Reglamento de Ejecución (UE) 2025/2160 de la Comisión, de 27 de octubre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las normas de referencia, las especificaciones y los procedimientos para la gestión de riesgos para la prestación de servicios de confianza no cualificados

Las normas de referencia a que se refiere el artículo 19 bis, apartado 2, del Reglamento (UE) n.o 910/2014 figuran en el anexo del presente Reglamento.

1 Las políticas de gestión de riesgos a que se refiere el artículo 19 bis, apartado 1, del Reglamento (UE) n.o 910/2014 identificarán claramente los servicios de confianza a los que se aplican, serán específicas de los servicios de confianza de que se trate y serán aprobadas por el órgano de dirección del prestador no cualificado de servicios de confianza.

2 Las políticas de gestión de riesgos incluirán al menos los elementos siguientes: a) el nivel global de tolerancia al riesgo de acuerdo con el carácter crítico y el nivel de seguridad requerido de los servicios de confianza, teniendo en cuenta los últimos avances tecnológicos; b) los criterios de riesgo pertinentes, incluidos, como mínimo, la probabilidad, el impacto y el nivel del riesgo, teniendo en cuenta la inteligencia sobre ciberamenazas y las vulnerabilidades; c) un enfoque para la detección y documentación de los riesgos para la prestación de los servicios de confianza, teniendo en cuenta el alcance completo del sistema de información utilizado por el prestador no cualificado de servicios de confianza, incluidos los riesgos asociados a los componentes del sistema, así como a cualquier parte activa o pasiva que participe en la aplicación del sistema o en la prestación de los servicios de confianza; d) un proceso para la evaluación de los riesgos detectados sobre la base de los criterios de riesgo a que se refiere la letra b); e) un proceso para la determinación, priorización y seguimiento continuo de la aplicación de medidas adecuadas de tratamiento del riesgo; f) un proceso de seguimiento continuo de la aplicación de las políticas de gestión de riesgos.

3 Los prestadores no cualificados de servicios de confianza establecerán procedimientos adecuados y conservarán documentos para garantizar la aplicación de los requisitos establecidos en la legislación aplicable.

4 Los prestadores no cualificados de servicios de confianza establecerán procedimientos documentados adecuados que garanticen el seguimiento de los cambios legislativos y reglamentarios nacionales y de la Unión que puedan afectar a la prestación de servicios de confianza.

Los prestadores no cualificados de servicios de confianza detectarán, documentarán y evaluarán todos los riesgos a que se refiere el artículo 19 bis, apartado 1, del Reglamento (UE) n.o 910/2014, de conformidad con las políticas de gestión de riesgos a que se refiere el artículo 2, y en particular: a) detectarán los riesgos en relación con terceros; b) determinarán un posible punto único de fallo en la prestación de los servicios de confianza; c) evaluarán los riesgos detectados sobre la base de los criterios de riesgo a que se refiere el artículo 2, apartado 2, letra b).

1 De conformidad con las políticas a que se refiere el artículo 2, los prestadores no cualificados de servicios de confianza planificarán, documentarán y aplicarán medidas de tratamiento de riesgos y, en particular, llevarán a cabo las siguientes tareas: a) determinarán y priorizarán las medidas adecuadas de tratamiento de riesgos; b) seleccionarán, aprobarán y documentarán las medidas de tratamiento del riesgo elegidas, incluidos sus requisitos de seguridad y procedimientos operativos, en un plan de tratamiento de riesgos, determinarán quién es responsable de la aplicación de las medidas de tratamiento del riesgo y cuándo deben aplicarse; c) supervisarán constantemente la aplicación de las medidas de tratamiento de riesgos.

2 El plan de tratamiento de riesgos establecido en el apartado 1, letra b), expondrá las razones que justifiquen la aceptación de los riesgos residuales de manera comprensible.

3 Como parte de las medidas de tratamiento de riesgos a que se refiere el apartado 1, los prestadores no cualificados de servicios de confianza: a) verificarán, cuando proceda, la identidad de los usuarios del servicio de confianza directamente o por medio de un tercero y publicarán información sobre los métodos de verificación de la identidad utilizados; b) a efectos de aportar pruebas en procedimientos judiciales y de garantizar la continuidad del servicio, registrarán y conservarán de forma segura durante el tiempo que sea necesario de conformidad con el Derecho de la Unión o nacional, incluso después de que hayan cesado las actividades del prestador no cualificado de servicios de confianza, la siguiente información: toda la información pertinente recogida en el proceso de registro e incorporación de los usuarios de servicios de confianza, incluida, en su caso, la verificación de la identidad de los usuarios, los datos de autenticación asignados al usuario del servicio de confianza, cuando proceda, y cualquier cambio en el estado de los certificados de clave pública u otro material criptográfico utilizado en la prestación del servicio de confianza. c) garantizarán, cuando proceda, que los datos de autenticación asignados al usuario del servicio de confianza sean únicos.

4 Al determinar, seleccionar, aprobar y priorizar medidas adecuadas de tratamiento del riesgo, los prestadores no cualificados de servicios de confianza tendrán en cuenta los siguientes elementos: a) los resultados de la evaluación de riesgos a que se refiere el artículo 3; b) la efectividad de las medidas de tratamiento de riesgos; c) la evaluación de la conformidad; d) los incidentes significativos; e) el coste de la implementación en relación con el beneficio previsto; f) la clasificación de activos apropiada aplicable; g) el análisis de cualquier impacto económico de los riesgos detectados de conformidad con el artículo 3.

5 Los órganos de dirección de los prestadores no cualificados de servicios de confianza aprobarán los riesgos residuales restantes tras la aplicación de las medidas de tratamiento de riesgos establecidas en el plan de tratamiento de riesgos.

6 Los prestadores no cualificados de servicios de confianza revisarán, documentarán y, cuando proceda, actualizarán los resultados de la evaluación de riesgos y el plan de tratamiento de riesgos a intervalos planificados, y al menos una vez al año, y cuando se produzcan cambios significativos en la infraestructura, las operaciones o los riesgos, o incidentes significativos.

7 Los prestadores no cualificados de servicios de confianza garantizarán la disponibilidad, integridad y confidencialidad de la información a que se refiere el apartado 3, letra b).

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.