Reglamento de Ejecución (UE) 2025/2243 de la Comisión, de 6 de noviembre de 2025, por el que se establecen especificaciones detalladas relativas a los requisitos funcionales de las plataformas IETM de conformidad con el Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo

A los efectos del presente Reglamento, se entenderá por: 1) «sistema de TIC»: conjunto organizado de tecnologías de la información y de las comunicaciones (TIC), incluidos equipos, programas informáticos y redes, unido y regulado por interacción o interdependencia para realizar un conjunto de funciones específicas; 2) «sistema de TIC afluente»: sistema de TIC identificable que es externo a una plataforma IETM, por ejemplo otra plataforma IETM, y mediante el cual los usuarios profesionales se conectan a una plataforma IETM para acceder a los datos IETM y tratarlos; 3) «datos IETM»: datos correspondientes a la información reglamentaria tal como se define en el artículo 3, punto 1, del Reglamento (UE) 2020/1056; 4) «operador de plataforma IETM»: persona física o jurídica considerada jurídicamente responsable del funcionamiento adecuado de una plataforma IETM; 5) «puerta IETM» (en inglés, «eFTI gate»): componente de TIC o conjunto de componentes de TIC que realiza las funcionalidades establecidas en el artículo 6 del Reglamento de Ejecución (UE) 2024/1942; 6) «usuario profesional»: persona física o jurídica que constituye un operador económico interesado, o está autorizada para representarlo, de conformidad con el Reglamento (UE) 2020/1056, u otro operador económico que constituye un tenedor de datos de conformidad con el punto 23, y que trata datos en una plataforma IETM en nombre de dicho operador económico interesado u otro tenedor de datos; 7) «sesión de inicio de sesión»: período de tiempo restringido durante el cual se concede a un usuario profesional acceso a una plataforma IETM; 8) «movimiento de envío»: transporte de una colección de mercancías por un único medio de transporte autopropulsado, con o sin un equipo de transporte, como remolques, palés o contenedores, desde el mismo lugar de carga o de recepción hasta el mismo lugar de descarga o traspaso, en virtud de un único contrato de transporte; 9) «conjunto de datos IETM del movimiento de envío» o «eFTI CMDS», por sus siglas en inglés: conjunto de datos IETM identificado de manera unívoca compuesto por los datos IETM que, en conjunto, constituyen la información reglamentaria sobre el transporte de mercancías relacionada con un movimiento de envío específico; 10) «requisitos en materia de información reglamentaria aplicables»: los requisitos en materia de información reglamentaria a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2020/1056 y que se aplican a un movimiento de envío específico; 11) «identificadores de los subconjuntos de datos IETM»: identificadores en el formato «EUyy» o «XXyy» de los subconjuntos de datos IETM establecidos en las secciones 3 y 4 del anexo del Reglamento Delegado (UE) 2024/2024; 12) «UUID del eFTI CMDS»: el número único, tal como se contempla en el artículo 11, apartado 2, letra c), del Reglamento de Ejecución (UE) 2024/1942, asignado automáticamente por una plataforma IETM a un conjunto de datos IETM que constituye un eFTI CMDS; 13) «número único de identificación de la solicitud»: número único de una solicitud de acceso a datos IETM presentada por un agente de la autoridad competente, expedido y asignado a la solicitud de conformidad con el artículo 3, apartado 2, letra c), del Reglamento de Ejecución (UE) 2024/1942; 14) «comunicación de seguimiento»: comunicación entre las autoridades competentes y los operadores económicos interesados, tal como se define en el artículo 1, punto 6, del Reglamento de Ejecución (UE) 2024/1942; 15) «interfaz de usuario de persona a