Reglamento de Ejecución (UE) 2025/2540 de la Comisión, de 9 de diciembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo que respecta al establecimiento de un plan para las revisiones interpares

1 Las revisiones interpares de las autoridades nacionales de certificación de la ciberseguridad se llevarán a cabo de conformidad con el calendario establecido en el anexo I. Cada revisión interpares se completará en la fecha indicada en dicho calendario y, a continuación, se llevará a cabo una vez cada cinco años.

2 En circunstancias excepcionales, la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares podrá presentar a la Comisión una solicitud debidamente justificada para aplazar su revisión interpares más allá de la fecha indicada en el calendario que figura en el anexo I. La Comisión, en cooperación con el Grupo Europeo de Certificación de la Ciberseguridad (GECC) establecido por el artículo 62 del Reglamento (UE) 2019/881, evaluará la solicitud e informará oportunamente del resultado a todas las partes pertinentes.

3 Cuando un Estado miembro, de conformidad con el artículo 58, apartado 1, del Reglamento (UE) 2019/881, haya designado: a) más de una autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares en su territorio, todas las autoridades nacionales de certificación de la ciberseguridad de ese Estado miembro serán objeto de una revisión interpares en paralelo; b) una o varias autoridades nacionales de certificación de la ciberseguridad de otro Estado miembro, esa o esas autoridades nacionales de certificación de la ciberseguridad podrán ser objeto de una revisión interpares de conformidad con el calendario establecido para el Estado miembro que las haya designado o para el Estado miembro de las autoridades nacionales de certificación de la ciberseguridad designadas, en relación con las tareas de supervisión llevadas a cabo en el Estado miembro designador.

4 La Agencia de la Unión Europea para la Ciberseguridad (ENISA) pondrá a disposición del público la siguiente información en el sitio web sobre los esquemas europeos de certificación de la ciberseguridad creados en virtud del artículo 50 del Reglamento (UE) 2019/881: a) la información sobre el calendario que figura en el anexo I; b) la lista de las autoridades nacionales de certificación de la ciberseguridad que realicen las revisiones interpares mantenida de conformidad con el artículo 2, apartado 5.

5 Cada autoridad nacional de certificación de la ciberseguridad que participe en el proceso de revisión interpares correrá con sus propios costes de participación.

1 De conformidad con el artículo 59, apartado 4, del Reglamento (UE) 2019/881, cada revisión interpares será llevada a cabo por dos autoridades nacionales de certificación de la ciberseguridad de otros Estados miembros y la Comisión. Las autoridades nacionales de certificación de la ciberseguridad de cada Estado miembro participarán en la revisión interpares de al menos dos autoridades nacionales de certificación de la ciberseguridad durante cada período establecido en el anexo I.

2 Las autoridades nacionales de certificación de la ciberseguridad de otros Estados miembros podrán participar en la revisión interpares en calidad de observadores con uno o varios representantes, con el acuerdo de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares, las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares y la Comisión.

3 Un representante de la ENISA podrá participar en la revisión interpares en calidad de observador. También podrán participar otros representantes, con el acuerdo de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares, las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares y la Comisión.

4 Los observadores tendrán acceso a la misma información que los demás miembros del equipo de revisión interpares, pero no llevarán a cabo tareas relacionadas con la ejecución de la revisión interpares.

5 La ENISA, en cooperación con la Comisión y el GECC, propondrá y mantendrá la lista de autoridades nacionales de certificación de la ciberseguridad que deben llevar a cabo las revisiones interpares según el calendario establecido en el anexo I. Durante un año determinado, la ENISA, en cooperación con la Comisión, pedirá a las autoridades nacionales de certificación de la ciberseguridad que expresen su interés en llevar a cabo las revisiones interpares previstas en el anexo I para el año siguiente, o en participar como observadores en dichas revisiones.

6 Cuando más de dos autoridades nacionales de certificación de la ciberseguridad manifiesten su interés en llevar a cabo la revisión interpares de la misma autoridad nacional de certificación de la ciberseguridad, la Comisión y la ENISA consultarán a las autoridades nacionales de certificación de la ciberseguridad interesadas y decidirán sobre los participantes en la revisión interpares.

