Reglamento de Ejecución (UE) 2025/1569 de la Comisión, de 29 de julio de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las declaraciones electrónicas cualificadas de atributos y las declaraciones electrónicas de atributos proporcionadas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este

El presente Reglamento establece las normas, las especificaciones y los procedimientos de referencia, que deben actualizarse periódicamente para mantenerlos en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, y en particular la arquitectura y el marco de referencia, en relación con: 1) las declaraciones electrónicas cualificadas de atributos; 2) las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este; 3) la lista de prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este; 4) el catálogo de atributos y el catálogo de sistemas para la declaración de atributos a que se refieren los puntos 1) y 2); 5) el cotejo de atributos por referencia a fuentes auténticas o a intermediarios designados.

A los efectos del presente Reglamento, se entenderá por: 1) «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de carteras a un usuario particular de una cartera; 2) «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera; 3) «catálogo de atributos»: repositorio digital de atributos que la Comisión mantiene y publica en línea; 4) «sistema para la declaración de atributos»: conjunto de normas aplicables a uno o varios tipos de declaraciones electrónicas de atributos; 5) «tipo de declaración electrónica de atributos»: grupo de declaraciones electrónicas de atributos designado específicamente y descrito semánticamente; 6) «catálogo de sistemas para la declaración de atributos»: repositorio digital en el que se enumeran los sistemas para la declaración de atributos registrados de conformidad con el presente Reglamento y que la Comisión mantiene [y publica en línea]; 7) «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera; 8) «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de una cartera utiliza para interactuar con la unidad de cartera; 9) «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas; 10) «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas; 11) «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera; 12) «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante; 13) «propietario de un sistema para la declaración de atributos»: entidad responsable de establecer y mantener un sistema para la declaración de atributos.

1 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, cumplirán la lista de normas y especificaciones de referencia establecida en el anexo I y se asegurarán de que las declaraciones electrónicas de atributos que expidan cumplen las especificaciones técnicas establecidas en el anexo II.

2 Cuando los prestadores de declaraciones electrónicas de atributos cualificadas y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, expidan declaraciones electrónicas de atributos que estén incluidas en sistemas registrados en el catálogo de sistemas para la declaración de atributos, cumplirán los requisitos del sistema para la declaración de atributos correspondiente. Las políticas y los procedimientos establecidos por los emisores de declaraciones para asegurar el cumplimiento de los requisitos de los sistemas para la declaración de atributos formarán parte de la evaluación de la conformidad establecida en el Reglamento (UE) n.o 910/2014.

1 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, dispondrán de políticas por escrito y públicamente accesibles relativas a la gestión del estado de validez o de revocación. Estas políticas incluirán, cuando proceda, las condiciones en las que las declaraciones electrónicas de atributos pueden revocarse sin demora y medidas para garantizar que esté disponible la información sobre el estado de validez.

2 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, serán las únicas entidades que podrán revocar las declaraciones electrónicas de atributos que expidan.

3 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, revocarán esas declaraciones, siempre que se hayan expedido con un período de validez de más de veinticuatro horas, al menos en las circunstancias siguientes: a) cuando lo solicite expresamente la persona a la que se haya expedido la declaración electrónica de atributos o, cuando proceda, el sujeto de la declaración; b) cuando el prestador sepa que se ha puesto en peligro la seguridad o la fiabilidad de las declaraciones electrónicas cualificadas de atributos o de las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este; c) en otras situaciones en que lo exija el Derecho de la Unión o nacional, o determinadas por los prestadores en sus políticas a que se refiere el apartado 1.

4 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, establecerán técnicas de revocación y métodos de gestión que protejan la privacidad y dificulten la vinculación o la trazabilidad.

5 Los prestadores de declaraciones electrónicas cualificadas de atributos y los prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, pondrán a disposición de las partes usuarias información sobre el estado de validez o de revocación de las declaraciones electrónicas de atributos que hayan expedido de tal manera que la integridad y la autenticidad de dicha información estén garantizadas.

