COMISIÓN EUROPEA

Bruselas, 3.6.2021

COM(2021) 281 final

2021/0136(COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea

{SEC(2021) 228 final} - {SWD(2021) 124 final} - {SWD(2021) 125 final}

EXPOSICIÓN DE MOTIVOS

1.CONTEXTO DE LA PROPUESTA

•Razones y objetivos de la propuesta

La presente exposición de motivos acompaña a la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento eIDAS) 1 . El objetivo del instrumento jurídico es proporcionar, para la utilización transfronteriza:

–acceso a soluciones de identidad electrónica altamente seguras y fiables,

–la garantía de que los servicios públicos y privados puedan apoyarse en soluciones de identidad digital fiables y seguras,

–la garantía de que las personas físicas y jurídicas puedan utilizar soluciones de identidad digital,

–la seguridad de que dichas soluciones presenten un conjunto de atributos y permitan el intercambio selectivo de datos de identidad, y de que dichos datos se limiten a las necesidades del servicio específico solicitado,

–la garantía de la aceptación de los servicios de confianza en la Unión Europea (UE) y de la igualdad de condiciones para su prestación.

•Coherencia con las disposiciones existentes en la misma política sectorial

•Coherencia con otras políticas de la Unión

2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica

El propósito de la iniciativa es apoyar la transformación de la Unión en pos de la creación de un mercado único digital. Con la creciente digitalización de los servicios públicos y privados transfronterizos que dependen del uso de soluciones de identidad digital, existe el riesgo de que, dentro del marco jurídico vigente, los ciudadanos continúen enfrentándose a obstáculos y no consigan utilizar plenamente y sin incidencias los servicios en línea en toda la UE ni proteger su privacidad. También existe el riesgo de que las deficiencias del marco jurídico vigente que regula los servicios de confianza incrementen la fragmentación y reduzcan la confianza si su aplicación se deja únicamente en manos de los Estados miembros. En consecuencia, se identifica como base jurídica de la presente iniciativa el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE).

•Subsidiariedad (en el caso de competencia no exclusiva)

Los ciudadanos y las empresas deben poder beneficiarse de la disponibilidad de soluciones de identidad digital altamente seguras y fiables que se puedan utilizar en toda la UE, así como de la portabilidad de declaraciones electrónicas de atributos vinculados a la identidad. Los avances tecnológicos recientes, el mercado y la demanda de los usuarios exigen disponer de soluciones transfronterizas de fácil manejo que permitan acceder a servicios en línea en toda la Unión, algo que el Reglamento eIDAS no puede ofrecer con su redacción actual.

Los usuarios se han ido habituando cada vez más a soluciones disponibles a escala mundial, por ejemplo cuando aceptan utilizar las soluciones de inicio de sesión único que proporcionan las grandes plataformas de medios sociales para acceder a servicios en línea. Los Estados miembros no pueden hacer frente por sí solos a los desafíos que esto plantea en términos de poder de mercado de los grandes proveedores, que exige interoperabilidad e identidades digitales fiables a escala de la UE. Además, a menudo las declaraciones electrónicas de atributos emitidas y aceptadas en un Estado miembro, como los certificados sanitarios electrónicos, no gozan de validez ni reconocimiento legal en otros Estados miembros. Esto genera el riesgo de que los Estados miembros sigan desarrollando soluciones nacionales fragmentadas que no puedan utilizarse a escala transfronteriza.

En lo que respecta a la prestación de servicios de confianza, pese a estar ampliamente regulados y a que su funcionamiento se ajusta al marco jurídico en vigor, las prácticas nacionales también crean un riesgo de aumento de la fragmentación.

En definitiva, la intervención a escala de la UE es la más adecuada para proporcionar a ciudadanos y empresas los medios necesarios para identificar e intercambiar atributos y credenciales de identidad personal a escala transfronteriza utilizando soluciones de identidad digital altamente seguras y fiables, en cumplimiento de las normas de protección de datos de la UE. Esto requiere soluciones de identidad digital fiables y seguras y un marco regulador que las vincule con los atributos y credenciales a escala de la Unión. Únicamente a través de una intervención a escala de la UE es posible establecer unas condiciones armonizadas que garanticen el control de los usuarios y su acceso a servicios digitales transfronterizos en línea, así como crear un marco de interoperabilidad que permita a los servicios en línea confiar en la utilización de soluciones de identidad digital seguras, con independencia del lugar de la UE en el que se hayan expedido o de dónde resida un ciudadano. Como se refleja en gran medida en la evaluación del Reglamento eIDAS, no es probable que una intervención a escala nacional ofrezca el mismo nivel de eficiencia y eficacia. 

•Proporcionalidad

La iniciativa es proporcionada a los objetivos perseguidos; ofrece un instrumento adecuado para establecer la estructura de interoperabilidad necesaria para la creación de un ecosistema de identidad digital a escala de la UE basado en identidades legales expedidas por los Estados miembros y en la provisión de atributos de identidad digital cualificados y no cualificados. Supone una contribución clara al objetivo de mejorar el mercado único digital a través de un marco jurídico más armonizado. Las carteras europeas armonizadas de identidad digital que deben expedir los Estados miembros en virtud de las normas técnicas comunes proporcionan también un enfoque común de la Unión que beneficia a los usuarios y a las partes que dependen de la disponibilidad de soluciones de identidad electrónica transfronterizas seguras. La iniciativa aborda las limitaciones de la infraestructura de interoperabilidad de la identificación electrónica actualmente existente, basada en el reconocimiento mutuo de los diversos sistemas nacionales de identificación electrónica. Teniendo en consideración los objetivos fijados, esta iniciativa se considera suficientemente proporcionada y es probable que sus costes sean proporcionales a sus beneficios potenciales. El Reglamento propuesto generará costes financieros y administrativos que deberán ser asumidos por los Estados miembros como emisores de las carteras de identidad digital europea, así como por los prestadores de servicios de confianza y en línea. Sin embargo, es probable que estos costes se vean compensados con creces por los importantes beneficios potenciales para los ciudadanos y los usuarios directamente derivados de un aumento del reconocimiento y la aceptación transfronterizos de los servicios de identidad y atributos electrónicos.

Los costes que conlleva la creación y armonización del nuevo sistema con las nuevas normas para los prestadores de servicios de confianza y los prestadores de servicios en línea son ineludibles si se pretende alcanzar el objetivo de la aptitud para el uso y la accesibilidad. La iniciativa pretende aprovechar y apoyarse en la inversión ya realizada por los Estados miembros en sus sistemas de identidad nacionales. Por otro lado, los costes adicionales que entraña la propuesta están diseñados para apoyar la armonización y se justifican por la expectativa de que, a largo plazo, reducirán la carga administrativa y los costes de conformidad. Los costes vinculados a la aceptación de los atributos de autenticación de la identidad digital en sectores regulados pueden considerarse asimismo necesarios y proporcionados, en la medida en que respaldan el objetivo general y ofrecen a dichos sectores los medios necesarios para cumplir sus obligaciones legales en lo referente a la identificación legal de los usuarios.

•Elección del instrumento

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

•Evaluaciones ex post / controles de la adecuación de la legislación existente

•Consultas con las partes interesadas

•Obtención y uso de asesoramiento especializado

•Evaluación de impacto

•Adecuación y simplificación normativa

•Derechos fundamentales

Puesto que los datos personales entran dentro del ámbito de aplicación de determinadas disposiciones del Reglamento, las medidas están diseñadas para cumplir plenamente la legislación en materia de protección de datos. Por ejemplo, la propuesta mejora las opciones para el intercambio de datos y para posibilitar la divulgación discrecional. Utilizando la cartera de identidad digital europea, el usuario podrá controlar la cantidad de datos que proporciona a las partes usuarias de estos y ser informado de los atributos requeridos para la prestación de un servicio específico. Los prestadores de servicios informarán a los Estados miembros de su intención de utilizar una cartera de identidad digital europea, que permitirá a los Estados miembros controlar que los prestadores de servicios únicamente soliciten conjuntos de datos confidenciales, como los relacionados con la salud, de conformidad con la legislación nacional.

4.REPERCUSIONES PRESUPUESTARIAS

Para lograr de forma óptima los objetivos de esta iniciativa, es necesario financiar una serie de acciones tanto a nivel de la Comisión, donde se prevé la redistribución de sesenta trabajadores equivalentes a jornada completa (EJC) en el período 2022-2027, como a escala de los Estados miembros, mediante su participación activa en los grupos y comités de expertos relacionados con el trabajo de la iniciativa y compuestos por representantes de los Estados miembros. La dotación financiera total necesaria para la puesta en práctica de la propuesta en el período 2022-2027 ascenderá como máximo a 30 825 000 EUR; dicha cantidad incluye 8 825 000 EUR en concepto de costes administrativos y un máximo de 22 millones EUR en concepto de gastos de funcionamiento, que se sufragarán con cargo al programa Europa Digital (pendiente de acuerdo). La financiación contribuirá a cubrir los costes relacionados con el mantenimiento, desarrollo, alojamiento, funcionamiento y asistencia a los bloques componentes de los servicios de identidad electrónica y de confianza. También puede contribuir a financiar subvenciones para conectar servicios al ecosistema de carteras de identidad digital europea, así como el desarrollo de normas y especificaciones técnicas. Por último, la financiación apoyará también la realización de encuestas anuales y estudios sobre la eficiencia y eficacia del Reglamento en la consecución de sus objetivos. El «estado financiero» que acompaña a esta iniciativa ofrece una descripción detallada de los costes que conlleva.

5.OTROS ELEMENTOS

•Planes de ejecución y modalidades de seguimiento, evaluación e información

•Explicación detallada de las disposiciones específicas de la propuesta

El proyecto de Reglamento, en su artículo 6 bis, exige a los Estados miembros que expidan una cartera de identidad digital europea, en el contexto de un sistema de identidad electrónica notificado con arreglo a las normas técnicas comunes, tras una evaluación obligatoria de la conformidad y una certificación voluntaria dentro del marco europeo de certificación de la ciberseguridad, según se establece en el Reglamento sobre la Ciberseguridad. El proyecto de Reglamento incluye disposiciones destinadas a garantizar que las personas físicas y jurídicas tengan la posibilidad de solicitar y obtener, almacenar, combinar y utilizar de forma segura datos de identificación personal y declaraciones electrónicas de atributos para autenticarse en línea y fuera de línea, así como a permitir el acceso a bienes y a servicios públicos y privados en línea bajo el control del usuario. Esta certificación es acorde con lo dispuesto en el RGPD, en el sentido de que las operaciones de tratamiento de datos personales relacionadas con la cartera de identidad digital europea solo pueden certificarse con arreglo a los artículos 42 y 43 del RGPD.

En su artículo 6 ter, la propuesta establece un conjunto de disposiciones específicas relativas a los requisitos aplicables a las partes usuarias para la prevención del fraude y para garantizar la autenticación de los datos de identificación personal y las declaraciones electrónicas de atributos procedentes de la cartera de identidad digital europea.

En aras de aumentar la disponibilidad de medios de identificación electrónica para su uso transfronterizo, así como de mejorar la eficiencia del proceso de reconocimiento mutuo de los sistemas de identificación electrónica notificados, el artículo 7 establece para los Estados miembros la obligación de notificar al menos un sistema de identificación electrónica. Además, el artículo 11 bis introduce nuevas disposiciones destinadas a facilitar la identificación única, con objeto de garantizar la identificación única y persistente de las personas físicas. Esto afecta a aquellos casos en los que la identificación constituye un requisito legal, como sucede en el ámbito sanitario, en el financiero (para el cumplimiento de las obligaciones en materia de lucha contra el blanqueo de capitales) o en el judicial. Con este fin se exigirá a los Estados miembros que incluyan un identificador único y persistente en el conjunto mínimo de datos de identificación personal. La posibilidad de que los Estados miembros se basen en la certificación para garantizar la conformidad con el Reglamento y, de ese modo, sustituir el proceso de revisión por pares mejora la eficiencia del reconocimiento mutuo.

En la sección 3 se presentan nuevas disposiciones relativas a la utilización transfronteriza de la cartera de identidad digital europea para garantizar que los usuarios puedan apoyarse en el uso de estas carteras para acceder a los servicios en línea prestados por organismos del sector público y proveedores del sector privado que requieran una autenticación reforzada de los usuarios.

En el capítulo III, dedicado a los servicios de confianza, se ha modificado el artículo 14 referente a los aspectos internacionales para permitir que la Comisión adopte decisiones de ejecución por las que se acredite la equivalencia de los requisitos aplicados a los servicios de confianza establecidos en terceros países y de los servicios que prestan, además del uso de los acuerdos de reconocimiento mutuo con arreglo al artículo 218 del TFUE.

Por lo que respecta a la disposición general aplicable a los servicios de confianza, y de manera especial a los prestadores cualificados de servicios de confianza, se han modificado los artículos 17, 18, 20, 21 y 24 con objeto de armonizarlos con las normas aplicables a la seguridad de las redes y de la información en la UE. En cuanto a los métodos que deben utilizar los prestadores cualificados de servicios de confianza para verificar la identidad de las personas físicas o jurídicas a las que se expidan los certificados cualificados, las disposiciones sobre el uso de medios de identificación remotos se han armonizado y aclarado para garantizar que se apliquen las mismas normas en toda la UE.

El capítulo III incorpora un nuevo artículo 29 bis en el que se definen los requisitos que debe satisfacer un servicio cualificado de gestión de dispositivos de creación de firmas electrónicas remotas. El nuevo servicio de confianza cualificado estará directamente vinculado a las medidas referidas y basado en ellas, y se incluirá en la evaluación de impacto, en particular las medidas relativas a la armonización del proceso de certificación de firmas electrónicas remotas y otras medidas que requieran la armonización de las prácticas de supervisión de los Estados miembros.

Para garantizar que los usuarios puedan identificar quién está detrás de un determinado sitio web, se ha modificado el artículo 45 a fin de exigir a los proveedores de navegadores web que faciliten la utilización de certificados cualificados con fines de autenticación de sitios web.

El capítulo III presenta tres secciones nuevas.

La nueva sección 9 introduce un conjunto de disposiciones sobre los efectos jurídicos de las declaraciones electrónicas de atributos, su uso en determinados sectores y los requisitos para la obtención de declaraciones cualificadas de atributos. Para garantizar un nivel alto de confianza, el artículo 45 quinquies incorpora una disposición relativa al cotejo de atributos con fuentes auténticas. Con objeto de asegurar que los usuarios de la cartera de identificación digital europea puedan beneficiarse de la disponibilidad de declaraciones electrónicas de atributos y que dichas declaraciones se incorporen a la cartera de identificación digital europea, se introduce un requisito a tal efecto en el artículo 45 sexies. Por su parte, el artículo 45 septies contiene normas adicionales para la prestación de servicios de declaración electrónica de atributos, especialmente en lo que concierne a la protección de datos personales.

