Reglamento de Ejecución (UE) 2024/2981 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la certificación de las carteras europeas de identidad digital

El presente Reglamento establece normas de referencia, especificaciones y procedimientos a fin de construir un marco sólido para la certificación de las carteras, que debe actualizarse periódicamente para mantenerlo en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea, y en particular la arquitectura y el marco de referencia.

A los efectos del presente Reglamento, se entenderá por: 1) «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera; 2) «dueño del esquema»: organización responsable de elaborar y mantener un esquema de certificación; 3) «objeto de la certificación»: productos, procesos y servicios, o una combinación de estos, a los que se aplican unos requisitos especificados; 4) «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas; 5) «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera; 6) «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas; 7) «registro de riesgos»: registro de la información pertinente para el proceso de certificación sobre los riesgos detectados; 8) «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera; 9) «organismo de certificación»: organismo tercero de evaluación de la conformidad que gestiona el funcionamiento de sistemas de certificación; 10) «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de cartera a un usuario particular de una cartera; 11) «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante; 12) «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera; 13) «incidente»: un incidente según se define en el artículo 6, punto 6, de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo ; 14) «política de divulgación incorporada»: conjunto de normas, incorporadas en una declaración electrónica de atributos por su proveedor, que indica las condiciones que debe cumplir una parte usuaria de la cartera para acceder a la declaración electrónica de atributos.

1 Los Estados miembros designarán un dueño del esquema para cada esquema nacional de certificación.

2 El objeto de la certificación definido en los esquemas nacionales de certificación será el suministro y la gestión del funcionamiento de las soluciones de cartera y de los sistemas de identificación electrónica en el marco de los cuales se proporcionan.

3 De conformidad con el Reglamento de Ejecución (UE) 2015/1502, el objeto de la certificación en los esquemas nacionales de certificación incluirá los siguientes elementos: a) los componentes de software, incluidos los ajustes y configuraciones de una solución de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan las soluciones de cartera; b) los componentes de hardware y las plataformas en las que funcionan o que utilizan los componentes de software mencionados en el punto b) para las operaciones críticas, en los casos en que sean proporcionados directa o indirectamente por la solución de cartera y el sistema de identificación electrónica en el marco del cual se proporciona y cuando se les exija que alcancen el nivel de seguridad deseado para dichos componentes de software. Cuando el proveedor de la cartera no proporcione los componentes de hardware y las plataformas, los esquemas nacionales de certificación formularán hipótesis para la evaluación de los componentes de hardware y las plataformas, en las cuales pueda proporcionarse resistencia contra atacantes con elevado potencial de ataque de conformidad con el Reglamento de Ejecución (UE) 2015/1502, y especificarán las actividades de evaluación para confirmar estas hipótesis, tal como se indica en el anexo IV; c) los procesos que apoyan el suministro y la gestión del funcionamiento de una solución de cartera, incluido el proceso de incorporación de los usuarios a que se refiere el artículo 5 bis del Reglamento (UE) n.o 910/2014, cubriendo al menos la inscripción, la gestión de medios electrónicos y la organización de conformidad con las secciones 2.1, 2.2, y 2.4 del anexo I del Reglamento de Ejecución (UE) 2015/1502.

4 Los esquemas nacionales de certificación incluirán una descripción de la arquitectura específica de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan. Cuando los esquemas nacionales de certificación abarquen más de una arquitectura específica, incluirán un perfil para cada una de ellas.

