiciones queintegran el Convenio suscrito entre la Junta de Andalucía y la FNMT-RCM, con fecha26 de julio de 2002, del que esta Adenda constituye parte integrante a todos los efectos.

NOVENA.- La presente Adenda entrará en vigor el día de su firma.

< * > / f ^ S

M R e a l C a s a d e l a M o n e d a 1 : > i !Fábrica Nacionalde Moneda y Timbre

JUWR DE RTIDRUJCIR

Y, en prueba de conformidad, ambas partes suscriben el presente documento,por duplicado, en el lugar y fecha indicado en el encabezamiento.

El Director General De La Fábrica La Consejera de Justicia yNacional De Moneda Y Timbre - Administración Pública de la Junta

R e a l C a s a D e L a M o n e d a d e A n d a l u c í a

Fdo.: Sixto Heredia Herrera. Fdo.: María José López González

Real Casa de la MonedaFábrica Nacionalde Moneda y Timbre jwm nt mromiicm

ANEXO IServicios a prestar

MReal Casa de la MonedaFábrica Nacional ide Moneda y Timbre ¡

JUltTR DE RttDRUJCm

CAPITULO I

M R c a l C a s a d e l a M o n e d a 1 A ÉF á b r i c a N a c i o n a l ¿ | f fde Moneda yTimbre

JlfflTR DE RTIÜRUJCIR

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda (FNMT-RCM),como prestador de servicios de certificación, emitirá para todo aquel usuario que losolicite un conjunto de certificados, denominado "Certificado Básico" o 'Título deUsuario", que permite al Titular del mismo comunicarse con otros usuarios, de formasegura.

El formato de los certificados utilizados por la FNMT-RCM se basa en el definido porla Unión Internacional de Telecomunicaciones, sector de normalización de lastelecomunicaciones, en la Recomendación UIT-T X.509, de 31 de Marzo de 2000 osuperiores (ISO/IEC 9594-8 de 2001). El formato será el correspondiente a la Versión 3del certificado, especificado en esta norma

El certificado será valido para el uso con protocolos de comunicación estándares demercado, tipo SSL, TLS, etc.

Como servicios de certificación asociados para el uso de los certificados por parte desus titulares, la FNMT-RCM ofrecerá los siguientes servicios técnicos:

registro de usuariosemisión, revocación y archivo de certificados de clave públicapublicación de certificados y del Registro de Certificadosregistro de eventos significativos

Generación y gestión de claves

Generación v gestión de las claves

En el procedimiento de obtención de certificados, la FNMT-RCM desarrollará loselementos necesarios para activar, en el puesto del solicitante, el software quegenere a través de su navegador web, un par de claves, pública y privada, que lepermitirá firmar e identificarse, así como proteger la seguridad de suscomunicaciones a través de mecanismos de cifrado.

Las claves privadas serán utilizadas bajo el control del software de navegación web delque disponga el propio usuario, enviando todas las claves públicas a la FNMT-RCMcon el fin de integrarlas en un certificado.

Las claves privadas de firma, permanecerán siempre bajo el control exclusivo de sutitular, y guardadas en el soporte correspondiente, no guardándose copia de ellas por laFNMT-RCM.

La FNMT-RCM garantizará que el usuario, Titular del certificado, puede tener elcontrol exclusivo de las claves privadas correspondientes a las claves públicas que se

10

< 3 @ r ^

M R c a l C a s a d e l a M o n e d a 1 . íF á b r i c a N a c i o n a l ' 'de Moneda y Timbre

JUÍITR DE RTIDRUJC1R

consignan en el certificado, mediante la obtención de las pruebas de posesión oportunas,a través de la adjudicación del número de identificación único.

Archivo de las claves públicas

Las claves públicas de los usuarios permanecerán archivadas, por si fuera necesario surecuperación, en archivos seguros, tanto física como lógicamente, durante un periodo nomenor de 15 años.

Exclusividad de las claves

Las claves privadas son exclusivas para los Titulares de los certificados y son de usopersonal e intransferible.

Las claves públicas son exclusivas para los Titulares de los certificados,independientemente del soporte físico donde estén almacenadas y protegidas.

Renovación de claves

La FNMT-RCM identifica una relación uno a uno entre la clave pública de un usuario ysu certificado de clave pública, no previéndose utilizar distintos certificados para unamisma clave. Es por esto que las claves se renovarán con los certificados cuando dicharenovación esté contemplada en la normativa específica aplicable.

Registro de usuarios

Registro de usuarios

El registro de usuarios es el procedimiento a través del cual se identifica alsolicitante de un certificado electrónico, se comprueba su personalidad y seconstata su efectiva voluntad de que le sea emitido el "Certificado Básico" o"Título de Usuario" por la FNMT-RCM.

