Aspectos clave de la subcontratación de certificados

En el ámbito de la Administración electrónica y de la firma digital en España, la subcontratación de certificados significa externalizar, total o parcialmente, las funciones necesarias para emitir, gestionar o validar certificados de firma electrónica y de sello, así como los servicios de confianza asociados. Esta práctica permite a empresas y administraciones aprovechar especialización tecnológica, infraestructuras seguras y procesos de verificación de identidad, sin perder la responsabilidad última sobre la cadena de confianza que garantiza la validez jurídica de los certificados. Al trabajar con proveedores externos, conviene entender qué se subcontrata, qué obligaciones legales rigen, qué riesgos se asumen y qué controles deben ponerse en marcha para que la certificación siga siendo fiable ante usuarios y autoridades.

Qué implica la subcontratación de certificados y por qué es relevante

La subcontratación de certificados abarca diversos escenarios. En la práctica, puede referirse a:

• La emisión de certificados por parte de una autoridad de certificación (AC) que, a su vez, delega ciertas tareas a proveedores o subcontratistas para la verificación de identidad, la gestión de datos o la custodia de claves.
• La gestión de la infraestructura de claves (PKI) y el almacenamiento seguro de claves privadas, que a veces se externalizan a proveedores de servicios en la nube, de hardware security module (HSM) o a operadores especializados en seguridad física y lógica.
• La validación y revocación de certificados, que puede apoyarse en terceros para el procesamiento de listas de revocación (CRL, OCSP) o para la monitorización de incidentes y la publicación de estados de certificados.
• La verificación de identidad de los solicitantes de certificados, que en ciertos casos se externaliza a entidades autorizadas para realizar biometría, análisis documental o verificación de datos personales.

Para el usuario final o la empresa que utiliza el certificado, la subcontratación no implica renunciar a derechos; lo que importa es que la cadena de confianza conserve su integridad, que las responsabilidades estén claras y que existan mecanismos de supervisión y auditoría. En España, este marco está enraizado en la normativa de la Unión Europea sobre servicios de confianza (eIDAS) y en la legislación nacional que regula la protección de datos y las relaciones contractuales entre clientes y proveedores de servicios de certificación.

Marco regulatorio y actores en España

eIDAS y los prestadores de servicios de confianza

El Reglamento (UE) n.º 910/2014, conocido como eIDAS, establece que los servicios de certificación y de firma electrónica, así como otros servicios de confianza, deben garantizar una serie de requisitos de seguridad, confidencialidad, integridad y no repudio. Bajo eIDAS, los Prestadores de Servicios de Confianza (TSP, por sus siglas en inglés) pueden subcontratar determinadas actividades, siempre que exista un control adecuado y que el prestatario principal mantenga la responsabilidad ante los usuarios y las autoridades. En la práctica, la subcontratación entre TSPs y subcontratistas debe estar recogida en contratos que contemplen seguridad, auditoría, notificación de incidentes y límites de responsabilidad.

Roles en España: FNMT-RCM, CERES y otros actores

En España, la mayor parte de la emisión de certificados de firma electrónica para personas físicas y jurídicas la realiza la Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda (FNMT-RCM). También operan otros prestadores de servicios de confianza autorizados por la Agencia Nacional de Certificación (o autoridades equivalentes), así como entidades que gestionan sellos electrónicos para empresas y servicios de firma de documentos. En el ecosistema de la certificación, es común encontrarse con cadenas que combinan la certificación de una AC con el soporte de terceros para verificación de identidad, custodia de claves, o servicios de infraestructura en la nube o en centros de procesamiento seguros.

Subcontratación permitida y límites prácticos

La normativa permite la subcontratación de ciertas funciones técnicas siempre que el prestador de servicios de certificación conserve la responsabilidad final frente al titular del certificado y a las autoridades competentes. Esto implica que:

• El contrato entre el emisor y el subcontratista debe especificar las obligaciones de seguridad, la custodia de datos sensibles y la entrega de evidencias ante auditorías.
• El subcontratista debe cumplir los mismos principios de seguridad y de protección de datos que el emisor, o, al menos, debe estar sujeto a acuerdos que garanticen un nivel equivalente de control y supervisión.
• Se deben establecer mecanismos de supervisión, auditoría y notificación de incidentes, así como acuerdos de continuidad de negocio y recuperación ante desastres.

