Art. 1°.- Apruebase el Reglamento General de la Ley N° 4017/2010 de “Validez Juridica de la Firma Electrónica, la Firma Digital los Mensajes de Datos y el Expediente Electrónico en los siguientes términos:

Art.2°.- De la reproducción de documentos originales por medios electrónicos. El servicio de archivo, y conservación de documentos y datos en mensajes de datos, deberá garantizar la integridad, la confidencialidad y disponibilidad de la información que se almacena, la cual podrá ser realizada por cualquier entidad pública o privada o por aquellas entidades autorizadas a través de una Resolución dictada por la Autoridad de Aplicación.
Las Entidades que realicen la reproducción de documentos originales por medios electrónicos o que presten los servicios de almacenamiento, deberán incorporar un procedimiento de estampado cronológico, con el fin de garantizar los efectos jurídicos del documento electrónico como equivalente funcional del documento fisico que se almacena, de conformidad con los estándares tecnológicos operativos que implemente la Autoridad de Aplicacion.
Para tal efecto, las entidades que realicen la reproducción de documentos originales por medios electrónicos o que presten los servicios de almacenamiento, deberán realizar las siguientes actividades:
a) Mantener un registro de los documentos físicos que se vayan a almacenar
b) Establecer un procedimiento para que el responsable de la conservación firme digitalmente los documentos fisicos reproducidos en mensaje de datos.
c) Establecer un mecanismo que permita que la información almacenada sea accesible para su posterior consulta.
d) Establecer un mecanismo que permita establecer el origen y el destino de la información almacenada, así como los datos cronológicos de envío y recepción.

Art.3°.- Digitalización de archivos públicos. El Poder Ejecutivo a través de la Autoridad de Aplicación establecerá por medio de resolución el procedimiento, los estándares y reglas generales para la digitalización de archivos públicos y su conservación, atendiendo a las previsiones establecidas en la Ley, con el fin de asegurar su integridad, fiabilidad, accesibilidad e interoperabilidad.

Art. 4°.- Responsabilidad derivada de la no revocación. Una vez cumplidas las formalidades previstas para la revocación, el Prestador de los Servicios de Certificación será responsable por los perjuicios que cause la no revocación

Art. 5°.- Información respecto de la revocación. La revocaciones deberán ser publicadas en los repositorios correspondientes y notificados al suscriptor en la forma y plazo a ser establecidos por la Autoridad de Aplicación. Los certificados revocados deberán ser publicados en la página web del prestador, en el plast establecido por la Autoridad de Aplicación.

Art. 6°.- Efectos de la revocación. El efecto de la revocación del certificado es el cese permanente de los efectos jurídicos de este conforme a los usos que le son propios e impide el uso legítimo del mismo.

Art.8°.- Requisitos para la habilitación de Prestadores de Servicios de Certificación. Quienes pretendan ser habilitados para prestar los servicios de certificación deberán acreditar ante la Autoridad de Aplicación, los requisitos básicos previstos en la Ley y para el efecto deberán presentar la siguiente información y/o documentación:

1) Prueba de la personería y situación jurídica.
2) Copia autenticada de constitución de sociedad.
3) Acta de última asamblea,
4) Documento que acredite la representación legal,
5) Certificado de cumplimiento tributario,
6) Certificado de no encontrarse en quiebra, convocatoria de acreedores o interdicción, 7) Constancia de estar al día con el seguro social
8) Capital mínimo de doscientos (200) salarios mínimos para actividades diversas no especificadas en la capital al momento de la habilitación.
9) Identificación de un directorio de certificados vigentes y un mecanismo de ejecución inmediata para revocar los certificados digitales.
10) Documento de políticas de certificación, satisfactoria, de acuerdo con los requisitos establecidos por la Autoridad de Aplicación.
11) Prueba de que cuenta con un equipo de personas, una infraestructura física y tecnológico y unos procedimientos y sistemas de seguridad, para cumplir con las siguientes obligaciones:
a) Generar las firmas digitales propias y todos los servicios para los que soliciten autorización.
b) Garantizar el cumplimiento de lo previsto en las Políticas de certificación
c) Garantizar la existencia de sistemas de seguridad física en sus instalaciones, un monitoreo permanente de toda su planta física, y acceso restringido a los equipos que manejan los sistemas de operación de la entidad.
d) Garantizar que el manejo de la clave privada de la entidad esté sometido a un procedimiento de seguridad que evite el acceso a personal no autorizado.
e) Mantener un registro de todas las transacciones realizadas, que permita identificar el autor de cada una de las operaciones.
f) Garantizar que los sistemas que cumplan las funciones de certificación, sólo sean utilizados con ese propósito y no puedan realizar ninguna otra función.
g) Garantizar que todos los sistemas que participen directa o indirectamente en la función de certificación estén protegidos por sistemas y procedimientos de autenticación y seguridad de alto nivel de protección, que deben ser actualizados de acuerdo a los avances tecnológicos para garantizar la correcta prestación del servicio.
h) Constituir las garantías previstas en este reglamento.
Cuando se trate de una entidad extranjera, se deberá acreditar el cumplimiento de los requisitos contemplados en la Ley, en este reglamento y los demás requisitos que establezca la Autoridad de aplicación
La Autoridad de Aplicación tendrá facuštad de solicitar ampliación o aclaración sobre los aspectos que estime conveniente.

