State Agency Official State Gazette
Content not available in English
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (1), y en particular su artículo 20, apartado 4,
Considerando lo siguiente:
|
(1) |
De conformidad con el artículo 20, apartado 1, y el artículo 21, apartado 1, del Reglamento (UE) n.o 910/2014, los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan deben ser auditados por organismos de evaluación de la conformidad. Los informes de evaluación de la conformidad resultantes confirman si se cumplen los requisitos establecidos en dicho Reglamento y en el artículo 21 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (2). Por consiguiente, es necesario establecer un marco armonizado y sólido para la acreditación de los organismos de evaluación de la conformidad, los sistemas de evaluación de la conformidad que aplican, las evaluaciones de la conformidad que realizan con arreglo a dichos sistemas y los informes de evaluación de la conformidad resultantes. |
|
(2) |
La acreditación de los organismos de evaluación de la conformidad que evalúan a los prestadores cualificados de servicios de confianza y de los servicios de confianza cualificados que prestan, el informe de evaluación de la conformidad y el sistema de evaluación de la conformidad deben cumplir los requisitos establecidos en el presente Reglamento. Los organismos de evaluación de la conformidad podrán satisfacer estos requisitos de forma independiente, utilizando una certificación compuesta o subcontratando a entidades debidamente acreditadas. |
|
(3) |
Los organismos de evaluación de la conformidad acreditados para evaluar a los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan en lo que respecta a la expedición de declaraciones electrónicas cualificadas de atributos deben estar autorizados a emitir el informe de evaluación de la conformidad exigido por el artículo 45 septies, apartado 3, del Reglamento (UE) n.o 910/2014. |
|
(4)
(5) |
Para contribuir a la transparencia del proceso de acreditación, el certificado de acreditación expedido a un organismo de evaluación de la conformidad con arreglo al artículo 5 del Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo (3) debe contener información suficiente para que terceros puedan verificar que el organismo de evaluación de la conformidad acreditado está autorizado a llevar a cabo una evaluación de la conformidad con arreglo al Reglamento (UE) n.o 910/2014.
Para mantener la integridad y exactitud de los certificados de acreditación, los organismos nacionales de acreditación deben velar por que estos certificados reflejen información actualizada. |
|
(6) |
Para garantizar la integridad del proceso de acreditación, el certificado de acreditación expedido a un organismo de evaluación de la conformidad podrá ser objeto de suspensión o retirada en cualquier momento por cada servicio de confianza cualificado que el organismo de evaluación de la conformidad haya sido acreditado para evaluar. La suspensión o la retirada pueden producirse tras haber sido sancionadas por el organismo nacional de acreditación o voluntariamente por el propio organismo de evaluación de la conformidad. |
|
(7)
(8) |
A efectos de la armonización de este marco de acreditación, el presente Reglamento debe basarse en normas establecidas, que reflejen prácticas establecidas y que estén ampliamente reconocidas en los sectores pertinentes.
Para aumentar la transparencia, los organismos de evaluación de la conformidad deben poner a disposición del público los certificados de conformidad que expidan. Los certificados de conformidad confirman las decisiones de certificación positivas adoptadas por los organismos de evaluación de la conformidad. Sin embargo, el organismo de supervisión solo concede o retira la cualificación al prestador de servicios de confianza y a los servicios de confianza que presta. |
|
(9) |
Para evaluar la conformidad de los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan con el Reglamento (UE) n.o 910/2014 y con el artículo 21 de la Directiva (UE) 2022/2555, los organismos de evaluación de la conformidad deben utilizar un sistema de evaluación de la conformidad. Los organismos de evaluación de la conformidad deben aplicar normas como referencias para evaluar a los proveedores de servicios de confianza cualificados y los servicios de confianza cualificados que prestan, teniendo en cuenta las versiones y adaptaciones de estas normas establecidas en los actos de ejecución específicos para estos servicios sobre la base del Reglamento (UE) n.o 910/2014. Estas normas deben reflejar las prácticas establecidas y ser ampliamente aceptadas en los sectores pertinentes. |
|
(10) |
Los sistemas de evaluación de la conformidad establecen las normas y procedimientos que deben utilizar los organismos de evaluación de la conformidad en sus evaluaciones de los proveedores de servicios de confianza cualificados y de los servicios de confianza cualificados que prestan. Estos sistemas son evaluados por los organismos nacionales de acreditación con arreglo a los requisitos establecidos en el presente Reglamento. El contenido de estos regímenes está sujeto a cambios a lo largo del tiempo. Para facilitar la aplicación de versiones sucesivas de los regímenes de evaluación de la conformidad, los organismos de evaluación de la conformidad acreditados deben establecer un proceso específico para gestionar la evolución de un sistema para el que estén acreditados. |
|
(11) |
Para supervisar el desarrollo y el mantenimiento de los sistemas de evaluación de la conformidad, debe asignarse a cada sistema un propietario. Los organismos de evaluación de la conformidad, los organismos gubernamentales o una autoridad, una asociación comercial, un grupo de organismos de evaluación de la conformidad o cualquier organismo o grupo de organismos adecuados podrían ser un propietarios de los sistemas y ser diferentes del organismo de evaluación de la conformidad que gestione el sistema. |
|
(12) |