La nueva sección 10 permite la prestación de servicios cualificados de archivo electrónico a escala de la UE. El artículo 45 octies, referente a los servicios cualificados de archivo electrónico, complementa los artículos 34 y 40 relativos a los servicios cualificados de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados.

La nueva sección 11 establece un marco para los servicios de confianza en lo que respecta a la creación y el mantenimiento de libros mayores electrónicos y libros mayores electrónicos cualificados. Un libro mayor electrónico combina los sellos de tiempo de los datos y su secuenciación con la certeza sobre el originador de los datos, de manera similar a las firmas electrónicas, con la ventaja adicional de que permite una gestión más descentralizada que resulta muy adecuada para la cooperación entre múltiples partes. Esto es importante para diversos casos de uso que pueden apoyarse en la utilización de libros mayores electrónicos.

Los libros mayores electrónicos pueden ayudar a las empresas a ahorrar costes al mejorar la eficiencia y la seguridad de la coordinación entre las distintas partes, además de facilitar la supervisión de las autoridades reguladoras. En ausencia de una normativa europea, existe el riesgo de que los legisladores nacionales establezcan normas nacionales divergentes. Para evitar la fragmentación, es necesario definir un marco único a escala europea, que permitirá el reconocimiento transfronterizo de servicios de confianza que respalden el funcionamiento de los libros mayores electrónicos. Esta norma paneuropea para los operadores de nodos se aplicará sin perjuicio del Derecho derivado de la UE. Cuando se utilicen libros mayores electrónicos para apoyar la emisión o la compraventa de bonos, o para criptoactivos, los casos de uso deberán ser compatibles con todas las normas financieras aplicables, por ejemplo la Directiva relativa a los mercados de instrumentos financieros 11 , la Directiva sobre servicios de pago 12 y el futuro Reglamento relativo a los mercados de criptoactivos 13 . Cuando los casos de uso afecten a datos de carácter personal, los prestadores de servicios deberán cumplir el RGPD.

En 2017, los sectores bancario y financiero concentraban el 75 % de los casos de uso de los libros mayores electrónicos. Hoy en día dichos casos de uso presentan una diversidad creciente: el 17 % corresponde a la comunicación y los medios de información, el 15 % a la producción industrial y los recursos naturales, el 10 % al sector público, el 8 % al sector de los seguros, el 5 % al comercio al por menor, el 6 % al transporte y el 5 % a los servicios esenciales 14 .

Por último, el capítulo VI incluye un nuevo artículo 48 ter para garantizar la recopilación de estadísticas sobre el uso de la cartera de identidad digital europea con fines de seguimiento de la eficacia del Reglamento modificado.

2021/0136 (COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo 15 ,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)La Comunicación de la Comisión de 19 de febrero de 2020, titulada «Configurar el futuro digital de Europa» 16 , anuncia una revisión del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo para mejorar su eficacia, extender sus beneficios al sector privado y promover unas identidades digitales de confianza para todos los europeos.

(2)En sus conclusiones de 1 y 2 de octubre de 2020 17 , el Consejo Europeo instó a la Comisión a que presentara una propuesta relativa al desarrollo, a escala de la UE, de un marco para la identificación electrónica pública segura, en particular de las firmas digitales interoperables, de modo que las personas puedan tener el control de su identidad y sus datos en línea y se facilite el acceso a los servicios digitales públicos, privados y transfronterizos.

(3)La Comisión de la Comunicación de 9 de marzo de 2021, titulada «Brújula Digital 2030: el enfoque de Europa para el Decenio Digital» 18 establece el objetivo de crear un marco a escala de la Unión que, a más tardar en 2030, conduzca a un amplio despliegue de una identidad fiable y controlada por el usuario, que permita a cada usuario controlar sus propias interacciones y su presencia en línea.

(4)Un enfoque más armonizado en lo que respecta a la identificación digital debería reducir los riesgos y los costes asociados a la actual fragmentación derivada del uso de soluciones nacionales divergentes, y reforzará el mercado interior al permitir que los ciudadanos, otros residentes definidos en las leyes nacionales y las empresas se identifiquen en línea de manera cómoda y uniforme en toda la Unión. Toda persona debe ser capaz de acceder de forma segura a servicios públicos y privados apoyándose en un ecosistema reforzado de servicios de confianza y en pruebas de identidad y declaraciones de atributos verificados, como un título universitario legalmente reconocido y aceptado en cualquier lugar de la Unión. El Marco para una Identidad Digital Europea aspira a lograr un cambio que permita pasar de la utilización exclusiva de soluciones de identidad digital al suministro de declaraciones electrónicas de atributos que sean válidas a escala europea. Los proveedores de declaraciones electrónicas de atributos deben beneficiarse de un conjunto de normas claras y uniformes, y las administraciones públicas deben poder confiar en los documentos electrónicos expedidos en un determinado formato.

(5)Con el fin de fomentar la competitividad de las empresas europeas, los prestadores de servicios en línea deben poder contar con soluciones de identidad digital reconocidas en toda la Unión, independientemente del Estado miembro en el que se hayan expedido, de tal manera que se beneficien de un enfoque europeo armonizado de la confianza, la seguridad y la interoperabilidad. Tanto los usuarios como los proveedores de servicios deben poder beneficiarse de que se confiera el mismo valor jurídico a las declaraciones electrónicas de atributos en toda la Unión.

(6)El Reglamento (UE) 2016/679 19 es aplicable al tratamiento de datos personales efectuado en aplicación del presente Reglamento. En consecuencia, este Reglamento debe establecer salvaguardias específicas para evitar que los proveedores de medios de identificación electrónica y declaraciones electrónicas de atributos combinen datos personales obtenidos a través de otros servicios con los datos personales relacionados con los servicios contemplados en el ámbito de aplicación del presente Reglamento.

(7)Es necesario definir las condiciones armonizadas para el establecimiento de un marco para las carteras de identidad digital europea que emitirán los Estados miembros; dicho marco debe facultar a todos los ciudadanos y otros residentes de la Unión, según lo dispuesto en las leyes nacionales, para intercambiar datos relacionados con su identidad de manera segura, sencilla y cómoda, un proceso que estará bajo el control exclusivo del usuario. Se deberán desarrollar tecnologías que permitan lograr estos objetivos con el máximo nivel de seguridad y comodidad de uso, garantizando asimismo una elevada facilidad de utilización. Los Estados miembros deben garantizar la igualdad de acceso a la identificación digital para todos sus ciudadanos y residentes.

(8)Con el fin de garantizar la conformidad con el Derecho de la Unión (y la conformidad del Derecho nacional con el de la Unión), los proveedores de servicios deberán comunicar a los Estados miembros su intención de utilizar las carteras de identidad digital europea. Esto permitirá a los Estados miembros proteger a los usuarios frente al fraude y evitar la utilización ilícita de datos de identidad y declaraciones electrónicas de atributos, así como asegurar que las partes usuarias puedan verificar si el tratamiento de los datos confidenciales, como los sanitarios, se ajusta a lo dispuesto en el Derecho nacional o de la Unión.

(9)Todas las carteras de identidad digital europea deben permitir a los usuarios identificarse y autenticarse electrónicamente a través de las fronteras, tanto en línea como fuera de línea, para acceder a una amplia gama de servicios públicos y privados. Sin perjuicio de las prerrogativas de los Estados miembros en lo que respecta a la identificación de sus ciudadanos y residentes, las carteras también pueden dar respuesta a las necesidades institucionales de las administraciones públicas, las organizaciones internacionales y las instituciones, organismos, oficinas y agencias de la Unión. El uso fuera de línea será importante en numerosos sectores, especialmente el sanitario, en el que los servicios se prestan a menudo mediante la interacción cara a cara, y las recetas electrónicas deben poder utilizar códigos QR o tecnologías similares para verificar su autenticidad. Basándose en el nivel de seguridad «alto», las carteras de identidad digital europea deben beneficiarse del potencial que ofrecen las soluciones inviolables, como las medidas de protección, para cumplir los requisitos de seguridad previstos en este Reglamento. Asimismo, las carteras de identidad digital europea deben permitir a los usuarios crear y utilizar firmas y sellos electrónicos cualificados que se acepten en toda la UE. En aras de la simplificación y la reducción de costes en beneficio de las personas y empresas de toda la UE, en particular mediante la posibilidad de otorgar poderes de representación y mandatos electrónicos, los Estados miembros deberán expedir carteras de identidad digital europea basados en normas comunes para garantizar una interoperabilidad fluida y un nivel de seguridad elevado. Las autoridades competentes de los Estados miembros son las únicas que pueden proporcionar un alto grado de confianza en la determinación de la identidad de una persona y, por lo tanto, ofrecer garantías de que la persona que afirma o manifiesta poseer una determinada identidad es, de hecho, quien dice ser. Por lo tanto, es necesario que las carteras de identidad digital europea se basen en la identidad legal de los ciudadanos, otros residentes o entidades jurídicas. La confianza en las carteras de identidad digital europea aumentará por el hecho de que las partes emisoras tienen el deber de introducir medidas técnicas y organizativas adecuadas para asegurar un nivel de seguridad proporcional a los riesgos planteados para los derechos y libertades de las personas físicas, en consonancia con el Reglamento (UE) 2016/679.

(10)Para lograr un nivel alto de seguridad y fiabilidad, este Reglamento establece los requisitos que deben satisfacer las carteras de identidad digital europea. La acreditación de la conformidad de las citadas carteras con estos requisitos corresponderá a organismos acreditados del sector público o privado designados por los Estados miembros. El hecho de apoyarse en un régimen de certificación basado en la disponibilidad de normas comúnmente acordadas debe asegurar un nivel alto de confianza e interoperabilidad. La certificación debe basarse, en particular, en los esquemas europeos de certificación de la ciberseguridad establecidos en virtud del Reglamento (UE) 2019/881 20 . Tal certificación se efectuará sin perjuicio de la certificación referente al tratamiento de los datos personales en virtud del Reglamento (CE) 2016/679.

(11)Las carteras de identidad digital europea deben garantizar el máximo nivel de seguridad para los datos personales utilizados con fines de autenticación, con independencia de si dichos datos se almacenan de forma local o utilizando soluciones en la nube, teniendo en cuenta los diferentes niveles de riesgo. La utilización de la biometría para la autenticación es uno de los métodos de identificación que proporcionan un nivel alto de confianza, en particular cuando se combinan con otros elementos de autenticación. Dado que la biometría representa una característica única de una persona, su uso requiere medidas organizativas y de seguridad proporcionales al riesgo que dicho tratamiento puede conllevar para los derechos y las libertades de las personas físicas y conformes al Reglamento 2016/679.

(12)Con el objetivo de asegurar que el marco de identidad digital europea esté abierto a la innovación, el desarrollo tecnológico y ofrezca garantías ante el futuro, se debe alentar a los Estados miembros a establecer conjuntamente entornos de pruebas para experimentar con soluciones innovadoras en un entorno controlado y seguro, en particular para mejorar la funcionalidad, la protección de los datos personales, la seguridad y la interoperabilidad de las soluciones, así como para obtener información útil de cara a futuras actualizaciones de las referencias técnicas y los requisitos legales. Este entorno debe fomentar la inclusión de las pequeñas y medianas empresas europeas, las empresas emergentes y los innovadores e investigadores individuales.

(13) El Reglamento (UE) 2019/1157 21 aumenta la seguridad de los documentos de identidad con la introducción características de seguridad reforzadas a más tardar en agosto de 2021. Los Estados miembros deben analizar la viabilidad de notificar estas características en el marco de los sistemas de identificación electrónica para ampliar la disponibilidad transfronteriza de medios de identificación electrónica.

(14)Es necesario simplificar y agilizar el proceso de notificación de sistemas de identificación electrónica para favorecer el acceso a soluciones de autenticación e identificación cómodas, seguras, innovadoras y de confianza y, cuando proceda, alentar a los proveedores de identidad privada a que ofrezcan sistemas de identificación electrónica a las autoridades de los Estados miembros con fines de notificación, como los sistemas nacionales de documentos de identidad electrónica contemplados en el Reglamento 910/2014.

(15)La racionalización de los procedimientos de notificación y revisión por pares actualmente existentes evitará la heterogeneidad de enfoques con respecto a la evaluación de los diversos sistemas de identificación electrónica notificados y facilitará la creación de confianza entre los Estados miembros. Unos mecanismos nuevos y más sencillos deberán estimular la cooperación de los Estados miembros en materia de seguridad e interoperabilidad de sus sistemas de identificación electrónica notificados.

(16)Los Estados miembros deben beneficiarse de la disponibilidad de herramientas nuevas y flexibles que garantizarán el cumplimiento de los requisitos previstos en este Reglamento y en los actos de ejecución pertinentes. Este Reglamento debe permitir que los Estados miembros utilicen los informes elaborados y las evaluaciones realizadas por los organismos de evaluación de la conformidad acreditados o los regímenes voluntarios de certificación de la seguridad informática, como los esquemas de certificación que deben establecerse a escala de la Unión en virtud del Reglamento (UE) 2019/881, para respaldar sus afirmaciones sobre la conformidad de dichos esquemas o de determinadas partes de ellos con los requisitos del Reglamento sobre la interoperabilidad y la seguridad de los sistemas de identificación electrónica notificados.

(17)Los proveedores de servicios utilizan los datos de identidad proporcionados por el conjunto de datos de identificación personales disponibles a través de los sistemas de identificación electrónica en virtud del Reglamento (UE) n.º 910/2014 para determinar la identidad legal de los usuarios procedentes de otro Estado miembro. Sin embargo, a pesar del uso del conjunto de datos eIDAS, en muchos casos se necesita información adicional sobre el usuario y procedimientos específicos de identificación única a escala nacional para garantizar una determinación correcta de la identidad. Para mejorar la facilidad de uso de los medios de identificación electrónica, este Reglamento debe exigir a los Estados miembros la adopción de medidas concretas para asegurar una correcta determinación de la identidad en el proceso de identificación electrónica. Con ese mismo propósito, este Reglamento debe ampliar asimismo el conjunto de datos mínimo obligatorio y obligar a utilizar un identificador electrónico único y persistente, conforme con el Derecho de la Unión, en aquellos casos en que sea necesario para establecer de manera única y persistente la identidad legal de la persona usuaria a petición de esta.

(18)En consonancia con la Directiva (UE) 2019/882 22 , las personas con discapacidad deben poder utilizar las carteras de identidad digital europea, los servicios de confianza y los productos destinados a los usuarios finales empleados en la prestación de dichos servicios, en igualdad de condiciones que el resto de los usuarios.

