DECRETO 1747 DE 2000 \u00a0 \u00a0<\/p>\n
(septiembre 11) \u00a0 \u00a0<\/p>\n
por el cual se reglamenta parcialmente la Ley 527 de 1999, en lo relacionado con las entidades de certificaci\u00f3n, los \u00a0certificados y las firmas digitales. \u00a0 \u00a0<\/p>\n
Nota: \u00a0Derogado por el Decreto 333 de 2014, \u00a0art\u00edculo 22. \u00a0 \u00a0<\/p>\n
El Presidente de la \u00a0Rep\u00fablica de Colombia, en ejercicio de las facultades constitucionales y \u00a0legales, en especial de las conferidas en el numeral 11 del art\u00edculo 189 de la Constituci\u00f3n Pol\u00edtica y \u00a0en desarrollo de lo previsto en la Ley 527 de 1999, \u00a0 \u00a0<\/p>\n
DECRETA: \u00a0 \u00a0<\/p>\n
CAPITULO I \u00a0 \u00a0<\/p>\n
Aspectos generales \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a01\u00b0. Definiciones. Para efectos \u00a0del presente decreto se entender\u00e1 por: \u00a0 \u00a0<\/p>\n
1. \u00a0Iniciador: persona que actuando por su cuenta, o en cuyo nombre se haya \u00a0actuado, env\u00ede o genere un mensaje de datos. \u00a0 \u00a0<\/p>\n
2. \u00a0Suscriptor: persona a cuyo nombre se expide un certificado. \u00a0 \u00a0<\/p>\n
3. \u00a0Repositorio: sistema de informaci\u00f3n utilizado para almacenar y recuperar \u00a0certificados y otra informaci\u00f3n relacionada con los mismos. \u00a0 \u00a0<\/p>\n
4. \u00a0Clave privada: valor o valores num\u00e9ricos que, utilizados conjuntamente con un \u00a0procedimiento matem\u00e1tico conocido, sirven para generar la firma digital de un \u00a0mensaje de datos. \u00a0 \u00a0<\/p>\n
5. \u00a0Clave p\u00fablica: valor o valores num\u00e9ricos que son utilizados para verificar que \u00a0una firma digital fue generada con la clave privada del iniciador. \u00a0 \u00a0<\/p>\n
6. \u00a0Certificado en relaci\u00f3n con las firmas digitales: mensaje de datos firmado por \u00a0la entidad de certificaci\u00f3n que identifica, tanto a la entidad de certificaci\u00f3n \u00a0que lo expide, como al suscriptor y contiene la clave p\u00fablica de \u00e9ste. \u00a0 \u00a0<\/p>\n
7. \u00a0Estampado cronol\u00f3gico: mensaje de datos firmado por una entidad de \u00a0certificaci\u00f3n que sirve para verificar que otro mensaje de datos no ha cambiado \u00a0en un per\u00edodo que comienza en la fecha y hora en que se presta el servicio y \u00a0termina en la fecha en que la firma del mensaje de datos generado por el \u00a0prestador del servicio de estampado, pierde validez. \u00a0 \u00a0<\/p>\n
8. \u00a0Entidad de certificaci\u00f3n cerrada: entidad que ofrece servicios propios de las \u00a0entidades de certificaci\u00f3n s\u00f3lo para el intercambio de mensajes entre la \u00a0entidad y el suscriptor, sin exigir remuneraci\u00f3n por ello. \u00a0 \u00a0<\/p>\n
9. \u00a0Entidad de certificaci\u00f3n abierta: la que ofrece servicios propios de las \u00a0entidades de certificaci\u00f3n, tales que: \u00a0 \u00a0<\/p>\n
a) \u00a0Su uso no se limita al intercambio de mensajes entre la entidad y el \u00a0suscriptor, o \u00a0 \u00a0<\/p>\n
b) \u00a0Recibe remuneraci\u00f3n por \u00e9stos. \u00a0 \u00a0<\/p>\n
10. \u00a0Declaraci\u00f3n de Pr\u00e1cticas de Certificaci\u00f3n (DPC): manifestaci\u00f3n de la entidad de \u00a0certificaci\u00f3n sobre las pol\u00edticas y procedimientos que aplica para la \u00a0prestaci\u00f3n de sus servicios. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a02\u00b0. Sistema confiable. Los sistemas utilizados \u00a0para el ejercicio de las actividades de certificaci\u00f3n se considerar\u00e1n confiables \u00a0si satisfacen los est\u00e1ndares establecidos por la Superintendencia de Industria \u00a0y Comercio. \u00a0 \u00a0<\/p>\n
CAPITULO II \u00a0 \u00a0<\/p>\n
De las entidades de \u00a0certificaci\u00f3n y certificados digitales \u00a0 \u00a0<\/p>\n
Secci\u00f3n I \u00a0 \u00a0<\/p>\n
De las entidades de \u00a0certificaci\u00f3n cerradas \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a03\u00b0. Acreditaci\u00f3n de requisitos de las \u00a0entidades de certificaci\u00f3n cerradas. Quienes pretendan realizar las \u00a0actividades propias de las entidades de certificaci\u00f3n cerradas deber\u00e1n \u00a0acreditar ante la Superintendencia de Industria y Comercio que: \u00a0 \u00a0<\/p>\n
1. \u00a0Los administradores y representantes legales no est\u00e1n incursos en las causales \u00a0de inhabilidad previstas en el literal c) del art\u00edculo 29 de la Ley 527 de 1999, y \u00a0 \u00a0<\/p>\n
