Agencia Estatal Boletín Oficial del Estado

1)

El marco europeo de identidad digital (en lo sucesivo, «el marco») establecido en el Reglamento (UE) n.o 910/2014 es un componente crucial para la creación de un ecosistema de identidad digital seguro e interoperable en toda la Unión. El objetivo de este marco, con las carteras europeas de identidad digital (en lo sucesivo, «carteras») como piedra angular, es facilitar el acceso a los servicios en todos los Estados miembros, garantizando al mismo tiempo la protección de los datos personales y de la privacidad.

2)

Los Reglamentos (UE) 2016/679 (2) y (UE) 2018/1725 (3) del Parlamento Europeo y del Consejo y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (4) se aplican a las actividades de tratamiento de datos personales en virtud del presente Reglamento. Las normas sobre la evaluación y la facilitación de información establecidas en virtud del presente Reglamento se entienden sin perjuicio de la obligación de notificar las violaciones de la seguridad de los datos personales a la autoridad de control competente, cuando proceda, en virtud del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725, y de la obligación de comunicar las violaciones de la seguridad de los datos personales a los interesados, cuando proceda, en virtud de estos Reglamentos.

3)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado en virtud de la Recomendación (UE) 2021/946 de la Comisión (5), y en particular la arquitectura y el marco de referencia que forman parte de él. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (6), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior.

4)

En caso de violación o puesta en peligro de la seguridad de las soluciones de cartera o de los mecanismos de validación a que se refiere el artículo 5 bis, apartado 8, del Reglamento (UE) n.o 910/2014, o del sistema de identificación electrónica en virtud del cual se proporcionan las soluciones de cartera, es preciso que las reacciones a dichas violaciones y puestas en peligro de la seguridad se produzcan de manera rápida, coordinada y segura en todos los Estados miembros para proteger a los usuarios y mantener la confianza en el ecosistema de identidad digital. Esto se entiende sin perjuicio de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (7) y los Reglamentos (UE) 2019/881 (8) y (UE) 2024/2847 (9) del Parlamento Europeo y del Consejo, en particular por lo que respecta a la gestión de las incidencias o las vulnerabilidades y a su consideración como violaciones de la seguridad. Por consiguiente, los Estados miembros deben garantizar que se suspendan oportunamente la provisión y el uso de las carteras cuya seguridad haya sido violada o puesta en peligro o, cuando proceda, que se retiren.

5)

A fin de asegurar que las reacciones a una violación o una puesta en peligro de la seguridad sean adecuadas, los Estados miembros deben evaluar si una violación o una puesta en peligro de la seguridad de una solución de cartera, de los mecanismos de validación a que se refiere el artículo 5 bis, apartado 8, del Reglamento (UE) n.o 910/2014, o del sistema de identificación electrónica en virtud del cual se proporciona una solución de cartera afecta a la fiabilidad de dicha solución de cartera o de otras soluciones de cartera. Esa evaluación debe basarse en criterios uniformes, como el número y la categoría de usuarios de una cartera, de personas físicas y de partes usuarias de la cartera afectadas, la naturaleza de los datos afectados, la duración de la puesta en peligro o la violación de la seguridad, la limitación de la disponibilidad de un servicio y las pérdidas financieras, y si se han visto comprometidos datos personales. Con arreglo a estos criterios los Estados miembros deben disponer de flexibilidad y discrecionalidad para determinar de manera proporcionada si la fiabilidad de una solución de cartera está afectada y si procede suspender la solución de cartera o, cuando la gravedad de la violación o la puesta en peligro lo justifique, retirarla. Estos criterios no deben desencadenar la retirada automática de una solución de cartera ni la suspensión automática de su provisión y su uso, sino que los Estados miembros deben tenerlos debidamente en cuenta a la hora de decidir si es necesario retirar una solución de cartera o suspender su provisión y su uso.

6)

Debido a la repercusión y las molestias que conlleva la suspensión del uso de las soluciones de cartera, los Estados miembros deberán evaluar si la revocación de declaraciones de unidad de cartera u otras medidas adicionales son necesarias para reaccionar adecuadamente ante la violación o la puesta en peligro de la seguridad.