Para garantizar la continuidad de la prestación de sus servicios, la acreditación de los organismos de evaluación de la conformidad debe seguir siendo válida para versiones anteriores de las normas mencionadas en el sistema de evaluación de la conformidad. En esos casos, los organismos de evaluación de la conformidad deben hacer referencia explícita a las versiones anteriores de las normas, incluidos el año y el número de versión. |
|
(13) |
Para aumentar la flexibilidad, debe permitirse a los organismos nacionales de acreditación ofrecer una acreditación de alcance flexible que permita a los organismos de evaluación de la conformidad, en circunstancias específicas, incluir actividades adicionales en su ámbito de acreditación sin necesidad de una evaluación por parte del organismo nacional de acreditación. Al diseñar la acreditación de alcance flexible, los organismos nacionales de acreditación considerarán la acreditación de los alcances flexibles establecidos por la cooperación europea para la acreditación, designados de conformidad con el Reglamento (CE) n.o 765/2008. Cuando los organismos nacionales de acreditación permitan a los organismos de evaluación de la conformidad hacer uso de dicha acreditación de alcance flexible, deben indicarlo en el certificado de acreditación a efectos de transparencia. Para aumentar la flexibilidad, incluso cuando los organismos nacionales de acreditación no ofrezcan una acreditación de alcance flexible, deben considerar cuidadosamente, antes de volver a evaluar al organismo de evaluación de la conformidad acreditado, el impacto de los cambios en el sistema de evaluación de la conformidad para el que dicho organismo ha sido acreditado. |
|
(14) |
Para garantizar la fiabilidad de los sistemas de evaluación de la conformidad, los propietarios deben asegurarse de que estos no permitan la emisión de decisiones de certificación positivas, ni de ningún certificado de conformidad, cuando la evaluación de la conformidad dé lugar a la determinación de la no conformidad con los requisitos del Reglamento (UE) n.o 910/2014 o del artículo 21 de la Directiva (UE) 2022/2555, en lo que respecta a los prestadores cualificados de servicios de confianza y al servicio de confianza cualificado que prestan. De hecho, si bien los informes de evaluación de la conformidad podrían incluir incumplimientos y posibles planes correctores, no debe emitirse ningún certificado de conformidad ni una decisión de certificación positiva cuando se detecte cualquier no conformidad. |
|
(15) |
Para garantizar la transparencia de sus prácticas, los propietarios de los sistemas deben poner a disposición del público un resumen de sus sistemas de evaluación de la conformidad. El resumen debe contener una descripción del conjunto de normas y procedimientos seguidos para la evaluación de la conformidad de los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan con los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y con el artículo 21 de la Directiva (UE) 2022/2555. |
|
(16) |
Para apoyar la calidad, seguridad y fiabilidad de las actividades del prestador cualificado de servicios de confianza, el informe de evaluación de la conformidad debe identificar, cuando proceda, oportunidades de mejora que puedan perfeccionar la manera en que el prestador cualificado de servicios de confianza y los servicios de confianza cualificados que prestan cumplen los requisitos aplicables. |
|
(17) |
Para apoyar la transparencia y facilitar la verificación por parte de los organismos de supervisión de que un prestador cualificado de servicios de confianza evaluado y los servicios de confianza cualificados que prestan cumplen los requisitos aplicables, el informe de evaluación de la conformidad debe incluir determinada información mínima. En particular, con el fin de facilitar la identificación de las entradas de servicios que deben figurar en la lista de confianza nacional de conformidad con el artículo 22 del Reglamento (UE) n.o 910/2014, cuando proceda, debe facilitarse en el informe de evaluación de la conformidad una descripción detallada de la jerarquía funcional de la infraestructura de clave pública, por tipo de servicio de confianza cualificado. |
|
(18) |
Para apoyar la transparencia y facilitar la verificación y el seguimiento de la acreditación de los organismos de evaluación de la conformidad con arreglo al Reglamento (UE) n.o 910/2014, los organismos nacionales de acreditación deben, cuando proceda, proporcionar un historial del alcance de la acreditación, que incluya la fecha de inicio y, en su caso, de finalización de la acreditación para cada servicio de confianza cualificado. |
|
(19) |
Para garantizar la continuidad de los organismos de evaluación de la conformidad que ya hayan sido acreditados y apoyar la transición a las normas establecidas en el presente Reglamento, los organismos de evaluación de la conformidad que estén acreditados actualmente con arreglo a la norma ETSI EN 319 403 versión 2.2.2, o a una versión anterior de la misma, no tendrían que volver a acreditarse con arreglo al Reglamento (UE) n.o 910/2014 hasta el 17 de mayo de 2027. Después de esta fecha, los organismos de evaluación de la conformidad deben ser evaluados por el organismo nacional de acreditación con respecto a los requisitos establecidos en el presente Reglamento. |
|
(20) |
La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas o especificaciones técnicas. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (4), la Comisión debe revisar y actualizar el presente Reglamento de Ejecución, en caso necesario, para mantenerlo en consonancia con la evolución mundial, las nuevas tecnologías, normas o especificaciones técnicas y seguir las mejores prácticas del mercado interior. |
|
(21)
(22)
(23) |
El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5) y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (6) son aplicables a las actividades de tratamiento de datos personales en virtud del presente Reglamento.
