EIDAS 2014/0910 ES

Un organismo de supervisión, previa solicitud justificada de otro organismo de supervisión, deberá prestar asistencia a dicho organismo con el fin de que las actividades de los organismos de supervisión pueden realizarse en forma coherente. La asistencia mutua podrá incluir, en particular, las solicitudes de información y las medidas de supervisión, tales como las peticiones para que se lleven a cabo inspecciones en relación con los informes de evaluación de la conformidad a que se refieren los artículos 20 y 21.

2. El organismo de supervisión al que se haya dirigido una solicitud de asistencia podrá denegar dicha solicitud por alguno de los motivos siguientes:

a)	el organismo de supervisión no es competente para prestar la asistencia solicitada;

b)	la asistencia solicitada no guarda proporción con las actividades de supervisión del organismo de supervisión realizadas de conformidad con el artículo 17;

c)	la prestación de la asistencia solicitada sería incompatible con el presente Reglamento.

3. Cuando proceda, los Estados miembros podrán autorizar a sus respectivos organismos de supervisión para que lleven a cabo investigaciones conjuntas con participación de personal de los organismos de supervisión de otros Estados miembros. Los acuerdos y procedimientos para dichas actividades conjuntas serán aprobadas y establecidas por los Estados miembros de que se trate de conformidad con sus legislaciones nacionales.

Artículo 19

Requisitos de seguridad aplicables a los prestadores de servicios de confianza

1. Los prestadores cualificados y no cualificados de servicios de confianza adoptarán las medidas técnicas y organizativas adecuadas para gestionar los riesgos para la seguridad de los servicios de confianza que prestan. Habida cuenta de los últimos avances tecnológicos, dichas medidas garantizarán un nivel de seguridad proporcionado al grado de riesgo. En particular, se adoptarán medidas para evitar y reducir al mínimo el impacto de los incidentes de seguridad e informar a los interesados de los efectos negativos de cualquiera de tales incidentes.

2. Los prestadores cualificados y no cualificados de servicios de confianza, sin demoras indebidas pero en cualquier caso en un plazo de 24 horas tras tener conocimiento de ellas, notificarán al organismo de supervisión y, en caso pertinente, a otros organismo relevantes como el organismo nacional competente en materia de seguridad de la información, o la autoridad de protección de datos, cualquier violación de la seguridad o pérdida de la integridad que tenga un impacto significativo en el servicio_de_confianza prestado o en los datos personales correspondientes.

Cuando la violación de seguridad o la pérdida de integridad puedan atentar contra una persona física o jurídica a la que se ha prestado el servicio_de_confianza, el prestador_de_servicios_de_confianza notificará también a la persona física o jurídica, sin demora indebida, la violación de seguridad o la pérdida de integridad.

Cuando proceda, en particular si una violación de la seguridad o pérdida de la integridad afecta a dos o más Estados miembros, el organismo de supervisión notificado informará al respecto a los organismos de supervisión de los demás Estados miembros de que se trate y a la ENISA.

El organismo de supervisión notificado informará al público o exigirá al prestador_de_servicios_de_confianza que lo haga, en caso de considerar que la divulgación de la violación de seguridad o la pérdida de integridad reviste interés público.

3. El organismo de supervisión facilitará a la ENISA anualmente un resumen de las notificaciones de violación de la seguridad y pérdida de la integridad recibidas de los prestadores de servicios de confianza.

4. La Comisión podrá, mediante actos de ejecución, establecer:

a)	una mayor especificación de las medidas a que se refiere el apartado 1, y

b)	la definición de los formatos y procedimientos, incluidos los plazos, aplicables a efectos del apartado 2.

Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

SECCIÓN 3

Servicios de confianza cualificados

Artículo 52

Entrada en vigor

1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2. El presente Reglamento será aplicable a partir del 1 de julio de 2016, a excepción de las disposiciones siguientes:

los artículos 8, apartado 3, 9, apartado 5, 12, apartados 2 a 9, 17, apartado 8, 19, apartado 4, 20, apartado 4, 21, apartado 4, 22, apartado 5, 23, apartado, 3, 24, apartado 5, 27, apartados 4 y 5, 28, apartado 6, 29, apartado 2, 30, apartados 3 y 4, 31, apartado 3, 32, apartado 3, 33, apartado 2, 34, apartado 2, 37, apartados 4 y 5, 38, apartado 6, 42, apartado 2, 44, apartado 2, 45, apartado 2, y los artículos 47 y 48 se aplicarán a partir del 17 de septiembre de 2014;

b)	el artículo 7, el artículo 8, apartados 1 y 2, los artículos 9, 10, 11 y el artículo 12, apartado 1, se aplicarán a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8;

c)	el artículo 6 se aplicará a partir de los tres años de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8.