5 Para cada perfil, los esquemas nacionales de certificación establecerán, como mínimo, lo siguiente: a) la arquitectura específica de una solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona; b) los controles de seguridad asociados a los niveles de seguridad establecidos en el artículo 8 del Reglamento (UE) n.o 910/2014; c) un plan de evaluación elaborado de conformidad con la sección 7.4.1 de la norma EN ISO/IEC 17065:2012; d) los requisitos de seguridad necesarios para hacer frente a los riesgos y amenazas de ciberseguridad enumerados en el registro de riesgos establecido en el anexo I del presente Reglamento, hasta el nivel de seguridad requerido, y para cumplir, cuando proceda, los objetivos definidos en el artículo 51 del Reglamento (UE) 2019/881; e) una puesta en correspondencia de los controles a que se refiere la letra b) del presente apartado con los componentes de la arquitectura; f) una descripción de cómo los controles de seguridad, la puesta en correspondencia, los requisitos de seguridad y el plan de evaluación a que se refieren las letras b) y c) permiten a los proveedores de soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan abordar adecuadamente los riesgos y amenazas de ciberseguridad indicados en el registro de riesgos a que se refiere la letra d), hasta el nivel de seguridad requerido basado en una evaluación de riesgos para precisar y completar los riesgos y las amenazas enumerados en el registro de riesgos con otros que afecten de manera específica a la arquitectura.

6 En el plan de evaluación a que se refiere el apartado 5, letra c), se indicarán las actividades de evaluación que deben incluirse en la evaluación de las soluciones de cartera y del sistema de identificación electrónica en cuyo marco se proporcionan.

7 La actividad de evaluación a que se refiere el apartado 6 exigirá a los proveedores de soluciones de cartera y del sistema de identificación electrónica en cuyo marco se proporcionan facilitar información que cumpla los requisitos que figuran en el anexo II.

1 Los esquemas nacionales de certificación abarcarán los requisitos funcionales, de ciberseguridad y de protección de datos utilizando, cuando estén disponibles y sean aplicables, los siguientes esquemas de certificación: a) los esquemas europeos de certificación de la ciberseguridad establecidos de conformidad con el Reglamento (UE) 2019/881, incluido el esquema de certificación de la ciberseguridad de la UE basado en los criterios comunes (EUCC); b) los esquemas nacionales de certificación de la ciberseguridad cubiertos por el EUCC, de conformidad con el artículo 49 del Reglamento de Ejecución (UE) 2024/482.

2 Además, cuando estén disponibles y sean aplicables, los esquemas nacionales de certificación podrán hacer referencia a: a) otros esquemas nacionales de certificación pertinentes; b) normas internacionales, europeas y nacionales; c) especificaciones técnicas que cumplan los requisitos establecidos en el anexo II del Reglamento (UE) n.o 1025/2012 del Parlamento Europeo y del Consejo .

3 Los esquemas nacionales de certificación: a) especificarán los elementos enumerados en la sección 6.5 de la norma EN ISO/IEC 17067:2013; b) se aplicarán como un esquema de tipo 6, de conformidad con la sección 5.3.8 de la norma EN ISO/IEC 17067:2013.

4 Los esquemas nacionales de certificación deberán cumplir los requisitos siguientes: a) solo los proveedores a que se refiere el artículo 5 bis, apartado 2, del Reglamento (UE) n.o 910/2014 podrán expedir certificados con arreglo a los esquemas nacionales de certificación; b) solo la etiqueta de confianza se utiliza como etiqueta de conformidad; c) los proveedores de soluciones de cartera y del sistema de identificación electrónica con arreglo al cual se proporcionan incluyen referencias al Reglamento (UE) n.o 910/2014 y al presente Reglamento cuando se refieren al esquema; d) los proveedores de soluciones de cartera y del sistema de identificación electrónica con arreglo al cual se proporcionan completan la evaluación de riesgos del esquema a que se refiere el artículo 3, apartado 5, letra f), para determinar los riesgos y las amenazas que afectan específicamente a su ejecución, y proponen medidas adecuadas para tratar todos los riesgos y amenazas pertinentes; e) se han establecido las responsabilidades y las acciones legales e incluyen referencias a la legislación nacional aplicable, que define las responsabilidades y las posibles acciones legales en caso de uso fraudulento de la certificación en el marco del esquema.

5 La evaluación a que se refiere el apartado 4, letra d), se compartirá con el organismo de certificación para su evaluación.

1 Los esquemas nacionales de certificación contendrán requisitos de gestión de incidentes y vulnerabilidades de conformidad con lo dispuesto en los apartados 2 a 9.