El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (7), emitió su dictamen el 8 de agosto de 2025 (8).
Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 48 del Reglamento (UE) n.o 910/2014. |
HA ADOPTADO EL PRESENTE REGLAMENTO:
Definiciones
A efectos del presente Reglamento, se aplicarán las definiciones siguientes:
|
1) |
«propietario del sistema»: entidad o grupo de entidades que es responsable de desarrollar y mantener un sistema de evaluación de la conformidad; |
|
2) |
«decisión de certificación»: una decisión de certificación que sigue a una evaluación de la conformidad realizada por un organismo de evaluación de la conformidad cuando dicho organismo confirma positiva o negativamente la conformidad de un prestador cualificado de servicios de confianza específico y del servicio de confianza cualificado que presta con los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y con el artículo 21 de la Directiva (UE) 2022/2555; |
|
3) |
«certificado de conformidad»: documento mediante el cual un organismo de evaluación de la conformidad da fe de una decisión de certificación que confirma positivamente que un prestador cualificado de servicios de confianza específico y el servicio de confianza cualificado que presta cumplen los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y en el artículo 21 de la Directiva (UE) 2022/2555; |
|
4) |
«sistema de evaluación de la conformidad»: conjunto de normas y procedimientos que deben utilizar los organismos de evaluación de la conformidad a efectos de la evaluación de la conformidad de los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan con los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y con el artículo 21 de la Directiva (UE) 2022/2555; |
|
5) |
«informe de evaluación de la conformidad»: documento que proporciona información detallada, cuando proceda complementaria de la contenida en una decisión de certificación y el certificado de conformidad asociado, sobre el método utilizado para llevar a cabo, con arreglo a un sistema de evaluación de la conformidad, una evaluación de la conformidad de un prestador cualificado de servicios de confianza específico y del servicio de confianza cualificado que presta con los requisitos del Reglamento (UE) n.o 910/2014 y del artículo 21 de la Directiva (UE) 2022/2555, así como sobre los resultados de la evaluación de la conformidad; |
|
6) |
«acreditación»: una acreditación según se define en el artículo 2, punto 10, del Reglamento (CE) n.o 765/2008; |
|
7) |
«acreditación de alcance flexible»: acreditación en la que se detallan las actividades específicas de evaluación de la conformidad para las que se solicita o se ha concedido la acreditación con el fin de que los organismos de evaluación de la conformidad puedan introducir cambios en la metodología y otros parámetros que sean competencia del organismo de evaluación de la conformidad, según lo confirmado por el organismo nacional de acreditación; |
|
8) |
«organismo nacional de acreditación»: un organismo nacional de acreditación según se define en el artículo 2, punto 11, del Reglamento (CE) n.o 765/2008; |
Acreditación de organismos de evaluación de la conformidad
1. A efectos de la adopción de decisiones de certificación con arreglo a un sistema específico de evaluación de la conformidad, los organismos de evaluación de la conformidad estarán acreditados con arreglo a la norma EN ISO/IEC 17065:2012, complementada por la norma ETSI EN 319 403-1 v2.3.1.
2. La acreditación de los organismos de evaluación de la conformidad a que se refiere el apartado 1 será realizada por un organismo nacional de acreditación de conformidad con la norma EN ISO/IEC 17011:2017.
