Axencia Estatal Boletín Oficial do Estado

(1)

El artículo 24 del Reglamento (UE) n.o 910/2014 exige que los prestadores cualificados de servicios de confianza verifiquen la identidad y, en su caso, los atributos específicos de una persona física o jurídica cuando expidan certificados cualificados o declaraciones electrónicas cualificadas de atributos a dicha persona.

(2)

A fin de garantizar la igualdad de trato y la capacidad de confiar en el resultado del proceso de verificación, todos los prestadores cualificados de servicios de confianza deben llevar a cabo las verificaciones de manera análoga cuando expidan un certificado cualificado o una declaración electrónica cualificada de atributos. De conformidad con los objetivos del Reglamento (UE) n.o 910/2014, se han seleccionado una serie de normas para cumplir estos requisitos específicos. Estas normas deben reflejar las prácticas establecidas y ser ampliamente aceptadas en los sectores pertinentes. Estas normas deben adaptarse para incluir controles adicionales que garanticen la seguridad y la fiabilidad del servicio de confianza cualificado, y facilitar al mismo tiempo la interoperabilidad transfronteriza y el funcionamiento eficaz del mercado interior.

(3)

Debe preverse un período transitorio adecuado para que los prestadores cualificados de servicios de confianza puedan cumplir los requisitos del Reglamento (UE) n.o 910/2014. Con el fin de garantizar un plazo suficiente para la auditoría de los prestadores de servicios de confianza en lo que respecta al cumplimiento de los requisitos del presente Reglamento, este debe empezar a ser aplicable veinticuatro meses después de su entrada en vigor.

(4)

La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (2), la Comisión debe revisar y actualizar el presente Reglamento, en caso necesario, para mantenerlo en consonancia con la evolución mundial, las nuevas tecnologías, normas o especificaciones técnicas y seguir las mejores prácticas del mercado interior.

(5)

(6)

(7)

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (3) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (4) son aplicables a las actividades de tratamiento de datos personales en virtud del presente Reglamento.

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (5), emitió su dictamen el 6 de junio de 2025.

Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014.

—

[1] ETSI EN 319 401 V3.1.1 (2024-06): «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [«Firmas electrónicas e infraestructuras de confianza (ESI); Requisitos de política general para prestadores de servicios de confianza», documento en inglés].

—

[CONDICIONAL] QTS-C3-01: Si la verificación de la identidad para un certificado cualificado o una declaración electrónica cualificada se realiza junto con la verificación de la identidad para expedir pruebas fidedignas, dicho proceso de verificación de la identidad:

—

QTS-C.3.4-06A: El organismo independiente de evaluación de la conformidad mencionado en [CONDICIONAL] QTS -C.3.4-06, letra c), estará acreditado de conformidad con el artículo 3, apartado 18, del Reglamento (UE) n.o 910/2014 y, si se cumplen todos los requisitos aplicables, la evaluación debe dar lugar a un certificado de conformidad basado en una auditoría de certificación. Este proceso de certificación formal se basará en un proceso de evaluación de la seguridad que se remita a los niveles de seguridad definidos para los medios de identificación electrónica notificados o las carteras europeas de identidad digital certificadas con arreglo al Reglamento (UE) n.o 910/2014 e incluirá pruebas rigurosas para evaluar la resistencia frente a posibles amenazas a la seguridad. Estas evaluaciones emplearán las normas técnicas pertinentes para demostrar su solidez frente a tales ataques.

—

USE-9.2.3.4-04: El prestador de servicios de acreditación de la identidad (IPSP) establecerá valores objetivo para la tasa de falsa aceptación (FAR) y la tasa de falso rechazo (RRF), sobre la base de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas, siguiendo la metodología establecida en el informe de ENISA «Methodology for sectoral cybersecurity assessments» («Metodología para las evaluaciones sectoriales de la ciberseguridad», documento en inglés) [i.28] o una metodología equivalente, en procesos de acreditación de identidad totalmente automatizados. Estos valores objetivo serán iguales o inferiores a los establecidos para los casos de uso de carácter híbrido, cuando existan. El IPSP mantendrá estos valores objetivo para la FAR y la RRF de manera coherente, con el apoyo de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas.

—

VAL-8.3.3-21: La eficacia de las medidas para cumplir los requisitos VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A y VAL-8.3.3-07X será sometida a prueba por un laboratorio acreditado o una autoridad nacional competente, siempre que estén designados, a más tardar el 19 de agosto de 2027 y posteriormente cada dos años.

—

OVR-7.12-02: El plan de cese cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].