1 Los Estados miembros presentarán al menos la información establecida en el anexo III sobre los organismos del sector público a que se refiere el artículo 45 septies, apartado 3, del Reglamento (UE) n.o 910/2014, a través de un sistema de notificación electrónica seguro facilitado por la Comisión.

2 Los Estados miembros notificarán cualquier cambio en la información notificada.

3 Los Estados miembros efectuarán las notificaciones al menos en inglés. Los Estados miembros no estarán obligados a traducir ningún documento justificativo de las notificaciones cuando esto suponga una carga administrativa o financiera excesiva.

4 Cuando proceda, la Comisión podrá pedir a los Estados miembros que faciliten información adicional.

1 La Comisión establecerá, mantendrá y publicará una lista de prestadores de declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, basándose en la información notificada por los Estados miembros de conformidad con el artículo 5.

2 La Comisión garantizará que se pueda acceder a la lista a que se refiere el apartado 1: a) en forma tanto firmada electrónicamente como sellada electrónicamente adecuada para el tratamiento automatizado y a través de un sitio web legible por el ser humano; b) sin necesidad de registrarse ni autenticarse; c) únicamente utilizando seguridad de la capa de transporte de última generación.

3 La Comisión publicará, a través de un canal seguro y sin demora indebida: a) las especificaciones técnicas de la lista; b) la información relativa a la URL en la que esté publicada la lista; c) los certificados que vayan a utilizarse para verificar la firma electrónica o el sello electrónico en la lista; d) la información relativa a los mecanismos utilizados para validar futuros cambios en la ubicación o los certificados a que se refieren las letras b) y c).

1 La Comisión establecerá y publicará un catálogo de atributos e implantará un sistema seguro que permita solicitar que se incluyan o modifiquen atributos en el catálogo de atributos.

2 La Comisión evaluará las solicitudes que se realicen utilizando el sistema mencionado en el apartado 1 para la inclusión o la modificación de un atributo en el catálogo de atributos, previa consideración de cualquier asesoramiento proporcionado por el Grupo de Cooperación. En su evaluación, la Comisión tendrá en cuenta si la inclusión del atributo contribuye a establecer una base común para una interacción electrónica segura y respetuosa de la privacidad entre los ciudadanos, las empresas y las autoridades públicas, y a fomentar la interoperabilidad. La Comisión tendrá en cuenta también las normativas sectoriales, cuando proceda.

3 Los Estados miembros solicitarán la inclusión de los atributos enumerados en el anexo VI del Reglamento (UE) n.o 910/2014 en el catálogo de atributos cuando dichos atributos se basen en fuentes auténticas a efectos de la verificación por parte de prestadores cualificados de servicios de confianza.

4 Además, los Estados miembros podrán solicitar la inclusión de atributos que no estén enumerados en el anexo VI en el catálogo de atributos cuando tales atributos se basen en fuentes auténticas pertenecientes al sector público. Las entidades privadas que se consideren fuente principal de información o que estén reconocidas como auténticas de conformidad con el Derecho de la Unión o nacional, incluidas las prácticas administrativas, podrán solicitar la inclusión de atributos que no estén enumerados en el anexo VI en el catálogo de atributos siempre que la entidad solicitante sea responsable de dichos atributos.

5 La solicitud de inclusión o de modificación de un atributo en el catálogo contendrá al menos la siguiente información: a) la identificación de la entidad que presenta la solicitud; b) cuando proceda, una referencia al Derecho de la Unión o nacional o a las prácticas administrativas con arreglo a los cuales la entidad que presenta la solicitud se considera una fuente principal de información o una fuente auténtica reconocida; c) si la solicitud se refiere a un atributo ya existente en el catálogo o es un atributo nuevo; d) un espacio de nombres para el identificador de los atributos, cuyo valor es único en el catálogo de atributos; e) un identificador del atributo, único dentro del espacio de nombres, y la versión del atributo; f) la descripción semántica del atributo; g) el tipo de datos del atributo; h) el punto de verificación del atributo a nivel nacional o un enlace a una descripción sobre cómo poner en marcha las solicitudes de verificación.

