Qué es esta norma
ETSI EN 319 411-2 establece los requisitos específicos para los proveedores de servicios de confianza que emiten certificados cualificados (Qualified Certificates) a terceros — certificados de firma electrónica cualificada para personas físicas, certificados de sello electrónico cualificado para personas jurídicas, o certificados de autenticación de sitios web cualificados (QWAC). Es una extensión de EN 319 411-1 con requisitos adicionales más estrictos por el efecto jurídico reforzado de los certificados cualificados.
Cuándo se activa para Correos
Esta matriz tiene probabilidad muy baja de activación para el proyecto actual. El alcance se cerró en Discovery (iteración 1) como solo QTSA + QERDS — los certificados internos que Correos usa para firmar TSTs y evidencias QERDS no son certificados cualificados emitidos a terceros, son certificados internos del propio QTSP. Por tanto, EN 319 411-2 no aplica salvo extensión explícita del alcance.
Existe una excepción menor: ETSI EN 319 421 §8.1 menciona que el certificado del TSU debería emitirse conforme a una política de certificado adecuada de EN 319 411-2 (recomendación, no obligación). Esta referencia se trata como un único control agregado dentro de la matriz 421-qtsa-policy y no requiere descomponer EN 319 411-2 entero.
Qué exige a alto nivel
Solo relevante si Correos extendiera el alcance del proyecto a emitir certificados cualificados a terceros: validación de identidad de máximo nivel para cada solicitante, procedimiento de emisión con doble control, almacenamiento de clave del titular en dispositivo cualificado (QSCD — Qualified Signature Creation Device), publicación de declaración de aplicabilidad en TSL como servicio cualificado independiente, y régimen de responsabilidad civil reforzado.
Qué pasaría al activarla
La activación implicaría un proyecto sustancialmente más amplio que el actual, con presupuesto adicional significativo (HSM cualificados QSCD, integración con dispositivos del usuario, atención al cliente cualificada, ampliación de póliza RC). El esfuerzo no es proporcional a EN 319 411-1 — multiplicar por 2-3 el plazo y CAPEX del proyecto base.