2 El titular de un certificado de conformidad de una solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona notificará a su organismo de certificación, sin dilación indebida, cualquier violación o puesta en peligro de la solución de cartera, o del sistema de identificación electrónica en el marco del cual se proporciona, que sea probable que afecte a su conformidad con los requisitos de los esquemas nacionales de certificación.

3 El titular de un certificado de conformidad establecerá, mantendrá y aplicará una política y unos procedimientos de gestión de la vulnerabilidad, teniendo en cuenta los procedimientos establecidos en las normas europeas e internacionales vigentes, en particular la norma EN ISO/IEC 30111:2019.

4 El titular del certificado de conformidad notificará al organismo de certificación emisor las vulnerabilidades y los cambios que afecten a la solución de cartera, sobre la base de criterios definidos acerca de la repercusión de dichas vulnerabilidades y dichos cambios.

5 El titular del certificado de conformidad elaborará un informe de análisis de impacto de la vulnerabilidad para toda vulnerabilidad que afecte a los componentes de software de la solución de cartera. En él constará la siguiente información: a) el impacto de la vulnerabilidad en la solución de cartera certificada; b) los posibles riesgos asociados a la proximidad o probabilidad de un ataque; c) si la vulnerabilidad puede subsanarse utilizando los medios disponibles; d) en caso de que la vulnerabilidad pueda subsanarse utilizando los medios disponibles, posibles formas de subsanarla.

6 Cuando se requiera una notificación conforme al apartado 4, el titular del certificado de conformidad transmitirá, sin dilación indebida, el informe de análisis de impacto de la vulnerabilidad a que se refiere el apartado 5 al organismo de certificación.

7 El titular de un certificado de conformidad establecerá, mantendrá y aplicará una política de gestión de la vulnerabilidad que cumpla los requisitos establecidos en el anexo I del Reglamento de Ciberresiliencia .

8 Los esquemas nacionales de certificación establecerán los requisitos de divulgación de las vulnerabilidades aplicables a los organismos de certificación.

9 El titular de un certificado de conformidad divulgará y registrará cualquier vulnerabilidad públicamente conocida y subsanada en la solución de cartera o en uno de los repositorios en línea a que se refiere el anexo V.

1 Los esquemas nacionales de certificación contendrán un proceso para la revisión periódica de su funcionamiento. Dicho proceso servirá para confirmar su idoneidad y determinar los aspectos que requieran mejoras, teniendo en cuenta las observaciones de las partes interesadas.

2 Los esquemas nacionales de certificación incluirán disposiciones relativas a su mantenimiento. Este proceso incluirá como mínimo los siguientes requisitos: a) normas para la gobernanza de la definición y los requisitos de los esquemas nacionales de certificación; b) el establecimiento de plazos para la expedición de certificados tras la adopción de versiones actualizadas de los esquemas nacionales de certificación, tanto para los nuevos certificados de conformidad como para los expedidos anteriormente; c) una revisión periódica de los esquemas nacionales de certificación que garantice que sus requisitos se están aplicando de manera coherente, teniendo en cuenta al menos los siguientes aspectos: las solicitudes de aclaración sobre los requisitos del esquema nacional de certificación dirigidas al dueño del esquema, las observaciones formuladas por los participantes y otras partes interesadas, la capacidad de respuesta del dueño del esquema nacional de certificación a las solicitudes de información; d) normas para el seguimiento de los documentos de referencia y procedimientos para la evolución de las versiones de referencia de los esquemas nacionales de certificación, en concreto, al menos, en los períodos transitorios; e) un proceso que asegure que están cubiertos los riesgos y las amenazas de ciberseguridad más recientes incluidos en el registro de riesgos establecido en el anexo I del presente Reglamento; f) un proceso para gestionar otros cambios en los esquemas nacionales de certificación.