Art. 9°.- Rechazo. De ser inadmisible la solicitud, dentro de diez días hábiles se procederá a comunicar al interesado tal situación, el que podrá completar los antecedentes dentro del plazo de quince (15) dias, bajo apercibimiento de ser rechazada la solicitud. En caso que la Autoridad de Aplicación determine que el prestador de servicios de certificación no cumple con las normas técnicas fijadas para el desarrollo de la actividad, señalará si los incumplimientos son subsanables, y si no afectan el correcto funcionamiento del sistema ni los fines previstos en la Ley.
En caso que los incumplimientos no sean subsanables, la Autoridad de Aplicación procederá a dictar una resolución en la que rechaza la solicitud de habilitación en el plazo previsto en la Ley. Si los incumplimientos son subsanables y no afectan el correcto funcionamiento del sistema ni los fines previstos en la Ley, la Autoridad de Aplicación señalará un plazo para realizar los ajustes requeridos, vencido el cual, el rechazo será definitivo.

Art. 10.- Registro Público de Prestadores de Servicio de Certificación. La Autoridad de Aplicación mantendrá un Registro Público de Prestadores de Servicios de Certificación habilitados, el que deberá contener el número de la resolución que concede la habilitación, el nombre o razón social del certificador, la dirección social, el nombre de su Representante Legal, el número de su teléfono, su sitio de dominio electrónico y correo electrónico así como la compañía de seguros con que ha contratado la póliza de seguros que exige la Ley. El referido registro público deberá permitir su acceso por medios electrónicos.

Art. 11.- Revocación de habilitación. La habilitación de los Prestadores de Servicios de Certificación se dejará sin efecto por las siguientes causas:
a) Por solicitud del Prestador de Servicios de Certificación habilitado, previa autorización de la Autoridad de Aplicación, conforme al procedimiento a ser establecido.
b) Por falta de pago de las tasas respectivas.
c) Por pérdida de las condiciones que sirvieron de fundamento a su habilitación,
d) Por incumplimiento muy grave o reiterado de las obligaciones establecidas.
La Autoridad de Aplicación establecerá los procedimientos a seguir en cada caso.