Este registro podrá ser realizado por la propia FNMT-RCM o cualquier otraAdministración pública y, en su caso, por las demás personas, entidades o corporacioneshabilitadas a tal efecto por las normas que resulten de aplicación. En todo caso elregistro se llevará a cabo según lo dispuesto por la FNMT-RCM, al objeto de que esteregistro se realice de acuerdo con lo establecido por la normativa específica aplicable y

11

R c a j C a s a d e l a M o n e d a " | f j J lF á b r i c a N a c i o n a l »■de Moneda y Timbre

JUfITR DE RUDRUJCIR

homogéneo en todos los casos. De igual manera será la FNMT-RCM, quien defina yaporte los medios necesarios para la realización de este registro.

En el caso de que el registro lo realizara una Administración Pública, distinta de laFNMT-RCM, la persona que se encargue de la actividad de registro ha de ser personalal servicio de la Administración Pública. En estos casos la FNMT-RCM, dará soporte ala implantación de las distintas oficinas de registro que se establezcan cuando fuerenecesario, en los siguientes términos:

a) Aportación de la aplicación informática de registro

b) Aportación de la documentación relativa a la instalación y manejo de la aplicación,así como toda aquella referente a los procedimientos y normas sobre el registro.

c) Registro y formación de los encargados del registro, lo que supone la emisión de uncertificado emitido por la FNMT-RCM para cada encargado del registro, que permitagarantizar la seguridad de las comunicaciones con la FNMT-RCM, incluyendo la firmaelectrónica de las solicitudes de registro.

Identificación de los solicitantes de los certificados, comprobación de supersonalidad v constatación de su voluntad.-

La identificación de los solicitantes de los certificados en las oficinas de registro y lacomprobación de su personalidad se hará mediante la exhibición del DocumentoNacional de Identidad, Pasaporte u otros medios admitidos en derecho.

En el acto de registro, el personal encargado de las oficinas de acreditación constataráque el solicitante tiene la voluntad de solicitar que le sea emitido un certificadoelectrónico por la FNMT-RCM y que éste reúne los requisitos exigidos por elordenamiento jurídico.

En caso de que solicite un certificado de persona jurídica, será de aplicación elprocedimiento de verificación de la identidad del solicitante y de comprobación de losdatos de constitución de la persona jurídica y de la suficiencia, extensión y vigencia delas facultades de representación del solicitante que se establece en el artículo 13 de laLey 59/2003, de 19 de diciembre. El detalle del procedimiento figura en la Declaraciónde Prácticas de Certificación: http://www.cert.fhmt.es/convenio/dpc.pdf.

Necesidad de presentarse en persona

El procedimiento de registro requiere presencia física del interesado para formalizar elprocedimiento de registro en la oficina de acreditación. No obstante, serán válidas y sedará el curso correspondiente a las solicitudes de emisión de certificados electrónicoscumplimentadas según el modelo trascrito en el anexo III de la presente adenda alconvenio siempre que la firma del interesado haya sido legitimada notarialmente en lostérminos señalados en el referido modelo.

12

M R c a l C a s a d e l a M o n e d a 1 , ^ SF á b r i c a N a c i o n a l J Ü s ^ lde Moneda y Timbre

JUI1TR DE RTtDRUIÜR

Necesidad de confirmar la identidad de los componentes por la FNMT-RCM

Si se trata de solicitudes relativas a certificados electrónicos a descargar en un servidoru otro componente, la FNMT-RCM requerirá la aportación de la documentaciónnecesaria que le acredite como responsable de dicho componente y, en su caso, lapropiedad del nombre del dominio o dirección IP. (Certificado de componente no es uncertificado reconocido ni se recoge en la legislación española)

Incorporación de la dirección de correo electrónico del titular al certificado

No es preceptiva la incorporación de la dirección de correo electrónico del titularal certificado si bien se hará constar en él en el caso en que el titular aporte dichadirección en el momento del registro.

Esta incorporación se realizará a los efectos de que el certificado pueda soportar elprotocolo S/MIME en el caso de que la aplicación utilizada por el usuario así lorequiera.

Cuando la dirección del correo electrónico del titular del certificado conste en una de lasextensiones del propio certificado, ni la FNMT-RCM, como firmante y responsable delmismo, ni la Junta de Andalucía como encargado del registro de usuarios responden deque esta dirección esté vinculada con el titular del certificado.

Obtención del "Certificado Básico" o "Título de usuario"

Para la obtención de este certificado, así como para su revocación o suspensión, elsolicitante deberá observar las normas y procedimientos desarrollados a tal fin por laFNMT-RCM de conformidad con la normativa vigente aplicable.

Emisión, revocación y archivo de certificados de clave pública

Emisión de los certificados

La emisión de certificados supone la generación de documentos electrónicos queacreditan la identidad u otras propiedades del usuario y su correspondencia con la clavepública asociada; del mismo modo, la emisión de los certificados implica su posteriorenvío al directorio de manera que sea accesible por todas las personas interesadas enhacer uso de sus claves públicas.