máquina»: interfaz gráfica de usuario basada en la web o en una aplicación que permite a las personas físicas realizar operaciones de tratamiento de datos en una plataforma IETM; 16) «medio de identificación electrónica»: unidad material o inmaterial que contiene datos de identificación personal y que se utiliza con fines de autenticación para acceder a servicios en línea o, cuando proceda, a servicios fuera de línea; 17) «sistema de identificación electrónica»: régimen para la identificación electrónica en virtud del cual se expiden medios de identificación electrónica a personas físicas o jurídicas o a personas físicas que representan a otras personas físicas o personas jurídicas; 18) «autenticación»: proceso electrónico que permite la confirmación de la identificación electrónica de una persona física o jurídica, o la confirmación del origen y la integridad de los datos en formato electrónico; 19) «firma electrónica avanzada»: firma electrónica que cumple los requisitos establecidos en el artículo 26 del Reglamento (UE) n.o 910/2014; 20) «sello electrónico avanzado»: sello electrónico que cumple los requisitos establecidos en el artículo 36 del Reglamento (UE) n.o 910/2014; 21) «usuario incorporado»: usuario profesional para el que se ha realizado la identificación, autenticación y autorización de conformidad con los requisitos establecidos en el artículo 4, apartado 2, letra a); 22) «usuario no incorporado»: usuario profesional autorizado a acceder a una plataforma IETM únicamente sobre la base de unos derechos de acceso y tratamiento temporales, emitidos de conformidad con los requisitos establecidos en el artículo 5, apartado 1, letra b); 23) «tenedor de datos»: persona física o jurídica que tiene el derecho o la obligación, de conformidad con el Derecho de la Unión aplicable, la legislación nacional o acuerdos contractuales privados, de utilizar y poner a disposición datos que también constituyen información reglamentaria de conformidad con los requisitos mencionados en el artículo 2, apartado 1, del Reglamento (UE) 2020/1056; 24) «autorizador primario»: usuario profesional incorporado que está autorizado a modificar la información registrada en un perfil de usuario incorporado, incluida la creación o supresión de un perfil de usuario; 25) «autorizador temporal»: usuario profesional incorporado que está autorizado a emitir derechos temporales de tratamiento de datos a usuarios no incorporados; 26) «autenticación de doble factor»: método de seguridad para la gestión de la identidad y el acceso que requiere dos formas de identificación para acceder a una plataforma IETM; 27) «marca de certificación»: referencia codificada a la plataforma IETM que certifica la validez de su estatus de certificación y que debe acompañar toda la información puesta a disposición de las autoridades competentes a través de una plataforma IETM certificada, de conformidad con el artículo 12, apartado 3, del Reglamento (UE) 2020/1056; 28) «sistema digital de traslado de residuos» (DIWASS, por sus siglas en inglés): el sistema central a que se refiere el artículo 27, apartado 3, del Reglamento (UE) 2024/1157; 29) «operador de traslado de residuos»: el operador tal como se define en el artículo 2, apartado 2, punto 13, del Reglamento de Ejecución (UE) 2025/1290; 30) «documentos de traslado de residuos»: los documentos a que se refieren el artículo 9, apartado 2, el artículo 16, apartado 1, y el artículo 18, apartado 4, del Reglamento (UE) 2024/1157; 31) «detalles del transporte combinado»: la información reglamentaria a que se refiere el artículo 3 de la Directiva 92/106/CEE del Consejo ; 32) «sello cualificado de tiempo electrónico»: sello de tiempo electrónico que cumple los requisitos establecidos en el artículo 42 del Reglamento (UE) n.o 910/2014;