Certificado de acreditación expedido a organismos de evaluación de la conformidad
1. Los organismos nacionales de acreditación velarán por que los certificados de acreditación que expidan a los organismos de evaluación de la conformidad contengan, como mínimo, la siguiente información:
|
a) |
el código de identidad único del certificado de acreditación; |
|
b) |
la fecha de expedición del certificado de acreditación; |
|
c) |
el nombre y el país, tal como figuren en los registros oficiales nacionales, del organismo nacional de acreditación que expide el certificado de acreditación; |
|
d) |
el nombre y, en su caso, el número de registro, tal como figuren en los registros oficiales nacionales, del organismo de evaluación de la conformidad acreditado; |
|
e) |
el alcance de la acreditación, con respecto a uno o varios de los siguientes servicios de confianza cualificados: — la expedición de certificados cualificados de firma electrónica; — la expedición de certificados cualificados de sello electrónico; — la expedición de certificados cualificados de autenticación de sitios web; — el servicio de validación cualificado de firmas electrónicas cualificadas; — el servicio de validación cualificado de sellos electrónicos cualificados; — el servicio de conservación cualificado de firmas electrónicas cualificadas; — el servicio de conservación cualificado de sellos electrónicos cualificados; — la creación de sellos de tiempo electrónicos cualificados; — la prestación de servicios cualificados de entrega electrónica certificada; — el servicio cualificado para la gestión de dispositivos cualificados de creación de firma electrónica a distancia; — el servicio cualificado para la gestión de dispositivos cualificados de creación de sello electrónico a distancia; — la prestación de servicios cualificados de archivo electrónico; — la expedición de declaraciones electrónicas cualificadas de atributos; — la actividad de registro de datos electrónicos en un libro mayor electrónico cualificado. |
|
f) |
la identificación del sistema de evaluación de la conformidad para el que el organismo de evaluación de la conformidad ha sido acreditado, incluida, cuando proceda, la versión específica de tal sistema; |
|
g) |
la indicación del uso de la acreditación de alcance flexible, cuando proceda; |
|
h) |
la identificación, cuando proceda, del documento en el que se describa el proceso de diseño y aplicación de la acreditación de alcance flexible. |
2. Los organismos nacionales de acreditación se asegurarán de que la fecha de inicio y, en su caso, la fecha de expiración de la acreditación del organismo de evaluación de la conformidad para llevar a cabo la evaluación de la conformidad de los servicios de confianza cualificados a que se refiere el apartado 1, letra e), incluidas las fechas específicas para cada servicio de confianza cualificado, según proceda, formen parte de los detalles de acreditación a que se refiere el artículo 20, apartado 1 ter, del Reglamento (UE) n.o 910/2014.
3. Los organismos nacionales de acreditación velarán por que cualquier cambio pertinente introducido en relación con la información facilitada de conformidad con el apartado 1 quede claramente reflejado en el certificado de acreditación.
4. El certificado de acreditación describirá claramente el alcance de la acreditación del organismo de evaluación de la conformidad, con arreglo al artículo 2, apartado 1.
Reconsideración de la acreditación existente
1. El propietario del sistema aplicará procedimientos para realizar el seguimiento de cualquier cambio en las normas mencionadas en el artículo 2, apartado 1, o en el artículo 6, apartado 3, o en un sistema de evaluación de la conformidad del que sea propietario y sobre cuya base se haya acreditado un organismo de evaluación de la conformidad con arreglo al artículo 2.
2. El propietario del sistema notificará oportunamente al organismo nacional de acreditación los cambios detectados como resultado de los procedimientos a que se refiere el apartado 1.
3. Cuando el organismo nacional de acreditación no haya aplicado la acreditación de alcance flexible a los organismos de evaluación de la conformidad acreditados, el organismo nacional de acreditación determinará si los cambios, determinados como resultado de los procedimientos a que se refiere el apartado 1, pueden afectar significativamente a la capacidad de los organismos de evaluación de la conformidad acreditados para realizar evaluaciones de la conformidad con arreglo a los sistemas para los que han sido acreditados.
4. Si el organismo nacional de acreditación determina, con arreglo al apartado 3, que los cambios afectan a la capacidad de los organismos de evaluación de la conformidad para realizar evaluaciones de la conformidad, pedirá al organismo de evaluación de la conformidad que adopte las medidas adecuadas en un plazo razonable prescrito.
5. Si el organismo de evaluación de la conformidad no puede o no quiere adoptar las medidas mencionadas en el apartado 4 en el plazo prescrito, el organismo nacional de acreditación retirará o suspenderá inmediatamente la acreditación.