(19)El presente Reglamento no debe regular los aspectos relacionados con la celebración y validez de los contratos u otras obligaciones legales cuando existan requisitos de forma establecidos por el Derecho nacional o de la Unión. Por otro lado, no debe afectar a los requisitos nacionales de formato correspondientes a los registros públicos, en particular los registros mercantiles y de la propiedad.

(20)La prestación y utilización de servicios de confianza está adquiriendo una importancia creciente para el comercio y la cooperación internacionales. Los socios internacionales de la UE están creando marcos de confianza inspirados en el Reglamento (UE) n.º 910/2014. Por consiguiente, para facilitar el reconocimiento de dichos servicios y de los proveedores que los prestan, se podrán establecer en la legislación de aplicación las condiciones en las que los marcos de confianza de terceros países podrán considerarse equivalentes al marco de confianza para los servicios y proveedores de confianza cualificados previsto en este Reglamento, como complemento a la posibilidad del reconocimiento mutuo de los servicios y proveedores de confianza establecida en la Unión y en terceros países de conformidad con el artículo 218 del Tratado.

(21)Este Reglamento debe basarse en actos de la Unión que garanticen mercados disputables y equitativos en el sector digital. En particular, se basa en el Reglamento XXX/XXXX (Ley de Mercados Digitales), que introduce normas para los proveedores de servicios básicos de plataforma designados como guardianes y, entre otras cosas, prohíbe que estos últimos exijan a los usuarios profesionales que utilicen, ofrezcan o interoperen con un servicio de identificación del guardián en el contexto de los servicios que ofrecen los usuarios profesionales que utilizan los servicios básicos de plataforma del mencionado guardián. El artículo 6, apartado 1, letra f), del Reglamento XXX/XXXX (Ley de Mercados Digitales) obliga a los guardianes a permitir a los usuarios profesionales y proveedores de servicios complementarios el acceso y la interoperabilidad con las mismas funciones del sistema operativo, el hardware o el software disponibles o utilizadas en la prestación de servicios complementarios por parte del guardián. De acuerdo con el artículo 2, apartado 15, de la Ley de Mercados Digitales, los servicios de identificación constituyen un tipo de servicios complementarios. Los usuarios profesionales y los proveedores de servicios complementarios deben, por tanto, poder acceder a dichas funciones del hardware o del software, como las medidas de seguridad de los teléfonos inteligentes, e interoperar con ellas a través de las carteras de identidad digital europea o de los medios de identificación electrónica notificados por los Estados miembros.

(22)Con el fin de racionalizar las obligaciones impuestas a los prestadores de servicios de confianza en materia de ciberseguridad y de posibilitar que dichos prestadores y sus respectivas autoridades competentes se beneficien del marco jurídico que se establece en la Directiva XXXX/XXXX (Directiva SRI 2), los servicios de confianza deben adoptar medidas técnicas y organizativas adecuadas en virtud de la Directiva XXXX/XXXX (Directiva SRI 2), como medidas dirigidas a corregir fallos del sistema, errores humanos, actos maliciosos o fenómenos naturales, para gestionar los riesgos para la seguridad de las redes y los sistemas de información que emplean dichos prestadores, así como para notificar incidentes y ciberamenazas importantes de conformidad con la Directiva XXXX/XXXX (Directiva SRI 2) Con respecto a la notificación de incidentes, los prestadores de servicios de confianza deberán notificar cualquier incidente que tenga un impacto significativo en la prestación de sus servicios, especialmente los causados por el robo o extravío de dispositivos, el deterioro de los cables de red o incidentes producidos en el contexto de la identificación de personas. Los requisitos en materia de gestión de riesgos de la ciberseguridad y las obligaciones de notificación que contempla la Directiva XXXXXX (Directiva SRI 2) deben considerarse complementarios a los requisitos impuestos a los prestadores de servicios de confianza en virtud del presente Reglamento. Cuando corresponda, las autoridades competentes designadas al amparo de la Directiva XXXX/XXXX (Directiva SRI 2) deberán seguir aplicando las prácticas u orientaciones nacionales establecidas en relación con el cumplimiento de los requisitos de seguridad y notificación y con la supervisión de la conformidad con dichos requisitos en virtud del Reglamento (UE) n.º 910/2014. Los requisitos que se establecen en este Reglamento no afectan a la obligación de notificar las violaciones de los datos personales con arreglo al Reglamento (UE) 2016/679.

(23)Se deberá prestar la debida atención para garantizar una cooperación eficaz entre las autoridades competentes en materia de seguridad de las redes y de la información y las responsables de la identificación electrónica, la autenticación y los servicios de confianza. En los casos en que el órgano de control previsto en este Reglamento sea distinto de las autoridades competentes designadas en virtud de la Directiva XXXX/XXXX (SRI 2), dichas autoridades cooperarán estrechamente y de manera oportuna, intercambiando entre ellas la información pertinente para garantizar una supervisión eficaz y la conformidad de los proveedores de servicios con los requisitos establecidos en este Reglamento y en la Directiva XXXX/XXXX (SRI 2). En particular, los órganos de control contemplados en este Reglamento deben estar facultados para solicitar a la autoridad competente designada en virtud de la Directiva XXXXX/XXXX (SRI 2) que proporcione la información pertinente necesaria para otorgar la condición de «cualificado» y que lleve a cabo las actuaciones de control requeridas para verificar la conformidad de los prestadores de servicios de confianza con los requisitos pertinentes de la Directiva SRI 2 o exigir a estos que subsanen cualquier incumplimiento.

(24)Es esencial proporcionar un marco jurídico para facilitar el reconocimiento transfronterizo entre los ordenamientos jurídicos nacionales existentes relacionados con servicios de entrega electrónica certificada. Dicho marco puede abrir, además, nuevas oportunidades de mercado para los prestadores de servicios de confianza de la Unión de ofrecer nuevos servicios paneuropeos de entrega electrónica certificada y garantizar que la identificación de los destinatarios se efectúe con un nivel de confianza mayor que la identificación del remitente.

(25)En la mayoría de los casos, los ciudadanos y otros residentes no pueden intercambiar por medios electrónicos información relacionada con su identidad (como sus direcciones, su edad o sus cualificaciones profesionales, sus permisos de conducción y otros permisos y datos de pago) a escala transfronterizo de forma segura y con un nivel alto de protección de los datos.

(26)Debe ser posible emitir y gestionar atributos digitales fiables, así como contribuir a reducir la carga administrativa; de ese modo se facultará a los ciudadanos y a otros residentes para utilizar estos atributos en sus transacciones públicas y privadas. Los ciudadanos y otros residentes deben poder, por ejemplo, demostrar la titularidad de un permiso de conducción válido expedido por una autoridad de un Estado miembro, que pueda ser verificada y admitida por las autoridades competentes de otro Estado miembro, así como utilizar sus credenciales de la seguridad social o los futuros documentos digitales de viaje en un contexto transfronterizo.

(27)Cualquier entidad que recopile, cree y emita atributos certificados, como diplomas, permisos o certificados de nacimiento, debe tener la posibilidad de expedir declaraciones electrónicas de atributos. Las partes usuarias deben utilizar las declaraciones electrónicas de atributos como equivalentes a las declaraciones emitidas en formato impreso. En consecuencia, no se deben denegar los efectos jurídicos de una declaración electrónica de atributos por el mero hecho de haber sido emitida en formato electrónico o porque no cumpla todos los requisitos de la declaración electrónica de atributos cualificada. Con este fin, deberán establecerse requisitos generales para asegurar que una declaración electrónica de atributos cualificada tenga un efecto jurídico equivalente al de las declaraciones legalmente emitidas en formato impreso. Sin embargo, tales requisitos deberán aplicarse sin perjuicio del Derecho nacional o de la Unión que defina los requisitos adicionales específicos del sector con respecto a los efectos jurídicos subyacentes de cada formato, y, en particular, el reconocimiento transfronterizo de la declaración electrónica de atributos cualificada, cuando corresponda.

(28)Para lograr una amplia disponibilidad y facilidad de uso de las carteras de identidad digital europea es necesario que los prestadores de servicios privados las acepten. Las partes usuarias privadas que prestan servicios en los ámbitos del transporte, la energía, los servicios bancarios y financieros, la seguridad social, la salud, el agua potable, los servicios postales, la infraestructura digital, la educación o las telecomunicaciones deben aceptar el uso de las carteras de identidad digital europea para la prestación de servicios en los casos en los que la legislación nacional, el Derecho de la Unión o una obligación contractual requieran una autenticación reforzada de los usuarios. Cuando las plataformas en línea de muy gran tamaño, según se definen en el artículo 25, apartado 1, del Reglamento [referencia a la Ley de Servicios Digitales] exijan a los usuarios autenticarse para acceder a servicios en línea, dichas plataformas deberán tener la obligación de aceptar el uso de carteras de identidad digital europea si así lo solicita voluntariamente el usuario. Los usuarios no deben tener ninguna obligación de utilizar la cartera para acceder a servicios privados, pero si desean hacerlo, las plataformas en línea de gran tamaño deberán aceptar la cartera de identidad digital europea con ese fin, respetando en todo momento el principio de minimización de datos. Dada la importancia de las plataformas en línea de muy gran tamaño y debido a su alcance, en particular en términos de número de receptores del servicio y transacciones económicas, esto es necesario para incrementar la protección de los usuarios frente al fraude y garantizar un nivel alto de protección de datos. Es preciso desarrollar códigos de conducta de autorregulación a escala de la Unión («códigos de conducta») para contribuir a una amplia disponibilidad y facilidad de uso de los medios de identificación electrónica (en particular, de las carteras de identidad digital europea) contemplados en el ámbito de aplicación de este Reglamento. Estos códigos de conducta deben facilitar una aceptación amplia de los medios de identificación electrónica, incluidas las carteras de identidad digital europea, por parte de los prestadores de servicios que no se ajusten a la definición de plataformas de muy gran tamaño y que se apoyen en servicios de identificación electrónica de terceros para autenticar a sus usuarios. Los códigos de conducta deberán elaborarse dentro de los doce meses siguientes a la adopción de este Reglamento. La Comisión deberá evaluar la eficacia de estas disposiciones relativas a la disponibilidad y facilidad de uso de las carteras de identidad digital europea para los usuarios al cabo de dieciocho meses de su implantación, y revisar dichas disposiciones para garantizar su aceptación por medio de actos delegados en vista de la evaluación realizada.

(29)La cartera de identidad digital europea debe permitir técnicamente la divulgación selectiva de atributos a las partes usuarias. Esta función debe convertirse en una característica básica del diseño de la cartera, reforzando así la comodidad y la protección de los datos personales, en especial la minimización del tratamiento de estos datos.

(30)Los atributos proporcionados por los prestadores cualificados de servicios de confianza como parte de la declaración cualificada de atributos deberán cotejarse con las fuentes auténticas, ya sea directamente por el prestador cualificado de servicios de confianza o a través de intermediarios designados reconocidos a escala nacional, de conformidad con el Derecho nacional o de la Unión, a efectos de proteger el intercambio de los atributos declarados entre los prestadores de servicios de identidad o de declaración de atributos y las partes usuarias.

(31)La identificación electrónica segura y la provisión de declaraciones de atributos deben ofrecer una flexibilidad y soluciones adicionales para el sector de los servicios financieros, con objeto de posibilitar la identificación de los clientes y el intercambio de los atributos específicos que sea necesario cumplir, como los requisitos de debida diligencia con los clientes en virtud del Reglamento relativo a la lucha contra el blanqueo de capitales, [añádase la referencia una vez adoptada la propuesta], los requisitos de idoneidad que emanan de la legislación sobre la protección de los inversores, o para facilitar el cumplimiento de los requisitos de autenticación reforzada de los clientes durante la conexión a las cuentas o la realización de transacciones en el ámbito de los servicios de pago.

(32)Los servicios de autenticación de sitios web proporcionan a los usuarios la garantía de que existe una entidad auténtica y legítima que respalda la existencia del sitio web. Estos servicios contribuyen a crear confianza y fe en la realización de operaciones mercantiles en línea, dado que los usuarios se fiarán de un sitio web que haya sido autenticado. El uso de servicios de autenticación de sitios web por parte de estos últimos es voluntario. No obstante, para que la autenticación de sitios web se convierta en un medio de aumentar la confianza, proporcionar al usuario una experiencia mejor y propiciar el crecimiento en el mercado interior, el presente Reglamento establece obligaciones mínimas de seguridad y responsabilidad para los prestadores de servicios de autenticación de sitios web y los servicios que prestan. Con este fin, los navegadores web deben garantizar la compatibilidad e interoperabilidad con los certificados cualificados para la autenticación de sitios web previstos en el Reglamento (UE) n.º 910/2014. A tal efecto, deben reconocer y mostrar certificados cualificados para la autenticación de sitios web con objeto de ofrecer un nivel alto de seguridad, lo que permitiría a los propietarios de los sitios web demostrar su identidad como propietarios de un sitio web y a los usuarios identificar a los propietarios de los sitios web con un alto grado de certeza. Para promover su uso, las autoridades públicas de los Estados miembros deben estudiar la posibilidad de incorporar certificados cualificados para la autenticación de sitios web en sus sitios web.

(33)Muchos Estados miembros han introducido requisitos nacionales para la prestación de servicios de archivo digital seguros y fiables con el objetivo de posibilitar la conservación de documentos electrónicos y de los servicios de confianza asociados a estos durante largos períodos. Para garantizar la seguridad jurídica y la confianza, es esencial proporcionar un marco jurídico que facilite el reconocimiento transfronterizo de los servicios de archivo electrónico cualificados. Dicho marco podría abrir además nuevas oportunidades de mercado para los prestadores de servicios de confianza de la Unión.

(34)Los libros mayores electrónicos cualificados graban datos de un modo que garantiza la unicidad, la autenticidad y la correcta secuenciación de las entradas de datos, así como su inviolabilidad. Un libro mayor electrónico combina el efecto de los sellos de tiempo de los datos con la certeza sobre el originador de los datos, de manera similar a las firmas electrónicas, con la ventaja adicional de que posibilita modelos de gestión más descentralizados que resulta muy adecuados para la cooperación entre múltiples partes. Por ejemplo, crea una pista de auditoría fiable para verificar la procedencia de las mercancías en el comercio transfronterizo, respalda la protección de los derechos de propiedad intelectual, dota de flexibilidad a los mercados de electricidad, ofrece una base para el desarrollo de soluciones avanzadas de identidad soberana propia y apoya unos servicios públicos más eficientes y con capacidad transformadora. Para evitar la fragmentación del mercado interior, es importante definir un marco jurídico a escala europea que permita el reconocimiento transfronterizo de servicios de confianza para la grabación de datos en libros mayores electrónicos.