La arquitectura del sistema de plataformas IETM consistirá en cualquier combinación de componentes o sistemas de TIC que cumplan los requisitos establecidos en el presente Reglamento.

1 Las plataformas IETM permitirán a las autoridades competentes acceder a los datos IETM únicamente mediante la comunicación de máquina a máquina, a través de una conexión segura entre la plataforma IETM y una puerta IETM. Cada plataforma IETM establecerá tal conexión con al menos una puerta IETM.

2 Para permitir la comunicación a que se refiere el apartado 1, las plataformas IETM proporcionarán las siguientes funcionalidades: a) validar la solicitud de acceso a los datos IETM o la comunicación de seguimiento recibida de la puerta IETM, verificando la clave de seguridad de la puerta IETM; b) tramitar la solicitud de acceso a los datos IETM, identificando: i) el UUID del eFTI CMDS, ii) las referencias a los derechos de acceso del agente de la autoridad competente responsable de la solicitud, expresadas como la lista de identificadores de los subconjuntos de datos IETM; c) mantener una pista de auditoría de la solicitud de acceso a datos IETM, registrando al menos la siguiente información: i) el número único de identificación de la solicitud de acceso a los datos IETM, tal como figura en la solicitud transmitida por la puerta IETM, ii) el UUID del eFTI CMDS al que se solicitó acceso, iii) la fecha y la hora de la solicitud; d) preparar y transmitir a la puerta IETM la respuesta a la solicitud de acceso a los datos IETM, según proceda: i) los datos IETM solicitados, como subconjunto del eFTI CMDS, consistentes en todos los elementos de datos que corresponden a los requisitos en materia de información reglamentaria aplicables y que son identificados por la plataforma IETM sobre la base de las referencias a los derechos de acceso del agente de la autoridad competente incluidas en la solicitud, ii) un mensaje de error que contenga una especificación textual breve o codificada del tipo de error cuando la plataforma no pueda proporcionar los datos IETM solicitados por razones técnicas o razones relacionadas con procesos de negocio; e) mantener una pista de auditoría de la respuesta que permita obtener al menos la siguiente información: i) el número único de identificación de la respuesta y el número único de identificación de la solicitud a la que se facilitó la respuesta, ii) el tipo de respuesta facilitada, ya sea un eFTI CMDS o un mensaje de error, iii) la fecha y la hora de la respuesta, iv) cuando la respuesta contenga el eFTI CMDS, los elementos de datos y los valores respectivos de estos incluidos en la respuesta; f) tramitar la comunicación de seguimiento: i) obteniendo el UUID del eFTI CMDS y el número único de identificación de la solicitud de acceso a los datos IETM respecto de la que se presentó la comunicación de seguimiento, ii) registrando la información contenida en la comunicación de seguimiento, según la haya transmitido la autoridad competente de conformidad con las especificaciones establecidas en el artículo 3, apartado 5, letra a), del Reglamento de Ejecución (UE) 2024/1942, iii) notificando a los usuarios profesionales afectados, cuando su autorización incluya los derechos de tratamiento adecuados correspondientes, y transmitiendo a la puerta IETM un mensaje de confirmación de la recepción de la comunicación de seguimiento; g) mantener una pista de auditoría de la comunicación de seguimiento que permita obtener al menos la siguiente información: i) el número único de identificación de la solicitud de acceso a datos IETM respecto de la que se presentó la comunicación de seguimiento, ii) la fecha y la hora de recepción de la comunicación de seguimiento.

1 Las plataformas IETM permitirán a los usuarios profesionales acceder a los datos IETM y tratarlos mediante una de las siguientes modalidades, o mediante ambas: a) interfaces de usuario de persona a máquina; b) comunicación de máquina a máquina a través de conexiones seguras con otros sistemas de TIC que actúan como sistemas de TIC afluentes.

2 Para el acceso a los datos IETM y su tratamiento mediante interfaces de persona a máquina, las plataformas IETM proporcionarán funcionalidades que garanticen: a) para cada usuario incorporado: i) la identificación y autenticación del usuario por medios de identificación electrónica expedidos en el marco de un sistema de identificación electrónica que cumpla los requisitos establecidos en el apartado 3, ii) la autorización del usuario, mediante el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a); b) en el caso de los usuarios no incorporados, la identificación, la autenticación y la autorización del usuario mediante el mecanismo de autorización a que se refiere el artículo 5, apartado 1, letra b).

3 El sistema de identificación electrónica a que se refiere el apartado 2, letra a), inciso i), cumplirá, como mínimo, los requisitos establecidos en el artículo 8, apartado 2, letra b), del Reglamento (UE) n.o 910/2014. Para los usuarios que accedan a datos IETM correspondientes a los requisitos de información a que se refiere el artículo 2, apartado 1, letra a), inciso iv), del Reglamento (UE) 2020/1056 y que traten dichos datos, los medios de identificación electrónica a que se refiere el apartado 2, letra a), inciso i), del presente artículo incluirán una referencia al número de identificación del operador de traslado de residuos a que se refiere el artículo 9 del Reglamento de Ejecución (UE) 2025/1290.