Art. 12.- Políticas de Certificación. Es obligación de los Prestadores de Servicios de Certificación contar con reglas sobre prácticas de certificación consistentes en una descripción detallada de las políticas, procedimientos y mecanismos que el certificador se obliga a cumplir en la prestación de sus servicios. La Autoridad de Aplicación definirá el contenido del documento de las Políticas de Certificación. Dichas prácticas deberán contener al menos:
a) Una introducción, que deberá contener un resumen de las prácticas de certificación de que se trate, identificando a la entidad que suscribe el documento, como el tipo de usuarios a los que son aplicables.
b) Garantias que ofrece para el cumplimiento de las obligaciones que se deriven de sus actividades.
c) Identificación y autenticación, debiendo describirse tanto los procesos de autenticación aplicados a los solicitantes de certificados, como los procesos para autenticar a los mismos cuando piden suspensión o revocación de certificado.
d) Requerimientos operacionales, debiendo contener información operacional para los procesos de solicitud de certificado, emisión de certificados, suspensión y revocación de certificados, procesos de auditoría de seguridad, almacenamiento de información relevante, cambio de datos de creación de firma electrónica, superación de situaciones críticas, casos de fuerza mayor caso fortuito, y procedimiento de término del servicio de certificación.
e) Controles de seguridad técnica, debiendo señalar las medidas de seguridad adoptadas por el prestador de servicios de certificación para proteger los datos de creación de su propia firma electrónica.
f) Perfiles de certificados y del registro de acceso público, debiendo especificar el formato del certificado y del registro de acceso público.
g) Especificaciones de administración de la política de certificación, debiendo señalar la forma en que la misma está contenida en la Práctica, los procedimientos para cambiar, publicar y notificar la politica.
h) Límites de responsabilidad por el ejercicio de su actividad.
i) Tarifas de expedición de los certificados.
j) Política de manejo de otros servicios que fuere a prestar, detallando sus condiciones.
k) Modelos y minutas de los contratos que utilizarán con los usuarios, los cuales deberán estar conforme las normativas vigentes.
l) Procedimientos de seguridad para el manejo de los siguientes eventos:
1) Cuando la seguridad de la clave privada del Prestador de Servicios de Certificación se ha visto comprometida;
2) Cuando el sistema de seguridad del Prestador de los Servicios de Certificación ha sido vulnerado.
3) Cuando se presenten fallas en el sistema del Prestador de Servicios de Certificación que comprometa la prestación del servicio.
4) Cuando los sistemas de cifrado pierdan vigencia por no ofrecer el nivel de seguridad conforme las normas acordadas en el MERCOSUR.

Art. 13.- Comprobación de identidad. Tratándose de un certificado de firma
digital, deberá el Prestador de Servicios de Certificación comprobar fehacientemente la identidad del solicitante antes de la emisión del mismo, de conformidad con las normas técnicas. Dicha comprobación la hará el Prestador de Servicios de Certificación requiriendo la comparecencia personal y directa del solicitante o de su representante legal si se tratare de una persona jurídica.

Art. 14.- Mantenimiento de datos. Los datos proporcionados por el titular del certificado deberán ser conservados indefinidamente por el Prestador de Servicios de Certificación cualquiera sea el estado en que se encuentre el certificado

Art. 15.- Cese de prestación de servicios. En caso que un Prestador de Servicios de Certificación cese en la prestación del servicio, deberá solicitar a la Autoridad de Aplicación, con al menos un mes de anticipación, la cancelación de su inscripción en el registro público de prestadores de servicio de certificación, comunicándole el destino que dará a los datos de los certificados, especificando, en su caso, los que va a transferir y a quién, cuando proceda. Deberá además comunicar tal situación a los titulares de los certificados por ella emitidos con la misma antelación.

Art. 16.- Contratación de póliza de seguro. El Prestador de los Servicios de Certificación debe contar con un seguro vigente que cumplan con los siguientes requisitos:
a) Ser expedidos por una entidad aseguradora autorizada para operar
en Paraguay. En caso de no ser posible lo anterior, por una entidad aseguradora del exterior que cuente con la autorización previa de la entidad competente.
b) Cubrir todos los perjuicios contractuales y extracontractuales de los suscriptores y terceros de buena fe exenta de culpa derivados de errores y omisiones, o de actos de mala fe los administradores, representantes legales o empleados de la certificadora en el desarrollo de las actividades para las cuales solicita autorización o cuenta con autorización.
c) Cubrir los anteriores riesgos por una cuantía asegurada por evento igual o superior a setenta (70) salarios mínimos.
d) Incluir una cláusula que obligue a la entidad aseguradora a
informar previamente a la Autoridad de Aplicación la terminación del contrato o las modificaciones que reduzcan el alcance o monto de la cobertura.

Art. 17.- Información. Los Prestadores de Servicios de Certificación estarán
obligados a respetar las condiciones de confidencialidad y seguridad, de acuerdo con las normas vigentes respectivas. Salvo la información contenida en el certificado, la suministrada por los firmantes, suscriptores o signatarios a los Prestadores de Servicios de Certificación se considerará privada y confidencial, en los términos del Artículo 34 de la Ley y en esa medida no se podrá utilizar para fines distintos a aquellos para lo que fueron recolectados ni divulgar sin autorización expresa y
escrita de los firmantes, suscriptores o signatarios.