7 Cuando, en un año determinado, no haya suficientes autoridades nacionales de certificación de la ciberseguridad que expresen su interés en llevar a cabo las revisiones interpares, la Comisión, previa consulta al GECC, seleccionará las autoridades nacionales de certificación de la ciberseguridad que llevarán a cabo dichas revisiones. En su selección, la Comisión tendrá en cuenta la obligación de las autoridades nacionales de certificación de la ciberseguridad de cada Estado miembro de participar en la revisión interpares de al menos dos autoridades nacionales de certificación de la ciberseguridad, a que se refiere el apartado 1.

1 A su debido tiempo antes del inicio de la revisión interpares, cada una de las autoridades nacionales de certificación de la ciberseguridad que participen en la revisión interpares designará a un representante para llevarla a cabo. Las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares podrán designar a más de un representante cuando sea necesario para garantizar que el equipo de revisión interpares tenga las competencias necesarias para llevar a cabo dicha revisión.

2 Los representantes de las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares, con la excepción de aquellos que participen en calidad de observadores, deberán cumplir los siguientes criterios: a) tener al menos dos años de experiencia trabajando para la autoridad nacional de certificación de la ciberseguridad o haber participado en al menos dos revisiones interpares en calidad de observadores; b) poseer conocimientos suficientes del marco de certificación de la ciberseguridad establecido en el Reglamento (UE) 2019/881; c) tener un buen conocimiento del inglés y, en la medida de lo posible, de una o varias de las lenguas habladas en el Estado miembro de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares; d) operar con independencia de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares.

3 Las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares velarán por que cualquier riesgo de conflicto de intereses que afecte a los representantes designados se comunique a las demás autoridades nacionales de certificación de la ciberseguridad, a la Comisión y a la ENISA, antes del inicio del proceso de revisión interpares. La autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares podrá oponerse a la designación de representantes concretos de conformidad con el apartado 5.

4 Las autoridades nacionales de certificación de la ciberseguridad que realicen la revisión interpares elegirán entre sí a un representante («jefe de equipo») para coordinar la revisión interpares.

5 La Comisión facilitará a la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares los nombres y datos de contacto de los representantes de las autoridades nacionales de certificación de la ciberseguridad que vayan a realizar la revisión interpares antes del inicio de esta. Cuando la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares desee oponerse a la designación de uno o más representantes, proporcionará, en un plazo de dos semanas, una justificación clara a la Comisión, informará a la ENISA y al GECC y solicitará que la autoridad nacional de certificación de la ciberseguridad que vaya a realizar la revisión interpares designe a un representante diferente.

6 Cuando el procedimiento establecido en el apartado 5 cause retrasos indebidos en la puesta en marcha de la revisión interpares debido a circunstancias excepcionales, la Comisión, en consulta con la ENISA y el GECC, decidirá sobre la composición del equipo de revisión interpares.

1 La revisión interpares evaluará los aspectos enumerados en el anexo II, de conformidad con el artículo 59, apartado 3, del Reglamento (UE) 2019/881.

2 La ENISA, en cooperación con el GECC y la Comisión, podrá elaborar plantillas para la evaluación de los procesos establecidos por la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares.

3 La revisión interpares comprenderá lo siguiente: a) un cuestionario de autoevaluación; b) una evaluación de la documentación pertinente; c) entrevistas en línea o físicas, o ambas; d) una visita in situ.

4 La duración de la revisión interpares podrá acordarse previamente entre el equipo de revisión interpares y la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares, en función del tamaño y la complejidad de las actividades de esta última. La visita in situ no podrá durar más de tres días laborables.

5 Salvo que el equipo de revisión interpares, la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares y la Comisión acuerden otra cosa, la lengua de cooperación será el inglés. El informe de la revisión interpares a que se refiere el artículo 5 se redactará al menos en inglés.

6 La autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares cooperará y facilitará al equipo de revisión interpares acceso a la información y los documentos necesarios para llevar a cabo la revisión interpares. La autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares presentará el cuestionario de autoevaluación y el último informe sucinto anual adoptado de conformidad con el artículo 58, apartado 7, letra g), del Reglamento (UE) 2019/881 al menos 21 días antes de la fecha de la visita in situ. Se presentarán documentos adicionales a petición del equipo de revisión interpares en un plazo de siete días a partir de la recepción de dichas solicitudes.