6. Si el organismo nacional de acreditación determina, con arreglo al apartado 3, que los cambios no afectan a la capacidad de los organismos de evaluación de la conformidad para realizar evaluaciones de la conformidad, podrá, si procede, ampliar la validez y el alcance de la acreditación del organismo de evaluación de la conformidad evaluado.
7. Cuando proceda, el organismo nacional de acreditación actualizará el certificado de acreditación de manera oportuna para reflejar el resultado de la reconsideración de la acreditación con arreglo al presente artículo.
8. Cuando un organismo de evaluación de la conformidad reciba una solicitud con arreglo al apartado 4, comunicará oportunamente a cualquier prestador cualificado de servicios de confianza que haya evaluado previamente con arreglo al sistema de evaluación de la conformidad pertinente cualquier impacto que la reconsideración de la acreditación del organismo de evaluación de la conformidad pueda tener en dichos prestadores cualificados de servicios de confianza, también con respecto a futuras decisiones de certificación adoptadas por el organismo de evaluación de la conformidad con arreglo a dicho sistema.
Organismos de evaluación de la conformidad
1. Los organismos de evaluación de la conformidad pondrán a disposición del público los certificados de conformidad que expidan en un repositorio mantenido por el organismo de evaluación de la conformidad a tal efecto.
2. Toda subcontratación por parte del organismo de evaluación de la conformidad de la realización de las actividades de evaluación de la conformidad tendrá debidamente en cuenta la naturaleza de la actividad que deba realizarse. El organismo de evaluación de la conformidad se asegurará de que el subcontratista cumple las normas establecidas en el anexo I para la actividad específica subcontratada.
3. Al emitir una decisión de certificación, los organismos de evaluación de la conformidad se asegurarán de que el prestador cualificado de servicios de confianza al que se refiere la decisión pueda presentar a los organismos de supervisión los informes completos de evaluación de la conformidad correspondientes a dicha decisión.
Sistemas de evaluación de la conformidad
1. Cada sistema de evaluación de la conformidad identificará a su propietario.
2. Un sistema de evaluación de la conformidad se ajustará al esquema tipo 6 de la norma EN ISO/IEC 17067:2013 y a los requisitos establecidos en el presente artículo.
3. Los propietarios de los sistemas se asegurarán de que sus sistemas de evaluación de la conformidad incluyan, como mínimo, las normas, según proceda, establecidas en el anexo II, indicando el año y el número de versión de dichas normas.
4. Los propietarios de los sistemas se asegurarán de que, cuando sea aplicable una acreditación de alcance flexible, esto se indique en el sistema de evaluación de la conformidad.
5. Los propietarios de los sistemas se asegurarán de que sus sistemas de evaluación de la conformidad establezcan procesos y procedimientos relativos, como mínimo, a lo siguiente:
|
a) |
recibir y tramitar las reclamaciones al propietario del sistema sobre la aplicación del sistema de evaluación de la conformidad; |
|
b) |
las notificaciones del organismo de evaluación de la conformidad al organismo de supervisión designado con arreglo al artículo 46 ter, apartado 1, del Reglamento (UE) n.o 910/2014 sobre la expedición de certificados de conformidad y cualquier modificación de estos; |
|
c) |
la subcontratación de la realización de las actividades de evaluación de la conformidad por parte del organismo de evaluación de la conformidad, cuando proceda; |
|
d) |
la realización de actividades de vigilancia anuales sobre la base de los requisitos aplicables del apartado 7.9 de la norma ISO/IEC 17065:2012; |
|
e) |
la gestión y la notificación por parte del prestador cualificado de servicios de confianza al organismo de evaluación de la conformidad y al organismo de supervisión competente de cualquier cambio que afecte al funcionamiento de los prestadores cualificados de servicios de confianza o de los servicios de confianza cualificados que prestan; |
|
f) |
la verificación de las pruebas que demuestren que el organismo de evaluación de la conformidad: — tiene conocimientos y experiencia suficientes en la aplicación de normas específicas relacionadas con el servicio de confianza cualificado prestado por el prestador cualificado de servicios de confianza a que se refiere el apartado 3; — tiene experiencia profesional en evaluación de la conformidad en al menos tres evaluaciones de proveedores de servicios de confianza o tres evaluaciones de sistemas de gestión de la seguridad de la información; y — puede garantizar la disponibilidad de un equipo de al menos dos personas cualificadas con los conocimientos especializados necesarios para llevar a cabo dicha evaluación de la conformidad. |
6. Los propietarios de los sistemas se asegurarán de que sus planes de evaluación de la conformidad exijan que los prestadores cualificados de servicios de confianza dispongan de procesos, procedimientos e instrucciones de trabajo para notificar al organismo de evaluación de la conformidad al menos un mes antes de que los prestadores cualificados de servicios de confianza apliquen cualquier cambio significativo en la prestación de los servicios de confianza cualificados certificados con arreglo a dicho sistema y al menos tres meses antes de que tengan la intención de poner fin a la prestación de los servicios o a partes de estos.