(35)La certificación como prestadores cualificados de servicios de confianza debe ofrecer seguridad jurídica en los casos de uso en los que se utilicen libros mayores electrónicos. Este servicio de confianza para los libros mayores electrónicos y los libros mayores electrónicos cualificados, así como la certificación como prestadores cualificados de servicios de confianza para libros mayores electrónicos, deben respetar en todo caso la obligación de que los casos de uso cumplan el Derecho de la Unión o el Derecho nacional en conformidad con el Derecho de la Unión. Los casos de uso que conlleven el tratamiento de datos personales deben cumplir el Reglamento (UE) 2016/679. Los casos de uso relacionados con criptoactivos deben ser compatibles con todas las normas financieras, por ejemplo la Directiva relativa a los mercados de instrumentos financieros 23 , la Directiva sobre servicios de pago 24 y el futuro Reglamento relativo a los mercados de criptoactivos 25 .

(36)Al objeto de evitar la fragmentación y los obstáculos derivados de unas normas y unas restricciones técnicas divergentes, y de garantizar un proceso coordinado para impedir poner en peligro la aplicación del futuro Marco para una Identidad Digital Europea, se necesita un proceso de cooperación estrecha y estructurada entre la Comisión, los Estados miembros y el sector privado. Para lograr este objetivo, los Estados miembros deberán cooperar dentro del marco establecido en la Recomendación XXX/XXXX de la Comisión (sobre un conjunto de instrumentos para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea) 26 con el fin de identificar un conjunto de herramientas para el Marco para una Identidad Digital Europea. El conjunto de herramientas debe incluir una arquitectura técnica y un marco de referencia detallados, un conjunto de normas y referencias técnicas comunes y un conjunto de directrices y descripciones de prácticas idóneas que aborden, como mínimo, todos los aspectos de las funciones y la interoperabilidad de las carteras de identidad digital europea (incluidas las firmas electrónicas) y del servicio de confianza cualificado para la declaración de atributos, según lo dispuesto en el presente Reglamento. En este contexto, los Estados miembros deberán alcanzar asimismo un acuerdo sobre los elementos comunes del modelo de negocio y la estructura de las tasas de las carteras de identidad digital europea para facilitar su adopción, en particular por parte de las pequeñas y medianas empresas en un contexto transfronterizo. El contenido de las herramientas debe reflejar y evolucionar de forma paralela a los resultados del debate y del proceso de adopción del Marco para una Identidad Digital Europea.

(37)Se ha consultado al Supervisor Europeo de Protección de Datos, de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1525 del Parlamento Europeo y del Consejo 27 .

(38)Procede, por lo tanto, modificar el Reglamento (UE) n.º 910/2014 en consecuencia.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1

El Reglamento (UE) n.º 910/2014 se modifica como sigue:

1)El artículo 1 se sustituye por el texto siguiente:

«El presente Reglamento tiene por objeto garantizar el correcto funcionamiento del mercado interior y proporcionar un nivel de seguridad adecuado de los medios de identificación electrónica y los servicios de confianza. A tales efectos, este Reglamento:

a)establece las condiciones en que los Estados miembros proporcionarán y reconocerán los medios de identificación electrónica de las personas físicas y jurídicas pertenecientes a un sistema de identificación electrónica notificado de otro Estado miembro,

b)establece normas para los servicios de confianza, en particular para las transacciones electrónicas,

c)establece un marco jurídico para las firmas electrónicas, los sellos electrónicos, los sellos de tiempo electrónicos, los documentos electrónicos, los servicios de entrega electrónica certificada, los servicios certificados para la autenticación de sitios web, el archivo electrónico y la declaración electrónica de atributos, la gestión de dispositivos remotos de creación de firmas electrónicas y sellos electrónicos, y los libros mayores electrónicos,

d)establece las condiciones para la emisión de carteras de identidad digital europea por los Estados miembros.».

2)El artículo 2 se modifica como sigue:

a)el apartado 1 se sustituye por el texto siguiente:

«1.    El presente Reglamento se aplica a los sistemas de identificación electrónica notificados por los Estados miembros, a las carteras de identidad digital europea y a los prestadores de servicios de confianza establecidos en la Unión.»;

b)el apartado 3 se sustituye por el texto siguiente:

«3.    El presente Reglamento no afecta al Derecho nacional o de la Unión relacionado con la celebración y validez de los contratos u otras obligaciones legales o de procedimiento relativos a requisitos específicos del sector con respecto a los efectos jurídicos subyacentes de cada formato.».

3)El artículo 3 se modifica como sigue:

a)el punto 2 se sustituye por el texto siguiente:

«2)    “medio de identificación electrónica”, una unidad material o inmaterial, incluidas las carteras de identidad digital europea o los documentos de identidad con arreglo al Reglamento 2019/1157, que contiene datos de identificación personal y se utiliza con fines de autenticación en un servicio en línea o fuera de línea;»;

b)el punto 4 se sustituye por el texto siguiente:

«4)    “sistema de identificación electrónica”, un régimen para la identificación electrónica en virtud del cual se expiden medios de identificación electrónica a las personas físicas o jurídicas o a personas físicas que representan a personas jurídicas;»;

c)el punto 14 se sustituye por el texto siguiente:

«14)    “certificado de firma electrónica”, una declaración o conjunto de declaraciones electrónicas que vincula los datos de validación de una firma con una persona física y confirma, al menos, el nombre o el seudónimo de esa persona;»;

d)el punto 16 se sustituye por el texto siguiente:

«16)    “servicio de confianza”, el servicio electrónico prestado habitualmente previo pago de un determinado importe, consistente en:

a)la creación, verificación y validación de firmas electrónicas, sellos electrónicos o sellos de tiempo electrónicos, servicios de entrega electrónica certificada, declaraciones electrónicas de atributos y certificados relativos a estos servicios;

b)la creación, verificación y validación de certificados para la autenticación de sitios web;

c)la preservación de firmas, sellos o certificados electrónicos relativos a estos servicios;

d) el archivo electrónico de documentos electrónicos;

e)la gestión de dispositivos remotos de creación de firmas electrónicas y sellos electrónicos;

f)la grabación de datos electrónicos en un libro mayor electrónico.»;

e)el punto 21 se sustituye por el texto siguiente:

«21)    “producto”, un equipo o programa informático, o los componentes pertinentes del mismo, destinado a ser utilizado para la prestación de servicios de identificación electrónica y servicios de confianza;»;

f)se insertan los puntos 23 bis y 23 ter siguientes:

«23 bis    “dispositivo cualificado remoto de creación de firmas”, un dispositivo cualificado de creación de firmas utilizado por un prestador cualificado de servicios de confianza para generar, gestionar o duplicar los datos de creación de firmas electrónicas en nombre de un signatario;

23 ter    “dispositivo cualificado remoto de creación de sellos”, un dispositivo cualificado de creación de sellos utilizado por un prestador cualificado de servicios de confianza para generar, gestionar o duplicar los datos de creación de firmas electrónicas en nombre de un creador de sellos;»;

g)el punto 29 se sustituye por el texto siguiente:

«29)    “certificado de sello electrónico”, una declaración o conjunto de declaraciones electrónicas que vincula los datos de validación de un sello electrónico con una persona jurídica y confirma el nombre de esa persona;»;

h)el punto 41 se sustituye por el texto siguiente:

«41)    “validación”, el proceso consistente en verificar y confirmar la validez de una firma electrónica, un sello electrónico, los datos de identificación de una persona o una declaración electrónica de atributos;»;

i)se añaden los siguientes puntos 42 a 55:

«42)    “cartera de identidad digital europea”, un producto y servicio que permite al usuario almacenar datos de identidad, credenciales y atributos vinculados a su identidad, con el fin de proporcionarlos a las partes usuarias a petición de estas y de utilizarlos con fines de autenticación, en línea y fuera de línea, para un servicio de conformidad con lo dispuesto en el artículo 6 bis, así como para crear firmas y sellos electrónicos cualificados;

43)    “atributo”, un rasgo, característica o cualidad de una persona física o jurídica o de una entidad, en formato electrónico;

44)    “declaración electrónica de atributos”, una declaración en formato electrónico que permite la autenticación de atributos;

45)    “declaración electrónica cualificada de atributos”, una declaración electrónica de atributos emitida por un prestador cualificado de servicios de confianza y que cumple los requisitos establecidos en el anexo V;

46)    “fuente auténtica”, un repositorio o sistema, mantenido bajo la responsabilidad de un organismo del sector público o de una entidad privada, que contiene atributos acerca de una persona física o jurídica y se considera la principal fuente de dicha información, o que está reconocido como auténtico en virtud del Derecho nacional;

47)    “archivo electrónico”, un servicio que garantiza la recepción, el almacenamiento, la eliminación y la transmisión de datos o documentos electrónicos para asegurar su integridad y la exactitud de su origen y sus características jurídicas a lo largo del período de conservación;

48)    “servicio de archivo electrónico cualificado”, un servicio que cumple los requisitos establecidos en el artículo 45 octies;

49)    “marca de confianza de la UE para la cartera de identidad digital”, una indicación sencilla, reconocible y clara de que una cartera de identidad digital europea ha sido emitida de conformidad con el presente Reglamento;

50)    “autenticación reforzada de usuario”, la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento del usuario, posesión e inherencia, que son independientes —es decir, que la vulneración de uno no compromete la fiabilidad de los demás—, y concebida de manera que se proteja la confidencialidad de los datos de autenticación;

51)    “cuenta de usuario”, mecanismo que permite a un usuario acceder a servicios públicos o privados de acuerdo con los términos y condiciones establecidos por el prestador de esos servicios;

52)    “credencial”, prueba que demuestra las capacidades, la experiencia, un derecho o un permiso de una persona;

53)    “libro mayor electrónico”, registro electrónico inviolable de datos que garantiza la autenticidad y la integridad de los datos que contiene, la exactitud de su fecha y hora y su orden cronológico;

54)    “datos personales”: cualquier información que se ajuste a la definición del artículo 4, punto 1, del Reglamento (UE) 2016/679;

55)    “identificación única”, proceso por el cual se establece un vínculo entre los datos o medios de identificación de una persona y una cuenta existente perteneciente a esa misma persona.»;

4)El artículo 5 se sustituye por el texto siguiente:

«Artículo 5

Seudónimos en transacciones electrónicas

Sin perjuicio de los efectos jurídicos que la legislación nacional contemple para los seudónimos, no se prohibirá su utilización en las transacciones electrónicas.».

5)El título del capítulo II se sustituye por el texto siguiente:

«SECCIÓN I

IDENTIFICACIÓN ELECTRÓNICA».

6)Se suprime el artículo 6.

7)Se insertan los artículos 6 bis, 6 ter, 6 quater y 6 quinquies siguientes:

«Artículo 6 bis

Carteras de identidad digital europea

1.    A los efectos de garantizar que todas las personas físicas y jurídicas dispongan de acceso seguro, de confianza y sin incidencias a servicios públicos y privados transfronterizos en la Unión, cada Estado miembro emitirá una cartera de identidad digital europea dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento.

2.    Las carteras de identidad digital europea serán emitidas:

a)por un Estado miembro,

b)en virtud de un mandato de un Estado miembro,

c)por entidades independientes, pero reconocidas por un Estado miembro.

3.    Las carteras de identidad digital europea permitirán al usuario:

a)solicitar y obtener, almacenar, seleccionar, combinar y compartir de forma segura, transparente y rastreable por el usuario, los datos de identificación de persona jurídica y la declaración electrónica de atributos que sean necesarios para autenticarse en línea y fuera de línea con el fin de acceder a servicios públicos y privados en línea;

b)firmar por medio de firmas electrónicas cualificadas.

4.    En particular, las carteras de identidad digital:

a)proporcionarán una interfaz común:

1)a los prestadores cualificados y no cualificados de servicios de confianza que emitan declaraciones electrónicas de atributos cualificadas y no cualificadas, u otros certificados cualificados y no cualificados, a efectos de emitir dichas declaraciones y certificados para la cartera de identidad digital europea;

2) a las partes usuarias, para solicitar y validar datos de identificación personal y declaraciones electrónicas de atributos;

3)para la presentación de datos de identificación personal, declaraciones electrónicas de atributos u otros datos a las partes usuarias, tales como credenciales, de forma local sin necesidad de que la cartera acceda a internet;

4)para el usuario, con el fin de posibilitar la interacción con la cartera de identidad digital europea y muestre una “marca de confianza de la UE para la cartera de identidad digital”;

b)garantizarán que los prestadores de servicios de confianza de declaraciones cualificadas de atributos no puedan recibir información alguna sobre el uso de dichos atributos;

c)cumplirán los requisitos establecidos en el artículo 8 en lo referente al nivel de seguridad «alto», en particular en lo que sea aplicable a los requisitos de acreditación y verificación de la identidad, así como a la gestión y autenticación de medios de identificación electrónica;

d)proporcionarán un mecanismo para asegurar que la parte usuaria pueda autenticar al usuario y recibir declaraciones electrónicas de atributos;

e)garantizarán que los datos de identificación personal a los que se refiere el artículo 12, apartado 4, letra d), representen de forma única y persistente a la persona física o jurídica asociada con ellos.

5.    Los Estados miembros proporcionarán mecanismos de validación para las carteras de identidad digital europea:

a)para garantizar que se pueda verificar su autenticidad y validez;

b)para que las partes usuarias puedan verificar la validez de las declaraciones de atributos;

c)para que las partes usuarias y los prestadores cualificados de servicios de confianza puedan verificar la autenticidad y validez de los datos de identificación de la persona a quien se ha atribuido dicha identidad.

6.    Las carteras de identidad digital europeas se emitirán en el marco de un sistema de identificación electrónica notificado con nivel de seguridad “alto”. La utilización de las carteras de identidad digital europea será gratuita para las personas físicas.

7.    El usuario mantendrá pleno control sobre la cartera de identidad digital europea. El emisor de la cartera de identidad digital europea no recopilará información sobre el uso de la cartera que no sea necesaria para la prestación de los servicios de esta, ni combinará datos de identificación personal u otros datos personales almacenados o relacionados con el uso de la cartera de identidad digital europea con datos personales obtenidos a través de otros servicios ofrecidos por dicho emisor o a través de servicios de terceros que no sean necesarios para la prestación de los servicios de la cartera, a menos que el usuario lo haya solicitado expresamente. Los datos personales relacionados con la provisión de carteras de identidad digital europea se conservarán en soporte físico y lógico por separado de cualesquier otros datos mantenidos. Si la cartera de identidad digital europea ha sido proporcionada por agentes privados de conformidad con lo dispuesto en el apartado 1, letras b) y c), se aplicarán mutatis mutandis las disposiciones del artículo 45 septies, apartado 4.

8.    El artículo 11 se aplicará mutatis mutandis a la cartera de identidad digital europea.

9.    El artículo 24, apartado 2, letras b), e), g) y h) se aplicará mutatis mutandis a los Estados miembros emisores de las carteras de identidad digital europea.

