Reglamento de Ejecución (UE) 2024/2979 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la integridad y las funcionalidades básicas de las carteras europeas de identidad digital

El presente Reglamento establece normas para la integridad y las funcionalidades básicas de las carteras, que deben actualizarse periódicamente para mantenerlas en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, y en particular la arquitectura y el marco de referencia.

A los efectos del presente Reglamento, se entenderá por: 1) «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas; 2) «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de cartera a un usuario particular de una cartera; 3) «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante; 4) «proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera; 5) «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera; 6) «parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital; 7) «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera; 8) «declaración de unidad de cartera»: objeto de datos que describe los componentes de la unidad de cartera o permite la autenticación y la validación de esos componentes; 9) «política de divulgación incorporada»: conjunto de normas, incorporadas en una declaración electrónica de atributos por su proveedor, que indica las condiciones que debe cumplir una parte usuaria de la cartera para acceder a la declaración electrónica de atributos; 10) «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera; 11) «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera; 12) «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas; 13) «operación criptográfica de una cartera»: mecanismo criptográfico necesario en el contexto de la autenticación del usuario de una cartera y la expedición o presentación de datos de identificación de la persona o declaraciones electrónicas de atributos; 14) «certificado de acceso de partes usuarias de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de partes usuarias de la cartera, que autentica y valida a la parte usuaria de la cartera; 15) «proveedor de certificados de acceso de partes usuarias de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria a las partes usuarias de cartera registradas en ese Estado miembro.

1 Las unidades de cartera no llevarán a cabo ninguna de las funciones enumeradas en el artículo 5 bis, apartado 4, del Reglamento (UE) n.o 910/2014, excepto la autenticación del usuario de una cartera para acceder a la unidad de cartera, hasta que la unidad de cartera haya autenticado correctamente al usuario de la cartera.

2 Para cada unidad de cartera, los proveedores de carteras firmarán o sellarán al menos una declaración de unidad de cartera que cumpla los requisitos establecidos en el artículo 6. El certificado utilizado para firmar o sellar la declaración de unidad de cartera se expedirá con arreglo a un certificado incluido en la lista de confianza a que se refiere el Reglamento de Ejecución (UE) 2024/2980.

1 Las instancias de cartera utilizarán al menos un dispositivo criptográfico seguro de cartera para gestionar los activos críticos.

2 Los proveedores de carteras garantizarán la integridad, autenticidad y confidencialidad de la comunicación entre las instancias de cartera y las aplicaciones criptográficas seguras de cartera.

3 Cuando los activos críticos estén relacionados con la realización de una identificación electrónica a un nivel de seguridad alto, las operaciones criptográficas de la cartera u otras operaciones de tratamiento de activos críticos se llevarán a cabo conforme a los requisitos aplicables a las características y el diseño de los medios de identificación electrónica con un nivel de seguridad alto, tal como se establece en el Reglamento de Ejecución (UE) 2015/1502 de la Comisión .

1 Los proveedores de carteras garantizarán que las aplicaciones criptográficas seguras de cartera: a) únicamente lleven a cabo operaciones criptográficas de cartera que impliquen activos críticos distintos de los necesarios para que la unidad de cartera autentique al usuario de la cartera en casos en que dichas aplicaciones hayan autenticado correctamente a los usuarios de la cartera; b) cuando autentiquen a los usuarios de una cartera en el contexto de la realización de una identificación electrónica con un nivel de seguridad alto, realicen la autenticación de los usuarios de una cartera con arreglo a los requisitos aplicables a las características y al diseño de medios de identificación electrónica con un nivel de seguridad alto, tal como se establece en el Reglamento de Ejecución (UE) 2015/1502; c) sean capaces de generar de manera segura nuevas claves criptográficas; d) sean capaces de suprimir de manera segura activos críticos; e) sean capaces de generar una prueba de posesión de claves privadas; f) protejan las claves privadas generadas por esas aplicaciones criptográficas seguras de cartera mientras existan esas claves; g) cumplan los requisitos aplicables a las características y el diseño de los medios de identificación electrónica a un nivel de seguridad alto, tal como se establece en el Reglamento de Ejecución (UE) 2015/1502; h) sean los únicos componentes capaces de ejecutar operaciones criptográficas de cartera y cualquier otra operación con activos críticos en el contexto de la realización de una identificación electrónica a un nivel de seguridad alto.

2 Cuando los proveedores de carteras decidan proporcionar una aplicación criptográfica segura de cartera a un elemento seguro integrado, basarán su solución técnica en las especificaciones técnicas enumeradas en el anexo I u otras especificaciones técnicas equivalentes.

1 Los proveedores de carteras se asegurarán de que cada unidad de cartera contenga declaraciones de unidad de cartera.

2 Los proveedores de carteras se asegurarán de que las declaraciones de unidad de cartera a que se refiere el apartado 1 contengan claves públicas y de que las claves privadas correspondientes estén protegidas por un dispositivo criptográfico seguro de cartera.

3 Los proveedores de carteras: a) informarán a los usuarios de una cartera de sus derechos y obligaciones en relación con su unidad de cartera; b) proporcionarán mecanismos, independientes de las unidades de cartera, para la identificación y autenticación seguras de los usuarios de una cartera; c) garantizarán que los usuarios de una cartera tengan derecho a solicitar la revocación de sus declaraciones de unidad de cartera, utilizando los mecanismos de autenticación a que se refiere la letra b).

1 Los proveedores de carteras serán las únicas entidades capaces de revocar las declaraciones de unidad de cartera que ellos hayan suministrado.

2 Los proveedores de carteras establecerán y harán pública una política en la que se especifiquen las condiciones y los plazos para la revocación de las declaraciones de unidad de cartera.