6 El solicitante firmará o sellará la solicitud de inclusión o de modificación de un atributo mediante una firma electrónica cualificada o un sello electrónico cualificado o una firma electrónica avanzada o un sello electrónico avanzado basados en un certificado cualificado.

7 La Comisión, tras la evaluación a que se refiere el apartado 2 y después de verificar que la información facilitada en la solicitud de inclusión o de modificación de un atributo contiene todos los elementos enumerados en el apartado 5, podrá incluir el atributo solicitado o la modificación solicitada en el catálogo de atributos.

8 El catálogo de atributos sellado por la Comisión será de acceso público, a través de un canal seguro, gratuito y que no requerirá identificación ni autenticación previas, y se publicará en formatos legibles tanto por máquina como por el ser humano. El catálogo incluirá también una función de búsqueda.

9 La Comisión publicará las especificaciones técnicas que utilice para el catálogo de atributos.

10 La Comisión expedirá un identificador único para cada atributo registrado.

1 La Comisión establecerá y publicará un catálogo de sistemas para la declaración de atributos e implantará un sistema seguro que permita solicitar que se incluyan o modifiquen sistemas para la declaración de atributos en el catálogo de sistemas para la declaración de atributos.

2 Las solicitudes de inclusión o modificación de sistemas para la declaración de atributos en el catálogo de estos sistemas serán evaluadas por la Comisión, previa consideración de cualquier asesoramiento proporcionado por el Grupo de Cooperación. En su evaluación, la Comisión tendrá en cuenta si el sistema contribuye a establecer una base común para una interacción electrónica segura y respetuosa de la privacidad entre los ciudadanos, las empresas y las autoridades públicas y contribuye a fomentar la interoperabilidad. La Comisión tendrá en cuenta también las normativas sectoriales, cuando proceda.

3 Los propietarios de un sistema para la declaración de atributos podrán solicitar que se añadan sistemas al catálogo de sistemas. Toda solicitud de inclusión o modificación de un sistema en el catálogo de sistemas para la declaración de atributos contendrá, como mínimo: a) el nombre del sistema, elegido por el propietario del sistema para la declaración de atributos y único en el catálogo de sistemas para la declaración de atributos; b) el nombre y la información de contacto del propietario del sistema para la declaración de atributos; c) el estado y la versión del sistema; d) una referencia a leyes, normas o directrices específicas, cuando estén sujetas a ellas la expedición, la validación o la utilización de una declaración electrónica de atributos en el ámbito de aplicación del sistema; e) el formato o los formatos de la declaración electrónica de atributos en el ámbito del sistema; f) uno o varios espacios de nombres, identificadores de atributos, descripciones semánticas y tipos de datos de cada atributo que forme parte de una declaración electrónica de atributos en el ámbito del sistema, ya sea por referencia a un atributo del catálogo de atributos del artículo 7, o a un atributo definido de manera análoga en el ámbito del sistema; g) una descripción del modelo de confianza y de los mecanismos de gobernanza aplicados en el marco del sistema, incluidos los mecanismos de revocación; h) cualquier requisito relativo a los prestadores de las declaraciones electrónicas de atributos o a las fuentes de información a las que dichos prestadores recurran cuando expiden declaraciones electrónicas de atributos, incluidas las fuentes auténticas, si procede; i) una explicación de si las declaraciones electrónicas de atributos incluidas en el ámbito del sistema deben expedirse como declaraciones electrónicas cualificadas de atributos, como declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica, o en nombre de este, o como ambas cosas.

4 Los sistemas cuya inclusión en el catálogo se solicite contendrán únicamente atributos que sean identificables mediante identificadores únicos. La solicitud de inclusión o de modificación de un sistema para la declaración de atributos será firmada o sellada por el solicitante mediante una firma electrónica cualificada o un sello electrónico cualificado, o una firma electrónica avanzada o un sello electrónico avanzado basados en un certificado cualificado.