2. \u00a0Est\u00e1n en capacidad de cumplir los est\u00e1ndares m\u00ednimos que fije la \u00a0Superintendencia de Industria y Comercio de acuerdo a los servicios ofrecidos. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a04\u00b0. Informaci\u00f3n en certificados. \u00a0Los certificados emitidos por las entidades de certificaci\u00f3n cerradas deber\u00e1n \u00a0indicar expresamente que s\u00f3lo podr\u00e1n ser usados entre la entidad emisora y el \u00a0suscriptor. Las entidades deber\u00e1n informar al suscriptor de manera clara y \u00a0expresa, previa expedici\u00f3n de los certificados, que \u00e9stos no cumplen los \u00a0requisitos del art\u00edculo 15 del presente decreto. \u00a0 \u00a0<\/p>\n
Secci\u00f3n II \u00a0 \u00a0<\/p>\n
De las entidades de \u00a0certificaci\u00f3n abiertas \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a05\u00b0. Acreditaci\u00f3n de requisitos de las \u00a0entidades de certificaci\u00f3n abiertas. Quienes pretendan realizar las \u00a0actividades propias de las entidades de certificaci\u00f3n abiertas deber\u00e1n \u00a0particularizarlas y acreditar ante la Superintendencia de Industria y Comercio: \u00a0 \u00a0<\/p>\n
1. \u00a0Personer\u00eda jur\u00eddica o condici\u00f3n de notario o c\u00f3nsul. \u00a0 \u00a0<\/p>\n
Cuando \u00a0se trate de una entidad extranjera, se deber\u00e1 acreditar el cumplimiento de los \u00a0requisitos contemplados en el libro segundo, t\u00edtulo VIII del C\u00f3digo de Comercio \u00a0para las sociedades extranjeras que pretendan ejecutar negocios permanentes en \u00a0territorio colombiano. Igualmente deber\u00e1 observarse lo establecido en el \u00a0art\u00edculo 48 del C\u00f3digo de Procedimiento Civil. \u00a0 \u00a0<\/p>\n
2. \u00a0Que los administradores y representantes legales no est\u00e1n incursos en las \u00a0causales de inhabilidad previstas en el literal c) del art\u00edculo 29 de la Ley 527 de 1999. \u00a0 \u00a0<\/p>\n
3. \u00a0Declaraci\u00f3n de Pr\u00e1cticas de Certificaci\u00f3n (DPC) satisfactoria, de acuerdo con \u00a0los requisitos establecidos por la Superintendencia de Industria y Comercio. \u00a0 \u00a0<\/p>\n
4. \u00a0Patrimonio m\u00ednimo de 400 salarios m\u00ednimos mensuales legales vigentes al momento \u00a0de la autorizaci\u00f3n. \u00a0 \u00a0<\/p>\n
5. \u00a0Constituci\u00f3n de las garant\u00edas previstas en este decreto. \u00a0 \u00a0<\/p>\n
6 \u00a0Infraestructura y recursos por lo menos en la forma exigida en el art\u00edculo 9\u00b0 \u00a0de este decreto. \u00a0 \u00a0<\/p>\n
7 \u00a0Informe inicial de auditor\u00eda satisfactorio a juicio \u00a0de la misma Superintendencia. \u00a0 \u00a0<\/p>\n
8. \u00a0Un mecanismo de ejecuci\u00f3n inmediata para revocar los certificados digitales \u00a0expedidos a los suscriptores, a petici\u00f3n de estos o cuando se tenga indicios de \u00a0que ha ocurrido alguno de los eventos previstos en el art\u00edculo 37 de la Ley 527 de 1999. \u00a0 \u00a0<\/p>\n
Par\u00e1grafo \u00a01\u00b0. La Superintendencia de Industria y Comercio tendr\u00e1 la facultad de solicitar \u00a0ampliaci\u00f3n o aclaraci\u00f3n sobre los puntos que estime conveniente. \u00a0 \u00a0<\/p>\n
Par\u00e1grafo \u00a02\u00b0. Si se solicita autorizaci\u00f3n para certificaciones rec\u00edprocas, se deber\u00e1n \u00a0acreditar adicionalmente la entidad reconocida, los certificados reconocidos y \u00a0el tipo de certificados al cual se remite, la vigencia y los t\u00e9rminos del \u00a0reconocimiento. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a06\u00b0. Declaraci\u00f3n de Pr\u00e1cticas de \u00a0Certificaci\u00f3n (DPC). La Superintendencia de Industria y Comercio \u00a0definir\u00e1 el contenido de la Declaraci\u00f3n de Pr\u00e1cticas de Certificaci\u00f3n, DPC, la \u00a0cual deber\u00e1 incluir, al menos lo siguiente: \u00a0 \u00a0<\/p>\n
1. \u00a0Identificaci\u00f3n de la entidad de certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
2. \u00a0Pol\u00edtica de manejo de los certificados. \u00a0 \u00a0<\/p>\n
3. \u00a0Obligaciones de la entidad y de los suscriptores del certificado y precauciones \u00a0que deben observar los terceros. \u00a0 \u00a0<\/p>\n
4. \u00a0Manejo de la informaci\u00f3n suministrada por los suscriptores. \u00a0 \u00a0<\/p>\n
5. \u00a0Garant\u00edas que ofrece para el cumplimiento de las obligaciones que se deriven de \u00a0sus actividades. \u00a0 \u00a0<\/p>\n
6. \u00a0L\u00edmites de responsabilidad por el ejercicio de su actividad. \u00a0 \u00a0<\/p>\n
7. \u00a0Tarifas de expedici\u00f3n y revocaci\u00f3n de certificados. \u00a0 \u00a0<\/p>\n
8. \u00a0Procedimientos de seguridad para el manejo de los siguientes eventos: \u00a0 \u00a0<\/p>\n
a) \u00a0Cuando la seguridad de la clave privada de la entidad de certificaci\u00f3n se ha \u00a0visto comprometida; \u00a0 \u00a0<\/p>\n
b) \u00a0Cuando el sistema de seguridad de la entidad de certificaci\u00f3n ha sido \u00a0vulnerado; \u00a0 \u00a0<\/p>\n