3. Cuando el sistema de identificación_electrónica notificado esté incluido en la lista publicada por la Comisión con arreglo al artículo 9 antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo, el reconocimiento de los medios de identificación_electrónica expedidos bajo dicho sistema en virtud del artículo 6 se llevará a cabo a más tardar 12 meses después de la publicación de dicho sistema, pero no antes de la fecha mencionada en la letra c) del apartado 2 del presente artículo.

4. No obstante lo dispuesto en la letra c) del apartado 2 del presente artículo, un Estado miembro podrá decidir que los medios de identificación_electrónica con arreglo al sistema de identificación_electrónica notificado de conformidad con el artículo 9, apartado 1, por otro Estado miembro se reconozcan en el primer Estado miembro a partir de la fecha de aplicación de los actos de ejecución previstos en los artículos 8, apartado 3, y 12, apartado 8. Los Estados miembros de que se trate se lo comunicarán a la Comisión. La Comisión hará pública esa información.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 23 de julio de 2014.

Por el Parlamento

El Presidente

M. SCHULZ

Por el Consejo

El Presidente

S. GOZI

(1) DO C 351 de 15.11.2012, p. 73.

(2) Posición del Parlamento Europeo y del Consejo de 3 de abril de 2014 (no publicada aún en el Diario Oficial) y Decisión del Consejo de 23 de julio de 2014.

(3) Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma_electrónica (DO L 13 de 19.1.2000, p. 12).

(4) DO C 50 de 21.2.2012, p. 1.

(5) Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior (DO L 376 de 27.12.2006, p. 36).

(6) Directiva 2011/24/UE del Parlamento Europeo y del Consejo, de 9 de marzo de 2011, relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza (DO L 88 de 4.4.2011, p. 45).

(7) Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31).

(8) Decisión 2010/48/CE del Consejo, de 26 de noviembre de 2009, relativa a la celebración, por parte de la Comunidad Europea, de la Convención de las Naciones Unidas sobre los Derechos de las Personas con Discapacidad (DO L 23 de 27.1.2010, p. 35).

(9) Reglamento (CE) no 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) no 339/93 (DO L 218 de 13.8.2008, p. 30).

(10) Decisión 2009/767/CE de la Comisión, de 16 de octubre de 2009, por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las ventanillas únicas con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 274 de 20.10.2009, p. 36).

(11) Decisión 2011/130/UE de la Comisión, de 25 de febrero de 2011, por la que se establecen los requisitos mínimos para el tratamiento transfronterizo de los documentos firmados electrónicamente por las autoridades competentes en virtud de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior (DO L 53 de 26.2.2011, p. 66).

(12) Reglamento (UE) no 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(13) Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(14) DO C 28 de 30.1.2013, p. 6.

(15) Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65).

ANEXO I

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE FIRMA ELECTRÓNICA

Los certificados cualificados de firma_electrónica contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de firma_electrónica;

un conjunto de datos que represente inequívocamente al prestador_cualificado_de_servicios_de_confianza que expide los certificados cualificados, incluyendo como mínimo el Estado miembro en el que dicho prestador está establecido, y

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos el nombre del firmante o un seudónimo; si se usara un seudónimo, se indicará claramente;

d)	datos_de_ validación de la firma_electrónica que correspondan a los datos de creación de la firma_electrónica;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación de firma_electrónica relacionados con los datos_de_ validación de firma_electrónica se encuentren en un dispositivo cualificado de creación de firma_electrónica, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO II

REQUISITOS DE LOS DISPOSITIVOS CUALIFICADOS DE CREACIÓN DE FIRMA ELECTRÓNICA

Los dispositivos cualificados de creación de firma_electrónica garantizarán como mínimo, por medios técnicos y de procedimiento adecuados, que:

a)	esté garantizada razonablemente la confidencialidad de los datos de creación de firma_electrónica utilizados para la creación de firmas electrónicas;

b)	los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica solo puedan aparecer una vez en la práctica;

c)	exista la seguridad razonable de que los datos de creación de firma_electrónica utilizados para la creación de firma_electrónica no pueden ser hallados por deducción y de que la firma está protegida con seguridad contra la falsificación mediante la tecnología disponible en el momento;

d)	los datos de creación de la firma_electrónica utilizados para la creación de firma_electrónica puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por otros.