4 Para el acceso a los datos IETM y su tratamiento mediante comunicación de máquina a máquina, las plataformas IETM proporcionarán funcionalidades que garanticen, para cada sistema TIC afluente: a) la identificación y autenticación del usuario profesional bajo cuya responsabilidad jurídica opere el sistema de TIC afluente, mediante un registro en el que se registre y mantenga actualizada al menos la siguiente información: i) la referencia de identificación del usuario profesional, ii) detalles de la clave de seguridad del sistema de TIC afluente; b) la autorización del usuario profesional bajo cuya responsabilidad jurídica opere el sistema de TIC afluente, mediante el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a).

5 Los operadores de plataformas IETM establecerán y aplicarán medidas para incorporar adecuadamente los sistemas de TIC afluentes, entre las que se incluirán, como mínimo, medidas consistentes en: a) verificar, mediante medios de identificación electrónica expedidos en el marco de un sistema de identificación electrónica que cumpla los requisitos establecidos en el apartado 3, que el sistema de TIC afluente identifica y autentica a los usuarios autorizados a actuar como usuarios profesionales de la plataforma IETM; b) verificar, mediante uno de los registros de autorizaciones a que se refiere el artículo 5, apartado 1, letra a), que el sistema de TIC afluente controla el acceso de los usuarios autorizados a actuar como usuarios profesionales de la plataforma IETM.

6 Para cada sesión de inicio de sesión, la plataforma IETM garantizará la identificación, autenticación y autorización del usuario profesional antes de permitirle tratar los datos IETM.

1 Las plataformas IETM utilizarán uno de los siguientes tipos de mecanismos de autorización, o ambos: a) la verificación de los derechos de tratamiento del usuario, mediante registros de autorizaciones en los que los derechos de tratamiento de los usuarios incorporados se registren, se mantengan actualizados y estén disponibles a efectos de auditoría, y que constituirán el principal mecanismo de autorización; b) la expedición y verificación de los derechos temporales de tratamiento, mediante registros de autorizaciones en los que se registren las credenciales de acceso temporal de los usuarios ocasionales no incorporados.

2 Los registros de autorizaciones a que se refiere el apartado 1 se establecerán y mantendrán como un componente de TIC separado. Este componente de TIC separado formará parte o bien de la plataforma IETM, o bien de un sistema de TIC externo a la plataforma IETM con el que esta establezca comunicaciones seguras, de conformidad con el artículo 12, apartado 4.

3 Los registros de autorizaciones a que se refiere el apartado 1, letra a), mantendrán un «perfil de usuario» identificado de manera unívoca para cada usuario profesional incorporado, para lo cual registrarán al menos la siguiente información: a) la identificación única del usuario profesional, expresada como referencia codificada; b) los derechos de tratamiento, expresados como referencias, cuando dichas referencias incluyan: i) referencias a las operaciones de tratamiento contempladas en el artículo 8, ii) el período de tiempo para el que se concede cada uno de los derechos de tratamiento a que se refiere la letra b), iii) las referencias codificadas de los elementos de datos IETM o grupos de elementos de datos IETM, tal como se especifica en la sección 2 del anexo del Reglamento Delegado (UE) 2024/2024, respecto de los cuales pueden llevarse a cabo todas las operaciones de tratamiento a que se refiere el artículo 8; c) una indicación de si el usuario profesional puede actuar como autorizador primario o como autorizador temporal; d) en el caso de los usuarios profesionales designados como autorizadores primarios, los números únicos de identificación de los perfiles de usuario incorporados existentes que están autorizados a modificar; e) en el caso de los usuarios profesionales designados como autorizadores temporales, los derechos temporales de tratamiento que tienen derecho a emitir a los usuarios no incorporados, expresados como referencias a las operaciones de tratamiento a que se refiere el artículo 8; f) una indicación de si el usuario profesional puede solicitar notificaciones relacionadas con las solicitudes de acceso a datos IETM por parte de las autoridades competentes y las comunicaciones de seguimiento conexas, cuando estén relacionadas con el eFTI CMDS respecto del que el usuario profesional tenga derechos de tratamiento.

