El Reglamento no tiene régimen sancionador. No fija tipos infractores ni cuantías, y tampoco encarga a los Estados miembros establecerlos, que es la fórmula habitual cuando el legislador europeo quiere que la sanción llegue por vía nacional. La ausencia es coherente con el diseño: la norma no impone conductas a las empresas de transporte, sino condiciones a quien quiera que su plataforma sirva para comunicarse con la autoridad.

El Reglamento no define incidente notificable, no fija plazos ni destinatarios y no crea canal de aviso. Tampoco lo hacen los cuatro actos derivados adoptados. Lo más cercano es una estructura de soporte técnico, no de notificación: el Reglamento de Ejecución (UE) 2024/1942 obliga a los Estados a montar servicios de asistencia de nivel 1 y nivel 2, y a la Comisión un servicio de nivel 3, con disponibilidad común de diez a dieciséis horas en días laborables y personal de guardia en fines de semana y festivos para lo que afecte gravemente al funcionamiento del entorno de intercambio. Eso resuelve averías, no incidentes de seguridad, y en el circuito no hay ningún CSIRT. Un ataque contra una plataforma IETM se notifica, si procede, por la vía que le corresponda a esa empresa en otras normas, no por esta.

Desarrolladores de plataformas

Quien crea o adquiere la plataforma, la use para sí o la venda. Es el destinatario de las once funcionalidades del artículo 9, apartado 1, y de las especificaciones detalladas que las desarrollan, y el único que puede pedir su certificación (art. 3, punto 11, y art. 12.1)

Operadores de plataformas

Quien responde jurídicamente de que la plataforma funcione bien. Es el sujeto de las obligaciones operativas del acto de ejecución: seguridad y conservación del dato almacenado, gestión de riesgos de seguridad de la información e incorporación de los sistemas de terceros que se conectan (RE (UE) 2025/2243, art. 1, punto 4, y arts. 4.5, 5.4 y 13)

Proveedores de servicios IETM

Quien presta el tratamiento de información por contrato a los operadores económicos. Tiene lista de requisitos propia, con tratamiento solo por usuarios autorizados, protección adecuada del dato y acceso inmediato y gratuito de la autoridad, y certificación propia (art. 10.1 y art. 13)

Operadores económicos interesados

Transportistas, operadores logísticos y cualquiera que deba acreditar el cumplimiento de los requisitos de información del transporte. Si eligen la vía electrónica, solo pueden usar plataforma certificada, y si procede proveedor certificado, y comunicar por conexión autenticada y segura (art. 4.2 y 4.3)

Usuarios profesionales y autorizadores

Quienes operan dentro de la plataforma en nombre del operador económico. Se identifican con medios de identificación electrónica de nivel sustancial como mínimo, y el autorizador primario, que administra los permisos de los demás, pasa además una verificación documental que queda registrada para auditoría (RE (UE) 2025/2243, arts. 4.2, 4.3 y 5.4)

Organismos de evaluación acreditados

Terceros independientes acreditados conforme al Reglamento (CE) n.o 765/2008 que evalúan plataformas contra el artículo 9, apartado 1, y proveedores contra el artículo 10, apartado 1, expiden el certificado de conformidad y mantienen pública la lista de lo certificado, retirado o suspendido (art. 11, art. 12.2 y art. 13.2)

Autoridades nacionales designadas

La autoridad de cada Estado que mantiene y publica la lista de organismos acreditados, plataformas certificadas y proveedores certificados, y la notifica a la Comisión antes del 31 de marzo de cada año (art. 11.3 y 11.4)

Autoridades competentes de control

Quienes comprueban el cumplimiento en carretera, en puerto o en frontera interior. Quedan obligadas a aceptar la información electrónica y a acceder a ella solo de máquina a máquina a través de una puerta IETM, con validación de la clave de seguridad en los dos sentidos (art. 5.1 y RE (UE) 2025/2243, art. 3)