El resultado esperado es una cadena de confianza sólida en la que la existencia de subcontratas no debilita la validez jurídica del certificado ni la capacidad de la autoridad para retirar, renovar o revocar credenciales cuando sea necesario.

Cómo funciona la subcontratación en la práctica

Cadena de suministro de certificados

Cuando una organización solicita un certificado de firma para un empleado o para la propia empresa, algunos de los procesos pueden externalizarse. En la práctica típica:

• La entidad solicitante se dirige al proveedor de servicios de certificación autorizado (AC/TSP) para iniciar el proceso. Se solicita el certificado de persona física o de persona jurídica, o bien un certificado de sello de empresa para la firma de documentos corporativos.
• La verificación de identidad puede realizarse internamente o ser externalizada a un tercero autorizado. Esta verificación certifica que la persona o la entidad solicitante es quien dice ser, lo que es crucial para la validez legal de la firma.
• Una vez verificada la identidad, la función de emisión y asignación de claves puede delegarse a un subcontratista que gestione el proceso técnico de generación de claves, la distribución de certificados y la instalación de certificados en dispositivos o en entornos de firma
• La almacenamiento de claves y la gestión de la PKI pueden apoyarse en servicios externos, particularmente para KMS/HSM en la nube o en entornos altamente segmentados, siempre con garantías de seguridad suficientes.
• La validación de certificados y la gestión de listas de revocación pueden externalizarse a servicios de terceros que monitoricen el estado de certificados y publiquen información actualizada para los usuarios y sistemas que dependen de la firma electrónica.

Servicios que suelen subcontratarse

Entre los servicios que con frecuencia se delegan se encuentran:

• Verificación de identidad y antecedentes para la emisión de certificados, especialmente en el caso de certificados de persona física o de representantes legales en personas jurídicas.
• Custodia y gestión de llaves privadas mediante soluciones de HSM gestionadas por un tercero o en entornos en la nube con controles de acceso y segregación de funciones.
• Operaciones de PKI, incluida la generación, emisión, renovación y revocación de certificados, con supervisión de calidad y auditoría independiente.
• Servicios de publicación de estados de certificados (OCSP, CRL) y de distribución de certificados a clientes y sistemas de verificación.
• Servicios de continuidad de negocio, recuperación ante desastres y seguridad de datos, para garantizar disponibilidad y protección de la información sensible.

Riesgos y mitigaciones asociados a la subcontratación

Externalizar partes del proceso de certificación introduce riesgos concretos. Entre los más relevantes aparecen:

• Confidencialidad y acceso a datos: los datos personales y las claves pueden estar sujetos a tratados por terceros. Es imprescindible que exista un marco contractual claro sobre qué datos se comparten, con qué finalidad y durante cuánto tiempo se conservarán.
• Seguridad de la cadena de suministro: cada subcontratista introduce vectores de ataque y dependencias. La implementación de requisitos de seguridad, auditorías y pruebas periódicas es fundamental.
• Responsabilidad compartida: aunque el subcontratista participe en la operación, la responsabilidad última recae en el emisor del certificado. Las cláusulas contractuales deben definir claramente las obligaciones y las consecuencias de fallos o incumplimientos.
• Auditoría y transparencia: es necesario disponer de informes de auditoría, resultados de pruebas de penetración, certificaciones de seguridad y la posibilidad de auditar al subcontratista para garantizar cumplimiento continuo.
• Incidentes y notificación: debe existir un protocolo claro para la detección, notificación y gestión de incidentes de seguridad, con plazos y responsabilidades bien definidos.
• Continuidad operativa: la dependencia de terceros en procesos críticos exige planes de continuidad y recuperación ante desastres que minimicen el impacto ante interrupciones.

Para mitigar estos riesgos, se recomiendan medidas como cláusulas de seguridad en los contratos, límites de acceso a datos, segregación de funciones, acuerdos de confidencialidad, supervisión continua y revisiones periódicas de la capacidad de los subcontratistas para cumplir con los requisitos de la PKI.