3 Cuando los proveedores de carteras hayan revocado declaraciones de unidad de cartera, informarán a los usuarios de una cartera afectados en un plazo de veinticuatro horas a partir de la revocación de sus unidades de cartera, indicando el motivo de la revocación y las consecuencias para el usuario de una cartera. Esta información se transmitirá de manera concisa, fácilmente accesible y mediante un lenguaje claro y sencillo.

4 Cuando los proveedores de carteras hayan revocado declaraciones de unidad de cartera, harán público el estado de validez de la declaración de unidad de cartera, de manera que se preserve la privacidad, y describirán la ubicación de esa información en la declaración de unidad de cartera.

Los proveedores de carteras se asegurarán de que las soluciones de cartera admitan el uso de datos de identificación de la persona y declaraciones electrónicas de atributos expedidos de conformidad con la lista de normas que figura en el anexo II.

1 Con independencia de que una transacción se haya concluido efectivamente o no, las instancias de cartera registrarán todas las transacciones realizadas con partes usuarias de la cartera y otras unidades de cartera, incluidos la firma y el sello electrónicos.

2 La información registrada contendrá, como mínimo: a) la fecha y la hora de la transacción; b) el nombre, los datos de contacto y el identificador único de la parte usuaria de la cartera correspondiente y el Estado miembro en el que esté establecida dicha parte, o, en el caso de otras unidades de cartera, la información pertinente de la declaración de unidad de cartera; c) el tipo o los tipos de datos solicitados y presentados en la transacción; d) en el caso de las transacciones no concluidas, el motivo de esa inconclusión.

3 Los proveedores de carteras garantizarán la integridad, la autenticidad y la confidencialidad de la información registrada.

4 Las instancias de cartera registrarán los informes enviados por el usuario de una cartera a las autoridades de protección de datos a través de su unidad de cartera.

5 El proveedor de cartera tendrá acceso a los registros a que se refieren los apartados 1 y 2 cuando sea necesario para la prestación de servicios de cartera y con el consentimiento previo explícito del usuario de una cartera.

6 Los registros a que se refieren los apartados 1 y 2 seguirán siendo accesibles mientras así lo exijan el Derecho de la Unión o el Derecho nacional.

7 Los proveedores de carteras permitirán a los usuarios de una cartera exportar la información registrada a que se refiere el apartado 2.

1 Los proveedores de carteras se asegurarán de que las unidades de cartera que proporcionen puedan procesar las declaraciones electrónicas de atributos con las políticas de divulgación incorporada comunes establecidas en el anexo III.

2 Las instancias de cartera podrán procesar y presentar las políticas de divulgación incorporada a que se refiere el apartado 1 junto con los datos recibidos de la parte usuaria de la cartera solicitante.

3 Las instancias de cartera verificarán si la parte usuaria de la cartera cumple los requisitos de la política de divulgación incorporada e informarán al usuario de una cartera del resultado.

1 Los proveedores de carteras garantizarán que los usuarios de una cartera puedan recibir certificados cualificados para firmas electrónicas cualificadas o sellos electrónicos cualificados que estén vinculados a dispositivos de creación de firma o sello cualificados que sean locales, externos o a distancia en relación con las instancias de cartera.

2 Los proveedores de carteras se asegurarán de que las soluciones de cartera puedan interactuar de forma segura con uno de los siguientes tipos de dispositivos de creación de firma o sello cualificados: dispositivos locales, externos o gestionados a distancia de creación de firma o sello cualificados con la finalidad de utilizar los certificados cualificados a que se refiere el apartado 1.

3 Los proveedores de carteras se asegurarán de que los usuarios de una cartera que sean personas físicas tengan, al menos para los fines no profesionales, acceso gratuito a aplicaciones de creación de firma que permitan crear firmas electrónicas cualificadas gratuitas utilizando los certificados a que se refiere el apartado 1.

1 Las aplicaciones de creación de firma utilizadas por las unidades de cartera podrán ser facilitadas por los proveedores de carteras, por los proveedores de servicios de confianza o por las partes usuarias de la cartera.

2 Las aplicaciones de creación de firma tendrán las siguientes funciones: a) firmar o sellar los datos facilitados por el usuario de una cartera; b) firmar o sellar los datos facilitados por las partes usuarias; c) crear firmas o sellos que sean conformes, como mínimo, con los formatos obligatorios a que se refiere el anexo IV; d) informar a los usuarios de una cartera sobre el resultado del proceso de creación de la firma o el sello.

3 Las aplicaciones de creación de firma podrán estar integradas en las instancias de cartera o ser externas a ellas. Cuando las aplicaciones de creación de firma se basen en dispositivos de creación de firma cualificada a distancia y cuando estén integradas en instancias de cartera, admitirán la interfaz de programación de aplicaciones a que se refiere el anexo IV.

Cuando sea técnicamente viable, y salvo que se trate de activos críticos, las unidades de cartera darán soporte a la exportación y la portabilidad seguras de los datos personales del usuario de una cartera, a fin de que este pueda migrar a una unidad de cartera de una solución de cartera diferente de un modo que garantice un nivel de seguridad alto según lo establecido en el Reglamento de Ejecución (UE) 2015/1502.

1 Las unidades de cartera admitirán la generación de seudónimos para los usuarios de una cartera de conformidad con las especificaciones técnicas establecidas en el anexo V.

2 Las unidades de cartera admitirán la generación, cuando una parte usuaria de la cartera así lo solicite, de un seudónimo específico y exclusivo para ella, y se lo facilitarán por sí solo o junto con los datos de identificación de la persona o la declaración electrónica de atributos que dicha parte usuaria de la cartera haya solicitado.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.