La emisión de certificados por parte de la FNMT-RCM, sólo puede realizarla ellamisma, no existiendo ninguna otra entidad u organismo con capacidad de emisión deestos certificados.

13

M R c a l C a s a d e l a M o n e d a " | ¿ v ñC j h r i ^ a M s n n n s l . J « í l ? * lF á b r i c a N a c i o n a l ¿ g í ^ jde Moneda yTimbre

JUWR DE RTIDRIUC1R

La FNMT-RCM, por medio de su firma electrónica, garantizará los certificados, asícomo la verificación de la identidad y cualesquiera otras circunstancias personales desus titulares. Por otro lado, y con el fin de evitar la manipulación de la informacióncontenida en los certificados, la FNMT-RCM utilizará mecanismos criptográficos paraasegurar la autenticidad e integridad de dicho certificado.

La FNMT - RCM, una vez emitido el certificado, lo publicará y mantendrá una relaciónde certificados emitidos durante todo el periodo de vida del mismo en un servicio deacceso telemático, universal, en línea y siempre disponible..

La FNMT-RCM garantiza para un certificado emitido:

a) Que el usuario dispone de la clave privada correspondiente a la clave publica delcertificado, en el momento de su emisión.

b) Que la información incluida en el certificado se basa en la informaciónproporcionada por el usuario.

c) Que no omite hechos conocidos que puedan afectar a la fiabilidad del certificado

Aceptación de certificados

J Para que un certificado sea publicado por la FNMT-RCM, ésta comprobarápreviamente:

a) Que el signatario es la persona identificada en el certificadob) Que el signatario tiene un identificativo únicoc) Que el signatario dispone de la clave privada

S La Junta de Andalucía garantizará que, al solicitar un certificado electrónico, sutitular acepta que:

a) La clave privada con la que se genera la firma electrónica corresponde a la clavepública del certificado.

b) Únicamente el titular del certificado tiene acceso a su clave privada.

c) Toda la información entregada durante el registro por parte del titular es exacta.

d) El certificado será usado exclusivamente para fines legales y autorizados y deacuerdo con lo establecido por la FNMT-RCM.

e) El usuario final del certificado no es un Prestador de Servicios de Certificación y noutilizará su clave privada asociada a la clave pública que aparece en el certificado parafirmar otros certificados (u otros formatos de certificados de clave pública), o listadosde certificados, como un Prestador de Servicios de Certificación o de otra manera.

14

< * > / í ^

M R e a l C a s a d e l a M o n e d a * ' *Fábrica Nacionalde Moneda y Timbre

JUWR DE R11DRUJC1R

S La Junta de Andalucía garantizará que, al solicitar un certificado electrónico, sutitular asume las siguientes obligaciones sobre su clave privada:

a) A conservar su control.

b) A tomar las precauciones suficientes para prevenir su pérdida, revelación,modificación o uso no autorizado.

Al solicitar el certificado, el titular deberá prestar su conformidad con los términos ycondiciones de su régimen y utilización.

Revocación v suspensión de certificados electrónicos

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda, dejará sinefecto los certificados electrónicos otorgados a los usuarios cuando concurra alguna delas siguientes circunstancias:

a) Solicitud de revocación del usuario, por la persona física o jurídica representadapor éste o por un tercero autorizado.

b) Resolución judicial o administrativa que lo ordene.

c) Fallecimiento o extinción de la personalidad del usuario o incapacidadsobrevenida.

d) Finalización del plazo de vigencia del certificado.

e) Pérdida o inutilización por daños en el soporte del certificado.

f) Utilización indebida por un tercero.

g) Inexactitudes graves en los datos aportados por el usuario para la obtención delcertificado.

h) Cualquier otra prevista en la normativa vigente.

La extinción de la eficacia de un certificado producirá efectos desde la fecha en quela Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda tuvieraconocimiento cierto de cualquiera de los hechos determinantes de la extinción previstosen el apartado anterior y así lo haga constar en su Registro de certificados. En elsupuesto de expiración del período de validez del certificado, la extinción surtirá efectosdesde que termine el plazo de validez.

15

< * * ! ^

M R e a l C a s a d e l a M o n e d a H á M )F á b r i c a N a c i o n a l ¡ ¿ a g i gde Moneda y Timbre

JUflTR DE RHÜRUJC1R

La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda podrásuspender temporalmente la eficacia de los certificados si así lo solicita el usuario o loordena una autoridad judicial o administrativa, o cuando existan dudas razonables, porparte de cualquier usuario público, sobre la vigencia de los datos declarados y suverificación requiera la presencia física del interesado. En este caso, la FNMT-RCMpodrá requerir, de forma motivada, su comparecencia ante la oficina de acreditacióndonde se realizó la actividad de identificación previa a la obtención del certificado o,excepcionalmente, ante otra oficina de acreditación al efecto de la práctica de lascomprobaciones que procedan. El incumplimiento de este requerimiento por un periodode 10 días podrá dar lugar a la revocación del certificado.