Qué revisar cuando una entidad utiliza subcontratación de certificados

Al evaluar la idoneidad de una solución que incorpora subcontratación, conviene centrarse en varios aspectos clave que afectan a la confianza y al uso práctico del certificado:

• Política de certificación y CPS: revisar la política de certificación y las certificates practice statements (CPS) para entender qué garantías ofrece la autoridad emisora y cómo se gestiona la subcontratación. Deben describirse claramente las funciones que gestiona cada parte, los criterios de verificación de identidad y las condiciones para revocar certificados.
• Cadena de custodia y control de llaves: determinar dónde y cómo se generan, almacenan y protegen las llaves privadas. Si se utiliza un HSM gestionado, es esencial conocer el modelo de acceso, las auditorías y las políticas de seguridad que rigen su operación.
• Contrato de subcontratación: analizar cláusulas relacionadas con seguridad, notificación de incidentes, duración, terminación, responsabilidad, límites de indemnización y derechos de auditoría. Debe quedar claro qué servicios se externalizan y con qué nivel de contractualidad.
• Auditorías y certificaciones: verificar que el emisor y, si procede, el subcontratista estén sometidos a auditorías independientes (ISO 27001, SOC 2, etc.) y que los resultados sean accesibles para las partes interesadas.
• Gestión de incidentes: revisar los tiempos de respuesta, los procedimientos de mitigación y la comunicación a usuarios ante cualquier fallo o brecha de seguridad.
• Riesgos de datos personales: confirmar el cumplimiento con la normativa de protección de datos (RGPD/LOPDGDD) y las bases de legitimidad para el tratamiento de datos en cada fase del proceso.
• Plan de continuidad y recuperación: comprobar que hay medidas para garantizar la disponibilidad del servicio y la recuperación rápida ante incidentes, con pruebas periódicas.
• Caducidad y revocación: entender el plazo de validez de los certificados, los criterios para su revocación y el impacto en los sistemas que consumen certificados emitidos por la entidad.
• Experiencia y sentimiento de confianza del usuario: evaluar la claridad de la información ofrecida a usuarios finales sobre el uso de certificados y la intervención de terceros en la cadena de confianza.

Casos prácticos y escenarios comunes

Empresa con certificados de firma para empleados

Una empresa que necesita firmar electrónicamente facturas y documentos procedentes de trabajadores remotos puede obtener certificados de firma para sus empleados. En este caso, la verificación de identidad puede realizarse por la propia empresa con un proceso interno establecido, pero la emisión y distribución de certificados pueden apoyarse en un proveedor de servicios de certificación que subcontrate determinadas tareas técnicas a un tercero. Es recomendable que la empresa disponga de un registro de las personas autorizadas, de los dispositivos desde los que se firma y de las políticas de uso aceptable. Además, conviene disponer de un plan de revocación en caso de pérdida o cese de un empleado, y de notificaciones de cambios en la estructura de personal que afecten a la firma.

Proveedor de servicios de firma para un Ayuntamiento

En el sector público, la necesidad de soluciones seguras y escaneables para la firma de expedientes es alta. Un municipio puede contratar a un TSP para la emisión de certificados de firma para funcionarios y para la firma de expedientes electrónicos. La subcontratación puede incluir verificación de identidad de los usuarios, gestión de certificados y publicación de estados. En este tipo de escenarios, la transparencia frente a la ciudadanía es crucial, y deben estar disponibles políticas y cláusulas que expliquen con claridad qué procesos son gestionados por cada actor y cómo se garantiza la seguridad de los datos y la no alteración de los documentos firmados.

Negocio con sellos digitales para facturación electrónica

La utilización de sellos de empresa para certificación de documentos y facturas electrónicas implica una gestión distinta a la firma personal. En muchos casos, la empresa obtiene un certificado de sello y delega tareas de generación de facturas a proveedores de servicios de facturación electrónica que utilizan la firma del sello para validar la integridad de cada documento. La subcontratación puede abarcar la generación de certificados de sello, el almacenamiento de claves y la publicación de metadatos. Es vital asegurar que el sello se aplica de forma consistente y que hay mecanismos de auditoría para verificar que cada factura firmada utiliza el sello correcto y que la cadena de custodia se mantiene intacta durante todo el proceso.