El uso es voluntario para la empresa

El Reglamento no impone a los operadores económicos poner los datos a disposición por vía electrónica, porque conservan el derecho a presentar la información reglamentaria en papel. La evaluación del artículo 16 valorará precisamente si conviene imponerlo, y no vence hasta 2029 (art. 4 · art. 16.1.a) · RE (UE) 2025/2243, considerando 8)

Los residuos van por delante

El Reglamento de traslados de residuos adelantó el calendario para su propia materia: desde el 21 de mayo de 2026 las autoridades aceptan por esta vía la información reglamentaria de los traslados de residuos, antes que para el resto (art. 5.1 bis, en la redacción del Reglamento (UE) 2024/1157)

Exclusiones

Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo, de 15 de julio de 2020, sobre información electrónica relativa al transporte de mercancías

Identificador

CELEX 32020R1056

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

La palabra ciberseguridad no aparece en el articulado, y sin embargo esta es una de las normas europeas que describe con más detalle cómo tiene que estar construido un sistema de información concreto. El artículo 9, apartado 1, enumera once funcionalidades que una plataforma IETM debe ofrecer, y cinco de sus letras, de la f) a la j), son seguridad en sentido propio: tratamiento solo desde acceso autorizado y autentificado, registro de operaciones que identifique cada tratamiento con su autor y la secuencia seguida por cada elemento de dato, conservación del valor original cuando se modifica o se borra, archivo de los datos y de esos registros accesibles para las autoridades y la auditoría, y protección de los datos frente a la corrupción y el robo. El Reglamento de Ejecución (UE) 2025/2243 convirtió esa lista en especificaciones exigibles: identificación electrónica de nivel de seguridad sustancial como mínimo, registros de autorizaciones como componente separado, doble factor para el usuario ocasional, puntos de acceso eDelivery con certificados de seguridad expedidos por el Estado miembro, gestión de riesgos de seguridad de la información con evaluaciones periódicas de vulnerabilidad sobre el almacenamiento propio, y datos almacenados en la Unión o bajo su jurisdicción. Lo que impide subir de nivel son dos cosas. La primera es que nada de esto obliga a una empresa de transporte cualquiera: obliga a quien desarrolla u opera una plataforma, y el operador económico conserva el derecho a seguir presentando la información en papel. La segunda es que el esquema de certificación funciona a medias, porque las normas sobre renovación, suspensión y retirada del certificado y sobre el uso de la marca dependen de actos delegados que no se han adoptado.

Valoración del curador · nivel 3 de 5

Solo por plataforma certificada y conexión segura Ciber

Quien decida comunicar la información reglamentaria por vía electrónica tiene que hacerlo con datos tratados en una plataforma IETM certificada y, si procede, a través de un proveedor de servicios IETM certificado. La información va en formato legible mecánicamente y, si la autoridad lo pide, también en formato legible como texto en la pantalla de un aparato del propio operador. La transmisión de lo legible mecánicamente se hace por una conexión autenticada y segura con la fuente de información de la plataforma, y el operador comunica además el enlace único de identificación electrónica que permite a la autoridad localizar sin ambigüedad los datos de ese envío.

Literal de la norma La información en formato legible mecánicamente deberá comunicarse mediante una conexión autenticada y segura con la fuente de información de una plataforma IETM. […]

Art. 4.2 y 4.3

La autoridad queda obligada a aceptar el dato electrónico

Es la obligación que da sentido a todo lo demás, y recae sobre las administraciones, no sobre las empresas. Pasados treinta meses desde la entrada en vigor del primero de los actos delegados y de ejecución de los artículos 7 y 8, las autoridades competentes aceptan la información reglamentaria comunicada electrónicamente conforme al artículo 4, incluida la que ellas mismas pidan con carácter adicional. Ese plazo se cumple el 9 de julio de 2027; la fecha es cálculo nuestro, treinta meses desde el 9 de enero de 2025. Para los traslados de residuos hay una fecha propia y anterior, el 21 de mayo de 2026, que introdujo el Reglamento (UE) 2024/1157. Cuando la información exija una validación oficial, como un sello o un certificado, la autoridad la practica también por vía electrónica.