7)

Para mantener informados a los usuarios de una cartera sobre el estado de sus carteras, se les deberá facilitar información adecuada sobre las violaciones o las puestas en peligro de la seguridad que afecten a estas. Dado que las partes usuarias de las carteras registradas en la Unión pueden verse asimismo afectadas por las violaciones y las puestas en peligro de la seguridad, se les debe transmitir también la información pertinente al respecto.

8)

A fin de mejorar la transparencia y generar confianza en el ecosistema de identidad digital, conviene que la información sobre las violaciones o las puestas en peligro de la seguridad y sobre sus consecuencias comprenda, como mínimo, la información exigida en virtud del presente Reglamento. No obstante, la información relativa a violaciones o puestas en peligro de la seguridad transmitida a los usuarios de una cartera y a las partes usuarias de la cartera debe evaluarse cuidadosamente para prevenir y minimizar el riesgo de su explotación por atacantes.

9)

Para que los usuarios puedan acceder de nuevo a sus unidades de cartera después de que se haya subsanado una violación o una puesta en peligro de la seguridad, el Estado miembro que haya proporcionado las soluciones de cartera deberá restablecer sin demora indebida la provisión y el uso de dichas soluciones. Esto podrá hacerse restableciendo las unidades de cartera, emitiendo unidades de cartera al amparo de una nueva versión de las soluciones de cartera o reemitiendo nuevas declaraciones de unidad de cartera válidas. Los usuarios de una cartera afectados, las partes usuarias de las carteras, los puntos de contacto únicos designados de conformidad con el artículo 46 quater, apartado 1, del Reglamento (UE) n.o 910/2014 y la Comisión deben ser informados en consecuencia.

10)

A fin de garantizar la retirada de las carteras si la violación o la puesta en peligro de su seguridad no se han subsanado en un plazo de tres meses a partir de la suspensión, o cuando esté justificado por la gravedad de la violación o la puesta en peligro de la seguridad, el Estado miembro debe asegurar que las declaraciones de unidad de cartera pertinentes se revoquen y no puedan restituirse a un estado de validez ni expedirse o proporcionarse a unidades de cartera existentes. Además, no deben proporcionarse nuevas unidades de cartera en el marco de la solución de cartera afectada. Con fines de transparencia, los usuarios, las partes usuarias, los puntos de contacto únicos designados de conformidad con el artículo 46 quater, apartado 1, del Reglamento (UE) n.o 910/2014 y la Comisión deben ser informados de la retirada. Esta información incluirá una descripción de las posibles repercusiones para los usuarios de una cartera, en particular en lo que respecta a la gestión de las declaraciones expedidas, o para las partes usuarias de la cartera.

11)

El período de tres meses a partir de la suspensión de la provisión y el uso de una solución de cartera, durante el cual debe subsanarse la violación o la puesta en peligro de la seguridad que haya dado lugar a dicha suspensión, debe constituir un plazo después del cual la solución de cartera deberá retirarse a menos que se haya aplicado una medida correctora adecuada. No obstante, los Estados miembros tienen libertad para exigir que la violación o la puesta en peligro de la seguridad se subsane en un plazo inferior a tres meses, teniendo en cuenta, en particular y cuando proceda, el alcance, la duración y las consecuencias de dicha violación o puesta en peligro. Cuando la violación o la puesta en peligro de la seguridad no se subsane o no se pueda subsanar en el plazo fijado por el Estado miembro, este podrá exigir que la solución de cartera se retire antes de que expire el período de tres meses. Los Estados miembros deben utilizar este período durante el cual ha de subsanarse una violación o una puesta en peligro de la seguridad que haya ocasionado la suspensión de la provisión y el uso de una solución de cartera para preparar la posible retirada de dicha solución de cartera y las comunicaciones conexas.

12)

A fin de reducir la carga administrativa que puede suponer para ellos la transmisión de la información, de conformidad con el presente Reglamento, a la Comisión y a otros Estados miembros, los Estados miembros deben utilizar las herramientas de notificación existentes, como el sistema de notificación y análisis de incidentes cibernéticos (CIRAS), gestionado por la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Por lo que respecta a la utilización de canales o medios alternativos para informar a los usuarios de una cartera afectados por una violación o una puesta en peligro de la seguridad y a las partes usuarias de la cartera, los Estados miembros deben asegurarse de que la información pertinente se facilite de manera clara, completa y fácilmente accesible. Los canales para facilitar dicha información a los usuarios de una cartera afectados y a las partes usuarias de la cartera deben incluir soluciones adecuadas para la retransmisión a través de sitios web, el seguimiento en tiempo real de las actualizaciones de los sitios web y la agregación de noticias.