7. Los propietarios de los sistemas se asegurarán de que sus regímenes de evaluación de la conformidad no permitan la emisión de decisiones de certificación positivas, ni de ningún certificado de conformidad, cuando la evaluación de la conformidad lleve a la determinación de la no conformidad de los prestadores cualificados de servicios de confianza evaluados y del servicio de confianza cualificado que prestan con los requisitos del Reglamento (UE) n.o 910/2014 y del artículo 21 de la Directiva (UE) 2022/2555.
8. Los propietarios de los sistemas se asegurarán de que sus sistemas de evaluación de la conformidad establezcan el procedimiento para la emisión de un certificado de conformidad. Exigirán, en particular, que los prestadores cualificados de servicios de confianza informen inmediatamente al organismo de supervisión competente de cualquier modificación de un certificado de conformidad. También exigirán que los prestadores cualificados de servicios de confianza se abstengan de prestar los servicios de confianza cualificados de que se trate o de hacer publicidad de cualquier referencia a los mismos hasta que el organismo de supervisión competente vuelva a confirmar la cualificación. Este procedimiento cumplirá los requisitos establecidos en el apartado 7.11 de la norma ISO/IEC 17065:2012.
9. Los propietarios de los sistemas se asegurarán de que sus planes de evaluación de la conformidad establezcan el proceso de evaluación de la conformidad que debe llevarse a cabo a lo largo de un número suficiente de personas-días y de que se asignan recursos y tiempo suficientes para la evaluación de la conformidad, teniendo en cuenta el alcance y la complejidad de la evaluación.
10. Los propietarios de los sistemas pondrán a disposición del público un resumen del sistema de evaluación de la conformidad para su descarga. El resumen contendrá una descripción del conjunto de normas y procedimientos seguidos para la evaluación de la conformidad de los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan con los requisitos del Reglamento (UE) n.o 910/2014 y del artículo 21 de la Directiva (UE) 2022/2555.
11. Los propietarios de los sistemas se asegurarán de que sus sistemas de evaluación de la conformidad exijan que se lleve a cabo al menos una evaluación de la conformidad de la vigilancia cada año para cada servicio de confianza cualificado evaluado.
Informes de evaluación de la conformidad
1. El informe de evaluación de la conformidad al que se refiere el artículo 20, apartado 1, del Reglamento (UE) n.o 910/2014 deberá cumplir las especificaciones establecidas en el anexo III.
2. El informe de evaluación de la conformidad se considerará parte de la documentación de certificación especificada en la cláusula 7.7 de la norma ETSI EN 319 403-1.
Información sobre la acreditación
1. Cualquier parte interesada podrá solicitar gratuitamente información actual y pasada sobre el alcance, la fecha de inicio y, en su caso, la fecha de finalización de la acreditación de los organismos de evaluación de la conformidad, para cada tipo de servicio de confianza cualificado que el organismo de evaluación de la conformidad esté acreditado para evaluar, o lo haya estado en el pasado. Los organismos nacionales de acreditación facilitarán esta información.
2. La información actual y pasada a que se refiere el apartado 1 debe facilitarse durante al menos un período de seis años a partir de la acreditación del organismo de evaluación de la conformidad.
Disposiciones sobre derechos adquiridos
En el caso de los organismos de evaluación de la conformidad que, antes del 17 de noviembre de 2025, hayan sido acreditados con referencia a la norma ETSI EN 319 403, versión 2.2.2, o versión anterior, a efectos de la evaluación de la conformidad con el Reglamento (UE) n.o 910/2014 de los proveedores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan, se considerará que su acreditación cumple los requisitos del artículo 2, apartado 1, hasta el 17 de mayo de 2027.
Entrada en vigor
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
Hecho en Bruselas, el 27 de octubre de 2025.
Por la Comisión
La Presidenta
Ursula VON DER LEYEN
(1) DO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
(2) Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).
(3) Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) n.o 339/93 (DO L 218 de 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).
(4) Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.o 910/2014 en lo que respecta al establecimiento del marco europeo de identidad digital (DO L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).