7 Los documentos se facilitarán en inglés, salvo que se acuerde otra cosa de conformidad con el apartado 5. Cuando los documentos no se faciliten en inglés, el equipo de revisión interpares podrá solicitar que los documentos necesarios para llevar a cabo la revisión interpares se traduzcan al inglés.

8 Antes de elaborar el informe de la revisión interpares de conformidad con el artículo 5, el equipo de revisión interpares debatirá las conclusiones preliminares con la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares.

1 En un plazo de 21 días a partir de la ejecución de la revisión interpares, el equipo de revisión interpares elaborará un proyecto de informe de revisión interpares, que incluirá información detallada sobre el Estado miembro de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares, las autoridades nacionales de certificación de la ciberseguridad que hayan realizado dicha revisión, la Comisión y cualquier observador, así como las constataciones y conclusiones de la revisión interpares. Cuando sea necesario, el informe incluirá recomendaciones que permitan la mejora de los aspectos que abarque la revisión interpares.

2 La ENISA, en cooperación con la Comisión y el GECC, podrá elaborar una plantilla para el informe de la revisión interpares.

3 Tras elaborar el proyecto de informe de la revisión interpares de conformidad con el apartado 1, el equipo de revisión interpares lo facilitará a la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares para que formule observaciones en un plazo de 14 días. El equipo de revisión interpares evaluará las observaciones y, en la medida de lo posible, las integrará en el informe final, con vistas a garantizar el consenso. En caso de desacuerdo, la respuesta de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares se adjuntará al informe final.

4 El informe final se enviará al GECC en un plazo de dos meses a partir de la ejecución de la revisión interpares, incluido un resumen para su publicación. De conformidad con el artículo 59, apartado 6, del Reglamento (UE) 2019/881, el GECC analizará el informe y aprobará su resumen, que se publicará en el sitio web sobre los esquemas europeos de certificación de la ciberseguridad creados en virtud del artículo 50 del Reglamento (UE) 2019/881. El resumen incluirá también la respuesta de la autoridad nacional de certificación de la ciberseguridad objeto de la revisión interpares, o de partes de la misma, de acuerdo con dicha autoridad.

5 El equipo de revisión interpares anonimizará los datos personales que pueda haber recogido durante la revisión interpares antes de difundir el informe de la revisión interpares a terceros ajenos al equipo de revisión interpares.

1 Todas las partes involucradas en las revisiones interpares respetarán la confidencialidad de la información y los datos obtenidos en el ejercicio de sus funciones y actividades, de modo que se protejan, en particular: a) los derechos de propiedad intelectual y la información empresarial confidencial o los secretos comerciales de las personas físicas o jurídicas, incluido el código fuente, salvo en los casos contemplados en el artículo 5 de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo ; b) la aplicación efectiva del presente Reglamento; c) los intereses públicos y de seguridad nacional; d) la integridad de las causas penales o los procedimientos administrativos.

2 El equipo de revisión interpares velará por que toda la información obtenida a través del proceso de revisión interpares se gestione de forma segura. Una vez elaborados el informe final y el resumen a que se refiere el artículo 5, apartado 4, el equipo de revisión interpares, incluido cualquier observador, suprimirá o destruirá todos los documentos distintos del informe final y del resumen que se hayan recogido o generado como parte del proceso de revisión interpares.

3 La ENISA, teniendo en cuenta las mejores prácticas existentes de las autoridades nacionales de certificación de la ciberseguridad, podrá, en cooperación con el GECC, elaborar directrices sobre comunicaciones seguras y confidenciales.

La ENISA analizará los resultados agregados de las revisiones interpares y pondrá de relieve las lecciones aprendidas y las mejores prácticas, con el fin de contribuir al desarrollo de capacidades para las autoridades nacionales de certificación de la ciberseguridad y al mantenimiento de los esquemas europeos de certificación de la ciberseguridad. Dicho análisis podrá incluir, cuando proceda, formación y directrices adicionales para las autoridades nacionales de certificación de la ciberseguridad, elaboradas en cooperación con el GECC.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.