Literal de la norma Como excepción a lo dispuesto en el apartado 1, las autoridades competentes aceptarán la información reglamentaria, incluida la información adicional, de conformidad con el Reglamento (UE) 2024/1157 a partir del 21 de mayo de 2026.

Art. 5.1 y 5.1 bis

Tratamiento solo desde acceso autorizado y autentificado Ciber

El requisito de control de acceso del Reglamento cabe en una línea y no admite matices: la plataforma tiene que ofrecer la funcionalidad que garantice que los datos solo puedan tratarse a partir de un acceso autorizado y autentificado. No hay versión reducida por tamaño de plataforma ni excepción por tipo de dato. El cómo llegó cinco años después, con las especificaciones del Reglamento de Ejecución (UE) 2025/2243, que exigen medios de identificación electrónica de nivel sustancial como mínimo y validación de la autorización en cada sesión.

Literal de la norma los datos puedan tratarse únicamente a partir de un acceso autorizado y autentificado;

Art. 9.1.f)

Registro de operaciones con autor, secuencia y valor original Ciber

La plataforma consigna en registros de operaciones todos los tratamientos de datos, de forma que se pueda identificar cada operación, quién la hizo y la secuencia de operaciones realizadas sobre cada elemento de dato concreto. La parte que distingue este requisito de un registro corriente es la última: si una operación modifica o elimina un elemento de dato, hay que conservar el elemento original. No es un registro de accesos, es un histórico versionado del dato. Esos registros se archivan y permanecen accesibles para las autoridades con fines de auditoría durante el plazo que fije la norma sectorial de la que venga la información, y con fines de seguimiento durante los plazos del artículo 17.

Literal de la norma se consignen debidamente en registros de operaciones todos los tratamientos de datos, a fin de permitir, como mínimo, la identificación de cada una de las operaciones de tratamiento, la persona física o jurídica que la realizó y la secuencia de operaciones realizadas con cada elemento de datos específico; si una operación implica la modificación o eliminación de un elemento de datos existente, se conservará el elemento de datos original;

Art. 9.1.g) e i)

Protección del dato frente a corrupción y robo Ciber

Ocho palabras que son el requisito de seguridad más amplio del Reglamento y el menos desarrollado en él. La plataforma tiene que garantizar que los datos estén protegidos contra la corrupción y el robo, sin que el artículo diga con qué mecanismos. El contenido concreto lo pusieron después los artículos 12 y 13 del Reglamento de Ejecución (UE) 2025/2243, que traducen la corrupción en seguridad del almacenamiento, copias, protección física y recuperación, y el robo en control de acceso, canales cifrados con certificados y almacenamiento bajo jurisdicción de la Unión.

Literal de la norma los datos estén protegidos contra la corrupción y el robo;

Art. 9.1.j)

Archivo y disponibilidad para la autoridad Ciber

La plataforma permite archivar los datos y que sigan accesibles para las autoridades competentes durante lo que exija la norma sectorial de la que procede cada requisito de información. El plazo no lo fija este Reglamento, lo hereda: puede ser distinto para un documento de transporte por carretera, para uno de mercancías peligrosas y para uno de traslado de residuos. El acto de ejecución lo articuló con un ciclo de estados del conjunto de datos del envío, que va de activo a inactivo, luego listo para su archivo y finalmente archivado, y con la regla de que en transporte por carretera el estado inactivo se prolonga el tiempo que exige el Reglamento (CE) n.o 1072/2009 para permitir los controles.