La suspensión de los certificados surtirá efectos en la forma prevista para laextinción de su vigencia.

La extinción de la condición de usuario público se regirá por lo dispuesto en elpresente convenio o lo que se determine, en su caso, por la normativa vigente o porresolución judicial o administrativa.

Comunicación y publicación en el Registro de Certificados de circunstanciasdeterminantes de la suspensión y extinción de la vigencia de un certificado yaexpedido.

La FNMT-RCM suministrará a la Junta de Andalucía los mecanismos de la transmisiónsegura para el establecimiento de un servicio continuo e ininterrumpido decomunicación entre ambas a fin de que, por medios telemáticos o a través de un centrode atención telefónica a usuarios, se ponga de inmediato en conocimiento de la FNMT-RCM cualquier circunstancia de que tenga conocimiento y que sea determinante para lasuspensión, revocación o extinción de la vigencia de los certificados ya expedidos, a finde que se pueda dar publicidad de este hecho, de manera inmediata, en el directorioactualizado de certificados a que se refiere el artículo 18 de la Ley 59/2003, de 19 dediciembre, de firma electrónica.La FNMT-RCM pondrá a disposición de los titulares de los certificados un centro deatención de usuarios con disponibilidad de 24 horas durante los 365 días del año para larecepción, y en su caso tramitación de solicitudes de revocación de certificados vigentessiguiendo un protocolo de identificación telefónica.Además el citado centro de atención a los usuarios permitirá resolver cualquier duda oincidencia relativa a la validez o utilización de los certificados.La Junta de Andalucía y la FNMT-RCM responderán de los daños y perjuicioscausados por cualquier dilación que les sea imputable en la comunicación ypublicación en el Registro de Certificados, respectivamente, de las circunstanciasde que tengan conocimiento y que sean determinantes de la suspensión, revocacióno extinción de un certificado expedido.

16

1 V 1. de Moneda y Timbre

R e a l C a s a d e l a M o n e d a 1 ; íF á b r i c a N a c i o n a l ■A

JUliTR DE RflURUJClR

PUBLICACIÓN DE CERTIFICADOS DE CLAVE PÚBLICA Y REGISTRO DECERTIFICADOS

-Publicación de certificados de clave pública

La FNMT-RCM publicará los certificados emitidos en un directorio seguro.

Cuando el certificado sea revocado, temporal o definitivamente, este será publicado enel Registro de certificados que incluirá una lista de certificados revocados, comprensivade los certificados expedidos por la FNMT-RCM cuya vigencia se ha extinguido osuspendido al menos hasta un año después de su fecha de caducidad.

Esta publicación puede ser:

a) Publicación directa por parte de la FNMT-RCM.- Esta operación la realiza laFNMT-RCM a través de la publicación en un directorio propio en que ofrece acceso a:

• Listas de certificados revocados

La actualización en el directorio seguro de los certificados se hará de la siguiente forma:

• Los certificados revocados, en el momento de producir efectos la revocación.

La actualización en el directorio seguro de las listas de revocación se realizará deforma continuada.

La consulta de este directorio se realizará en línea, por acceso directo del usuario. Esteservicio permite la disponibilidad continua y la integridad de la información almacenadaen el directorio.

Tanto los certificados como las listas de revocación serán firmadas con la clave privadade firma de la FNMT-RCM.

b) Publicación en directorios externos.- La FNMT-RCM podrá publicarexternamente, en directorios públicos ofrecidos por otras entidades u Organismos,mediante replicación periódica o en línea, tanto certificados como listas de certificadosrevocados. Estas listas, al igual que las publicadas internamente, irán firmadas con laclave privada de firma de la FNMT-RCM.

Frecuencia de la publicación en directorios externos

17

1 & & / f %

M R c a l C a s a d e l a M o n e d a ! 1 , & i lF á b r i c a N a c i o n a l I f f ld e M o n e d a y T i m b r e | * ^

JUWR DE RT1ÜRUJC1R

La publicación en directorios externos a la FNMT-RCM podrá ser realizadaperiódicamente o en línea, en función de los requerimientos de la entidad u Organismoque ofrezca el directorio.