3 Los esquemas nacionales de certificación contendrán requisitos para la realización de evaluaciones sobre los productos ya certificados dentro de un determinado plazo tras la revisión del esquema, o tras la publicación de nuevas especificaciones o normas, o nuevas versiones de estas, que las soluciones de cartera y el sistema de identificación electrónica en el marco del cual se proporcionan deberán cumplir.

1 Los dueños de los esquemas elaborarán y mantendrán los esquemas nacionales de certificación y dirigirán su funcionamiento.

2 Los dueños de los esquemas podrán subcontratar todas sus tareas, o parte de ellas, a un tercero. Cuando subcontraten a una parte privada, los dueños de los esquemas establecerán mediante contrato las obligaciones y responsabilidades de todas las partes. Los dueños de los esquemas seguirán siendo responsables de todas las actividades subcontratadas realizadas por sus subcontratistas.

3 Los dueños de los esquemas llevarán a cabo su labor de supervisión, si procede, basándose al menos en la siguiente información: a) la información procedente de los organismos de certificación, los organismos nacionales de acreditación y las autoridades de vigilancia del mercado pertinentes; b) la información resultante de las auditorías e investigaciones realizadas por ellos mismos o por otra autoridad; c) las reclamaciones y los recursos recibidos de conformidad con el artículo 15.

4 Los dueños de los esquemas informarán al Grupo de Cooperación de las revisiones de los esquemas nacionales de certificación. Al hacerlo, facilitarán información adecuada para que el Grupo de Cooperación les formule recomendaciones y emita dictámenes sobre los esquemas nacionales de certificación actualizados.

1 Los esquemas nacionales de certificación contendrán requisitos de ciberseguridad basados en una evaluación de riesgos de cada arquitectura específica a la que den soporte. Dichos requisitos de ciberseguridad tendrán por objeto tratar los riesgos y amenazas de ciberseguridad detectados, tal como se establece en el registro de riesgos que figura en el anexo I.

2 De conformidad con el artículo 5 bis, apartado 23, del Reglamento (UE) n.o 910/2014, los esquemas nacionales de certificación exigirán que las soluciones de cartera y los sistemas de identificación electrónica en cuyo marco se proporcionen sean resistentes a atacantes con un elevado potencial de ataque para un nivel de seguridad alto, como se contempla en el Reglamento de Ejecución (UE) 2015/1502.

3 Los esquemas nacionales de certificación establecerán criterios de seguridad, que incluirán los siguientes requisitos: a) el Reglamento de Ciberresiliencia, cuando proceda, o requisitos que cumplan los objetivos de seguridad establecidos en el artículo 51 del Reglamento (UE) 2019/881; b) el establecimiento y la aplicación de políticas y procedimientos relativos a la gestión de los riesgos asociados al funcionamiento de una solución de cartera, incluidas la detección y la evaluación de los riesgos y la reducción de los riesgos detectados; c) el establecimiento y la aplicación de políticas y procedimientos relacionados con la gestión de los cambios y las vulnerabilidades de conformidad con el artículo 5 del presente Reglamento; d) el establecimiento y la aplicación de políticas y procedimientos de gestión de los recursos humanos, que incluyan requisitos en materia de conocimientos especializados, fiabilidad, experiencia, formación en seguridad y cualificaciones del personal que participe en la elaboración o la gestión del funcionamiento de la solución de cartera; e) requisitos relativos al entorno operativo de la solución de cartera, también en forma de hipótesis sobre la seguridad de los dispositivos y las plataformas en los que funcionan los componentes de software de la solución de cartera, incluidos los DCSC y, cuando proceda, requisitos de evaluación de la conformidad para confirmar que dichas hipótesis se verifican en los dispositivos y las plataformas pertinentes; f) para cada hipótesis que no esté respaldada por un certificado de conformidad u otra información sobre la garantía aceptable, una descripción del mecanismo que el proveedor de cartera utiliza para hacer que se cumpla la hipótesis, así como una justificación de que el mecanismo es suficiente para garantizar la verificación de la hipótesis; g) el establecimiento y la aplicación de medidas para garantizar el uso de una versión actualmente certificada de la solución de cartera.