c) \u00a0Cuando se presenten fallas en el sistema de la entidad de certificaci\u00f3n que \u00a0comprometan la prestaci\u00f3n del servicio; \u00a0 \u00a0<\/p>\n
d) \u00a0Cuando los sistemas de cifrado pierdan vigencia por no ofrecer el nivel de \u00a0seguridad contratados por el suscriptor. \u00a0 \u00a0<\/p>\n
9. \u00a0El plan de contingencia encaminado a garantizar la continuidad del servicio de \u00a0certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
10. \u00a0Modelos y minutas de los contratos que utilizar\u00e1n con los usuarios. \u00a0 \u00a0<\/p>\n
11. \u00a0Pol\u00edtica de manejo de otros servicios que fuere a prestar, detallando sus \u00a0condiciones. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a07\u00b0. Patrimonio m\u00ednimo. Para determinar el patrimonio \u00a0m\u00ednimo, s\u00f3lo se tomar\u00e1n en cuenta las cuentas patrimoniales de capital suscrito \u00a0y pagado, reserva legal, super\u00e1vit por prima en colocaci\u00f3n de acciones y se \u00a0deducir\u00e1n las p\u00e9rdidas acumuladas y las del ejercicio en curso. \u00a0 \u00a0<\/p>\n
El \u00a0patrimonio m\u00ednimo deber\u00e1 acreditarse: \u00a0 \u00a0<\/p>\n
1. \u00a0En el caso de personas jur\u00eddicas, por medio de estados financieros, con una \u00a0antig\u00fcedad no superior a 6 meses, certificados por el representante legal y el \u00a0revisor fiscal si lo hubiere. \u00a0 \u00a0<\/p>\n
2. \u00a0Trat\u00e1ndose de entidades p\u00fablicas, por medio del proyecto de gastos y de \u00a0inversi\u00f3n que generar\u00e1 la actividad de certificaci\u00f3n, conjuntamente con los \u00a0certificados de disponibilidad presupuestal que acrediten la apropiaci\u00f3n de \u00a0recursos para dicho fin. \u00a0 \u00a0<\/p>\n
3. \u00a0Para las sucursales de entidades extranjeras, por medio del capital asignado. \u00a0 \u00a0<\/p>\n
4. \u00a0En el caso de los notarios y c\u00f3nsules, por medio de los recursos dedicados \u00a0exclusivamente a la actividad de entidad de certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a08\u00b0. Garant\u00edas. La entidad debe \u00a0contar con al menos una de las siguientes garant\u00edas: \u00a0 \u00a0<\/p>\n
1. \u00a0Seguros vigentes que cumplan con los siguientes requisitos: \u00a0 \u00a0<\/p>\n
a) \u00a0Ser expedidos por una entidad aseguradora autorizada para operar en Colombia. \u00a0En caso de no ser posible lo anterior, por una entidad aseguradora del exterior \u00a0que cuente con la autorizaci\u00f3n previa de la Superintendencia Bancaria; \u00a0 \u00a0<\/p>\n
b) \u00a0Cubrir todos los perjuicios contractuales y extracontractuales \u00a0de los suscriptores y terceros de buena fe exenta de culpa derivados de errores \u00a0y omisiones, o de actos de mala fe de los administradores, representantes \u00a0legales o empleados de la certificadora en el desarrollo de las actividades \u00a0para las cuales solicita autorizaci\u00f3n o cuenta con autorizaci\u00f3n; \u00a0 \u00a0<\/p>\n
c) \u00a0Cubrir los anteriores riesgos por una cuant\u00eda asegurada por evento igual o \u00a0superior al mayor entre: \u00a0 \u00a0<\/p>\n
i. \u00a07.500 salarios m\u00ednimos mensuales legales por evento; o \u00a0 \u00a0<\/p>\n
ii. El l\u00edmite de responsabilidad definido en las pr\u00e1cticas de \u00a0certificaci\u00f3n; \u00a0 \u00a0<\/p>\n
d) \u00a0Incluir cl\u00e1usula de restituci\u00f3n autom\u00e1tica del valor asegurado; \u00a0 \u00a0<\/p>\n
e) \u00a0Incluir una cl\u00e1usula que obligue a la entidad aseguradora a informar \u00a0previamente a la Superintendencia de Industria y Comercio la terminaci\u00f3n del \u00a0contrato o las modificaciones que reduzcan el alcance o monto de la cobertura. \u00a0 \u00a0<\/p>\n
2. \u00a0Contrato de fiducia con patrimonio aut\u00f3nomo que \u00a0cumpla con las siguientes caracter\u00edsticas: \u00a0 \u00a0<\/p>\n
a) \u00a0Tener como objeto exclusivo el cubrimiento de las p\u00e9rdidas sufridas por los \u00a0suscriptores y terceros de buena fe exentos de culpa, que se deriven de los \u00a0errores y omisiones o de actos de mala fe de los administradores, \u00a0representantes legales o empleados de la certificadora en el desarrollo de las \u00a0actividades para las cuales solicita o cuenta con autorizaci\u00f3n; \u00a0 \u00a0<\/p>\n
b) \u00a0Contar con recursos suficientes para cubrir p\u00e9rdidas por una cuant\u00eda por evento \u00a0igual o superior al mayor entre: \u00a0 \u00a0<\/p>\n
i. \u00a07.500 salarios m\u00ednimos mensuales legales por evento; o \u00a0 \u00a0<\/p>\n
ii. El l\u00edmite de responsabilidad definido en las pr\u00e1cticas de \u00a0certificaci\u00f3n; \u00a0 \u00a0<\/p>\n
c) \u00a0Que los fideicomitentes se obliguen a restituir los recursos de la fiducia en caso de una reclamaci\u00f3n, por lo menos hasta el \u00a0monto m\u00ednimo exigido en el punto anterior; \u00a0 \u00a0<\/p>\n