4 El operador de la plataforma IETM o, cuando el registro de autorizaciones esté establecido como componente de un sistema de TIC externo a la plataforma IETM, el operador del sistema de TIC externo, adoptará medidas para garantizar la adecuada incorporación de los usuarios profesionales que puedan actuar como «autorizador primario». Dichas medidas consistirán, como mínimo, en: a) la identificación y autenticación, de conformidad con los requisitos establecidos en el artículo 4, apartado 2, letra a); b) la verificación de las credenciales que indiquen que el usuario profesional es un tenedor de datos o constituye el representante legal de un tenedor de datos, o que el usuario profesional está facultado para autorizar, en nombre de un tenedor de datos, el tratamiento de datos respecto de los cuales ese tenedor de datos tenga los derechos u obligaciones a que se refiere el artículo 1, punto 23; c) el mantenimiento de un registro de dichas credenciales a efectos de auditoría.

5 El mecanismo de autorización a que se refiere el apartado 1, letra b), incluirá funcionalidades que cumplan, como mínimo, las siguientes especificaciones: a) permitir que los usuarios incorporados designados como autorizadores temporales emitan derechos temporales de tratamiento a usuarios no incorporados, registrando en un registro específico las credenciales de acceso temporal de los usuarios no incorporados, que contendrán como mínimo: i) datos de contacto que identifiquen al usuario no incorporado y que puedan utilizarse para enviar mensajes electrónicos, ii) el UUID del eFTI CMDS respecto del que se conceden derechos temporales de tratamiento al usuario no incorporado, iii) los derechos de tratamiento otorgados al usuario no incorporado, expresados como referencias a las operaciones de tratamiento a que se refiere el artículo 8, iv) el período de tiempo concreto durante el que dichos derechos de tratamiento son válidos; b) permitir que los usuarios incorporados designados como autorizadores temporales den acceso temporal a los datos IETM a los usuarios no incorporados respecto de los cuales hayan registrado credenciales de acceso temporal enviando, mediante los datos de contacto registrados del usuario no incorporado, un mensaje que contenga: i) un enlace de acceso a la plataforma IETM, ii) el UUID de cada eFTI CMDS respecto del que se conceden derechos temporales de tratamiento al usuario no incorporado; c) cuando un usuario no incorporado solicite acceso a la plataforma IETM, darle acceso a la plataforma IETM mediante autenticación de doble factor, y permitirle llevar a cabo operaciones de tratamiento basadas en los derechos de tratamiento que le correspondan, registrados de conformidad con la letra a); d) poner fin a la sesión de inicio de sesión de un usuario no incorporado tan pronto como ocurra una de las siguientes situaciones: i) el usuario notifica la finalización de la sesión de tratamiento de datos, ii) el plazo a que se refiere la letra a), inciso iv), expira.

6 La información registrada en los registros de autorizaciones de conformidad con los apartados 1 a 5 se conservará a efectos de auditoría, como mínimo, durante el mismo período de tiempo durante el cual el eFTI CMDS respecto del cual los usuarios correspondientes hayan realizado operaciones de tratamiento deba mantenerse disponible, de conformidad con el Derecho nacional o de la Unión aplicable, con arreglo al artículo 9, apartado 1, letra i), del Reglamento (UE) 2020/1056.

7 Las plataformas IETM suprimirán toda la información que constituya datos personales, de conformidad con el Reglamento (UE) 2016/679, en un plazo razonable tras la expiración del plazo a que se refiere el apartado 6.

1 Para que los operadores económicos interesados puedan poner a disposición de las autoridades competentes la información reglamentaria a que se refiere el artículo 2, apartado 1, letra a), inciso iv), del Reglamento (UE) 2020/1056, las plataformas IETM establecerán conexiones seguras con el sistema central a que se refiere el artículo 27, apartado 3, del Reglamento (UE) 2024/1157, a través de una interfaz de programación de aplicaciones, tal como menciona el artículo 5, apartado 2, del Reglamento de Ejecución (UE) 2025/1290, o, cuando un Estado miembro la ofrezca, mediante la conexión al sistema local gestionado por una autoridad competente de dicho Estado miembro, de conformidad con el artículo 27, apartado 4, del Reglamento (UE) 2024/1157, y que se conecte con el sistema central, de conformidad con los requisitos del Reglamento de Ejecución (UE) 2025/1290.