4 Los esquemas nacionales de certificación contendrán requisitos funcionales relativos a mecanismos de actualización para cada componente de software de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan para las operaciones enumeradas en el anexo III.

5 Los esquemas nacionales de certificación exigirán que el solicitante de la certificación proporcione al organismo de certificación, o ponga de otro modo a su disposición, la siguiente información y documentación: a) pruebas relacionadas con la información a que se refiere el anexo IV, punto 1, incluidos, en su caso, detalles sobre la solución de la cartera y su código fuente, y en concreto: información sobre la arquitectura: para cada componente de la solución de cartera (incluidos los componentes de producto, de proceso y de servicio), una descripción de sus propiedades de seguridad esenciales, incluidas sus dependencias externas, controles y niveles de seguridad: para cada control de seguridad de la solución de cartera, una descripción del control y del nivel de seguridad requerido, basada en el anexo del Reglamento de Ejecución (UE) 2015/1502, que establezca una serie de especificaciones técnicas y procedimientos aplicables a los diversos controles ejecutados por los medios de identificación electrónica, puesta en correspondencia de los controles con los componentes de la arquitectura: una descripción de cómo se ejecutan los controles de la cartera utilizando los diferentes componentes de la solución de cartera, sobre la base de una explicación de por qué se requiere un determinado nivel de seguridad, y cómo se ejecuta el control con todos los aspectos de seguridad requeridos al nivel adecuado, explicación y justificación de la cobertura del riesgo: una justificación de: la puesta en correspondencia de los controles con los componentes, la idoneidad del plan de evaluación propuesto para cubrir adecuadamente todos los controles, la cobertura proporcionada por los controles de los riesgos y amenazas de ciberseguridad indicados en el registro de riesgos, completada por los controles de los riesgos y las amenazas que afectan de manera específica a la ejecución, al nivel de seguridad adecuado; b) la información mencionada en el anexo V; c) una lista completa de los certificados de conformidad y otra información sobre la garantía utilizada como prueba durante las actividades de evaluación; d) cualquier otra información pertinente para las actividades de evaluación.

1 Los organismos de certificación estarán acreditados por organismos nacionales de acreditación designados con arreglo al Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo de conformidad con la norma EN ISO/IEC 17065:2012, siempre que cumplan los requisitos establecidos en los esquemas nacionales de certificación de conformidad con el apartado 2.

2 A efectos de acreditación, los organismos de certificación cumplirán todos los requisitos de competencia siguientes: a) conocimiento detallado y técnico de las arquitecturas pertinentes de una solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona, así como de las amenazas y los riesgos que afectan a esas arquitecturas; b) conocimiento de las soluciones de seguridad disponibles y de sus propiedades de conformidad con el anexo del Reglamento de Ejecución (UE) 2015/1502; c) conocimiento de las actividades realizadas en virtud de los certificados de conformidad aplicados a los componentes de la solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona, como objeto de la certificación; d) conocimiento detallado del esquema nacional de certificación aplicable establecido de conformidad con el capítulo II.

3 Los organismos de certificación llevarán a cabo sus actividades de vigilancia basándose, en particular, en la siguiente información: a) la información procedente de los organismos nacionales de acreditación y las autoridades de vigilancia del mercado pertinentes; b) la información resultante de sus propias auditorías e investigaciones o de las realizadas por otra autoridad; c) las reclamaciones y los recursos recibidos de conformidad con el artículo 15.

Los organismos de certificación podrán subcontratar a terceros las actividades de evaluación establecidas en el artículo 13. Cuando se subcontraten actividades de evaluación, los esquemas nacionales de certificación establecerán lo siguiente: 1) todos los subcontratistas del organismo de certificación que lleven a cabo actividades de evaluación cumplirán, según proceda y sea adecuado para las actividades que deban realizarse, los requisitos de normas armonizadas, como EN ISO/IEC 17025:2017 para los ensayos, EN ISO/IEC 17020:2012 para la inspección, EN ISO/IEC 17021-1:2015 para la auditoría, y EN ISO/IEC 17029:2019 para la validación y la verificación; 2) los organismos de certificación asumirán la responsabilidad de todas las actividades de evaluación externalizadas a otros organismos y demostrarán que han adoptado las medidas adecuadas durante su acreditación, incluso si se han basado en la propia acreditación de sus subcontratistas, cuando proceda; 3) el grado de aceptación previa de la externalización que se obtendrá de los dueños del esquema o del cliente cuya solución de cartera esté siendo certificada con arreglo al sistema de certificación.