10.    Se garantizará la accesibilidad de la cartera de identidad digital europea para las personas con discapacidad, conforme a los requisitos de accesibilidad previstos en el anexo I de la Directiva 2019/882.

11.    Dentro de los seis meses siguientes a la entrada en vigor de este Reglamento, la Comisión establecerá especificaciones técnicas y operativas y normas de referencia para los requisitos mencionados en los apartados 3, 4 y 5, por medio de un acto de ejecución relativo a la implantación de la cartera de identidad digital europea. El acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 48, apartado 2.

Artículo 6 ter

Partes usuarias de las carteras de identidad digital europea

1.    Cuando las partes usuarias tengan previsto utilizar carteras de identidad digital europea emitidas con arreglo al presente Reglamento, lo comunicarán al Estado miembro en el que esté establecida la parte usuaria para garantizar la conformidad con los requisitos establecidos en el Derecho de la Unión o el Derecho nacional para la prestación de servicios específicos. Cuando comuniquen su intención de utilizar las carteras de identidad digital europea, informarán también sobre el uso que pretenden hacer de ellas.

2.    Los Estados miembros aplicarán un mecanismo común para la autenticación de las partes usuarias.

3.    Las partes usuarias serán responsables de llevar a cabo el procedimiento de autenticación de datos de identificación personal y de declaración electrónica de los atributos creados por las carteras de identidad digital europea.

4.    Dentro de los seis meses siguientes a la entrada en vigor de este Reglamento, la Comisión establecerá especificaciones técnicas y operativas para los requisitos mencionados en los apartados 1 y 2, por medio de un acto de ejecución relativo a la implantación de las carteras de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.

Artículo 6 quater

Certificación de las carteras de identidad digital europea

1.    Se presumirá que las carteras de identidad digital europea que hayan sido certificadas o para las que se haya expedido una declaración de conformidad con arreglo a un esquema de ciberseguridad en virtud del Reglamento (UE) 2019/881 y cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea cumplen los requisitos de ciberseguridad establecidos en el artículo 6 bis, apartados 3, 4 y 5, en la medida en que el certificado de ciberseguridad o la declaración de conformidad, o partes de esta, prevean estos requisitos.

2.    La conformidad con los requisitos establecidos en el artículo 6 bis, apartados 3, 4 y 5, relacionados con las operaciones de tratamiento de datos personales realizadas por el emisor de las carteras de identidad digital europea se certificarán en virtud del Reglamento (UE) 2016/679.

3.    La acreditación de la conformidad de las carteras de identidad digital europea con los requisitos establecidos en el artículo 6 bis, apartados 3, 4 y 5, corresponderá a organismos públicos o privados acreditados designados por los Estados miembros.

4.    En un plazo máximo de seis meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, una lista de normas para la certificación de las carteras de identidad digital europea a que se refiere el apartado 3.

5.    Los Estados miembros comunicarán a la Comisión los nombres y direcciones de los organismos públicos o privados a que se refiere el apartado 3. La Comisión pondrá dicha información a disposición de los Estados miembros.

6.    La Comisión estará facultada para adoptar actos delegados, de conformidad con el artículo 47, en lo que respecta al establecimiento de criterios específicos que deben satisfacer los organismos designados a que se refiere el apartado 3.

Artículo 6 quinquies

Publicación de una lista de carteras de identidad digital europea certificadas

1.    Los Estados miembros informarán a la Comisión, sin dilación indebida, sobre las carteras de identidad digital europea que se hayan emitido de conformidad con el artículo 6 bis y que hayan sido certificadas por los organismos a que se refiere el artículo 6 quater, apartado 3. Asimismo, informarán a la Comisión sin dilación indebida cuando la certificación sea cancelada.

2.    Sobre la base de la información recibida, la Comisión establecerá, publicará y mantendrá una lista de carteras de identidad digital europea certificadas.

3.    Dentro de los seis meses siguientes a la entrada en vigor del presente Reglamento, la Comisión definirá los formatos y procedimientos aplicables a efectos del apartado 1, por medio de un acto de ejecución relativo a la implantación de las carteras de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.».

8)Antes del artículo 7 se inserta el título siguiente:

«SECCIÓN II

SISTEMAS DE IDENTIFICACIÓN ELECTRÓNICA».

9)La frase introductoria del artículo 7 se sustituye por el texto siguiente:

«En virtud del artículo 9, apartado 1, los Estados miembros notificarán, en un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, al menos un sistema de identificación electrónica que incluya como mínimo un medio de identificación:».

10)En el artículo 9, los apartados 2 y 3 se sustituyen por el texto siguiente:

«2.    La Comisión publicará en el Diario Oficial de la Unión Europea la lista de los sistemas de identificación electrónica notificados de conformidad con el apartado 1 del presente artículo y la información básica al respecto.

3.    La Comisión publicará en el Diario Oficial de la Unión Europea las modificaciones a la lista a que se hace referencia en el apartado 2 en el plazo de un mes a partir de la fecha en que se reciba la citada notificación.».

11)Se inserta el artículo 10 bis siguiente:

«Artículo 10 bis

Violación de la seguridad de las carteras de identidad digital europea

1.    Cuando se produzca una violación o vulneración parcial que afecte a carteras de identidad digital europea emitidas en virtud del artículo 6 bis y de los mecanismos de validación a que se refiere el artículo 6 bis, letras a), b) y c), de un modo que afecte a su fiabilidad o a la de otras carteras de identidad digital europea, el Estado miembro emisor suspenderá sin dilación indebida la emisión de dichas carteras y revocará su validez, e informará de ello al resto de los Estados miembros y a la Comisión.

2.    Cuando se haya subsanado la violación o la vulneración a que se refiere el apartado 1, el Estado miembro emisor restablecerá la emisión y el uso de la cartera de identidad digital europea e informará sin dilación indebida a los demás Estados miembros y a la Comisión.

3.    Si la violación o vulneración a que se refiere el apartado 1 no se subsana en un plazo de tres meses desde la suspensión o revocación, el Estado miembro afectado retirará la cartera de identidad digital europea en cuestión e informará a los demás Estados miembros y a la comisión de la retirada de dicha cartera. Cuando la gravedad de la violación lo justifique, la cartera de identidad digital europea afectada será retirada de forma inmediata.

4.    La Comisión publicará en el Diario Oficial de la Unión Europea las modificaciones correspondientes de la lista a que se refiere el artículo 6 quinquies, sin dilaciones indebidas.

5.    En un plazo máximo de seis meses desde la entrada en vigor del presente Reglamento, la Comisión especificará además las medidas a que se refieren los apartados 1 y 3 por medio de un acto de ejecución relativo a la implantación de las carteras de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.».

12)Se inserta el artículo 11 bis siguiente:

«Artículo 11 bis

Identificación única

1.    Cuando se utilicen medios de identificación electrónica notificados y las carteras de identidad digital europea para la autenticación, los Estados miembros garantizarán la identificación única.

2.    A efectos del presente Reglamento, los Estados miembros incluirán en el conjunto mínimo de datos de identificación personal a que se refiere el artículo 12, apartado 4, letra d), un identificador único y persistente conforme con el Derecho de la Unión para identificar al usuario, a petición de este, en los casos en que la ley exija identificar al usuario.

3.    En un plazo máximo de seis meses desde la entrada en vigor del presente Reglamento, la Comisión especificará además las medidas a que se refieren los apartados 1 y 2 por medio de un acto de ejecución relativo a la implantación de las carteras de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.».

13)El artículo 12 se modifica como sigue:

a)en el apartado 3 se suprimen las letras c) y d);

b)en el apartado 4, la letra d) se sustituye por el texto siguiente:

«d)    una referencia a un conjunto mínimo de datos de identificación personal necesarios para representar de manera única y persistente a una persona física o jurídica;»;

c)en el apartado 6, la letra a) se sustituye por el texto siguiente:

«a)    un intercambio de información, experiencia y prácticas idóneas sobre sistemas de identificación electrónica, en particular sobre los requisitos técnicos relacionados con la interoperabilidad, la identificación única y los niveles de seguridad;».

14)Se inserta el artículo 12 bis siguiente:

«Artículo 12 bis

Certificación de los sistemas de identificación electrónica

1.    La certificación de la conformidad de los sistemas de identificación electrónica notificados con los requisitos establecidos en el artículo 6 bis, el artículo 8 y el artículo 10 podrá correr a cargo de organismos públicos o privados acreditados designados por los Estados miembros.

2.    La revisión por pares de los sistemas de identificación electrónica a que se refiere el artículo 12, apartado 6, letra c), no se aplicará a los sistemas de identificación electrónica (o parte de ellos) certificados de conformidad con el apartado 1. Los Estados miembros podrán utilizar un certificado o una declaración de conformidad de la Unión emitida con arreglo a un esquema europeo de certificación de la seguridad establecido en virtud del Reglamento (UE) 2019/881 para demostrar el cumplimiento, por parte de dichos esquemas, de los requisitos establecidos en el artículo 8, apartado 2, con respecto a los niveles de seguridad de los sistemas de identificación electrónica.

3.    Los Estados miembros notificarán a la Comisión los nombres y direcciones del organismo público o privado a que se refiere el apartado 1. La Comisión pondrá dicha información a disposición de los Estados miembros.».

15)Tras el artículo 12 bis, se inserta el título siguiente:

«SECCIÓN III

USO TRANSFRONTERIZO DE MEDIOS DE IDENTIFICACIÓN ELECTRÓNICA».

16)Se insertan los artículos 12 ter y quater siguientes:

«Artículo 12 ter

Uso transfronterizo de carteras de identidad digital europea

1.    Cuando los Estados miembros, en virtud de la normativa o las prácticas administrativas nacionales, exijan una identificación electrónica utilizando un medio de identificación electrónica y una autenticación para acceder a un servicio en línea prestado por un organismo del sector público, también aceptarán las carteras de identidad digital europea emitidas con arreglo al presente Reglamento.

2.    Cuando el Derecho nacional o de la Unión exija a las partes usuarias privadas prestadoras de servicios que utilicen métodos reforzados para la autenticación de los usuarios, o cuando se requiera dicha autenticación reforzada en virtud de una obligación contractual, especialmente en los ámbitos del transporte, la energía, los servicios bancarios y financieros, la seguridad social, la sanidad, el agua potable, los servicios postales, la infraestructura digital, la educación o las telecomunicaciones, las partes usuarias privadas también aceptarán el uso de las carteras de identidad digital europea emitidas con arreglo al artículo 6 bis.

3.    Cuando las plataformas en línea de muy gran tamaño, según se definen en el artículo 25, apartado 1, del Reglamento [referencia a la Ley de Servicios Digitales] exijan a los usuarios autenticarse para acceder a servicios en línea, también aceptarán el uso de carteras de identidad digital europea emitidas con arreglo al artículo 6 bis, estrictamente a petición voluntaria del usuario y respetando los atributos mínimos necesarios para el servicio en línea específico para el que se solicita la autenticación, como la acreditación de la edad.

4.    La Comisión fomentará y facilitará el desarrollo de códigos de conducta de autorregulación a escala de la Unión (“códigos de conducta”) para contribuir a una amplia disponibilidad y facilidad de uso de las carteras de identidad digital europea contempladas en el ámbito de aplicación de este Reglamento. Los códigos de conducta garantizarán la aceptación de los medios de identificación electrónica, incluidas las carteras de identidad digital europea contempladas en el ámbito de aplicación de este Reglamento, en particular por parte de prestadores de servicios que se basen en servicios de identificación electrónica de terceros para autenticar a los usuarios. La Comisión facilitará el desarrollo de dichos códigos de conducta en estrecha cooperación con todas las partes interesadas y alentará a los prestadores de servicios a ultimar el desarrollo de códigos de conducta en un plazo máximo de doce meses a contar desde la adopción de este Reglamento, así como a implantarlos efectivamente dentro de los dieciocho meses siguientes a la adopción del Reglamento.

5.    Dentro de los dieciocho meses siguientes a la implantación de las carteras de identidad digital europea, la Comisión evaluará si, con base en datos que muestren la disponibilidad y facilidad de uso de la cartera de identidad digital europea, los prestadores adicionales de servicios en línea privados tienen la obligación de aceptar el uso de la cartera de identidad digital europea estrictamente a petición voluntaria del usuario. Los criterios de evaluación pueden incluir la dimensión de la base de usuarios, la presencia transfronteriza de prestadores de servicios, el desarrollo tecnológico y la evolución de los patrones de uso. Con base en dicha evaluación, la Comisión estará facultada para adoptar actos referentes a una revisión de los requisitos para el reconocimiento de la cartera de identidad digital europea contemplados en los puntos 1 a 4 de este artículo.

6.    A efectos del presente artículo, las carteras de identidad digital europea no estarán sujetas a los requisitos mencionados en los artículos 7 y 9.

Artículo 12 quater

Reconocimiento mutuo de otros medios de identificación electrónica

1.    Cuando sea necesaria una identificación electrónica utilizando un medio de identificación electrónica y una autenticación en virtud de la normativa o la práctica administrativa nacionales para acceder a un servicio en línea prestado por un organismo del sector público en un Estado miembro, se reconocerá en dicho Estado miembro, a efectos de la autenticación transfronteriza en dicho servicio en línea, el medio de identificación electrónica expedido en otro Estado miembro, siempre que:

a)este medio de identificación electrónica haya sido expedido en virtud de un sistema de identificación electrónica incluido en la lista a la que se refiere el artículo 9;

b)el nivel de seguridad de este medio de identificación electrónica corresponda a un nivel de seguridad igual o superior al nivel de seguridad requerido por el organismo del sector público para acceder a dicho servicio en línea en el Estado miembro en cuestión, y en todo caso ofrezca como mínimo un nivel de seguridad “sustancial”;

c)el organismo público en cuestión del Estado miembro afectado utilice un nivel de seguridad “sustancial” o “alto” en relación con el acceso a ese servicio en línea.

Este reconocimiento se producirá a más tardar seis meses después de que la Comisión publique la lista a que se refiere la letra a) del párrafo primero.

2.    Un medio de identificación electrónica expedido en el marco de un sistema de identificación electrónica incluido en la lista a la que se refiere el artículo 9 y que corresponda al nivel de seguridad “bajo” podrá ser reconocido por los órganos del sector público a efectos de la autenticación transfronteriza del servicio en línea prestado por dichos órganos.».

17)En el artículo 13, el apartado 1 se sustituye por el texto siguiente:

«1.    Sin perjuicio de lo dispuesto en el apartado 2 de este artículo, los proveedores de servicios de confianza serán responsables de los daños causados de forma intencionada o por negligencia a cualquier persona física o jurídica como consecuencia de un incumplimiento de las obligaciones que se establecen en este Reglamento y de las obligaciones de gestión de los riesgos para la ciberseguridad contempladas en el artículo 18 de la Directiva XXXX/XXXX [SRI 2].».