d) \u00a0Que la fiduciaria se obligue a obtener permiso de la Superintendencia de \u00a0Industria y Comercio, previamente a cualquier cambio en los reglamentos, \u00a0disminuci\u00f3n en el monto o alcance de la cobertura, as\u00ed como para el retiro de \u00a0fideicomitentes y para la terminaci\u00f3n del contrato; \u00a0 \u00a0<\/p>\n
e) \u00a0Que las inversiones est\u00e9n representadas en t\u00edtulos de renta fija, alta seguridad \u00a0y liquidez emitidos o garantizados por la Naci\u00f3n, el Banco de la Rep\u00fablica o \u00a0calificados como de m\u00ednimo riesgo por las sociedades calificadoras de riesgo. \u00a0 \u00a0<\/p>\n
La \u00a0entidad que pretenda otorgar el reconocimiento rec\u00edproco, deber\u00e1 acreditar la \u00a0cobertura de las garant\u00edas requeridas en este decreto para los perjuicios que \u00a0puedan causar los certificados reconocidos. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a09\u00b0. Infraestructura y recursos. \u00a0En desarrollo de lo previsto en el literal b) del art\u00edculo 29 de la Ley 527 de 1999, la \u00a0entidad deber\u00e1 contar con un equipo de personas, una infraestructura f\u00edsica y \u00a0tecnol\u00f3gica y unos procedimientos y sistemas de seguridad, tales que: \u00a0 \u00a0<\/p>\n
1. \u00a0Puedan generar las firmas digitales propias y todos los servicios para los que \u00a0soliciten autorizaci\u00f3n. \u00a0 \u00a0<\/p>\n
2. \u00a0Se garantice el cumplimiento de lo previsto en la Declaraci\u00f3n de Pr\u00e1cticas de \u00a0Certificaci\u00f3n (DPC). \u00a0 \u00a0<\/p>\n
3. \u00a0Se pueda calificar el sistema como confiable de acuerdo con lo se\u00f1alado en el \u00a0art\u00edculo 2\u00b0 del presente decreto. \u00a0 \u00a0<\/p>\n
4 \u00a0Los certificados expedidos por las entidades de certificaci\u00f3n cumplan con: \u00a0 \u00a0<\/p>\n
a) \u00a0Lo previsto en el art\u00edculo 35 de la Ley 527 de 1999; y \u00a0 \u00a0<\/p>\n
b) \u00a0Alguno de los est\u00e1ndares de certificados que admita de manera general la \u00a0Superintendencia de Industria y Comercio. \u00a0 \u00a0<\/p>\n
5. \u00a0Se garantice la existencia de sistemas de seguridad f\u00edsica en sus \u00a0instalaciones, un monitoreo permanente de toda su planta f\u00edsica, y acceso \u00a0restringido a los equipos que manejan los sistemas de operaci\u00f3n de la entidad. \u00a0 \u00a0<\/p>\n
6. \u00a0El manejo de la clave privada de la entidad est\u00e9 sometido a un procedimiento \u00a0propio de seguridad que evite el acceso f\u00edsico o de otra \u00edndole a la misma, a \u00a0personal no autorizado. \u00a0 \u00a0<\/p>\n
7. \u00a0Cuente con un registro de todas las transacciones realizadas, que permita \u00a0identificar el autor de cada una de las operaciones. \u00a0 \u00a0<\/p>\n
8. \u00a0Los sistemas que cumplan las funciones de certificaci\u00f3n s\u00f3lo sean utilizados \u00a0con ese prop\u00f3sito y por lo tanto no puedan realizar ninguna otra funci\u00f3n. \u00a0 \u00a0<\/p>\n
9. \u00a0Todos los sistemas que participen directa o indirectamente en la funci\u00f3n de \u00a0certificaci\u00f3n est\u00e9n protegidos por sistemas y procedimientos de autenticaci\u00f3n y \u00a0seguridad de alto nivel de protecci\u00f3n, que deben ser actualizados de acuerdo a \u00a0los avances tecnol\u00f3gicos para garantizar la correcta prestaci\u00f3n del servicio. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a010. Infraestructura prestada por un \u00a0tercero. Cuando quiera que la entidad de certificaci\u00f3n requiera o \u00a0utilice infraestructura o servicios tecnol\u00f3gicos prestados por un tercero, los \u00a0contratos deber\u00e1n prever que la terminaci\u00f3n de los mismos est\u00e1 condicionada a \u00a0que la entidad haya implementado o contratado una infraestructura o servicio \u00a0tecnol\u00f3gico que le permita continuar prestando sus servicios sin ning\u00fan \u00a0perjuicio para los suscriptores. Si la terminaci\u00f3n de dichos contratos supone \u00a0el cese de operaciones, el prestador de infraestructura o servicios no podr\u00e1 interrumpir \u00a0sus servicios antes de vencerse el plazo para concluir el proceso previsto en \u00a0el procedimiento autorizado por la Superintendencia de Industria y Comercio. \u00a0Estos deben ser enviados con los dem\u00e1s documentos de la solicitud de \u00a0autorizaci\u00f3n y remitidos cada vez que sean modificados. \u00a0 \u00a0<\/p>\n