Control de acceso

En la publicación directa por parte de la FNMT-RCM, el acceso al directorio serealizará en función del tipo de usuario, de forma que:

a) Los órganos de la Administración General del Estado, así como los organismospúblicos vinculados o dependientes de ella, tendrán acceso a todos los certificados sinninguna restricción en cuanto a la información contenida en el directorio. El acceso serealizará con autenticación previa. Este acceso estará restringido a sólo lectura ybúsqueda, pudiendo utilizar como clave de búsqueda cualquier información contenidaen una entrada de un usuario.

b) Las Comunidades Autónomas, las Entidades Locales, así como los OrganismosPúblicos vinculados o dependientes de ellas, tendrán igualmente acceso a todos loscertificados sin ninguna restricción en cuanto a la información contenida en eldirectorio. El acceso se realizará con autenticación previa. Este acceso estará restringidoa sólo lectura y búsqueda, pudiendo utilizar como clave de búsqueda cualquierinformación contenida en una entrada de un usuario.

c) Los operadores y administradores de la infraestructura y los módulos internos,tendrán acceso a toda la información existente en el directorio, pudiendo realizar todotipo de operaciones en función del perfil definido previamente por el Plan de SeguridadIntegral. Este acceso se realizará con autenticación previa.

d) El resto de los usuarios, tendrán el acceso restringido a su propio certificado, y a losde los órganos de la Administración General del Estado, y organismos públicosvinculados o dependientes de ella, y a los de las Comunidades Autónomas, las entidadeslocales y las entidades de Derecho público vinculadas a ellas. El acceso será solamentede lectura, no pudiendo realizar operaciones para añadir, borrar, modificar o hacerlistados de entrada en el directorio.

En cuanto a las listas de revocación, tanto las publicadas interna como externamente, elacceso será público y universal, para verificar este hecho.

Registro de eventos significativos

Tipos de eventos registrados

La FNMT-RCM registrará todos aquellos eventos relacionados con sus servicios quepuedan ser relevantes con el fin de verificar que todos los procedimientos internos

18

M R e a l C a s a d e l a M o n e d a 1Fábrica Nacionalde Moneda y Timbre

JUÍITR DE RTIDRU1C1R

necesarios para el desarrollo de la actividad se desarrollan de acuerdo a la normativalegal aplicable y a lo establecido en el Plan de Seguridad Interna, y permitan detectar lascausas de una anomalía detectada.

Todos los eventos registrados son susceptibles de auditarse por medio de una auditoríainterna o externa.

Frecuencia v periodo de archivo de un registro de un evento

La frecuencia de realización de las operaciones de registro dependerá de la importanciay características de los eventos registrados (bien sea para salvaguardar la seguridad delsistema o de los procedimientos), garantizando siempre la conservación de todos losdatos relevantes para la verificación del correcto funcionamiento de los servicios.

El periodo de archivado de los datos correspondientes a cada registro dependeráasimismo de la importancia de los eventos registrados.

Archivo de un registro de eventos

La FNMT-RCM realizará una grabación segura y constante de todos los eventosrelevantes desde el punto de vista de la seguridad y auditoría (operaciones realizadas)que vaya realizando, con el fin de reducir los riesgos de vulneración, mitigar cualquierdaño que se produjera por una violación de la seguridad y detectar posibles ataques.

Este archivo está provisto de un alto nivel de integridad, confidencialidad ydisponibilidad para evitar intentos de manipulación de los certificados y eventosalmacenados.

La FNMT-RCM mantendrá archivados todos los eventos registrados más importantes,manteniendo su accesibilidad, durante un periodo nunca inferior a 15 años.

En el caso del archivo histórico de los certificados, éstos permanecerán archivadosdurante al menos 15 años.

Datos relevantes que serán registrados

Serán registrados los siguientes eventos relevantes:

a) La emisión y revocación y demás eventos relevantes relacionados con loscertificados.

b) Todas las operaciones referentes a la firma de los certificados por la FNMT-RCM.

19

R e a l C a s a d e l a M o n e d a 1 . £ u f ¡Fábrica Nacionalde Moneda yTimbre

JUWR DE RTIBRUJCIR

c) Las firmas y demás eventos relevantes relacionados con las Listas de CertificadosRevocados.

d) Todas las operaciones de acceso al archivo de certificados.

e) Eventos relevantes de la generación de claves.

f) Todas las operaciones del servicio de archivo de claves y del acceso al archivo declaves propias expiradas.

g) Todas las operaciones relacionadas con la recuperación de claves.

Las funciones de administración y operación de los sistemas de archivado yauditoría de eventos serán siempre encomendadas a personal especializado de laFNMT-RCM.

Protección de un registro de actividad

Una vez registrada la actividad de los sistemas, los registros no podrán ser modificados,ni borrados, permaneciendo archivados en las condiciones originales durante el periodoseñalado.

Este registro tendrá sólo acceso de lectura, estando restringido a las personasautorizadas por la FNMT-RCM.

La grabación del registro, con el fin de que no pueda ser manipulado ningún dato, serealizará automáticamente por un software específico que a tal efecto la FNMT-RCMestime oportuno.