(5) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(6) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
(7) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE, (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(8) EDPS Formal comments on the draft regarding the accreditation of conformity assessment bodies performing the assessment of qualified trust service providers and the qualified trust services they provide | European Data Protection Supervisor [«Observaciones formales del SEPD sobre el proyecto de Reglamento de Ejecución en lo que respecta a las especificaciones y los procedimientos para la gestión de riesgos para la prestación de servicios de confianza no cualificados | Supervisor Europeo de Protección de Datos», documento en inglés].
1) EN ISO/IEC 17025:2017 para las actividades de ensayo;
2) EN ISO/IEC 17021-1:2015 para las actividades de auditoría de los sistemas de gestión;
3) EN ISO/IEC 17020:2012 para las actividades de inspección;
4) EN ISO/IEC 17065:2012 para las actividades de evaluación de la conformidad;
Las normas a que se refiere el artículo 6, apartado 3, son ETSI TS 119 612 v2.4.1 y las siguientes:
|
Servicio de confianza cualificado |
Normas aplicables |
||||||||||||||||||
|
La expedición de certificados cualificados de firma electrónica |
|
||||||||||||||||||
|
La expedición de certificados cualificados de sellos electrónicos |
|
||||||||||||||||||
|
La expedición de certificados cualificados de autenticación de sitios web |
|
||||||||||||||||||
|
El servicio de validación cualificado de firmas electrónicas cualificadas |
|
||||||||||||||||||
|
El servicio de validación cualificado de sellos electrónicos cualificados |
|
||||||||||||||||||
|
El servicio de conservación cualificado de firmas electrónicas cualificadas |
|
||||||||||||||||||
|
El servicio de conservación cualificado de sellos electrónicos cualificados |
|
||||||||||||||||||
|
La creación de sellos de tiempo electrónicos cualificados |
|
||||||||||||||||||
|
La prestación de servicios cualificados de entrega electrónica certificada |
|
||||||||||||||||||
|
El servicio cualificado para la gestión de dispositivos cualificados de creación de firma electrónica a distancia |
|
||||||||||||||||||
|
El servicio cualificado para la gestión de dispositivos cualificados de creación de sello electrónico a distancia |
|
||||||||||||||||||
|
La prestación de servicios cualificados de archivo electrónico |
|
||||||||||||||||||
|
La expedición de declaraciones electrónicas cualificadas de atributos |
|
||||||||||||||||||
|
La actividad de registro de datos electrónicos en un libro mayor electrónico cualificado. |
|
El informe de evaluación de la conformidad a que se refiere el artículo 7, apartado 1:
|
1) |
Irá acompañado de una decisión de certificación clara con arreglo a la cláusula 7.6 de la norma ETSI EN 319403-1 v2.3.1 («ETSI EN 319403-1»), en la que se confirme si el prestador de servicios de confianza evaluado y los servicios de confianza cualificados evaluados que presta o pretende prestar cumplen los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y en el artículo 21 de la Directiva (UE) 2022/2555. |
|
2) |
Especificará el nombre del prestador cualificado de servicios de confianza y, en su caso, su número de registro, tal como figure en los registros oficiales, su dirección postal oficial y su dirección de correo electrónico, así como, en su caso, la misma información para todas las filiales, entidades jurídicas afiliadas, contratistas y subcontratistas que gestionen componentes de servicios de confianza en el ámbito de la prestación de los servicios de confianza cualificados por parte del prestador cualificado de servicios de confianza. |
|
3) |
Incluirá una descripción detallada del alcance de la evaluación del prestador cualificado de servicios de confianza, incluidos los servicios de confianza cualificados específicos cubiertos por la evaluación. |
|
4) |
Contendrá pruebas suficientes para demostrar que el prestador cualificado de servicios de confianza y los servicios de confianza cualificados que presta cumplen los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y en el artículo 21 de la Directiva (UE) 2022/2555. |
|
5) |
Especificará el nombre del organismo de evaluación de la conformidad y, en su caso, su número de registro, tal como figure en los registros oficiales, su dirección postal registrada y su dirección de correo electrónico. |
|
6) |
Especificará lo siguiente:
|
|
7) |
Contendrá al menos una firma electrónica cualificada, cuando el informe se facilite en formato electrónico, o una firma manuscrita, cuando se facilite en papel, que identifique el nombre y el cargo de la persona o personas responsables que estén autorizadas a adoptar la decisión de certificación en nombre del organismo de evaluación de la conformidad. |
|
8) |
Afectará a un prestador cualificado de servicios de confianza. |
|
9) |