2 Cuando las plataformas IETM establezcan cualquiera de las conexiones a que se refiere el apartado 1, también ofrecerán las funcionalidades adicionales correspondientes, de conformidad con el artículo 9, apartado 2, del presente Reglamento.

1 Las plataformas IETM ofrecerán funcionalidades que permitan a los usuarios profesionales solicitar y recibir notificaciones, también en forma de informes periódicos, sobre la base de las autorizaciones adecuadas. Dichas notificaciones e informes abarcarán las solicitudes de acceso a los datos IETM por parte de las autoridades competentes, así como las comunicaciones de seguimiento conexas. También abarcarán las operaciones de tratamiento por parte de usuarios profesionales, cuando el usuario profesional que solicite dichas notificaciones o informes constituya un tenedor de datos o tenga asignados en el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a), derechos de tratamiento en relación con dichos datos.

2 Cuando las notificaciones o informes a que se refiere el apartado 1 se refieran a solicitudes de acceso a datos IETM por parte de las autoridades competentes y a las comunicaciones de seguimiento conexas, dichas notificaciones contendrán, como mínimo, la siguiente información: a) fecha y hora de recepción de la solicitud de acceso a los datos IETM y, en su caso, de la comunicación de seguimiento; b) el Estado miembro de la autoridad competente que haya presentado la solicitud de acceso a los datos IETM; c) el UUID del eFTI CMDS respecto del cual se presentó la solicitud de acceso a los datos IETM; d) en su caso, la información contenida en la comunicación de seguimiento.

1 Las plataformas IETM gestionarán el tratamiento de datos IETM sobre la base de conjuntos de datos identificados de manera unívoca, cada uno de los cuales constituirá un eFTI CMDS.

2 El eFTI CMDS se generará seleccionando todos los elementos de datos que constituyen los subconjuntos de datos IETM correspondientes a los requisitos en materia de información reglamentaria aplicables a un movimiento de envío específico; en él, todos los elementos de datos comunes a dos o más subconjuntos de datos IETM se incluirán una sola vez.

3 Todos los datos IETM tratados en una plataforma IETM se ajustarán a las definiciones y características técnicas, incluidas la estructura, las listas de códigos y las normas operativas, establecidas por el Reglamento Delegado (UE) 2024/2024.

1 Las plataformas IETM ofrecerán funcionalidades que permitan a los usuarios profesionales, una vez validados sus derechos de tratamiento mediante uno de los mecanismos de autorización a que se refiere el artículo 5, llevar a cabo las siguientes operaciones de tratamiento de datos IETM: a) crear el eFTI CMDS; b) editar el eFTI CMDS; c) leer los datos del eFTI CMDS; d) descargar una copia de los datos del eFTI CMDS; e) firma del expedidor; f) firma del transportista; g) firma del destinatario; h) «sello» del transporte combinado estampado por la autoridad competente en un puerto marítimo, un puerto interior o una estación ferroviaria; i) archivar el eFTI CMDS.

2 Las funcionalidades de la plataforma IETM a que se refiere el artículo 6 permitirán a los usuarios profesionales, una vez validados sus derechos de tratamiento mediante uno de los mecanismos de autorización a que se refiere el artículo 5, llevar a cabo las siguientes operaciones de tratamiento de datos IETM: a) descargar una copia de los documentos de traslado de residuos; b) presentar confirmaciones de transferencia por el transportista del traslado de residuos, de conformidad con la parte B, punto 3, y la parte C, punto 3, del anexo II del Reglamento de Ejecución (UE) 2025/1290; c) editar las confirmaciones de transferencia por el transportista del traslado de residuos presentadas, de conformidad con la parte B, punto 4, y la parte C, punto 4, del anexo II del Reglamento de Ejecución (UE) 2025/1290;

3 Las operaciones de tratamiento a que se refieren los apartados 1 y 2 serán las especificadas en el anexo, junto con las acciones que deben realizar las plataformas IETM para permitir a los usuarios profesionales llevar a cabo dichas operaciones.