El registro auditado, además de las medidas de seguridad establecidas en su grabación yposterior verificación, estará protegido de cualquier contingencia, modificación, pérdiday revelación de sus datos durante su grabación en soportes externos, cambio de estesoporte y almacenamiento de los mismos.

La FNMT-RCM garantiza la existencia de copias de seguridad de todos los registrosauditados.

20

s * 5 r . 1 ^M Real Casa de la MonedaFábrica Nacionalde Moneda y Timbre

JUWR DE RHDRUUC1R

CAPITULO n

21

d e M o n e d a y T i m b r e ^ " ^JUWR DE RTIDRUJC1R

R e a l C a s a d e l a M o n e d a ^ * •Fábrica Nacional

1. Servicio de Certificados de Atributos

Tal como ya ha quedado dicho en el capítulo I del presente anexo, la Fábrica Nacionalde Moneda y Timbre - Real Casa de la Moneda (FNMT-RCM), como prestador deservicios de certificación, emitirá para todo aquel usuario que lo solicite un conjunto decertificados, denominado "Certificado Básico" o "Título de Usuario", que permite alTitular del mismo comunicarse con otros usuarios, de forma segura.

Se trata del certificado tradicional de clave pública que sirve para identificar a lapersona física, es decir: nombre, apellidos, DNI, etc. Estos certificados tienen asociadala pareja de claves publica-privada y están firmados por una autoridad de certificación.

El formato de esos certificados se basa en el definido por la Unión Internacional deTelecomunicaciones, sector de normalización de las telecomunicaciones, en laRecomendación UIT-T X.509, de fecha Junio del 97 o superiores (ISO/IEC 9594-8 de1997). El formato será el correspondiente a la Versión 3 del certificado, especificado enesta norma y serán válidos para el uso con protocolos de comunicación estándares demercado, tipo SSL, TLS, etc.

Por contra, los certificados de atributos no tienen asociada la pareja de claves publica-privada ni tienen que estar firmados por una autoridad de certificación. Es decir, que elemisor de certificados de atributos no tiene que ser necesariamente un prestador deservicios de certificación según se entiende en la Ley de Firma Electrónica o en laDirectiva de Firma Electrónica.

Esto hace que sean muy útiles para permitir a las distintas entidades emitir sus propioscertificados de atributos, para los usos que requieran, apoyándose en certificados deidentidad del titular ya expedidos por una Autoridad de Certificación.

En comparación con lo anterior el certificado de atributos no sirve para acreditar unaidentidad, y ha de asociarse con un certificado básico o de identidad del titular para talfin.

El formato de esos certificados se basa en el definido por la Unión Internacional deTelecomunicaciones, sector de normalización de las telecomunicaciones, en laRecomendación UIT-T X.509 v4, del año 2000 "El directorio: Infraestructuras de clavepública y certificado de atributos".

Operativa de obtención de los Certificados de Atributos

El cliente final, por ejemplo un funcionario, desea obtener un certificado deatributos que le acredite dentro de un determinado esquema de firmas. Para ello seseguirían los siguientes pasos:

22

M R c a l C a s a d e l a M o n e d a ' ] / 'Fábrica Nacionalde Moneda y Timbre

JUWR DE RHDRU1C1R

■ El cliente final se conectaría con el Departamento correspondiente de la Junta deAndalucía y realizaría una petición firmada con su certificado de identidad (porejemplo el certificado de usuario de la FNMT-RCM).

■ El Departamento correspondiente comprobaría la validez de esta petición, esdecir:

O Comprobación del certificado de identidad mediante CRLs.

o y si la persona en cuestión está realmente reconocida como funcionario(consulta de la base de datos del Departamento correspondiente).

■ Una vez hecha las comprobaciones, el Departamento correspondiente de la Juntade Andalucía se conectaría a la Autoridad de Certificación de Atributos, enadelante ACÁ, (estableciendo un canal SSL con el servidor donde está instaladala ACÁ) y mandaría una petición firmada de emisión del certificado para estapersona. (La FNMT-RCM además de actuar como infraestructura de clavepública proporciona, en régimen de hosting, las distintas autoridades decertificación de atributos (ACÁ) y se encarga de mantener la publicación yfacilitar el acceso a estos certificados).

■ La ACÁ contestaría emitiendo este certificado de atributos, publicándolo en undirectorio específico y entregándolo al propio funcionario (notificar ladisponibilidad para su descarga) y notificando lo ocurrido con este certificado(éxito en la emisión o notificación de la causa de la no emisión).

Toda las operaciones y comunicaciones se establecen vía web mediante la oportunasecurización de los distintos procedimientos, según se ha descrito.