La \u00a0contrataci\u00f3n de esta infraestructura o servicios no exime a la entidad \u00a0certificadora de la presentaci\u00f3n de los informes de auditor\u00eda \u00a0previstos en este decreto, los cuales deben incluir los sistemas y seguridades \u00a0de dicho prestador. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a011. Informe de Auditor\u00eda. \u00a0El informe de Auditor\u00eda dictaminar\u00e1 que la \u00a0entidad de certificaci\u00f3n act\u00faa o est\u00e1 en capacidad de actuar, de acuerdo con \u00a0los requerimientos de la Ley 527 de 1999, lo \u00a0previsto en este decreto y en las normas que los sustituyan, complementen o \u00a0reglamenten. As\u00ed mismo, evaluar\u00e1 todos los servicios a que hace referencia el \u00a0literal d del art\u00edculo 2\u00b0 de la Ley 527 de 1999 y que \u00a0sean prestados o pretenda prestar la entidad de certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a012. Requisitos de las firmas \u00a0auditoras. La auditor\u00eda deber\u00e1 ser realizada \u00a0por una entidad del sistema nacional de normalizaci\u00f3n, certificaci\u00f3n y \u00a0metrolog\u00eda acreditada para el efecto por la Superintendencia de Industria y \u00a0Comercio. \u00a0 \u00a0<\/p>\n
En \u00a0caso de tratarse de entidades de certificaci\u00f3n que requieran o utilicen \u00a0infraestructura o servicios tecnol\u00f3gicos prestados desde el extranjero, la auditor\u00eda podr\u00e1 ser realizada por una persona o entidad \u00a0facultada para realizar este tipo de auditor\u00edas en el \u00a0lugar donde se encuentra la infraestructura, siempre y cuando permita constatar \u00a0el cumplimiento de lo se\u00f1alado en el art\u00edculo anterior. \u00a0 \u00a0<\/p>\n
En \u00a0caso de que no existan en el pa\u00eds al menos dos entidades acreditadas para \u00a0llevar a cabo estas auditor\u00edas, las entidades de \u00a0certificaci\u00f3n nacionales podr\u00e1n hacer uso de firmas de auditor\u00edas \u00a0extranjeras, siempre y cuando el informe cumpla con las instrucciones \u00a0impartidas por la Superintendencia de Industria y Comercio y la firma auditora \u00a0se encuentre facultada para realizar este tipo de auditor\u00edas \u00a0en su pa\u00eds de origen. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a013. Deberes. Adem\u00e1s de lo \u00a0previsto en el art\u00edculo 32 de la Ley 527 de 1999, las \u00a0entidades de certificaci\u00f3n deber\u00e1n: \u00a0 \u00a0<\/p>\n
1. \u00a0Comprobar por s\u00ed o por medio de una persona diferente que act\u00fae en nombre y por \u00a0cuenta suya, la identidad y cualesquiera otras circunstancias de los \u00a0solicitantes o de datos de los certificados, relevantes para los fines propios \u00a0de su procedimiento de verificaci\u00f3n previo a su expedici\u00f3n. \u00a0 \u00a0<\/p>\n
2. \u00a0Mantener a disposici\u00f3n permanente del p\u00fablico la declaraci\u00f3n de pr\u00e1cticas de \u00a0certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
3. \u00a0Cumplir cabalmente con las pol\u00edticas de certificaci\u00f3n acordadas con el \u00a0suscriptor y con su Declaraci\u00f3n de Pr\u00e1cticas de Certificaci\u00f3n (DPC). \u00a0 \u00a0<\/p>\n
4. \u00a0Informar al suscriptor de los certificados que expide, su nivel de \u00a0confiabilidad, los l\u00edmites de responsabilidad, y las obligaciones que el \u00a0suscriptor asume como usuario del servicio de certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
5. \u00a0Garantizar la prestaci\u00f3n permanente e ininterrumpida de los servicios \u00a0autorizados, salvo las interrupciones que autorice la Superintendencia de \u00a0Industria y Comercio. \u00a0 \u00a0<\/p>\n
6. \u00a0Informar a la superintendencia de manera inmediata la ocurrencia de cualquier \u00a0evento establecido en la Declaraci\u00f3n de Pr\u00e1cticas de Certificaci\u00f3n, que comprometa \u00a0la prestaci\u00f3n del servicio. \u00a0 \u00a0<\/p>\n
7. \u00a0Abstenerse de acceder o almacenar la clave privada del suscriptor. \u00a0 \u00a0<\/p>\n
8. \u00a0Mantener actualizado el registro de los certificados revocados. Las entidades \u00a0de certificaci\u00f3n ser\u00e1n responsables de los perjuicios que se causen a terceros \u00a0por incumplimiento de esta obligaci\u00f3n. \u00a0 \u00a0<\/p>\n
9. \u00a0Garantizar el acceso permanente y eficiente de los suscriptores y de terceros \u00a0al repositorio de la entidad. \u00a0 \u00a0<\/p>\n
10. \u00a0Disponer de una l\u00ednea telef\u00f3nica de atenci\u00f3n permanente a suscriptores y \u00a0terceros, que permita las consultas y la pronta solicitud de revocaci\u00f3n de \u00a0certificados por los suscriptores. \u00a0 \u00a0<\/p>\n
11. \u00a0Garantizar la confidencialidad de la informaci\u00f3n que no figure en el \u00a0certificado. \u00a0 \u00a0<\/p>\n
12. \u00a0Conservar la documentaci\u00f3n que respalda los certificados emitidos, por el t\u00e9rmino \u00a0previsto en la ley para los papeles de los comerciantes y tomar las medidas \u00a0necesarias para garantizar la integridad y la confidencialidad que le sean \u00a0propias. \u00a0 \u00a0<\/p>\n