4 Antes de permitir a un usuario profesional llevar a cabo operaciones de tratamiento de datos IETM, la plataforma le informará a través de mensajes claramente redactados de que, al tratar los datos en la plataforma IETM, el usuario consiente que: a) los datos que haya tratado puedan ponerse automáticamente a disposición de las autoridades competentes, en particular cuando la plataforma IETM reciba de una autoridad competente una solicitud de acceso a los datos IETM, para el eFTI CMDS del que formen parte dichos datos; b) se registre una pista de auditoría de las operaciones de tratamiento de datos que haya realizado, de conformidad con lo dispuesto en el apartado 6, que podrá ponerse a disposición de las autoridades competentes para su consulta de conformidad con el Derecho de la Unión o nacional aplicable.

5 Las plataformas IETM consignarán cada operación de tratamiento realizada por un usuario profesional en un eFTI CMDS registrando, en relación con cada elemento de datos tratado, la siguiente información: a) el UUID del eFTI CMDS; b) en el caso de los usuarios incorporados, una identificación codificada vinculada a su cuenta de usuario; c) en el caso de los usuarios no incorporados, la información de identificación facilitada por el usuario en el contexto de la autenticación de doble factor a que se refiere el artículo 5, apartado 5, letra c); d) la fecha y la hora; e) el tipo de operación realizada, identificada de conformidad con los apartados 1 y 2; cuando la operación de tratamiento implique modificar o suprimir el valor de un elemento de datos, también se mantendrá el valor original del elemento de datos.

6 Las plataformas IETM registrarán los datos del eFTI CMDS en un sistema de almacenamiento de datos en línea y garantizarán que estén fácilmente accesibles tanto para los usuarios profesionales como para las autoridades competentes, durante al menos el período en que el eFTI CMDS tenga el estatus «activo» y, en su caso, «inactivo», según se lo haya asignado la plataforma IETM de conformidad con las especificaciones establecidas en el anexo del presente Reglamento.

7 Las plataformas IETM se encargarán de que los eFTI CMDS que tengan el estatus «listo para su archivo» o «archivado» y las correspondientes consignaciones de operaciones de tratamiento sigan estando accesibles para las autoridades competentes durante los plazos a que se refiere el artículo 9, apartado 1, letra i), del Reglamento (UE) 2020/1056.

8 Las plataformas IETM suprimirán toda la información que constituya datos personales, de conformidad con el Reglamento (UE) 2016/679, en un plazo razonable tras la expiración de los plazos a que se refiere el apartado 8.

1 Las interfaces de persona a máquina a que se refiere el artículo 4, apartado 1, letra a), ofrecerán las siguientes funcionalidades web o basadas en aplicaciones: a) permitir a los usuarios profesionales interactuar con la plataforma IETM a efectos de identificación, autenticación y autorización por parte de la plataforma IETM, de conformidad con los artículos 4 y 5, y, respectivamente, a efectos de tratamiento de datos IETM en la plataforma IETM, de conformidad con los artículos 5 y 9; b) permitir a los usuarios autorizados descargar el enlace único de identificación electrónica (UIL, por sus siglas en inglés) del eFTI CMDS, y permitirles comunicarlo a las autoridades competentes en un formato legible mecánicamente; c) permitir a los usuarios autorizados descargar una copia legible como texto del eFTI CMDS y, en su caso, de los documentos de traslado de residuos, y mostrar dichas copias en las inspecciones realizadas por los agentes de las autoridades competentes, cuando estos así lo exijan de conformidad con el artículo 4, apartado 2, del Reglamento (UE) 2020/1056;

2 Las copias legibles como texto a que se refiere el apartado 1, letra d), incluirán una referencia codificada legible mecánicamente de la marca de certificación de la plataforma IETM, así como una indicación de la fecha y hora de la descarga en forma de sello de tiempo.