18)El artículo 14 se sustituye por el texto siguiente:

«Artículo 14

Aspectos internacionales

1.    La Comisión podrá adoptar actos de ejecución, de conformidad con el artículo 48, apartado 2, en los que se definan las condiciones en las que los requisitos de un tercer país aplicables a los prestadores de servicios de confianza establecidos en su territorio y a los servicios de confianza que prestan pueden considerarse equivalentes a los requisitos aplicables a los prestadores cualificados de servicios de confianza establecidos en la Unión y a los servicios de confianza cualificados que prestan.

2.    Cuando la Comisión haya adoptado un acto de ejecución al amparo de lo dispuesto en el apartado 1 o haya celebrado un acuerdo internacional sobre el reconocimiento mutuo de servicios de confianza conforme al artículo 218 del Tratado, los servicios de confianza prestados por proveedores establecidos en el tercer país en cuestión se considerarán equivalentes a los servicios de confianza cualificados prestados por prestadores cualificados de servicios de confianza establecidos en la Unión.».

19)El artículo 15 se sustituye por el texto siguiente:

«Artículo 15

Accesibilidad para las personas con discapacidad

La prestación de servicios de confianza y los productos destinados a los usuarios finales utilizados en el marco de la prestación de dichos servicios deberán ser accesibles para las personas con discapacidad, de acuerdo con los requisitos de accesibilidad establecidos en el anexo I de la Directiva (UE) 2019/882 sobre los requisitos de accesibilidad de los productos y servicios.».

20)El artículo 17 se modifica como sigue:

a)el apartado 4 se modifica como sigue:

1)en el apartado 4, la letra c) se sustituye por el texto siguiente:

«c)    informar a las autoridades nacionales competentes de los Estados miembros afectados, designadas en virtud de la Directiva (UE) XXXX/XXXX [SRI 2], de cualquier violación significativa de la seguridad o pérdida de integridad de la que tengan conocimiento en el desempeño de sus tareas; cuando la violación significativa de la seguridad o la pérdida de integridad afecte a otros Estados miembros, el organismo de control informará al punto de contacto único del Estado miembro en cuestión designado al amparo de la Directiva (UE) XXXX/XXXX (SRI 2);»;

2)la letra f) se sustituye por el texto siguiente:

«f)    cooperar con las autoridades de control establecidas en virtud del Reglamento (UE) 2016/679, en particular, informándolas sin dilación indebida sobre los resultados de las auditorías de los prestadores cualificados de servicios de confianza, cuando se hayan violado las normas de protección de datos personales, así como sobre violaciones de la seguridad que constituyan violaciones de datos personales;»;

b)el apartado 6 se sustituye por el texto siguiente:

«6.    A más tardar el 31 de marzo de cada año cada organismo de control presentará a la Comisión un informe sobre las principales actividades que haya llevado a cabo durante el año natural anterior.»;

c)el apartado 8 se sustituye por el texto siguiente:

«8.    En un plazo máximo de doce meses a contar desde la entrada en vigor de este Reglamento, la Comisión especificará, por medio de actos de ejecución, las tareas de las autoridades de control a que se refiere el apartado 4 y definirá los formatos y procedimientos del informe mencionado en el apartado 6. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

21)El artículo 18 se modifica como sigue:

a)el título del artículo 18 se sustituye por el texto siguiente:

«Asistencia mutua y cooperación»;

b)el apartado 1 se sustituye por el texto siguiente:

«1.    los organismos de control cooperarán con vistas a intercambiar prácticas idóneas e información acerca de la prestación de servicios de confianza.»;

c)se añaden los apartados 4 y 5 siguientes:

«4.    Los organismos de control y las autoridades nacionales competentes en virtud de la Directiva (UE) XXXX/XXXX del Parlamento Europeo y del Consejo [SRI 2] cooperarán y se prestarán mutuamente asistencia para asegurar que los prestadores de servicios de confianza cumplan los requisitos establecidos en este Reglamento y en la Directiva (UE) XXXX/XXXX [SRI 2]. El organismo de control solicitará a la autoridad nacional competente en virtud de la Directiva (UE) XXXX/XXXX [SRI 2] que lleve a cabo actuaciones de control para verificar la conformidad de los prestadores de servicios de confianza con los requisitos establecidos en la Directiva (UE) XXXX/XXXX [SRI 2], exigir a los prestadores de servicios de confianza que subsanen cualquier falta de conformidad con dichos requisitos, proporcionar en los plazos previstos los resultados de cualquier actividad de control vinculada a los prestadores de servicios de confianza e informar a los órganos de control acerca de los incidentes pertinentes importantes notificados con arreglo a lo dispuesto en la Directiva (UE) XXXX/XXXX [SRI 2].

5.    Dentro de los doce meses siguientes a la entrada en vigor de este Reglamento, la Comisión establecerá, por medio de actos de ejecución, los mecanismos de procedimiento necesarios para facilitar la cooperación entre las autoridades de control a que se refiere el apartado 1.».

22)El artículo 20 se modifica como sigue:

a)el apartado 1 se sustituye por el texto siguiente:

«1.    Los prestadores cualificados de servicios de confianza serán auditados al menos cada veinticuatro meses, corriendo con los gastos que ello genere, por un organismo de evaluación de la conformidad. La auditoría confirmará que los prestadores cualificados de servicios de confianza y los servicios de confianza cualificados que prestan cumplen los requisitos establecidos en este Reglamento y en el artículo 18 de la Directiva (UE) XXXX/XXXX [SRI 2]. Los prestadores cualificados de servicios de confianza presentarán el informe de evaluación de la conformidad resultante al organismo de control en el plazo de tres días hábiles a contar desde su recepción.»;

b)en el apartado 2, la última frase se sustituye por el texto siguiente:

«En caso de posible infracción de las normas sobre protección de datos personales, el organismo de control informará a las autoridades de control en virtud del Reglamento (UE) 2016/679 de los resultados de sus auditorías.»;

c)los apartados 3 y 4 se sustituyen por el texto siguiente:

«3.    Cuando el prestador cualificado de servicios de confianza incumpla cualquiera de los requisitos que se establecen en este Reglamento, el órgano de control le exigirá subsanar dicho incumplimiento dentro de un plazo determinado, si procede.

Si el prestador no subsanase el incumplimiento dentro del plazo fijado por el organismo de control si procede, este, teniendo en cuenta en particular el alcance, la duración y las consecuencias del incumplimiento, podrá retirar la cualificación al prestador en cuestión o al servicio que preste, y requerirle para que cumpla —en un plazo establecido, si procede— los requisitos previstos en la Directiva XXXX/XXXX [SRI 2]. El organismo de control informará al órgano a que se refiere el artículo 22, apartado 3, a efectos de la actualización de las listas de confianza a las que se hace referencia en el artículo 22, apartado 1.

El organismo de control comunicará al prestador cualificado de servicios de confianza la retirada de su cualificación o de la cualificación del servicio de que se trate.

4.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia para las normas siguientes:

a)la acreditación de los organismos de evaluación de la conformidad y para el informe de evaluación de la conformidad a que se refiere el apartado 1;

b)los requisitos de auditoría con arreglo a las cuales los organismos de evaluación de la conformidad realizarán la evaluación de la conformidad de los prestadores cualificados de servicios de confianza a que se refiere el apartado 1;

c)los sistemas de evaluación de la conformidad que utilizarán los organismos de evaluación de la conformidad para evaluar la conformidad de los prestadores cualificados de servicios de confianza y para proporcionar el informe de evaluación de la conformidad a que se refiere el apartado 1.

Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

23)El artículo 21 se modifica como sigue:

a)el apartado 2 se sustituye por el texto siguiente:

«2.    El organismo de control verificará si el prestador de servicios de confianza y los servicios de confianza que presta cumplen los requisitos establecidos en el presente Reglamento, y en particular, los requisitos establecidos para los prestadores cualificados de servicios de confianza y para los servicios de confianza cualificados que estos prestan.

Con el fin de verificar la conformidad del proveedor de servicios de confianza con los requisitos establecidos en el artículo 18 de la Directiva XXXX [SRI 2], el organismo de control solicitará a las autoridades competentes en virtud de la citada Directiva que lleven a cabo actuaciones de control en ese sentido y que proporcionen información sobre los resultados de dichas actuaciones en el plazo de tres días desde su finalización.

Si el organismo de control concluye que el prestador de servicios de confianza y los servicios de confianza que este presta cumplen los requisitos a que se refiere el párrafo primero, el organismo de control concederá la cualificación al prestador de servicios de confianza y a los servicios de confianza que este presta y lo comunicará al organismo a que se refiere el artículo 22, apartado 3, a efectos de actualizar las listas de confianza a que se refiere el artículo 22, apartado 1, a más tardar tres meses después de la notificación de conformidad con el apartado 1 del presente artículo.

Si la verificación no ha concluido en el plazo de tres meses, el organismo de control informará al prestador de servicios de confianza especificando los motivos de la demora y el plazo previsto para concluir la verificación.»;

b)el apartado 4 se sustituye por el texto siguiente:

«4.    Dentro de los doce meses siguientes a la entrada en vigor de este Reglamento, la Comisión definirá, por medio de actos de ejecución, los formatos y procedimientos de la notificación y la verificación a efectos de lo dispuesto en los apartados 1 y 2 del presente artículo. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

24)En el artículo 23 se añade el apartado 2 bis siguiente:

«2 bis.    Los apartados 1 y 2 también serán de aplicación a los prestadores de servicios de confianza establecidos en terceros países y a los servicios que prestan, siempre y cuando hayan sido reconocidos en la Unión con arreglo a lo previsto en el artículo 14.».

25)El artículo 24 se modifica como sigue:

a)el apartado 1 se sustituye por el texto siguiente:

«1.    Al expedir un certificado cualificado o una declaración electrónica cualificada de atributos para un servicio de confianza, un prestador cualificado de servicios de confianza verificará la identidad y, si procede, cualesquier atributos específicos de la persona física o jurídica a la que se haya expedido el certificado cualificado o la declaración electrónica cualificada de atributo.

La información a que se refiere el párrafo primero será verificada por el prestador cualificado de servicios de confianza bien directamente o bien por medio de un tercero, de cualquiera de las formas siguientes:

a)a través de un medio de identificación electrónica notificado que satisfaga los requisitos establecidos en el artículo 8 con respecto a los niveles de garantía “sustancial” o “alto”;

b)por medio de declaraciones electrónicas cualificadas de atributos o de un certificado de una firma electrónica cualificada o de un sello electrónico cualificado expedido de conformidad con la letra a), c) o d);

c)utilizando cualesquier otros métodos de identificación que garanticen la identificación de la persona física con un nivel alto de confianza, cuya conformidad será confirmada por un organismo de evaluación de la conformidad;

d)a través de la presencia física de la persona física o de un representante autorizado de la persona jurídica, utilizando procedimientos adecuados y de conformidad con las leyes nacionales si no hay otros medios disponibles.»;

b)se inserta el apartado 1 bis siguiente:

«1 bis.    Dentro de los doce meses siguientes a la entrada en vigor de este Reglamento, la Comisión establecerá, por medio de actos de ejecución, las especificaciones técnicas, normas y procedimientos mínimos con respecto a la verificación de la identidad y los atributos de conformidad con lo dispuesto en el apartado 1, letra c). Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.»;

c)el apartado 2 se modifica como sigue:

1)la letra d) se sustituye por el texto siguiente:

«d)    antes de entrar en una relación contractual, informarán, de manera clara, comprensible y fácilmente accesible, en un espacio públicamente accesible y de forma individual a cualquier persona que desee utilizar un servicio de confianza cualificado acerca de las condiciones precisas relativas a la utilización de dicho servicio, incluidas las limitaciones de su utilización;»;

2)se insertan las letras nuevas f bis) y f ter) siguientes:

« f bis)    contarán con políticas adecuadas y adoptarán las medidas que procedan para gestionar los riesgos jurídicos, empresariales, operativos y otros riesgos directos o indirectos para la prestación del servicio de confianza cualificado. Sin perjuicio de lo dispuesto en el artículo 18 de la Directiva (UE) XXXX/XXX [SRI 2], tales medidas incluirán, como mínimo, las siguientes:

i) medidas relacionadas con los procedimientos de registro en un servicio e incorporación a este;

ii) medidas relacionadas con controles administrativos o de procedimiento;

iii) medidas relacionadas con la gestión e implantación de servicios.

f ter)    notificarán al organismo de control y, cuando proceda, a otros organismos pertinentes cualquier infracción o interrupción asociada en la aplicación de las medidas a que se refiere la letra f bis), incisos i), ii) y iii), que tenga un impacto significativo en el servicio de confianza prestado o en los datos personales mantenidos en él.»;

3)las letras g) y h) se sustituyen por el texto siguiente:

«g)    adoptarán medidas adecuadas contra la falsificación, el robo o la apropiación indebida de datos o contra la eliminación, alteración o bloqueo de dichos datos sin tener derecho a ello;

h)    registrarán y mantendrán accesible durante el tiempo que sea necesario cuando hayan cesado las actividades del prestador cualificado de servicios de confianza, toda la información pertinente referente a los datos expedidos y recibidos por el prestador cualificado de servicios de confianza, al objeto de que sirvan de prueba en los procedimientos legales y para garantizar la continuidad del servicio. Esta actividad de registro podrá realizarse por medios electrónicos;»;

4)se suprime la letra j);

d)se inserta el apartado 4 bis siguiente:

«4 bis.    Los apartados 3 y 4 se aplicarán en consecuencia a la revocación de declaraciones electrónicas de atributos.»;

e)el apartado 5 se sustituye por el texto siguiente:

«5.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá, mediante de actos de ejecución, los números de referencia de las normas para los requisitos a que se refiere el apartado 2. Se presumirá el cumplimiento de los requisitos establecidos en el presente artículo cuando los sistemas y productos fiables cumplan dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.»;

f)se añade el apartado 6 siguiente:

«6.    La Comisión estará facultada para adoptar actos delegados con respecto a las medidas adicionales a que se refiere el apartado 2, letra f bis).».

26)En el artículo 28, el apartado 6 se sustituye por el texto siguiente:

«6.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para los certificados cualificados de firma electrónica. Se presumirá el cumplimiento de los requisitos establecidos en el anexo I cuando un certificado cualificado de firma electrónica se ajuste a dichas normas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

27)En el artículo 29 se añade el siguiente apartado 1 bis:

«1 bis.    La creación, gestión y duplicación de datos de creación de firmas electrónicas en nombre del signatario son funciones reservadas en exclusiva a un prestador cualificado de servicios de confianza que preste un servicio de confianza cualificado para la gestión de un dispositivo cualificado remoto de creación de firmas electrónicas.».