13. \u00a0Informar al suscriptor dentro de las 24 horas siguientes, la suspensi\u00f3n del \u00a0servicio o revocaci\u00f3n de sus certificados. \u00a0 \u00a0<\/p>\n
14. \u00a0Capacitar y advertir a los suscriptores de firmas y certificados digitales, \u00a0sobre las medidas de seguridad que deben observar para la utilizaci\u00f3n de estos \u00a0mecanismos. \u00a0 \u00a0<\/p>\n
15. \u00a0Mantener el control exclusivo de su clave privada y establecer las seguridades \u00a0necesarias para que no se divulgue o comprometa. \u00a0 \u00a0<\/p>\n
16. \u00a0Remitir oportunamente a la Superintendencia de Industria y Comercio, la \u00a0informaci\u00f3n prevista en este decreto. \u00a0 \u00a0<\/p>\n
17. \u00a0Remover en el menor t\u00e9rmino que el procedimiento legal permita, a los \u00a0administradores o representantes que resulten incursos en las causales \u00a0establecidas en el literal c del art\u00edculo 29 de la Ley 527 de 1999. \u00a0 \u00a0<\/p>\n
18. \u00a0Informar a los suscriptores o terceros que lo soliciten, sobre el tiempo y \u00a0recursos computacionales requeridos para derivar la clave privada a partir de \u00a0la clave p\u00fablica contenida en los certificados en relaci\u00f3n con las firmas \u00a0digitales que expide la entidad. \u00a0 \u00a0<\/p>\n
19. \u00a0Mantener actualizada la informaci\u00f3n registrada en la solicitud de autorizaci\u00f3n \u00a0y enviar la informaci\u00f3n que la Superintendencia de Industria y Comercio \u00a0establezca. \u00a0 \u00a0<\/p>\n
20. \u00a0Cumplir con las dem\u00e1s instrucciones que establezca la Superintendencia de \u00a0Industria y Comercio. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a014. Certificaciones rec\u00edprocas. \u00a0El reconocimiento de los certificados de firmas digitales emitidos por \u00a0entidades de certificaci\u00f3n extranjeras, realizado por entidades de certificaci\u00f3n \u00a0autorizadas para tal efecto en Colombia, se har\u00e1 constar en un certificado \u00a0expedido por estas \u00faltimas. \u00a0 \u00a0<\/p>\n
El \u00a0efecto del reconocimiento de cada certificado, se limitar\u00e1 a las \u00a0caracter\u00edsticas propias del tipo de certificado reconocido y por el per\u00edodo de \u00a0validez del mismo. \u00a0 \u00a0<\/p>\n
Los \u00a0suscriptores de los certificados reconocidos y los terceros tendr\u00e1n id\u00e9nticos \u00a0derechos que los suscriptores y terceros respecto de los certificados propios \u00a0de la entidad que hace el reconocimiento. \u00a0 \u00a0<\/p>\n
Par\u00e1grafo. \u00a0La Superintendencia de Industria y Comercio determinar\u00e1 el contenido m\u00ednimo de \u00a0los certificados rec\u00edprocos. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a015. Uso del certificado digital. \u00a0Cuando quiera que un suscriptor firme digitalmente un mensaje de datos con su \u00a0clave privada, y la respalde mediante un certificado digital, se dar\u00e1n por \u00a0satisfechos los atributos exigidos para una firma digital en el par\u00e1grafo del \u00a0art\u00edculo 28 de la Ley 527 de 1999, s\u00ed: \u00a0 \u00a0<\/p>\n
1. \u00a0El certificado fue emitido por una entidad de certificaci\u00f3n abierta autorizada \u00a0para ello por la Superintendencia de Industria y Comercio. \u00a0 \u00a0<\/p>\n
2. \u00a0Dicha firma se puede verificar con la clave p\u00fablica que se encuentra en el \u00a0certificado con relaci\u00f3n a firmas digitales, emitido por la entidad de \u00a0certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
3. \u00a0La firma fue emitida dentro del tiempo de validez del certificado, sin que \u00e9ste \u00a0haya sido revocado. \u00a0 \u00a0<\/p>\n
4. \u00a0El mensaje de datos firmado se encuentra dentro de los usos aceptados en la \u00a0DPC, de acuerdo al tipo de certificado. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a016. Unicidad de la firma digital. \u00a0No obstante lo previsto en el art\u00edculo anterior, una firma digital en un \u00a0mensaje de datos deja de ser \u00fanica a la persona que la usa si, estando bajo su \u00a0control exclusivo, dada la condici\u00f3n del numeral 3 del par\u00e1grafo del art\u00edculo \u00a028 de la Ley 527 de 1999, la \u00a0probabilidad de derivar la clave privada, a partir de la clave p\u00fablica, no es o \u00a0deja de ser remota. \u00a0 \u00a0<\/p>\n
Para \u00a0establecer si la probabilidad es remota se tendr\u00e1n en cuenta la utilizaci\u00f3n del \u00a0m\u00e1ximo recurso computacional disponible al momento de calcular la probabilidad, \u00a0durante un per\u00edodo igual al que transcurre entre el momento en que se crean el \u00a0par de claves y aquel en que el documento firmado deja de ser id\u00f3neo para \u00a0generar obligaciones. \u00a0 \u00a0<\/p>\n