Los organismos de certificación notificarán al organismo de supervisión a que se refiere el artículo 46 bis, apartado 1, del Reglamento (UE) n.o 910/2014 la expedición, la suspensión y la cancelación de los certificados de conformidad de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan.

1 Los organismos de certificación suspenderán, sin demora indebida, el certificado de conformidad de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan una vez que confirmen que una violación o una puesta en peligro de la seguridad notificada afecta a la conformidad con los requisitos de los esquemas nacionales de certificación de la solución de cartera o del sistema de identificación electrónica en el marco del cual se proporciona.

2 Los organismos de certificación cancelarán el certificado de conformidad que haya sido suspendido a raíz de una violación o una puesta en peligro de la seguridad que no se hayan subsanado en tiempo útil.

3 Los organismos de certificación cancelarán los certificados de conformidad cuando una vulnerabilidad detectada no se haya subsanado oportunamente de manera proporcional a su gravedad y a su impacto potencial, de conformidad con el artículo 5 quater, apartado 4, y con el artículo 5 sexies, apartado 2, del Reglamento (UE) n.o 910/2014.

1 Los esquemas nacionales de certificación contendrán los métodos y procedimientos que deberán utilizar los organismos de evaluación de la conformidad cuando realicen sus actividades de evaluación con arreglo a la norma EN ISO/IEC 17065:2012, que comprenderán, como mínimo, los siguientes aspectos: a) los métodos y los procedimientos para realizar las actividades de evaluación, incluidos los relacionados con el DCSC, tal como se establece en el anexo IV; b) la auditoría de la ejecución de la solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona, basada en el registro de riesgos establecido en el anexo I y completado, en caso necesario, con los riesgos que afecten de manera específica a la ejecución; c) las actividades de ensayo funcional, basadas, cuando estén disponibles y sean adecuadas, en series de pruebas definidas con arreglo a especificaciones o normas técnicas; d) evaluación de la existencia de procesos de mantenimiento y de su idoneidad, y en particular, como mínimo, de la gestión de las versiones, las actualizaciones y las vulnerabilidades; e) evaluación de la eficacia operativa de los procesos de mantenimiento, y en particular, como mínimo, de la gestión de las versiones, las actualizaciones y las vulnerabilidades; f) análisis de la dependencia facilitado por el proveedor de cartera, incluida una metodología para evaluar la aceptabilidad de la información sobre la garantía, que comprenderá los elementos establecidos en el anexo VI; g) evaluación de la vulnerabilidad, al nivel adecuado, que incluya: una revisión del diseño de la solución de cartera y, en su caso, de su código fuente, un ensayo de la resistencia de la solución de cartera frente a atacantes con elevado potencial de ataque para mantener un nivel de seguridad «alto» de conformidad con la sección 2.2.1 del anexo del Reglamento de Ejecución (UE) 2015/1502; h) una evaluación de la evolución del entorno de amenazas y su repercusión en la cobertura de los riesgos por parte de la solución de cartera, a fin de determinar qué actividades de evaluación son necesarias para los distintos componentes de la solución de cartera.

2 Los esquemas nacionales de certificación contendrán una evaluación para determinar si la ejecución de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual dichas soluciones se proporcionan se ajustan a la arquitectura establecida en el artículo 3, apartado 5, letra a), y una evaluación para determinar si el plan de evaluación propuesto junto con la ejecución se ajusta al plan de evaluación a que se refiere el artículo 3, apartado 5, letra c).