5 La Comisión, tras la evaluación a que se refiere el apartado 2 y después de comprobar que la información facilitada en la solicitud de inclusión o de modificación de un sistema para la declaración contiene todos los elementos enumerados en los apartados 3 y 4, podrá incluir el sistema o la modificación solicitados en el catálogo de sistemas para la declaración de atributos.

6 El catálogo de sistemas para la declaración de atributos, sellado por la Comisión, será de acceso público, a través de un canal seguro, gratuito y que no requiera de identificación ni de autenticación previas, y será legible por máquina y por el ser humano. El catálogo incluirá también una función de búsqueda y estará en un formato que garantice su integridad y autenticidad.

7 La Comisión publicará las especificaciones técnicas que utilice para el catálogo de sistemas para la declaración de atributos.

8 La Comisión expedirá un identificador único a cada sistema para la declaración de atributos registrado.

1 Para permitir la verificación electrónica de los atributos a que se refiere el artículo 45 sexies, apartado 1, del Reglamento (UE) n.o 910/2014 por parte de los prestadores cualificados de servicios de confianza que expidan declaraciones cualificadas de atributos, a petición del usuario, los Estados miembros establecerán mecanismos que permitan esa verificación y podrán facilitar puntos de verificación únicos para los atributos enumerados en el anexo VI de ese Reglamento, cuando tales atributos se basen en fuentes auténticas pertenecientes al sector público. Los Estados miembros publicarán información sobre los procedimientos para poner en marcha las solicitudes de verificación y para recibir los resultados de la verificación.

2 El mecanismo de verificación proporcionará un punto de acceso en el que los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos puedan solicitar electrónicamente el cotejo con fuentes auténticas o intermediarios designados reconocidos a nivel nacional de los atributos a que se refiere el artículo 45 sexies, apartado 1, del Reglamento (UE) n.o 910/2014. Los atributos sujetos a verificación serán facilitados al punto de verificación por el prestador cualificado de servicios de confianza a petición del usuario. El organismo del sector público o el intermediario designado compartirán, a través del punto de verificación, los resultados de la verificación con los prestadores cualificados de servicios de confianza que expidan declaraciones electrónicas cualificadas de atributos.

3 En la solicitud de verificación se indicarán los atributos y los datos de identificación del sujeto del atributo cuya verificación solicite el prestador cualificado de servicios de confianza.

4 El resultado de la verificación mencionará exclusivamente si el atributo ha sido verificado o no y especificará el organismo del sector público responsable de la fuente auténtica o, cuando proceda, el organismo del sector público designado para actuar en nombre de la fuente auténtica con la que se ha cotejado el atributo.

5 Los Estados miembros podrán imponer controles de acceso u otros mecanismos de verificación que proporcionen integridad, autenticidad y confidencialidad para determinar que el solicitante es un prestador cualificado de servicios de confianza y actúa a petición de un usuario legítimo. Los Estados miembros podrán imponer también mecanismos de control sobre el uso de los métodos de verificación, cuando lo consideren oportuno, teniendo en cuenta los factores pertinentes, en particular si las fuentes auténticas contienen datos personales confidenciales o sensibles. Cuando establezcan estos mecanismos de control, los Estados miembros publicarán información sobre el alcance de los mecanismos de control como parte de la información a que se refiere el apartado 1.

1 A efectos de los artículos 3 a 9, los Estados miembros podrán remitirse a los servicios comunes del sistema técnico establecido en el artículo 14 del Reglamento (UE) 2018/1724, así como a los componentes nacionales conectados a ellos, y reutilizarlos.

2 Al establecer el sistema de notificación seguro y la lista de organismos del sector público a que se refieren los artículos 5 y 6 y los catálogos a que se refieren los artículos 7 y 8 del presente Reglamento, la Comisión Europea se remitirá a los servicios comunes del sistema técnico con arreglo al Reglamento (UE) 2018/1724, y los reutilizará, cuando proceda.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Los artículos 6 a 9 serán de aplicación a partir del 19 de agosto de 2026.