Los dispositivos cualificados de creación de firmas electrónicas no alterarán los datos que deben firmarse ni impedirán que dichos datos se muestren al firmante antes de firmar.

La generación o la gestión de los datos de creación de la firma_electrónica en nombre del firmante solo podrán correr a cargo de un prestador_cualificado_de_servicios_de_confianza.

Sin perjuicio de la letra d) del punto 1, los prestadores cualificados de servicios de confianza que gestionen los datos de creación de firma_electrónica en nombre del firmante podrán duplicar los datos de creación de firma únicamente con objeto de efectuar una copia de seguridad de los citados datos siempre que se cumplan los siguientes requisitos:

a)	la seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales;

b)	el número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio.

ANEXO III

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE SELLO ELECTRÓNICO

Los certificados cualificados de sello_electrónico contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de sello_electrónico;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

c)	al menos, el nombre del creador del sello y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	los datos_de_ validación del sello_electrónico que correspondan a los datos de creación del sello_electrónico;

e)	los datos relativos al inicio y final del período de validez del certificado;

f)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

g)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

h)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra g);

i)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado;

j)	cuando los datos de creación del sello_electrónico relacionados con los datos_de_ validación del sello_electrónico se encuentren en un dispositivo cualificado de creación de sellos electrónicos, una indicación adecuada de esto, al menos en una forma apta para el procesamiento automático.

ANEXO IV

REQUISITOS DE LOS CERTIFICADOS CUALIFICADOS DE AUTENTICACIÓN DE SITIOS WEB

Los certificados cualificados de autenticación de sitios web contendrán:

a)	una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de autenticación de sitio web;

—	para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales,

—	para personas físicas, el nombre de la persona;

para personas físicas: al menos el nombre de la persona a la que se expida el certificado, o un seudónimo; si se usara un seudónimo, se indicará claramente;

para personas jurídicas: al menos el nombre de la persona jurídica a la que se expida el certificado y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales;

d)	elementos de la dirección, incluida al menos la ciudad y el Estado, de la persona física o jurídica a quien se expida el certificado, y, cuando proceda, según figure en los registros oficiales;

e)	el nombre o los nombres de dominio explotados por la persona física o jurídica a la que se expida el certificado;

f)	los datos relativos al inicio y final del período de validez del certificado;

g)	el código de identidad del certificado, que debe ser único para el prestador_cualificado_de_servicios_de_confianza;

h)	la firma_electrónica avanzada o el sello_electrónico avanzado del prestador_de_servicios_de_confianza expedidor;

i)	el lugar en que está disponible gratuitamente el certificado que respalda la firma_electrónica avanzada o el sello_electrónico avanzado a que se hace referencia en la letra h);

j)	la localización de los servicios que pueden utilizarse para consultar el estado de validez del certificado cualificado.

whereas

(8) La Directiva 2006/123/CE del Parlamento Europeo y el Consejo (5) o exige a los Estados miembros establecer «ventanillas únicas» para garantizar que todos los procedimientos y trámites relativos al acceso a una actividad de servicios y a su ejercicio se puedan realizar fácilmente, a distancia y por vía electrónica, a través de la ventanilla única adecuada y con las autoridades competentes.
Ahora bien, muchos servicios en línea accesibles a través de ventanillas únicas exigen la identificación, autenticación y firma_electrónicas.

- = -

(45) A fin de permitir un proceso de puesta en marcha eficiente, que lleve a la inclusión de los prestadores cualificados de servicios de confianza y de los servicios de confianza cualificados que prestan en listas de confianza, deben fomentarse las interacciones preliminares entre los candidatos a prestadores cualificados de servicios de confianza y el organismo de supervisión competente con vistas a facilitar la diligencia debida que lleve a la prestación de servicios de confianza cualificados.

- = -

(50) Dado que las autoridades competentes en los Estados miembros usan actualmente formatos de firma_electrónica avanzada diferentes para firmar electrónicamente sus documentos, es preciso velar por que los Estados miembros puedan soportar técnicamente al menos una serie de formatos de firma_electrónica avanzada cuando reciban documentos firmados electrónicamente.
Del mismo modo, cuando las autoridades competentes de los Estados miembros utilicen sellos electrónicos avanzados, sería necesario garantizar que soporten al menos una serie de formatos de sello_electrónico avanzado.

- = -

keyboard_tab EIDAS 2014/0910 ES

EIDAS 2014/0910 ES