Secci\u00f3n III \u00a0 \u00a0<\/p>\n
De la decisi\u00f3n y las \u00a0responsabilidades \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a017. Decisi\u00f3n. En la resoluci\u00f3n \u00a0de autorizaci\u00f3n expedida por la Superintendencia de Industria y Comercio, se \u00a0precisar\u00e1n las actividades y servicios que puede prestar la entidad de \u00a0certificaci\u00f3n. En todo caso, la entidad de certificaci\u00f3n podr\u00e1 solicitar \u00a0autorizaci\u00f3n para prestar actividades y servicios adicionales. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a018. Responsabilidad. Las \u00a0entidades de certificaci\u00f3n responder\u00e1n por todos los perjuicios que causen en \u00a0el ejercicio de sus actividades. \u00a0 \u00a0<\/p>\n
La \u00a0entidad certificadora ser\u00e1 responsable por los perjuicios que puedan causar los \u00a0prestadores de servicios a que hace referencia del art\u00edculo 10 del presente decreto, \u00a0a los suscriptores o a las personas que conf\u00eden en los certificados. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a019. Cesaci\u00f3n de actividades. La \u00a0cesaci\u00f3n de actividades de una entidad de certificaci\u00f3n sin la autorizaci\u00f3n de \u00a0la Superintendencia de Industria y Comercio o la continuaci\u00f3n de actividades \u00a0despu\u00e9s de producida \u00e9sta, la har\u00e1 responsable de todos los perjuicios que \u00a0cause a sus suscriptores y a terceros y la har\u00e1 acreedora a las sanciones que \u00a0imponga la Superintendencia. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a020. Responsabilidad derivada de la \u00a0administraci\u00f3n de los repositorios. Cuando las entidades de \u00a0certificaci\u00f3n contraten los servicios de repositorios, continuar\u00e1n siendo \u00a0responsables frente a sus suscriptores y terceros por el mismo. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a021. Informaci\u00f3n peri\u00f3dica y \u00a0espor\u00e1dica. La informaci\u00f3n prevista en los art\u00edculos 3\u00b0, 5\u00b0, 6\u00b0, 7\u00b0, 8\u00b0, \u00a09\u00b0, 10 y 11 del presente decreto, deber\u00e1 actualizarse ante la Superintendencia \u00a0de Industria y Comercio cada vez que haya cambio o modificaci\u00f3n de algunos de \u00a0los datos suministrados. La Superintendencia se\u00f1alar\u00e1, adem\u00e1s, la forma y \u00a0periodicidad en que se debe demostrar el continuo cumplimiento de las \u00a0condiciones de que se ocupan los art\u00edculos se\u00f1alados. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a022. Responsabilidad derivada de la no \u00a0revocaci\u00f3n. Una vez cumplidas las formalidades previstas para la \u00a0revocaci\u00f3n, la entidad ser\u00e1 responsable por los perjuicios que cause la no \u00a0revocaci\u00f3n. \u00a0 \u00a0<\/p>\n
Secci\u00f3n IV \u00a0 \u00a0<\/p>\n
De los certificados digitales \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a023. Informaci\u00f3n relativa a la \u00a0revocaci\u00f3n. Cada certificado revocado debe indicar si el motivo de \u00a0revocaci\u00f3n incluye la p\u00e9rdida de control de la clave privada, evento en el \u00a0cual, las firmas generadas con dicha clave privada carecer\u00e1n del atributo de \u00a0unicidad previsto en el numeral 1 del par\u00e1grafo del art\u00edculo 28 de la Ley 527 de 1999, salvo \u00a0que se demuestre lo contrario, mediante un mecanismo adicional que pruebe \u00a0inequ\u00edvocamente que el documento fue firmado digitalmente en una fecha previa a \u00a0la revocaci\u00f3n del certificado. \u00a0 \u00a0<\/p>\n
Las \u00a0revocaciones deber\u00e1n ser publicadas de manera inmediata en los repositorios \u00a0correspondientes y notificadas al suscriptor dentro de las 24 horas siguientes. \u00a0Si dichos repositorios no existen al momento de la publicaci\u00f3n del aviso, \u00e9sta \u00a0se efectuar\u00e1 en un repositorio que designe la Superintendencia de Industria y \u00a0Comercio. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a024. Registro de certificados. Toda \u00a0entidad de certificaci\u00f3n autorizada deber\u00e1 llevar un registro de p\u00fablico acceso \u00a0que contenga todos los certificados emitidos y sus fechas de emisi\u00f3n, \u00a0expiraci\u00f3n o revocaci\u00f3n. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a025. Informaci\u00f3n. Las entidades \u00a0de certificaci\u00f3n estar\u00e1n obligadas a respetar las condiciones de \u00a0confidencialidad y seguridad, de acuerdo con las normas vigentes respectivas. \u00a0 \u00a0<\/p>\n
Salvo \u00a0la informaci\u00f3n contenida en el certificado, la suministrada por los \u00a0suscriptores a las entidades de certificaci\u00f3n se considerar\u00e1 privada y \u00a0confidencial. \u00a0 \u00a0<\/p>\n