Literal de la norma puedan archivarse los datos y permanecer accesibles para las autoridades competentes de conformidad con los actos jurídicos pertinentes de la Unión y el Derecho nacional que establecen los requisitos correspondientes de la información reglamentaria;

Art. 9.1.h)

Enlace único de identificación electrónica del envío Ciber parcial

La plataforma permite establecer un enlace único de identificación electrónica entre un envío y sus elementos de datos, con referencia estructurada a la plataforma en la que están. El acto de ejecución de los procedimientos de acceso construyó sobre esa idea un registro de identificadores donde el operador carga el enlace junto con los datos que permiten recuperarlo, entre ellos un indicador de si se transportan mercancías peligrosas. El registro activa el enlace al cargarlo y lo desactiva y suprime cuando se cierra el envío, con la prórroga propia del transporte por carretera.

Literal de la norma pueda establecerse un enlace único de identificación electrónica entre un envío y los elementos de datos relacionados, incluida una referencia estructurada a la plataforma IETM en la que los datos se comunican, como por ejemplo un identificador de referencia único;

Art. 9.1.e) · RE (UE) 2024/1942, art. 11

Tratamiento de datos personales conforme al Reglamento general Ciber parcial

La plataforma proporciona funcionalidades que garanticen que los datos de carácter personal puedan tratarse conforme al Reglamento (UE) 2016/679. El acto de ejecución lo concreta en dos deberes de borrado: la información de los registros de autorizaciones y la de las operaciones de tratamiento que constituya datos personales se suprime en un plazo razonable tras expirar el período de conservación exigible. El Supervisor Europeo de Protección de Datos fue consultado y emitió dictamen el 8 de julio de 2025.

Literal de la norma los datos de carácter personal puedan tratarse de conformidad con el Reglamento (UE) 2016/679;

Art. 9.1.a) · considerando 21

Confidencialidad de la información comercial Ciber parcial

Las autoridades competentes, los proveedores de servicios IETM y los operadores económicos interesados toman medidas para garantizar la confidencialidad de la información comercial que se trate e intercambie, y para que solo sea accesible y tratable cuando se haya autorizado. La plataforma, por su parte, tiene que ofrecer la funcionalidad que permita cumplirlo. El acto de ejecución añade el límite por el lado de la autoridad: lo que se le entrega se ciñe a los requisitos de información especificados en su solicitud, y no al conjunto de datos completo del envío.

Literal de la norma Las autoridades competentes, los proveedores de servicios IETM y los operadores económicos interesados tomarán medidas para garantizar la confidencialidad de la información comercial tratada e intercambiada con arreglo al presente Reglamento y para que dicha información solo pueda ser accesible y tratada cuando se haya autorizado.

Art. 6 · art. 9.1.b)

Tratamiento solo por usuarios autorizados con derechos asignados Ciber

El proveedor de servicios garantiza que los datos sean tratados únicamente por usuarios autorizados y conforme a derechos de tratamiento claramente definidos y asignados dentro de la plataforma. Es el mismo principio del artículo 9, apartado 1, letra f), visto desde el otro lado del contrato: allí es una funcionalidad que la plataforma debe ofrecer, aquí es un resultado del que responde quien presta el servicio. La diferencia importa a la hora de repartir responsabilidades, porque un operador económico que contrata el servicio puede exigirlo al proveedor sin entrar en cómo está construida la plataforma.

Literal de la norma los datos sean tratados únicamente por usuarios autorizados y de conformidad con derechos de tratamiento claramente definidos y asignados dentro de la plataforma IETM, de conformidad con los requisitos pertinentes relativos a la información reglamentaria;

Art. 10.1.a)

Protección adecuada frente a tratamiento ilícito y pérdida Ciber

El proveedor garantiza que los datos estén adecuadamente protegidos, en particular contra tratamientos no autorizados o ilegales y contra pérdidas, destrucción o daños accidentales, y que se almacenen y permanezcan accesibles conforme a lo que exija la norma de la que venga cada requisito de información. Las dos mitades cubren confidencialidad y disponibilidad con el vocabulario clásico de la protección de datos, y son el único requisito de seguridad que el Reglamento impone al proveedor de servicios como tal, a diferencia de la lista larga que impone a la plataforma.