Es potestad y responsabilidad de la ACÁ el desarrollo e implantación de lascorrespondientes aplicaciones en su servidor que permitan llevar a cabo todos estosprocedimientos, tanto la solicitud como posterior descarga de los atributos, de formatotalmente telemática y sin presencia física presencial del funcionario, en el supuestoinicial de que éste posea un certificado de identidad, con anterioridad a la petición de lainclusión de algún atributo en el mismo.

Operativa de uso y revocación de los certificados con atributos:

Si un ciudadano es suscriptor de un certificado con atributos, a él le compete lacustodia y buen uso del mismo en todos los ámbitos administrativos de conformidadcon la normativa específica. El certificado de atributos irá ligado al certificado básico ode identidad para poder firmar (el certificado de atributos no contiene datos de creaciónde firma).

23

•A .

M R e a } C a s a d e l a M o n e d a j £Fábrica Nacionalde Moneda y Timbre

JUWR DE RUDRUJÜR

La Autoridad de Certificación de Atributos podrá establecer y publicar unas prácticas decertificación que, en concordancia con su política de certificación, recojan losprocedimientos a seguir por sus funcionarios, tanto para la solicitud de la inclusión deatributos en los certificados de identificación como para la revocación de los mismos.

La FNMT-RCM se responsabilizará del alojamiento de la Autoridad Certificadora y desu funcionamiento técnico, y de llevar a cabo las actuaciones técnicas necesarias quepermitan la emisión, almacenamiento de incidencias y revocación en tiempo de loscertificados según las prácticas que la propia Autoridad Certificadora de Atributosdetermine, previo consenso con la FNMT-RCM para determinar su viabilidad.

2. Certificados wildcard

El certificado electrónico wildcard permite a las organizaciones asegurar todos los sub-dominios asociados a un dominio determinado, sin necesidad de adquirir y gestionarmúltiples certificados electrónicos.

3. Validación de certificados vía OCSP

OCSP ResponderEl servidor de OCSP (OCSP responder) comprueba la firma de la petición OCSPefectuada por un cliente OCSP registrado en el sistema (base de datos de clientes de loscuales se admiten peticiones) y verifica los certificados incluidos en la misma (elusuario no es el cliente que firma). En casó de que la firma sea inválida (certificadorevocado o caducado, por ejemplo), la petición se rechaza y se retorna al cliente unarespuesta negativa. En la respuesta de OCSP se informara del estado en el que seencuentran los certificados en ese momento.

Para ilustrar la explicación:■ Tenemos una empresa cliente, por ejemplo una gran superficie, que tiene un

servidor en la que hay instalada un plataforma de compra de artículos.■ Un ciudadano, un cliente, se conecta con el servidor y decide comprar un artículo.■ Se le pide al ciudadano que se autentique y firme la petición de compra (con su

certificado).■ Antes de admitir esta petición de compra, el servidor de la gran superficie hace una

petición OCSP a la FNMT-RCM.

24

t i f o ( ^

I V 1. de Moneda y Timbre

R e a l C a s a d e l a M o n e d a ]F á b r i c a N a c i o n a l '

JUWR DE RT1DRUJC1R

■ El servidor de la FNMT-RCM (OCSP responder) responde si este certificado delciudadano es válido o no (emite un comprobante de esta validación y lo firma ennombre de la FNMT-RCM para que quede constancia).

■ Sin embargo, antes de esto, el servidor OCSP de la FNMT-RCM consultará si elservidor de la gran superficie se ha identificado correctamente y esta identificación(certificado de servidor) está dada de alta como cliente en la base de datos declientes OCSP autorizados a transaccionar. Si no es así, no se atiende la petición.

■ En caso de que se admita la petición, se comprobará por parte del servidor de laFNMT-RCM el estado del certificado del ciudadano y se le devolverá a la empresacliente en la respuesta de OCSP.

OCSP cliente

Herramienta cliente para hacer peticiones de OCSP. Se pueden utilizar los productos delmercado. La FNMT-RCM facilitará una relación con productos de libre distribución,pero en ningún caso suministrará OCSP cliente, pues se pueden encontrar con facilidaden el mercado de forma estándar.

OCSP toolkit

Librerías y documentación que permiten al cliente instalar el servicio de OCSP enconjunción con el OCSP responder de la FNMT-RCM y un OCSP cliente, así comoservicios de implantación a través de partners.

Nota sobre prestación de los servicios:

Los servicios contemplados en el presente Anexo I, que preste la FábricaNacional de Moneda y Timbre - Real Casa de la Moneda, se realizarán deconformidad con lo establecido en la legislación aplicable a los mismos ylos acuerdos, convenios o contratos que suscriba la FNMT-RCM con lasdiferentes administraciones públicas o con personas o entidadesprivadas.