28)Se inserta el artículo 29 bis siguiente:

«Artículo 29 bis

Requisitos que debe cumplir un servicio cualificado para la gestión de dispositivos remotos de creación de firmas electrónicas

1.    La gestión de dispositivos cualificados remotos de creación de firmas electrónicas como servicio cualificado es una función reservada en exclusiva a un proveedor cualificado de servicios de confianza que:

a)cree o gestione datos de creación de firmas electrónicas en nombre del signatario;

b)sin perjuicio de lo dispuesto en el punto 1, letra d), del anexo II, duplique los datos de creación de firmas electrónicas exclusivamente con fines de copia de seguridad, siempre y cuando se cumplan los requisitos siguientes:

la seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales;

el número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio;

c)cumple todos los requisitos identificados en el informe de certificación del dispositivo cualificado remoto específico de creación de firmas emitido en virtud del artículo 30.

2.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, las especificaciones técnicas y los números de referencia de las normas a efectos de lo dispuesto en el apartado 1.».

29)En el artículo 30, se inserta el apartado 3 bis siguiente:

«3 bis.    La certificación a que se refiere el apartado 1 tendrá una validez de cinco años, condicionada a la realización de una evaluación periódica de las vulnerabilidades cada dos años. Cuando se identifiquen vulnerabilidades y no se subsanen, se retirará la certificación.».

30)En el artículo 31, el apartado 3 se sustituye por el texto siguiente:

«3.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión definirá, por medio de actos de ejecución, los formatos y procedimientos aplicables a efectos de lo dispuesto en el apartado 1. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

31)El artículo 32 se modifica como sigue:

a)en el apartado 1 se añade el párrafo siguiente:

«Se presumirá el cumplimiento de los requisitos establecidos en el párrafo primero cuando la validación de firmas electrónicas cualificadas se ajuste a las normas a las que se refiere el apartado 3.»;

b)el apartado 3 se sustituye por el texto siguiente:

«3.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para la validación de firmas electrónicas cualificadas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

32)El artículo 34 se sustituye por el texto siguiente:

«Artículo 34

Servicio cualificado de conservación de firmas electrónicas cualificadas

1.    Solo podrá prestar un servicio cualificado de conservación de firmas electrónicas cualificadas el prestador cualificado de servicios de confianza que utilice procedimientos y tecnologías capaces de ampliar la fiabilidad de los datos de la firma electrónica cualificada más allá del período de validez tecnológico.

2.    Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando los mecanismos del servicio cualificado de conservación de firmas electrónicas cualificadas se ajusten a las normas a que se refiere el apartado 3.

3.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para el servicio cualificado de conservación de firmas electrónicas cualificadas. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

33)El artículo 37 se modifica como sigue:

a)se inserta el apartado 2 bis siguiente:

«2 bis.    Se presumirá el cumplimiento de los requisitos de los sellos electrónicos avanzados mencionados en el artículo 36 y en el apartado 5 del presente artículo cuando un sello electrónico avanzado se ajuste a las normas a que hace referencia el apartado 4.»;

b)el apartado 4 se sustituye por el texto siguiente:

«4.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para los sellos electrónicos avanzados. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

34)El artículo 38 se modifica como sigue:

a)el apartado 1 se sustituye por el texto siguiente:

«1.    Los certificados cualificados de sello electrónico cumplirán los requisitos establecidos en el anexo III. Se presumirá el cumplimiento de los requisitos establecidos en el anexo III cuando un certificado cualificado de sello electrónico se ajuste a las normas a que se refiere el apartado 6.»;

b)el apartado 6 se sustituye por el texto siguiente:

«6.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para los certificados cualificados de sello electrónico. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

35)Se inserta el artículo 39 bis siguiente:

«Artículo 39 bis

Requisitos que debe cumplir un servicio cualificado para la gestión de dispositivos remotos de creación de sellos electrónicos

El artículo 29 bis se aplicará mutatis mutandis a los servicios cualificados para la gestión de dispositivos remotos de creación de sellos electrónicos.».

36)El artículo 42 se modifica como sigue:

a)se añade el apartado 1 bis siguiente:

«1 bis.    Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando la vinculación de la fecha y hora con los datos y la fuente de información temporal exacta se ajuste a las normas a que se refiere el apartado 2.»;

b)el apartado 2 se sustituye por el texto siguiente:

«2.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, mediante actos de ejecución, los números de referencia de las normas relativas a la vinculación de la fecha y hora con los datos y a fuentes de información temporal exacta. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

37)El artículo 44 se modifica como sigue:

a)se inserta el apartado 1 bis siguiente:

«1 bis.    Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando el proceso de envío y recepción de datos se ajuste a las normas a que se refiere el apartado 2.»;

b)el apartado 2 se sustituye por el texto siguiente:

«2.    En un plazo máximo de doce meses a contar desde la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para los procesos de envío y recepción de datos. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

38)El artículo 45 se sustituye por el texto siguiente:

«Artículo 45

Requisitos de los certificados cualificados de autenticación de sitios web

1.    Los certificados cualificados de autenticación de sitios web cumplirán los requisitos establecidos en el anexo IV. Se presumirá el cumplimiento de los requisitos establecidos en el anexo IV cuando un certificado cualificado de autenticación de sitios web se ajuste a las normas a que se refiere el apartado 3.

2.    Los navegadores web reconocerán los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1. Con este fin, los navegadores web garantizarán que los datos de identificación proporcionados mediante cualquiera de los métodos se muestren al usuario de un modo fácil de entender. Los navegadores web garantizarán la compatibilidad e interoperabilidad con los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1, con la excepción de las empresas consideradas microempresas y pequeñas empresas de conformidad con la Recomendación 2003/361/CE de la Comisión en sus primeros cinco años de actividad como prestadores de servicios de navegación web.

3.    Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión dispondrá, por medio de actos de ejecución, las especificaciones y los números de referencia de las normas para los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

39)Tras el artículo 45, se insertan las secciones 9, 10 y 11 siguientes:

«SECCIÓN 9

DECLARACIÓN ELECTRÓNICA DE ATRIBUTOS

Artículo 45 bis

Efectos jurídicos de la declaración electrónica de atributos

1.    No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una declaración electrónica de atributos por el mero hecho de estar en formato electrónico.

2.    Una declaración electrónica cualificada de atributos tendrá los mismos efectos jurídicos que las declaraciones lícitamente emitidas en formato impreso.

3.    Una declaración electrónica cualificada de atributos emitida en un Estado miembro será reconocida como declaración electrónica cualificada de atributos en cualquier otro Estado miembro.

Artículo 45 ter

Declaración electrónica de atributos en servicios públicos

Cuando la legislación nacional exija una identificación electrónica utilizando un medio de identificación electrónica y una autenticación para acceder a un servicio en línea prestado por un organismo público, los datos de identificación personal contenidos en la declaración electrónica de atributos no sustituirán a la identificación electrónica utilizando un medio de identificación electrónica y una autenticación para la identificación electrónica a menos que el Estado miembro o el organismo público lo autoricen expresamente. En tal caso, también se aceptarán las declaraciones electrónicas cualificadas de atributos procedentes de otros Estados miembros.

Artículo 45 quater

Requisitos que debe cumplir la declaración cualificada de atributos

1.    La declaración electrónica cualificada de atributos cumplirá los requisitos establecidos en el anexo V. Se presumirá el cumplimiento de los requisitos establecidos en el anexo V cuando una declaración electrónica cualificada de atributos se ajuste a las normas a que se refiere el apartado 4.

2.    Las declaraciones electrónicas cualificadas de atributos no estarán sometidas a ningún requisito obligatorio además de los requisitos establecidos en el anexo V.

3.    Si una declaración electrónica cualificada de atributos ha sido revocada después de su emisión inicial, perderá su validez desde el momento de su revocación y no podrá en ninguna circunstancia recuperar su estado.

4.    Dentro de los seis meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá números de referencia de normas para las declaraciones electrónicas cualificadas de atributos por medio de un acto de ejecución sobre la implantación de las carteras de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.

Artículo 45 quinquies

Cotejo de atributos con fuentes auténticas

1.    Los Estados miembros garantizarán que, al menos para los atributos que se enumeran en el anexo VI, cuando tales atributos se basen en fuentes auténticas pertenecientes al sector público, se adopten medidas para permitir que los proveedores cualificados de declaraciones electrónicas de atributos verifiquen por medios electrónicos, a petición del usuario, la autenticidad del atributo, cotejándolo directamente con la correspondiente fuente auténtica a escala nacional o a través de intermediarios designados reconocidos a escala nacional de conformidad con el Derecho nacional o de la Unión.

2.    Dentro de los seis meses siguientes a la entrada en vigor del presente Reglamento, la Comisión, teniendo en cuenta las normas internacionales aplicables, establecerá las especificaciones técnicas, normas y procedimientos mínimos en referencia al catálogo de atributos y sistemas para la declaración de atributos y los procedimientos de verificación de declaraciones electrónicas cualificadas de atributos, por medio de un acto de ejecución relativo a la implantación de la cartera de identidad digital europea, tal como prevé el artículo 6 bis, apartado 10.

Artículo 45 sexties

Emisión de declaraciones electrónicas de atributos a las carteras de identidad digital europea

Los proveedores de declaraciones electrónicas cualificadas de atributos proporcionarán una interfaz con las carteras de identidad digital europea emitidas con arreglo al artículo 6 bis.

Artículo 45 septies

Normas adicionales para la prestación de servicios de declaración electrónica de atributos

1.    Los prestadores de servicios cualificados y no cualificados de declaración electrónica de atributos se abstendrán de combinar datos personales relacionados con la prestación de dichos servicios con datos personales obtenidos a través de otros servicios que ofrezcan.

2.    Los datos personales relacionados con la prestación de servicios de declaración electrónica de atributos se conservarán en soporte lógico por separado de otros datos que se mantengan.

3.    Los datos personales relacionados con la prestación de servicios cualificados de declaración electrónica de atributos se conservarán (tanto en soporte físico como lógico) por separado de otros datos que se mantengan.

4.    Los prestadores de servicios cualificados de declaración electrónica de atributos prestarán dichos servicios bajo una entidad jurídica separada.

SECCIÓN 10

SERVICIOS CUALIFICADOS DE ARCHIVO ELECTRÓNICO

Artículo 45 octies

Servicios cualificados de archivo electrónico

Solo podrá prestar un servicio cualificado de archivo electrónico un prestador cualificado de servicios de confianza que utilice procedimientos y tecnologías capaces de ampliar la fiabilidad del documento electrónico más allá del período de validez tecnológico.

Dentro de los doce meses siguientes a la entrada en vigor del presente Reglamento, la Comisión establecerá, por medio de actos de ejecución, los números de referencia de las normas para los servicios de archivo electrónico. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.

SECCIÓN 11

LIBROS MAYORES ELECTRÓNICOS

Artículo 45 nonies

Efectos jurídicos de los libros mayores electrónicos

1.    No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a un libro mayor electrónico por el mero hecho de estar en formato electrónico o de no cumplir los requisitos de los libros mayores electrónicos cualificados.

2.    Un libro mayor electrónico cualificado gozará de la presunción de unicidad y autenticidad de los datos que contiene, de la exactitud de su fecha y hora y del orden cronológico secuencial interno del libro mayor.

Artículo 45 decies

Requisitos de los libros mayores electrónicos cualificados

1. Un libro mayor electrónico cualificado cumplirá los requisitos siguientes:

a)estar creado por uno o más prestadores cualificados de servicios de confianza;

b)garantizar la unicidad, autenticidad y correcta secuenciación de las entradas de datos grabadas en el libro mayor;

c)garantizar el orden cronológico secuencial correcto de los datos que contiene el libro mayor y la exactitud de la fecha y la hora de la entrada de datos;

d)grabar datos de modo que sea posible detectar de forma inmediata cualquier modificación posterior de estos.

2.    Se presumirá el cumplimiento de los requisitos establecidos en el apartado 1 cuando un libro mayor electrónico se ajuste a las normas a que se refiere el apartado 3.

3.    La Comisión podrá establecer, por medio de actos de ejecución, números de referencia de normas para los procesos de ejecución y registro de un conjunto de datos en un libro mayor electrónico cualificado, así como para la creación de dicho libro mayor. Estos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».

40)Se inserta el artículo 48 bis siguiente:

«Artículo 48 bis

Requisitos de información

1.    Los Estados miembros garantizarán la recopilación de estadísticas relativas al funcionamiento de las carteras de identidad digital europea y los servicios de confianza cualificados.

2.    Las estadísticas recopiladas de conformidad con el apartado 1 incluirán las siguientes:

a)el número de personas físicas y jurídicas poseedoras de una cartera de identidad digital europea válida;

b)el tipo y cantidad de servicios que aceptan el uso de la cartera de identidad digital europea;

c)incidencias y tiempo de interrupción de la infraestructura a escala nacional que impidan utilizar las aplicaciones de cartera de identidad digital.

3.    Las estadísticas a las que se refiere el apartado 2 se harán públicas en un formato abierto, de uso común y legible por máquina.

4.    Cada año, a más tardar en el mes de marzo, los Estados miembros presentarán a la Comisión un informe sobre las estadísticas recopiladas de conformidad con el apartado 2.».

41)El artículo 49 se sustituye por el texto siguiente:

«Artículo 49

Revisión

1.    La Comisión revisará la aplicación del presente Reglamento e informará al Parlamento Europeo y al Consejo en un plazo máximo de veinticuatro meses desde su entrada en vigor. La Comisión evaluará en particular si es apropiado modificar el ámbito de aplicación del presente Reglamento o sus disposiciones específicas, teniendo en cuenta la experiencia adquirida en la aplicación del presente Reglamento, así como la evolución tecnológica, del mercado y jurídica. Si fuera necesario, el informe irá acompañado de una propuesta de modificación del presente Reglamento.

2.    El informe de evaluación incluirá una evaluación de la disponibilidad y facilidad de uso de los medios de identificación contemplados en el ámbito de aplicación del presente Reglamento, en especial las carteras de identidad digital europea, y evaluarán si todos los prestadores de servicios privados en línea que se apoyan en servicios de identificación electrónica de terceros con fines de autenticación de los usuarios tienen la obligación de aceptar el uso de los medios de identificación electrónicos notificados.

3.    Asimismo, la Comisión presentará un informe al Parlamento Europeo y al Consejo cada cuatro años tras el informe mencionado en el párrafo primero sobre la marcha hacia el logro de los objetivos del presente Reglamento.».

42)El artículo 51 se sustituye por el texto siguiente:

«Artículo 51

Medidas transitorias

1.    Los dispositivos de creación de firmas seguras cuya conformidad se haya determinado con arreglo al artículo 3, apartado 4, de la Directiva 1999/93/CE, continuarán considerándose dispositivos cualificados de creación de firmas electrónicas en virtud del presente Reglamento hasta el [fecha; DO sírvase insertar el período de cuatro años tras la entrada en vigor del presente Reglamento].