CAPITULO III \u00a0 \u00a0<\/p>\n
Facultades de la \u00a0Superintendencia de Industria y Comercio \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a026. Suspensi\u00f3n y revocaci\u00f3n de \u00a0autorizaci\u00f3n. Cuando quiera que la Superintendencia de Industria y \u00a0Comercio ejerza la facultad contenida en el numeral 4 del art\u00edculo 41 de la Ley 527 de 1999, \u00a0ordenar\u00e1 a la entidad de certificaci\u00f3n la ejecuci\u00f3n de medidas tendientes a \u00a0garantizar la integridad, seguridad y conservaci\u00f3n de los certificados \u00a0expedidos, as\u00ed como la compensaci\u00f3n econ\u00f3mica que pudiera generar la cesaci\u00f3n \u00a0de actividades. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a027. Est\u00e1ndares. La \u00a0Superintendencia de Industria y Comercio determinar\u00e1 los est\u00e1ndares admisibles \u00a0con respecto a los cuales las entidades-de certificaci\u00f3n deber\u00e1n acreditar el \u00a0cumplimiento de los requisitos relativos a: \u00a0 \u00a0<\/p>\n
1. \u00a0La generaci\u00f3n de pares de claves. \u00a0 \u00a0<\/p>\n
2. \u00a0La generaci\u00f3n de firmas. \u00a0 \u00a0<\/p>\n
3. \u00a0Los certificados. \u00a0 \u00a0<\/p>\n
4. \u00a0Los sistemas de cifrado. \u00a0 \u00a0<\/p>\n
5. \u00a0Las comunicaciones. \u00a0 \u00a0<\/p>\n
6. \u00a0La seguridad de los sistemas de informaci\u00f3n y de las instalaciones, o \u00a0 \u00a0<\/p>\n
7. \u00a0Cualquier otro aspecto que redunde en la confiabilidad y seguridad de los \u00a0certificados, o de la informaci\u00f3n que repose en la entidad de certificaci\u00f3n. \u00a0 \u00a0<\/p>\n
Para \u00a0la determinaci\u00f3n de los est\u00e1ndares admisibles, la superintendencia deber\u00e1 \u00a0adoptar aquellos que tengan car\u00e1cter internacional y que est\u00e9n vigentes \u00a0tecnol\u00f3gicamente o los desarrollados por el organismo nacional de normalizaci\u00f3n \u00a0o los que sean ampliamente reconocidos para los prop\u00f3sitos perseguidos. En todo \u00a0caso, deber\u00e1 tener en cuenta su aplicabilidad a la luz de la legislaci\u00f3n \u00a0vigente. \u00a0 \u00a0<\/p>\n
La \u00a0Superintendencia podr\u00e1 eliminar la admisibilidad de un est\u00e1ndar cuando haya \u00a0dejado de cumplir alguno de los requisitos precisados en este art\u00edculo. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a028. Facultades. Las \u00a0atribuciones otorgadas a la Superintendencia de Industria y Comercio en el \u00a0presente decreto, se ejercer\u00e1n conforme a las facultades establecidas en los \u00a0art\u00edculos 41 de la Ley 527 de 1999 y en \u00a0los Decretos 2269 de 1993 y 2153 de 1992. \u00a0 \u00a0<\/p>\n
Art\u00edculo \u00a029. Vigencia. El presente decreto \u00a0rige a partir de la fecha de su publicaci\u00f3n y deroga las disposiciones que le \u00a0sean contrarias. \u00a0 \u00a0<\/p>\n
Publ\u00edquese y c\u00famplase. \u00a0 \u00a0<\/p>\n
Dado en Bogot\u00e1, D. C., a \u00a011 de septiembre de 2000. \u00a0 \u00a0<\/p>\n
ANDRES PASTRANA ARANGO \u00a0 \u00a0<\/p>\n
El Ministro de Desarrollo \u00a0Econ\u00f3mico, \u00a0 \u00a0<\/p>\n
Augusto Ram\u00edrez Ocampo. \u00a0 \u00a0<\/p>\n
La Ministra de Comercio \u00a0Exterior, \u00a0 \u00a0<\/p>\n
Marta Luc\u00eda Ram\u00edrez de Rinc\u00f3n. \u00a0 \u00a0<\/p>\n
La Ministra de \u00a0Comunicaciones, \u00a0 \u00a0<\/p>\n
Mar\u00eda del Rosario Sintes Ulloa. \u00a0 \u00a0<\/p>\n
\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0<\/p>\n
<\/p>\n","protected":false},"excerpt":{"rendered":"
DECRETO 1747 DE 2000 \u00a0 \u00a0 (septiembre 11) \u00a0 \u00a0 por el cual se reglamenta parcialmente la Ley 527 de 1999, en lo relacionado con las entidades de certificaci\u00f3n, los \u00a0certificados y las firmas digitales. \u00a0 \u00a0 Nota: \u00a0Derogado por el Decreto 333 de 2014, \u00a0art\u00edculo 22. \u00a0 \u00a0 El Presidente de la \u00a0Rep\u00fablica de […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[44],"tags":[],"class_list":["post-28625","post","type-post","status-publish","format-standard","hentry","category-decretos-2000"],"_links":{"self":[{"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/posts\/28625","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/comments?post=28625"}],"version-history":[{"count":0,"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/posts\/28625\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/media?parent=28625"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/categories?post=28625"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dmsjuridica.com\/buscador_20179478954\/legislacion\/decretos\/wp-json\/wp\/v2\/tags?post=28625"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}