25

CARACTERÍSTICATECNICAS DEL

CONVENIO FNMT-RCM Y JUNTA DE ANDALUCÍA

(I3dejul¡ode2005)

La Consejería de Justicia y Administración Pública ha renovado y ampliado el Convenio con la Fábrica

Nacional de Moneda y Timbre-Real Casa de la Moneda, vigente desde 2002, que permite a todos la

ciudadanía, empresas y administraciones andaluzas la utilización de los certificados digitales para

asegurar sus trámites y comunicaciones con la Junta de Andalucía a través de internet.

Las principales características técnicas que incluye el nuevo Convenio para las Consejerías de la Junta

de Andalucía son:

, a lasUniversidades Públicas, a la Cámara de Cuentas, al Defensor del Pueblo y al Parlamento.

presente Adenda la prestación del presente servicio para la primera Autoridad deCertificación de Atributos (ACÁ) sin límite alguno de usuarios.

Las características de este servicio son las siguientes:

• Numero de usuarios variable.

• Los certificados de atributos serán emitidos por la Autoridad de Certificados de

Atributos.

• Los certificados de identidad en los que se apoyen los certificados de atributos serán

los certificados de usuario de la FNMT-RCM.

• La validez temporal de la contratación de este servicio coincidirá con la del

Convenio al que está ligada, coincidiendo sus plazos de renovación con aquél.

Servicio de certificados de personas jurídicas sin límite alguno de usuarios y ámbito,

previo acuerdo, por ambas partes, de las Prácticas de Certificación Particulares de este tipode certificados y del coste adicional de otros servicios que se generen por el mismo.

CONSEJERÍA DE JUSTICIA Y ADMINISTRACIÓN PÚBLICAmm e mdhjus

pífibrteala Administración Electrónica

Publicación en directorio externo de la Junta de Andalucía, mediante replicación

periódica o en línea, tanto certificados como listas de certificados revocados de todas lasAutoridades de Certificación de Junta de Andalucía (persona física, persona jurídica y

atributos), para uso restringido de los Organismos Adheridos al presente Convenio. Estas

listas, al igual que las publicadas internamente, irán firmadas con la clave privada de firma de

la FNMT-RCM.

Validación de certificados vía OCSP (Online Certificate Status Protocol).

Certificados wildcard. Estos certificados permiten a las organizaciones asegurar todos los

sub-dominios asociados a un dominio determinado, sin necesidad de adquirir y gestionar

múltiples certificados electrónicos. Queda incluido la emisión de hasta un máximo de 50certificados wildcard.

Tarjetas criptográficas. Queda incluido un máximo de 1.000 tarjetas criptográficas, con eldiseño de la tarjeta genérica Ceres, para dotar a los registradores de un soporte seguro para

su certificado electrónico.

Curso de registro presenciales. Quedan incluidos en un máximo de 2 cursos de

formación a registradores, a impartir a cada provincia de la Junta de Andalucía a partir de la

fecha de entrada en vigor de la presente Adenda y en la referida modalidad presencial

siempre que, por parte de la FNMT-RCM, no se disponga, ya operativa, de la nueva

aplicación de formación online que sería el momento en que se extinguiría la presente

obligación.

Se destinará un porcentaje del importe del Convenio (8% del importe anual sin impuestos) a

campañas publicitarias de promoción en el uso del Certificado Electrónico por elciudadano en la Comunidad Autónoma de Andalucía.

Se han establecido un objetivo de certificados digitales emitidos para los próximos tres

años, y de no cumplirse se establecería una penalización:• 2005: 200.000 certificados

s^^> CONSEJERÍA DE JUSUOA YADMINISIRAdÓW PUSUCAjmrekimk»

oporte a la Administración Electro

• 2006: 300.000 certificados

• 2007: 400.000 certificados

Al objeto de incentivar que los servicios prestados por la Junta de Andalucía que a su vez

empleen los certificados electrónicos de la FNMT, tengan la máxima utilización en el plazode tiempo más corto posible por parte de los ciudadanos de la Comunidad Autónoma de

Andalucía, se efectuarán por la Junta de Andalucía, campañas anuales de Marketing y

'ublicidad lanzadas dentro de su ámbito territorial que serán cofinanciadas por la FNMT-

RCM a través de un descuento a aplicar sobre cada cuota anual que ésta repercuta a la Junta

de Andalucía con arreglo a las siguientes condiciones:

Tramos en número de nuevos

certificados emitidos/ añoImporte del descuento en

Euros

Hasta 25.000 150.000,00 25%

Entre 25.001 y 45.000 120.000,00 20%

Entre 45.001 y 65.000 90.000,00 15%

Entre 65.001 y 80.000 60.000,00 10%

Entre 80.001 y 100.000 30.000,00 5%

Más de 100.000 0,00 0%

CONSEJERÍA DE JUSTICIA Y ADMINISTRACIÓN PÚBLICAwim di MSNwm