Estatuko Aldizkari Ofiziala Estatu Agentzia

a)

se suprime el apartado 1;

b)

el apartado 3 se sustituye por el texto siguiente:

«3.   Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, revocarán esas declaraciones, siempre que se hayan expedido con un período de validez de más de veinticuatro horas, al menos en las circunstancias siguientes:

c)

el apartado 4 se sustituye por el texto siguiente:

«4.   Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, establecerán técnicas de revocación y métodos de gestión que protejan la privacidad y dificulten la vinculación o la trazabilidad. Las técnicas de revocación cumplirán los requisitos establecidos en el anexo II.»

a)

tras el apartado 2 se añade el siguiente apartado 2 bis:

«2 bis.   El mecanismo de verificación cumplirá las especificaciones establecidas en el anexo IV.»

b)

el apartado 4 se sustituye por el texto siguiente:

«4.   El resultado de la verificación mencionará si el atributo ha sido verificado o no y especificará el organismo del sector público responsable de la fuente auténtica o, cuando proceda, el organismo del sector público designado para actuar en nombre de la fuente auténtica con la que se ha cotejado el atributo.

El resultado de la verificación será firmado o sellado por el organismo del sector público responsable de una fuente auténtica, o por el intermediario designado reconocido a nivel nacional, utilizando al menos una firma electrónica avanzada basada en un certificado cualificado de firma electrónica o un sello electrónico avanzado basado en un certificado cualificado de sello electrónico, respectivamente.»

[1]

ETSI EN 319 401 V3.2.1 (2026-01): Electronic Signatures and Trust Infrastructures (ESI) [“Firmas electrónicas e infraestructuras de confianza (ESI)”]; General Policy Requirements for Trust Service Providers [“Firmas electrónicas e infraestructuras de confianza (ESI). Requisitos de política general para prestadores de servicios de confianza”, documento en inglés];

[2]

Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: “Agreed Cryptographic Mechanisms” [“Mecanismos criptográficos acordados”, documento en inglés] publicado por la Agencia de la Unión Europea para la Ciberseguridad (“ENISA”);

[3]

FIPS PUB 140-3 (2019) “Security Requirements for Cryptographic Modules” [“Requisitos de seguridad para módulos criptográficos”].

[4]

Reglamento de Ejecución (UE) 2024/482 de la Comisión (1);

[5]

Reglamento de Ejecución (UE) 2024/3144 de la Comisión (2);

[6]

ISO/IEC 15408:2022 (partes 1 a 5): “Seguridad de la información, ciberseguridad y protección de la privacidad. Criterios de evaluación para la seguridad de TI”.

—

dispositivo criptográfico seguro: dispositivo que custodia la clave privada del usuario, la protege de ser puesta en peligro y realiza funciones de firma o descifrado en nombre del usuario.

—

No se aplicará la cláusula 4.2.2.2 “Verification of attributes against authentic sources” [“Verificación de atributos frente a fuentes auténticas”].

—

REQ-EAASP-4.2.2.3-02: El prestador de declaraciones electrónicas de atributos autenticará ante la instancia de cartera europea de identidad digital los mecanismos de autenticación mutua que utilicen un certificado de acceso válido.

—

REQ-EAASP-4.2.2.3-03: El prestador de declaraciones electrónicas de atributos validará la unidad de cartera europea de identidad digital y si se revoca la instancia de cartera europea de identidad digital.

—

No se aplicará la cláusula 4.3.2 “EUDIW Specific” [“Específico de la cartera europea de identidad digital”].

—

REQ-EAASP-6.1-02: El prestador de declaraciones electrónicas de atributos documentará el mecanismo de revocación en la declaración de prácticas de servicios de declaraciones electrónicas de atributos.

—

REQ-EAASP-6.3-02: El prestador de declaraciones electrónicas de atributos establecerá procedimientos para notificar al organismo de supervisión cualquier modificación en la prestación del servicio de declaraciones electrónicas de atributos y la intención de cesar dichas actividades, de conformidad con los requisitos empresariales y las disposiciones legales y reglamentarias pertinentes, también de conformidad con los requisitos de los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014. El prestador de servicios de confianza notificará al organismo de supervisión competente, como mínimo:

—

REQ-EAASP-7.5.2-05: sin efecto.