2.    Los certificados cualificados expedidos a personas físicas en virtud de la Directiva 1999/93/CE seguirán considerándose certificados cualificados de firma electrónica en virtud del presente Reglamento hasta el [fecha; DO sírvase insertar el período de cuatro años tras la entrada en vigor del presente Reglamento].».

43)El anexo I se modifica de conformidad con el anexo I del presente Reglamento.

44)El anexo II se sustituye por el texto que figura en el anexo II del presente Reglamento.

45)El anexo III se modifica de conformidad con el anexo III del presente Reglamento.

46)El anexo IV se modifica de conformidad con el anexo IV del presente Reglamento.

47)Se añade un nuevo anexo V, tal como figura en el anexo V del presente Reglamento.

48)Se añade un nuevo anexo VI al presente Reglamento.

Artículo 2

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el

FICHA FINANCIERA LEGISLATIVA

1.MARCO DE LA PROPUESTA/INICIATIVA 

1.1.Denominación de la propuesta/iniciativa

1.2.Ámbito(s) político(s) afectado(s) 

1.3.La propuesta/iniciativa se refiere a: 

 una acción nueva 

 una acción nueva a raíz de un proyecto piloto / una acción preparatoria 28  

la prolongación de una acción existente 

 una fusión o reorientación de una o más acciones hacia otra/una nueva acción 

1.4.Objetivo(s)

1.4.1.Objetivo(s) general(es)

1.4.2.Objetivo(s) específico(s)

1.4.3.Resultado(s) e incidencia esperados

Especifíquense los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios / la población destinataria.

1.4.4.Indicadores de resultados

Especifíquense los indicadores que permiten realizar el seguimiento de los avances y logros.

1.5.Justificación de la propuesta/iniciativa 

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado del despliegue de la aplicación de la iniciativa

1.5.2.Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación

1.6.Duración e incidencia financiera de la propuesta/iniciativa

 duración limitada

    en vigor desde [el] [DD.MM]AAAA hasta [el] [DD.MM]AAAA

    incidencia financiera desde AAAA hasta AAAA para los créditos de compromiso y desde AAAA hasta AAAA para los créditos de pago.

 duración ilimitada

Ejecución: fase de puesta en marcha desde AAAA hasta AAAA

y pleno funcionamiento a partir de la última fecha.

1.7.Modo(s) de gestión previsto(s) 29  

 Gestión directa a cargo de la Comisión

 por sus servicios, incluido su personal en las Delegaciones de la Unión;

    por las agencias ejecutivas

 Gestión compartida con los Estados miembros

 Gestión indirecta mediante delegación de tareas de ejecución presupuestaria en:

 terceros países o los organismos que estos hayan designado;

 organizaciones internacionales y sus agencias (especifíquense);

 el Banco Europeo de Inversiones (BEI) y el Fondo Europeo de Inversiones;

 los organismos a que se hace referencia en los artículos 70 y 71 del Reglamento Financiero;

 organismos de Derecho público;

 organismos de Derecho privado investidos de una misión de servicio público, en la medida en que presenten garantías financieras suficientes;

 organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que presenten garantías financieras suficientes;

 personas a quienes se haya encomendado la ejecución de acciones específicas en el marco de la política exterior y de seguridad común (PESC), de conformidad con el título V del Tratado de la Unión Europea, y que estén identificadas en el acto de base correspondiente.

Si se indica más de un modo de gestión, facilítense los detalles en el recuadro de observaciones.

Observaciones

2.MEDIDAS DE GESTIÓN 

2.1.Disposiciones en materia de seguimiento e informes 

Especifíquense la frecuencia y las condiciones de dichas disposiciones.

2.2.Sistema(s) de gestión y de control 

2.2.1.Justificación del modo o los modos de gestión, el mecanismo o los mecanismos de ejecución de la financiación, las modalidades de pago y la estrategia de control propuestos

2.2.2.Información relativa a los riesgos detectados y al sistema o sistemas de control interno establecidos para mitigarlos

2.2.3.Estimación y justificación de la eficiencia de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados») y evaluación del nivel esperado de riesgo de error (al pago y al cierre) 

2.3.Medidas de prevención del fraude y de las irregularidades 

Especifíquense las medidas de prevención y protección existentes o previstas, por ejemplo, en la estrategia de lucha contra el fraude.

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA 

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s) 

Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

Nuevas líneas presupuestarias solicitadas

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

3.2.Incidencia financiera estimada de la propuesta en los créditos 

3.2.1.Resumen de la incidencia estimada en los créditos de operaciones 

    La propuesta/iniciativa no exige la utilización de créditos de operaciones

    La propuesta/iniciativa exige la utilización de créditos de operaciones, tal como se explica a continuación:

En millones EUR (al tercer decimal)

Esta sección debe rellenarse utilizando los «datos presupuestarios de carácter administrativo» que deben introducirse primero en el anexo de la ficha financiera legislativa (anexo V de las normas internas), que se carga en DECIDE a efectos de consulta entre servicios.

En millones EUR (al tercer decimal)

En millones EUR (al tercer decimal)

3.2.2.Resultados estimados financiados con créditos de operaciones 

Créditos de compromiso en millones EUR (al tercer decimal)

3.2.3.Resumen de la incidencia estimada en los créditos administrativos 

    La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo.

    La propuesta/iniciativa exige la utilización de créditos de carácter administrativo, tal como se explica a continuación:

En millones EUR (al tercer decimal)

Los créditos necesarios para recursos humanos y otros gastos de carácter administrativo se cubrirán mediante créditos de la DG ya asignados a la gestión de la acción o reasignados dentro de la DG, que se complementarán, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

3.2.4.Necesidades estimadas de recursos humanos

    La propuesta/iniciativa no exige la utilización de recursos humanos.

    La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación:

Estimación que debe expresarse en unidades de equivalente a jornada completa

XX es el ámbito político o título presupuestario en cuestión.

Las necesidades en materia de recursos humanos las cubrirá el personal de la DG ya destinado a la gestión de la acción o reasignado dentro de la DG, que se complementará, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

Descripción de las tareas que deben llevarse a cabo:

3.2.5.Compatibilidad con el marco financiero plurianual vigente 

La propuesta/iniciativa:

    puede ser financiada en su totalidad mediante una redistribución dentro de la rúbrica correspondiente del marco financiero plurianual (MFP).

    requiere el uso del margen no asignado con cargo a la rúbrica pertinente del MFP o el uso de los instrumentos especiales tal como se define en el Reglamento del MFP.

    requiere una revisión del MFP.

3.2.6.Contribución de terceros 

La propuesta/iniciativa:

    no prevé la cofinanciación por terceros

    prevé la cofinanciación por terceros que se estima a continuación:

Créditos en millones EUR (al tercer decimal)

3.3.Incidencia estimada en los ingresos 

    La propuesta/iniciativa no tiene incidencia financiera en los ingresos.

    La propuesta/iniciativa tiene la incidencia financiera que se indica a continuación:

    en los recursos propios

    en otros ingresos

indíquese si los ingresos se asignan a las líneas de gasto     

En millones EUR (al tercer decimal)

En el caso de los ingresos asignados, especifíquese la línea o líneas presupuestarias de gasto en la(s) que repercutan.

Otras observaciones (por ejemplo, método/fórmula que se utiliza para calcular la incidencia en los ingresos o cualquier otra información).

ANEXO 
de la FICHA FINANCIERA LEGISLATIVA

Denominación de la propuesta/iniciativa:

1.NÚMERO Y COSTE DE LOS RECURSOS HUMANOS QUE SE CONSIDERAN NECESARIOS

2.COSTE DE LOS DEMÁS GASTOS ADMINISTRATIVOS

3.COSTES ADMINISTRATIVOS TOTALES

4.MÉTODOS DE CÁLCULO UTILIZADOS PARA LA ESTIMACIÓN DE LOS COSTES

4.1.Recursos humanos

4.2.Otros gastos administrativos

1)Coste de los recursos humanos que se consideran necesarios

    La propuesta/iniciativa no exige la utilización de recursos humanos

    La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación:

En millones EUR (al tercer decimal)

4.3.Las necesidades en materia de recursos humanos las cubrirá el personal de la DG ya destinado a la gestión de la acción o reasignado dentro de la DG, que se complementará, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

4.4.

4.5.

Las necesidades en materia de recursos humanos las cubrirá el personal de la DG ya destinado a la gestión de la acción o reasignado dentro de la DG, que se complementará, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

4.6.Coste de los demás gastos administrativos

4.7.La propuesta/iniciativa no exige la utilización de créditos administrativos

4.8.La propuesta/iniciativa exige la utilización de créditos administrativos, tal como se explica a continuación:

En millones EUR (al tercer decimal)

En millones EUR (al tercer decimal)

5.Costes administrativos totales (todas las rúbricas del MFP)

En millones EUR (al tercer decimal)

1)Las necesidades en materia de créditos administrativos se cubrirán mediante los créditos ya destinados a la gestión de la acción o reasignados, que se complementarán en caso necesario con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

6.Métodos de cálculo utilizados para la estimación de los costes

a) Recursos humanos

En este apartado se expone el método de cálculo utilizado para estimar los recursos humanos considerados necesarios [hipótesis sobre carga de trabajo, incluidos los empleos específicos (perfiles de actividad Sysper 2), categorías de personal y costes medios conexos]

7.Otros gastos administrativos

Descríbase detalladamente el método de cálculo utilizado para cada línea presupuestaria

y, en particular, las hipótesis de base (p. ej., número de reuniones al año, costes medios, etc.)

(1)    DO L 257/73 de 28.8.2014.

(2)    [Añadir referencia una vez adoptada].

(3)    https://www.consilium.europa.eu/media/45932/021020-euco-final-conclusions-es.pdf.

(4)    Discurso sobre el estado de la Unión, 16 de septiembre de 2020; véase https://ec.europa.eu/commission/presscorner/detail/es/SPEECH_20_1655.

(5)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, «Configurar el futuro digital de Europa».

(6)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, «Brújula Digital 2030: el enfoque de Europa para el Decenio Digital».

(7)    Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (DO L 119 de 4.5.2016, p. 1).

(8)    https://ec.europa.eu/commission/presscorner/detail/es/IP_20_2391.

(9)    Reglamento (UE) 2018/1724 del Parlamento Europeo y del Consejo, de 2 de octubre de 2018, relativo a la creación de una pasarela digital única de acceso a información, procedimientos y servicios de asistencia y resolución de problemas (DO L 295 de 21.11.2018, p. 1).

(10)    Plan de Acción para la Democracia Europea, COM/2020/790 final.

(11)    Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a los mercados de instrumentos financieros y por la que se modifican la Directiva 2002/92/CE y la Directiva 2011/61/UE, Texto pertinente a efectos del EEE (DO L 173 de 12.6.2014, p. 349).

(12)    Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(13)    Propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a los mercados de criptoactivos y por el que se modifica la Directiva 2019/1937/UE (COM/2020/593 final).

(14)    Gartner, Blockchain Evolution, 2020.

(15)    DO C [] de […], p. […].

(16)    COM/2020/67 final.

(17)    https://www.consilium.europa.eu/es/press/press-releases/2020/10/02/european-council-conclusions-1-2-october-2020/.

(18)    COM/2021/118 final/2.

(19)    Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (DO L 119 de 4.5.2016, p. 1).

(20)    Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.º 526/2013 («Reglamento sobre la Ciberseguridad») (DO L 151 de 7.6.2019, p. 15).

(21)    Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a ciudadanos de la Unión y a los miembros de sus familias que ejerzan su derecho a la libre circulación (DO L 188 de 12.7.2019, p. 67).

(22)    Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019, p. 70).

(23)    Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a los mercados de instrumentos financieros y por la que se modifican la Directiva 2002/92/CE y la Directiva 2011/61/UE, Texto pertinente a efectos del EEE (DO L 173 de 12.6.2014, p. 349).

(24)    Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(25)    Propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a los mercados de criptoactivos y por el que se modifica la Directiva 2019/1937/UE (COM/2020/593 final).

(26)    [Insértese la referencia una vez adoptada].

(27)    Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(28)    Tal como se contempla en el artículo 58, apartado 2, letras a) o b), del Reglamento Financiero.

(29)    Las explicaciones sobre los modos de gestión y las referencias al Reglamento Financiero pueden consultarse en el sitio BudgWeb: https://myintracomm.ec.europa.eu/budgweb/ES/man/budgmanag/Pages/budgmanag.aspx .

(30)    CD = créditos disociados / CND = créditos no disociados.

(31)    AELC: Asociación Europea de Libre Comercio.

(32)    Países candidatos y, en su caso, candidatos potenciales de los Balcanes Occidentales.

(33)    En el caso de que el coste real supere las cantidades indicadas, los costes se financiarán con cargo a 02 04 05 01.

(34)    Según la nomenclatura presupuestaria oficial.

(35)    Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.

(36)    Los resultados son productos y servicios que deben suministrarse (por ejemplo, número de intercambios de estudiantes financiados, número de kilómetros de carreteras construidos, etc.).

(37)    Tal como se describe en el punto 1.4.2. «Objetivo(s) específico(s)…».

(38)    Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.

(39)    Por debajo del límite de personal externo con cargo a créditos de operaciones (antiguas líneas «BA»).

(40)    El año N es el año de comienzo de la ejecución de la propuesta/iniciativa. Sustitúyase «N» por el primer año de aplicación previsto (por ejemplo: 2021). Hágase lo mismo con los años siguientes.

(41)    Por lo que se refiere a los recursos propios tradicionales (derechos de aduana, cotizaciones sobre el azúcar), los importes indicados deben ser importes netos, es decir, importes brutos una vez deducido el 20 % de los gastos de recaudación.

(42)    Selecciónese la línea presupuestaria pertinente o especifíquese otra en caso necesario; si la propuesta afecta a más líneas presupuestarias, deberá diferenciarse el personal por cada línea presupuestaria afectada.

(43)    Selecciónese la línea presupuestaria pertinente o especifíquese otra en caso necesario; si la propuesta afecta a más líneas presupuestarias, deberá diferenciarse el personal por cada línea presupuestaria afectada.

(44)    Especifíquese el tipo de comité y el grupo al que pertenece.

(45)    Se requiere el dictamen del equipo de inversiones en TI de la DG DIGIT [véanse las Directrices sobre la financiación de TI, C(2020)6126 final de 10.9.2020, p. 7].

(46)    Se requiere el dictamen del equipo de inversiones en TI de la DG DIGIT [véanse las Directrices sobre la financiación de TI, C(2020)6126 final de 10.9.2020, p. 7].

(47)    Esta partida incluye sistemas administrativos locales y contribuciones a la cofinanciación de sistemas institucionales TI [véanse las Directrices sobre la financiación de TI, C(2020)6126 final de 10.9.2020].