Literal de la norma los datos estén adecuadamente protegidos, en particular contra tratamientos no autorizados o ilegales y contra pérdidas, destrucción o daños accidentales.

Art. 10.1.b) y d)

Acceso inmediato y gratuito de la autoridad Ciber parcial

El proveedor de servicios garantiza que las autoridades competentes tengan acceso inmediato y sin tasas ni derechos a la información reglamentaria de una operación de transporte tratada en sus plataformas. La gratuidad no es un detalle administrativo: impide que el acceso de la autoridad dependa de un plan de servicio o de un cargo por consulta. La inmediatez tampoco es retórica, porque el circuito técnico del acto de ejecución le pone reloj.

Literal de la norma las autoridades competentes tengan un acceso inmediato y sin tasas ni derechos a la información reglamentaria relativa a una operación de transporte de mercancías tratada mediante sus plataformas IETM;

Art. 10.1.c) · RE (UE) 2024/1942, art. 6.2.f)

Acreditación e independencia del organismo que certifica

Los organismos que certifican se acreditan conforme al Reglamento (CE) n.o 765/2008 y cumplen los diez requisitos del anexo II: personalidad jurídica propia, independencia respecto de lo que evalúan, prohibición de que sus directivos o su personal evaluador sean diseñador, fabricante, proveedor, comprador, propietario, usuario o mantenedor de la plataforma evaluada, prohibición expresa de prestarles consultoría, competencia técnica y procedimientos reproducibles, retribución no ligada al número ni al resultado de las evaluaciones, seguro de responsabilidad y secreto profesional. Cada Estado designa una autoridad que mantiene y publica la lista de organismos acreditados, plataformas certificadas y proveedores certificados, y la notifica a la Comisión antes del 31 de marzo de cada año.

Literal de la norma Los organismos de evaluación de la conformidad se acreditarán de conformidad con el Reglamento (CE) n.o 765/2008 a efectos de realizar la certificación de plataformas y proveedores de servicios IETM, conforme a lo dispuesto en los artículos 12 y 13 del presente Reglamento.

Art. 11 · anexo II

Certificación de la plataforma y marca de certificación Ciber parcial

A petición del desarrollador, el organismo de evaluación acreditado comprueba si la plataforma cumple los requisitos del artículo 9, apartado 1, y expide certificado de conformidad si la evaluación es positiva, o comunica las razones si es negativa. El certificado obtenido en un Estado miembro vale en todos. La información que llega a la autoridad a través de una plataforma certificada va acompañada de una marca de certificación, que el acto de ejecución define como una referencia codificada que acredita la validez del estado de certificación y que se incrusta también en las copias legibles como texto que se enseñan en una inspección.

Literal de la norma Cuando lo solicite un desarrollador de plataformas IETM, los organismos de evaluación de la conformidad evaluarán si su plataforma IETM cumple los requisitos establecidos en el artículo 9, apartado 1. […]

Art. 12.1, 12.2 y 12.3

Certificación del proveedor de servicios Ciber parcial

A petición del proveedor de servicios IETM, un organismo de evaluación acreditado comprueba si cumple los requisitos del artículo 10, apartado 1, y expide certificado de conformidad si la evaluación es positiva. Cada organismo mantiene y publica en su sitio web la lista de proveedores certificados y de aquellos cuya certificación haya retirado o suspendido, y comunica esa dirección a la autoridad nacional designada. Es una certificación distinta de la de la plataforma: una empresa que desarrolle la plataforma y además preste el servicio necesita las dos.