—

REQ-EAASP-7.5.2-06: sin efecto.

—

REQ-EAASP-7.5.3-01A: Se establecerán controles de seguridad adecuados para la gestión de las claves criptográficas, los algoritmos criptográficos y los dispositivos criptográficos a lo largo de todo su ciclo de vida, siguiendo, cuando proceda, un enfoque de agilidad criptográfica.

—

REQ-EAASP-7.5.3-01B: A efectos de la prestación de sus servicios de confianza, el prestador de declaraciones electrónicas de atributos seleccionará y utilizará técnicas criptográficas adecuadas conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [2].

—

REQ-EAASP-7.5.3-02: El prestador de declaraciones electrónicas de atributos velará por que el dispositivo criptográfico seguro que utilice para la firma o el sello digitales de la declaración electrónica de atributos sea un dispositivo cualificado de creación de firma o sello y por que todas las demás firmas o sellos digitales utilizados para prestar el correspondiente servicio de confianza de declaración electrónica de atributos, o parte del mismo, se creen mediante un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:

Esta certificación se referirá a un objetivo de seguridad o perfil de protección, o a una documentación sobre seguridad y diseño de módulo, que cumpla los requisitos del presente documento, sobre la base de un análisis de riesgos y teniendo en cuenta las medidas de seguridad físicas y otras medidas de seguridad no técnicas.

Si el dispositivo criptográfico seguro cuenta con una certificación EUCC [4][5], dicho dispositivo se configurará y utilizará de conformidad con dicha certificación.

—

REQ-EAASP-7.5.5-01: sin efecto.

—

REQ-EAASP-7.5.5-02: sin efecto.

—

REQ-EAASP-7.5.5-04: sin efecto.

—

REQ-EAASP-7.9-02: Las actividades de seguimiento tendrán en cuenta la sensibilidad de cualquier información recogida o analizada.

—

REQ-EAASP-7.12-04: El plan de cese del prestador de declaraciones electrónicas de atributos cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].

—

REQ-ASIP-6.1.1.2-04-01 [CONDITIONAL]: En caso de que el atributeVerificationResult sea http://uri.etsi.org/19478/VerificationResult/Match o http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, el atributeVerificationResult podrá contener un elemento atributeValue.

—

REQ-ASIP-6.1.1.2-04-02 [CONDITIONAL]: En caso de que el atributeVerificationResult devuelto sea http://uri.etsi.org/19478/VerificationResult/Match y el atributeVerificationResult contenga un elemento atributeValue, el elemento atributeValue contendrá el valor indicado en la solicitud.

—

REQ-ASIP-6.1.1.2-04-03 [CONDITIONAL]: En caso de que el atributeVerificationResult devuelto sea http://uri.etsi.org/19478/VerificationResult/MatchWithVariation y el atributeVerificationResult contenga un elemento atributeValue, el elemento atributeValue contendrá el valor del atributo tal y como se haya almacenado en la fuente auténtica.

—

REQ-ASIP-6.1.1.2-06-04-01 [CONDITIONAL]: En caso de que el fragmentVerificationResult sea http://uri.etsi.org/19478/VerificationResult/Match o http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, el atributeVerificationResult podrá contener un elemento fragmentValue.

—

REQ-ASIP-6.1.1.2-06-04-02 [CONDITIONAL]: En caso de que el fragmentVerificationResult devuelto sea http://uri.etsi.org/19478/VerificationResult/Match y el atributeVerificationResult contenga un elemento fragmentValue, el elemento fragmentValue contendrá el valor indicado en la solicitud.

—

REQ-ASIP-6.1.1.2-06-04-03 [CONDITIONAL]: En caso de que el fragmentVerificationResult devuelto sea http://uri.etsi.org/19478/VerificationResult/MatchWithVariation y el atributeVerificationResult contenga un elemento fragmentValue, el elemento fragmentValue contendrá el valor del fragmento del atributo tal y como se haya almacenado en la fuente auténtica.

—

REQ-ASIP-6.2.3.2.1-08-04: El elemento AttributeVerificationResponse puede incluir exactamente un elemento subordinado (“child element”) de la opción TextValue, XMLValue o AttributeProperties.