3 Los esquemas nacionales de certificación establecerán normas de muestreo para evitar la repetición de actividades de evaluación idénticas y centrarse en actividades que sean específicas de una variante determinada. Esas normas de muestreo harán que puedan realizarse ensayos funcionales y de seguridad solo sobre una muestra de variantes de un componente específico de una solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona y sobre una muestra de dispositivos específicos. Los esquemas nacionales de certificación exigirán a todos los organismos de certificación que justifiquen su uso del muestreo.

4 Los esquemas nacionales de certificación exigirán que el organismo de certificación evalúe la ACSC con arreglo a los métodos y procedimientos establecidos en el anexo IV.

1 Los esquemas nacionales de certificación establecerán una actividad de atestación a efectos de expedir un certificado de conformidad, de acuerdo con la sección V(a) de la Tabla 1 de EN ISO/IEC 17067:2013, que incluya los siguientes aspectos: a) el contenido del certificado de conformidad según lo establecido en el anexo VII; b) el modo en que deben comunicarse los resultados de la evaluación en el informe público de certificación, incluido al menos un resumen del plan preliminar de auditoría y validación, tal como se establece en el anexo VIII; c) el contenido de los resultados de la evaluación comunicados en el informe de evaluación de la certificación, incluidos los elementos establecidos en el anexo VIII.

2 El informe de evaluación de la certificación podrá ponerse a disposición del Grupo de Cooperación y de la Comisión.

Los esquemas nacionales de certificación contendrán procedimientos o referencias a la legislación nacional aplicable, que definan el mecanismo para presentar y tramitar eficazmente las reclamaciones y los recursos en relación con su ejecución del esquema de certificación o con un certificado de conformidad expedido. Estos procedimientos incluirán la comunicación al reclamante de información sobre el avance del procedimiento y sobre la decisión adoptada, así como de información sobre su derecho a una tutela judicial efectiva. Los esquemas nacionales de certificación exigirán que todas las reclamaciones y todos los recursos que no hayan sido resueltos o no puedan ser resueltos por el organismo de certificación se remitan al dueño del esquema para su evaluación y resolución.

1 Los esquemas nacionales de certificación exigirán a los organismos de certificación que lleven a cabo actividades de vigilancia consistentes en la evaluación de vigilancia de los procesos combinada con ensayos o inspecciones aleatorios.

2 Los esquemas nacionales de certificación contendrán requisitos para que los dueños de los esquemas supervisen el cumplimiento por parte de los organismos de certificación de sus obligaciones en virtud del Reglamento (UE) n.o 910/2014 y de los esquemas nacionales de certificación, si procede.

3 Los esquemas nacionales de certificación contendrán requisitos para que los organismos de certificación supervisen lo siguiente: a) el cumplimiento, por parte de los titulares de un certificado de conformidad expedido en el marco de esquemas nacionales de certificación, de sus obligaciones en materia de certificación con arreglo al Reglamento (UE) n.o 910/2014 y a los esquemas nacionales de certificación; b) el cumplimiento por la solución de cartera certificada de los requisitos establecidos en los esquemas nacionales de certificación.

Los esquemas nacionales de certificación establecerán las consecuencias de la no conformidad de una solución de cartera certificada y del sistema de identificación electrónica en el marco del cual se proporciona con los requisitos establecidos en el presente Reglamento. Esas consecuencias incluirán los siguientes aspectos: 1) la obligación del organismo de certificación de informar al titular del certificado de conformidad y de solicitarle que aplique medidas correctoras; 2) la obligación del organismo de certificación de informar a otras autoridades de vigilancia del mercado pertinentes cuando la no conformidad afecte al Derecho de la Unión aplicable; 3) las condiciones para la adopción de medidas correctoras por parte del titular del certificado de conformidad; 4) las condiciones para la suspensión de un certificado de conformidad por el organismo de certificación y para el restablecimiento del certificado de conformidad una vez que se haya subsanado la no conformidad; 5) las condiciones para la cancelación de un certificado de conformidad por el organismo de certificación; 6) las consecuencias del incumplimiento por el organismo de certificación de los requisitos del esquema nacional de certificación.