Art. 18.- Aranceles. La Autoridad de Aplicación por medio de Resolución fijará
dentro del primer trimestre de cada año un arancel de habilitación y un arancel de supervisión, conforme a las disposiciones legales vigentes. El arancel de habilitación será pagado por el prestador de servicios de certificación que solicite su habilitación, el que no será restituido en el evento que la habilitación no se conceda por incumplimiento de los requisitos y obligaciones legales y reglamentarias exigidas.
El arancel de supervisión comprenderá los costos correspondientes a las inspecciones, ordinarias y extraordinarias, y del sistema de habilitación. El arancel deberá ser pagado por los prestadores habilitados de servicios de certificación dentro de los treinta (30) días siguientes a la fecha de la resolución que los fija.

Art. 19.- Estándares. La Autoridad de Aplicación determinará los estándares admisibles con respecto a los cuales los Prestadores de Servicios de Certificación deberán acreditar el cumplimiento de los requisitos relativos a:
a) La generación de pares de claves.
b) La generación de firmas.
c) Los certificados.
d) Los sistemas de cifrado.
e) Las comunicaciones.
f) La seguridad de los sistemas de información y de las instalaciones, o
g) Cualquier otro aspecto relacionado en la confiabilidad y seguridad
de los certificados, o de la información que repose en el Prestador de Servicios de Certificación.
Para la determinación de los estándares admisibles, la Autoridad de Aplicación deberá adoptar aquellos que tengan carácter internacional y que estén vigentes tecnológicamente o los desarrollados localmente.

Art. 20.- Control. La Autoridad de Aplicación ejercerá la facultad inspectora sobre los Prestadores de Servicios de Certificación habilitados y, a tal efecto, velará porque los requisitos que se observaron al momento de otorgarse la habilitación y las obligaciones que impone la Ley y este Reglamento se cumplan durante la vigencia de la habilitación.
La facultad inspectora comprende tanto inspección ordinaria como la extraordinaria. La inspección ordinaria consiste en la facultad de practicar una visita anual a las instalaciones del prestador de servicios de certificación habilitado, como asimismo requerir, en forma semestral, información sobre el desarrollo de la actividad. La inspección extraordinaria será practicada de oficio o por denuncia motivada sobre la prestación del servicio, ordenada por la Autoridad de Aplicación mediante resolución fundada.
Las inspecciones podrán ser practicadas por parte de fiscalizadores especializados los que en el ejercicio de sus funciones podrán requerir al certificador información adicional da proporcionada por él.
La información solicitada por la Autoridad de Aplicación deberá ser proporcionada en el plazo que le otorgue al efecto, contado desde la fecha de la solicitud, sin perjuicio del otorgamiento de plazos especiales atendida la información requerida.

Art. 21.- Acuerdos de reconocimiento mutuo. La Autoridad de Aplicación podrá suscribir acuerdos de reconocimiento mutuo con entidades similares, a fin de reconocer la validez de certificados digitales otorgados en el extranjero y extender la validez de la firma digital. Los acuerdos de reconocimiento mutuo deben garantizar en forma equivalente las funciones exigidas por la Ley y el presente Reglamento.

Art. 22.- Facultad sancionadora. La instrucción sumarial y la aplicación de sanciones por violación a disposiciones de la Ley serán realizadas por la Autoridad de Aplicación, a través de una Resolución, luego de un proceso administrativo interno realizado de acuerdo a la gravedad de las faltas.

Art. 23.- Recurribilidad. Las sanciones aplicadas podrán ser recurridas ante el Tribunal de Cuentas, una vez agotada la vía administrativa pertinente.

Art. 24.- Suscripción de Acuerdos: La Autoridad de Aplicación podrá suscribir Acuerdos de Cooperación con Entidades del Sector Público y Privado, Nacionales e Internacionales, con el fin de alcanzar los objetivos previstos en la Ley.

Art. 25.- El presente Decreto será refrendado por el Ministro de Industria y Comercio

Art. 26.- Comuníquese, publiquese e insértese en el Registro Oficial