13)

14)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 31 de enero de 2025.

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014.

1)

«solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera;

2)

«usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera;

3)

«parte usuaria de la cartera»: parte que tiene la intención de confiar en unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital;

4)

«instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera;

5)

«aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas;

6)

«dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas;

7)

«proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera;

8)

«unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera;

9)

«activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que, si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante;

10)

«declaración de unidad de cartera»: objeto de datos que describe los componentes de la unidad de cartera o permite la autenticación y la validación de esos componentes.

a)

los puntos de contacto únicos designados con arreglo al artículo 46 quater, apartado 1, del Reglamento (UE) n.o 910/2014;

b)

la Comisión;

c)

los usuarios de la cartera afectados;

d)

las partes usuarias de la cartera registradas de conformidad con el artículo 5 ter del Reglamento (UE) n.o 910/2014.

a)

el nombre del proveedor de la solución de cartera cuya provisión y uso se hayan suspendido;

b)

el nombre y el identificador de referencia de esa solución de cartera, tal y como esté indicado en la lista de carteras certificadas elaborada de conformidad con el artículo 5 quinquies del Reglamento (UE) n.o 910/2014 y, en su caso, las versiones de que se trate;

c)

la fecha y la hora en que se detectó la violación o la puesta en peligro de la seguridad;

d)

si se conocen, la fecha y la hora en que se hicieron efectivas la violación o la puesta en peligro de la seguridad, sobre la base de registros de redes o sistemas u otras fuentes de datos;

e)

la fecha y hora de la suspensión de la solución de cartera;

f)

los datos de contacto, indicando al menos una dirección de correo electrónico y un número de teléfono correspondientes al Estado miembro que efectúa la notificación y, cuando sea diferente, al proveedor de cartera a que se refiere la letra (a);

g)

una descripción de la violación o la puesta en peligro de la seguridad;

h)

una descripción de los datos que se han puesto en peligro, especificando, en su caso, las categorías de datos personales definidas en el artículo 9, apartado 1, y el artículo 10, del Reglamento (UE) 2016/679;

i)

cuando sea posible, una estimación del número aproximado de usuarios de una cartera afectados y de otras personas físicas afectadas;

j)

una descripción de las posibles repercusiones en las partes usuarias de una cartera o en los usuarios de una cartera y, en el caso de estos, cuando proceda, cualquier indicación de las medidas que puedan adoptar para mitigar esas posibles repercusiones;

k)

una descripción de las medidas adoptadas o previstas para subsanar la violación o la puesta en peligro de la seguridad, junto con una planificación y un plazo para dicha subsanación;

l)

cuando proceda, una descripción de las medidas adoptadas o previstas para trasladar a los usuarios de una cartera afectados a soluciones o servicios de cartera alternativos.

a)

los puntos de contacto únicos designados con arreglo al artículo 46 quater, apartado 1, del Reglamento (UE) n.o 910/2014;

b)

la Comisión;

c)

los usuarios de la cartera afectados;

d)

las partes usuarias de la cartera registradas de conformidad con el artículo 5 ter del Reglamento (UE) n.o 910/2014.

a)

el nombre del proveedor de la solución de cartera que haya sido retirada;

b)

el nombre y el identificador de referencia de esa solución de cartera, tal y como esté indicado en la lista de carteras certificadas elaborada de conformidad con el artículo 5 quinquies del Reglamento (UE) n.o 910/2014 y, en su caso, las versiones de que se trate;

c)

la fecha y la hora en que se detectó la violación o la puesta en peligro de la seguridad que dio lugar a la retirada de la solución de cartera afectada debido a su gravedad o a que no se había subsanado en el plazo de tres meses;

d)

si se conocen, la fecha y la hora en que se hicieron efectivas la violación o la puesta en peligro de la seguridad, sobre la base de registros de redes o sistemas u otras fuentes de datos;

e)

la fecha y hora de la retirada de la solución de cartera y de la revocación efectiva de las declaraciones de unidad de cartera de las unidades de cartera proporcionadas en el marco de la solución de cartera;

f)