3 Las interfaces de persona a máquina de las plataformas IETM incluirán funciones de protección de acceso para impedir el acceso no autorizado a los datos IETM y a las funcionalidades de la plataforma IETM cuando el dispositivo a través del cual el usuario profesional acceda a la plataforma IETM no esté bajo el control del usuario.

Las plataformas IETM seguirán estando accesibles para las autoridades competentes, tal como se especifica en el artículo 3, al menos durante el período de tiempo durante el cual los eFTI CMDS registrados en dicha plataforma tengan el estatus «activo» y, en su caso, «inactivo», según se lo haya asignado la plataforma IETM de conformidad con las especificaciones establecidas en el anexo del presente Reglamento.

1 Para la comunicación con una puerta IETM, las plataformas IETM deberán cumplir las condiciones siguientes: a) mantener un punto de acceso de eDelivery, de conformidad con las especificaciones de intercambio de mensajes eDelivery, o un punto de acceso conforme con las especificaciones de intercambio de mensajes equivalentes que sean compatibles con la puerta IETM, cuando sea un Estado miembro quien establezca dichas especificaciones de intercambio de mensajes de conformidad con el artículo 9, apartado 4, del Reglamento de Ejecución (UE) 2024/1942; b) utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad o los certificados de seguridad de la puerta IETM.

2 Los puntos de acceso a que se refiere el apartado 1, letra a), utilizarán certificados de seguridad expedidos, a través de una autoridad de certificación, por el Estado miembro en el que la plataforma IETM haya recibido el certificado de conformidad a que se refiere el artículo 12, apartado 1, del Reglamento (UE) 2020/1056.

3 Toda comunicación entre la plataforma IETM y la puerta IETM se realizará mediante intercambios de mensajes que cumplan las especificaciones establecidas en el artículo 9, apartados 3 y 4, del Reglamento de Ejecución (UE) 2024/1942.

4 Para la comunicación con sistemas de TIC afluentes o con otros sistemas externos de TIC que alberguen componentes que realicen determinadas funcionalidades de la plataforma IETM, las plataformas IETM deberán, como mínimo: a) mantener puntos de acceso con claves de seguridad o certificados de seguridad válidos; b) utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad o los certificados de seguridad de esos otros sistemas de TIC.

5 Para la comunicación con DIWASS, las plataformas IETM deberán cumplir las condiciones siguientes: a) mantener puntos de acceso que cumplan las especificaciones a que se refiere el artículo 12 del Reglamento de Ejecución (UE) 2025/1290; b) utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad de DIWASS; c) mantener una interfaz de programación de aplicaciones que le permita recibir de DIWASS datos relacionados con la firma del destinatario, cuando este sea una instalación de tratamiento de residuos de las mencionadas en el Reglamento (UE) 2024/1157.

Los operadores de plataformas IETM definirán y aplicarán medidas que garanticen la seguridad y la conservación de los datos almacenados en las plataformas IETM y, en particular: a) cuando los datos IETM se almacenen en dispositivos de almacenamiento físico gestionados por el operador de la plataforma: i) medidas para garantizar un almacenamiento de datos suficiente, también para copias de seguridad, ii) medidas para garantizar la protección contra los daños físicos causados a las unidades de almacenamiento físico, tanto intencionados como accidentales, de origen humano o como consecuencia de catástrofes naturales, iii) medidas para garantizar la recuperación de datos en caso de daños, iv) medidas que apliquen políticas adecuadas de gestión de riesgos en materia de seguridad de la información, incluidas evaluaciones periódicas de la vulnerabilidad en materia de seguridad y su seguimiento; b) cuando los datos IETM se almacenen mediante almacenamiento en la nube, medidas para garantizar que el espacio de almacenamiento en la nube se compre a proveedores de servicios que cumplan las principales normas internacionales y las mejores prácticas en materia de seguridad en la nube y protección de datos personales, c) medidas para garantizar que los datos IETM se almacenen en la Unión o bajo la jurisdicción de la Unión o de los Estados miembros.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.