1 La validez de los certificados de conformidad expedidos en el marco de los esquemas nacionales de certificación estará supeditada a las actividades de evaluación periódicas que el organismo de certificación llevará a cabo con arreglo a los requisitos establecidos en el anexo IX.

2 Los esquemas nacionales de certificación contendrán un proceso para la renovación de la certificación de las soluciones de cartera y del sistema de identificación electrónica en el marco del cual se proporcionan, cuando así lo solicite el titular del certificado de conformidad antes de que expire el certificado de conformidad inicial. Dicho proceso de renovación de la certificación comprenderá una evaluación completa de la solución de cartera y del sistema de identificación electrónica en el marco del cual se proporciona, incluida una evaluación de la vulnerabilidad, con arreglo a los principios establecidos en el anexo IX.

3 Los esquemas nacionales de certificación contendrán un proceso para gestionar los cambios en las soluciones de cartera y el sistema de identificación electrónica en el marco del cual se proporcionan. Ese proceso incluirá normas para determinar si un cambio debe estar cubierto por una evaluación especial como la contemplada en el apartado 4 o por la verificación de la eficacia operativa de los procesos de mantenimiento a que se refiere el anexo IV.

4 Los esquemas nacionales de certificación contendrán un proceso para evaluaciones especiales de conformidad con la norma EN ISO/IEC 17065:2012. Dicho proceso de evaluaciones especiales incluirá una selección de las actividades que se llevarán a cabo para abordar la cuestión específica que dio lugar a la evaluación especial.

5 Los esquemas nacionales de certificación establecerán normas relativas a la cancelación de un certificado de conformidad.

1 Los esquemas nacionales de certificación contendrán requisitos para los organismos de certificación relativos a un sistema de registro para toda la información pertinente producida a raíz de las actividades de evaluación de la conformidad realizadas por ellos, incluidos los datos expedidos y recibidos por los proveedores de las soluciones de cartera y los sistemas de identificación electrónica en el marco de los cuales se proporcionan. Los registros de esta información quedarán depositados de manera segura. Los registros podrán conservarse electrónicamente y permanecerán accesibles durante el tiempo que lo exija el Derecho de la Unión o el Derecho nacional, y durante al menos cinco años tras la cancelación o la expiración del certificado de conformidad pertinente.

2 Los esquemas nacionales de certificación establecerán requisitos para que el titular del certificado de conformidad almacene de forma segura, a efectos del presente Reglamento y durante al menos cinco años tras la cancelación o la expiración del certificado de conformidad pertinente, la siguiente información: a) registros de la información facilitada al organismo de certificación o a cualquiera de sus subcontratistas durante el proceso de certificación; b) muestras de los componentes de hardware que hayan sido incluidos en el ámbito de la certificación para la solución de cartera.

3 Los esquemas nacionales de certificación exigirán al titular del certificado de conformidad que ponga la información a que se refiere el apartado 1 a disposición del organismo de certificación o del organismo de supervisión a que se refiere el artículo 46 bis, apartado 1, del Reglamento (UE) n.o 910/2014, cuando se le solicite.

En el marco de los esquemas nacionales de certificación, se exigirá a todas las personas u organizaciones a las que se conceda acceso a información en la ejecución de actividades englobadas en el sistema nacional de certificación que garanticen la seguridad y la protección de los secretos comerciales y otra información confidencial, así como que preserven los derechos de propiedad intelectual e industrial, y que adopten las medidas técnicas y organizativas necesarias y adecuadas para garantizar esta confidencialidad.

El presente Reglamento estará sujeto a revisión, cuando se adopte el primer esquema europeo de certificación de la ciberseguridad para soluciones de cartera y los sistemas de identificación electrónica en el marco de los cuales se proporcionan, con el objetivo de tener en cuenta la contribución de dicho esquema europeo de certificación de la ciberseguridad a la certificación general de esas soluciones de cartera y esos sistemas.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.