si la retirada es el resultado de la gravedad de la violación o la puesta en peligro de la seguridad o es consecuencia de que no se haya subsanado la violación o la puesta en peligro de la seguridad;

g)

los datos de contacto, indicando al menos una dirección de correo electrónico y un número de teléfono correspondientes al Estado miembro que efectúa la notificación y, cuando sea diferente, al proveedor de cartera a que se refiere la letra (a);

h)

una descripción de la violación o la puesta en peligro de la seguridad;

i)

una descripción de los datos que se han puesto en peligro, indicando, en su caso, las categorías de datos personales especificadas en el artículo 9, apartado 1, y en el artículo 10, del Reglamento (UE) 2016/679;

j)

cuando sea posible, una estimación del número aproximado de usuarios de la cartera afectados y de otras personas físicas afectadas;

k)

una descripción de las posibles repercusiones en las partes usuarias de una cartera o en los usuarios de una cartera y, en el caso de estos, cuando proceda, cualquier indicación de las medidas que puedan adoptar para mitigar esas posibles repercusiones;

l)

una descripción de las medidas adoptadas o previstas para trasladar a los usuarios de una cartera afectados a soluciones de cartera alternativas o, cuando sea posible y adecuado, a servicios alternativos.

1.

Los Estados miembros basarán su evaluación de una violación o una puesta en peligro de la seguridad en los siguientes criterios:

2.

Los Estados miembros no tendrán en cuenta las consecuencias previstas de una operación de mantenimiento realizada por las entidades afectadas o en su nombre, siempre que dicha operación de mantenimiento:

3.

Por lo que se refiere al punto 1, letra c), la duración de un incidente que afecte a la disponibilidad se medirá desde el momento en que se interrumpa la prestación adecuada del servicio afectado hasta el momento en que el servicio se restablezca y vuelva a funcionar. Cuando una entidad afectada no pueda determinar el momento en que se produjo la interrupción, la duración del incidente se medirá desde el momento en que este fue detectado o desde el momento en que se dejó constancia de él en el registro de la red o del sistema o en otras fuentes de datos, si esto ocurriera antes. La indisponibilidad total de un servicio se medirá desde el momento en que el servicio quede completamente indisponible para los usuarios hasta el momento en que las actividades u operaciones habituales se hayan restablecido al mismo nivel de servicio que se prestaba antes del incidente. Cuando una entidad afectada no pueda determinar el momento en que se inició la indisponibilidad total de un servicio, esta se medirá a partir del momento en que fue detectada por dicha entidad.

4.

Por lo que se refiere al punto 1, letra d), se considera que la disponibilidad de un servicio es limitada, en particular, cuando el tiempo de respuesta de ese servicio es considerablemente más lento que su tiempo medio de respuesta o cuando no están disponibles todas sus funcionalidades. Cuando sea posible, deberán utilizarse criterios objetivos basados en los tiempos medios de respuesta de los servicios para evaluar los retrasos en el tiempo de respuesta.

5.

Para determinar las pérdidas financieras directas resultantes de una violación o una puesta en peligro de la seguridad a que se refiere el punto 1, letra h), las entidades afectadas tendrán en cuenta todas las pérdidas financieras que hayan sufrido como consecuencia del incidente, como los costes de sustitución o reubicación de software, hardware o infraestructuras, los costes de personal, incluidos los costes asociados a la sustitución o reubicación del personal, la contratación de personal adicional, la remuneración de las horas extraordinarias y la recuperación de las capacidades perdidas o deterioradas, los desembolsos por incumplimiento de las obligaciones contractuales, los costes de reparación y compensación a los clientes, las pérdidas por lucro cesante, los costes asociados a la comunicación interna y externa, y los costes de asesoramiento, incluidos los asociados al asesoramiento jurídico, a los servicios forenses y a los servicios de reparación. Los costes necesarios para el funcionamiento cotidiano de la empresa, como los costes de mantenimiento general de infraestructuras, equipos, hardware y software, las mejoras y las iniciativas de evaluación de riesgos, y las primas de seguros, no se considerarán pérdidas financieras derivadas de un incidente. Las entidades afectadas calcularán los importes de las pérdidas financieras basándose en los datos disponibles y, si no pueden determinarse los importes reales de las pérdidas financieras, harán una estimación de dichos importes.