Recomendaciones para usuarios y empresas

• Elegir proveedores con reputación y certificaciones: preferir TSPs y AC autorizadas por la autoridad competente, con certificaciones de seguridad reconocidas y historial de cumplimiento. Solicitar y revisar informes de auditoría y pruebas de seguridad recientes.
• Exigir claridad contractual sobre subcontratación: los contratos deben detallar qué funciones se subcontratan, quién es el responsable, plazos, derechos de inspección y procesos de escalamiento ante incidentes.
• Verificar las políticas y las prácticas de identidad: entender cómo se verifica la identidad del solicitante y qué datos se comparten con terceros. Asegurarse de que la verificación cumple con la normativa aplicable y que se mantiene la trazabilidad de los procesos.
• Demandar transparencia en la cadena de suministro: disponer de un mapa de proveedores y subcontratistas, con responsabilidades claramente asignadas y la posibilidad de auditar a terceros si fuera necesario.
• Controlar la seguridad de claves y de la PKI: confirmar dónde se guardan las llaves privadas, qué medidas de protección se aplican (por ejemplo, HSM, acceso restringido), y cómo se gestiona la recuperación ante pérdidas de claves.
• Garantizar la protección de datos personales: asegurarse de que todas las operaciones que involucren datos personales cumplen la normativa de RGPD/LOPDGDD, con bases legales adecuadas y acuerdos de tratamiento entre las partes.
• Establecer planes de continuidad: revisar los planes de continuidad de negocio y recuperación ante desastres para asegurar disponibilidad de la firma y la verificación de certificados ante incidencias.
• Rol de supervisión y auditoría: exigir auditorías periódicas y disponer de mecanismos de supervisión que permitan detectar desviaciones y corregir procedimientos rápidamente.
• Practicar la gestión de incidentes: establecer protocolos claros para la notificación de incidentes, tiempos de respuesta y comunicación a usuarios y autoridades cuando sea necesario.
• Actualizar y revisar contratos con regularidad: la normativa y las tecnologías cambian; revisar periódicamente cláusulas de subcontratación, responsabilidades y derechos de revisión para mantener el nivel de seguridad y cumplimiento.

Aspectos prácticos para el día a día

En la práctica, la subcontratación de certificados debe traducirse en procesos y documentos claros para quienes gestionan la firma electrónica en una organización o para quienes la consumen como usuarios finales. Tres elementos clave ayudan a que todo funcione sin sorpresas:

• Documentación operativa visible: políticas de certificación, CPS y acuerdos de subcontratación deben estar disponibles para revisión por parte de clientes y usuarios finales, junto con un resumen claro de qué hace cada actor en la cadena.
• Transparencia sobre revocaciones: los usuarios deben saber cómo y cuándo se revocan certificados, así como dónde consultar el estado de un certificado concreto y su fecha de caducidad.
• Canales de soporte y comunicación: establecer líneas de contacto directas para consultas sobre la generación de certificados, incidencias de seguridad o cambios en la cadena de confianza, con respuestas oportunas y específicas.

Para las empresas, una buena práctica es mantener un registro actualizado de proveedores y subcontratistas, junto con copias de acuerdos contractuales y de las auditorías realizadas. Así, ante una consulta de un regulador o de un usuario, hay una trazabilidad clara que facilita demostrar cumplimiento y responsabilidad. En el entorno de España, esta trazabilidad es especialmente relevante cuando se gestionan certificados para trámites oficiales, firma de expedientes, facturación electrónica y comunicaciones con la Administración.

Conclusiones operativas y último aspecto práctico

La seguridad de la firma electrónica y la fiabilidad de la cadena de confianza dependen, en buena medida, de cómo se gestionan las subcontrataciones. La clave está en exigir claridad contractual, supervisión continua, y prácticas de seguridad que garanticen que cada eslabón de la cadena respalda la integridad de la firma y de los documentos firmados. El usuario y la organización deben poder identificar quién ha participado en cada etapa, qué servicios externos se han utilizado y qué controles se han aplicado para evitar vulnerabilidades. En la práctica, la gestión eficaz de la subcontratación implica, entre otras cosas, políticas de identidad bien definidas, acuerdos de seguridad robustos, auditorías periódicas y una comunicación transparente con los usuarios finales sobre el flujo de datos y la garantía de la validez de las firmas a lo largo del tiempo.