Identificará, de conformidad con la cláusula 5.5.3 de la norma ETSI TS 119612 v.2.4.1, las identidades digitales del servicio por tipo de servicio de confianza cualificado para las que confirma la conformidad con los requisitos establecidos en el Reglamento (UE) n.o 910/2014 y en el artículo 21 de la Directiva (UE) 2022/2555, y facilitará la siguiente información:
|
|
10) |
Proporcionará, cuando proceda, una descripción detallada de la jerarquía funcional de la infraestructura de clave pública, por tipo de servicio de confianza cualificado y para todas las identidades digitales de servicios identificadas de conformidad con el punto 11, que incluya, como mínimo:
|
|
11) |
Incluirá, en consonancia con el punto 2:
|
|
12) |
Describirá, cuando proceda, el contenido de la entrada que debe incluirse o actualizarse en la lista nacional de confianza pertinente, de conformidad con el resultado de la evaluación. |
|
13) |
Incluirá una lista exhaustiva de los documentos internos de los prestadores de servicios de confianza públicos y cualificados, debidamente identificados, incluida la versión, que hayan formado parte del ámbito de la evaluación de la conformidad, incluida al menos la siguiente documentación a que se refiere el punto 8, de la que se facilitará una copia junto con el informe de evaluación de la conformidad o se pondrá de otro modo a disposición del organismo de supervisión competente a petición de este:
|
|
14) |
Contendrá una evaluación del cumplimiento de los requisitos aplicables a los servicios de confianza cualificados pertinentes con arreglo al Reglamento (UE) n.o 910/2014 y, en su caso, según lo establecido en los actos delegados y de ejecución aplicables a dicho servicio de confianza cualificado, adoptados de conformidad con:
|
|
15) |
Contendrá una evaluación del cumplimiento de los requisitos aplicables a los prestadores cualificados de servicios de confianza y a los servicios de confianza cualificados pertinentes con arreglo al artículo 21 de la Directiva (UE) 2022/2555 y en virtud de los actos de ejecución aplicables a dicho servicio de confianza cualificado adoptados de conformidad con el artículo 21, apartado 5, de dicha Directiva. |
|
16) |
Contendrá una declaración en la que se declare, en su caso, que no hay ninguna no conformidad, independientemente de su grado de criticidad; si se detecta cualquier no conformidad en el informe, este proporcionará un plan de medidas correctoras y su calendario, facilitado por el prestador cualificado de servicios de confianza y aprobado por el organismo de evaluación de la conformidad, junto con la descripción de las tareas de evaluación previstas que el organismo de evaluación de la conformidad se compromete para evaluar si dichas faltas de conformidad han sido corregidas. |
|
17) |
Contendrá, cuando proceda y sea necesario, una indicación de las oportunidades de mejora en relación con el cumplimiento de los requisitos pertinentes por parte del prestador cualificado de servicios de confianza y de los servicios de confianza cualificados que presta. |
|
18) |
Determinará, para cada fase de la evaluación de la conformidad, incluida la auditoría de la documentación, la evaluación de la aplicación y las inspecciones in situ, el período en relación con el cual se ha llevado a cabo la evaluación y el tiempo que el organismo de evaluación de la conformidad haya tardado en realizar la evaluación en personas-días. |
|
19) |
Determinará en el correspondiente informe de requisitos específicos los controles detallados de evaluación de la conformidad y los objetivos de control que se hayan realizado durante la evaluación o incluirá una referencia a los informes de evaluación disponibles por separado en los que se incluya dicha información, siempre que dichos informes de evaluación separados: a) hayan sido expedidos por organismos de evaluación de la conformidad acreditados con arreglo al Reglamento (UE) n.o 910/2014; b) hayan sido refrendados por los organismos de evaluación de la conformidad que emiten el informe de evaluación de la conformidad. |
|
20) |
Incluirá el alcance, la descripción y los resultados de un conjunto significativo de ensayos o muestras de producción y su evaluación de todos los tipos de resultados pertinentes y aplicables de los servicios de confianza cualificados evaluados. |
|
21) |
Indicará los siguientes plazos: a) el plazo en el que debe llevarse a cabo la siguiente evaluación de la conformidad de la vigilancia; b) el plazo en el que debe llevarse a cabo la siguiente evaluación de la conformidad con arreglo al artículo 20, apartado 1, del Reglamento (UE) n.o 910/2014. |
|
22) |
Contendrá una declaración explícita en la que se indique que los documentos de certificación, incluido el informe de evaluación de la conformidad, también están destinados a ser utilizados por el organismo nacional de supervisión competente. |
State Agency Official State Gazette
Avda. de Manoteras, 54 - 28050 Madrid