Literal de la norma Cuando lo solicite un proveedor de servicios IETM, un organismo de evaluación de la conformidad evaluará si dicho proveedor de servicios IETM cumple los requisitos establecidos en el artículo 10, apartado 1. […]

Art. 13.1 y 13.2

Reevaluación cuando cambian las especificaciones técnicas Ciber parcial

El desarrollador de la plataforma solicita una reevaluación de su certificación cuando se revisen las especificaciones técnicas adoptadas en los actos de ejecución del artículo 9, apartado 2. La obligación es del desarrollador y no del organismo, y no está condicionada a que nadie se lo pida. Las especificaciones vigentes son las del Reglamento de Ejecución (UE) 2025/2243, cuyo considerando 11 anuncia que se elaborarán documentos de orientación técnica para acompañarlas, con participación del grupo de expertos del Foro de Transporte y Logística Digitales.

Literal de la norma El desarrollador de plataformas IETM solicitará una reevaluación de su certificación en caso de que se revisen las especificaciones técnicas adoptadas en los actos de ejecución a que se refiere el artículo 9, apartado 2.

Art. 12.4

Identidad electrónica de nivel sustancial para entrar Ciber

Es la traducción concreta del acceso autenticado, y llega con instrumento nombrado. Los usuarios incorporados se identifican y autentican con medios de identificación electrónica expedidos en el marco de un sistema que cumpla, como mínimo, los requisitos del nivel de seguridad sustancial del Reglamento eIDAS. Para el acceso de máquina a máquina, la plataforma mantiene un registro con la referencia de identificación del usuario profesional responsable del sistema que se conecta y los detalles de su clave de seguridad. Antes de admitir un sistema afluente, el operador de la plataforma verifica que ese sistema identifica y autentica a sus propios usuarios con los mismos medios y que controla su acceso contra un registro de autorizaciones. Y en cada sesión de inicio de sesión, la plataforma vuelve a comprobar identificación, autenticación y autorización antes de dejar tratar un solo dato.

Literal de la norma El sistema de identificación electrónica a que se refiere el apartado 2, letra a), inciso i), cumplirá, como mínimo, los requisitos establecidos en el artículo 8, apartado 2, letra b), del Reglamento (UE) n.o 910/2014. […]

RE (UE) 2025/2243, arts. 4.2, 4.3, 4.5 y 4.6

Registro de autorizaciones en componente separado Ciber

La autorización se lleva en registros donde cada usuario incorporado tiene un perfil identificado de forma unívoca, con sus derechos de tratamiento expresados como referencias a operaciones concretas, el período por el que se le conceden y los elementos de datos o grupos de elementos sobre los que puede ejercerlos. El perfil dice también si el usuario puede actuar como autorizador primario, que administra perfiles ajenos, o como autorizador temporal, que emite derechos a usuarios ocasionales. Dos requisitos de arquitectura que no suelen aparecer escritos en una norma: el registro de autorizaciones se establece y mantiene como un componente de TIC separado, dentro o fuera de la plataforma pero con comunicación segura si está fuera, y la incorporación de un autorizador primario exige verificar sus credenciales de tenedor de datos o de representante legal y conservar el registro de esa verificación para auditoría.

Literal de la norma Los registros de autorizaciones a que se refiere el apartado 1 se establecerán y mantendrán como un componente de TIC separado. […]

RE (UE) 2025/2243, arts. 5.1 a 5.4

Acceso temporal del usuario ocasional con doble factor Ciber

El transporte tiene actores que aparecen una vez y no vuelven, y la norma los resuelve sin abrir un agujero. El autorizador temporal registra las credenciales de acceso temporal del usuario no incorporado con sus datos de contacto, el identificador del conjunto de datos del envío al que accederá, los derechos concretos que se le dan y el período por el que valen. Le envía un enlace de acceso, y cuando el usuario lo utiliza entra mediante autenticación de doble factor y solo puede hacer las operaciones registradas. La sesión se cierra cuando el usuario avisa de que ha terminado o cuando expira el plazo, lo que ocurra antes.

Literal de la norma cuando un usuario no incorporado solicite acceso a la plataforma IETM, darle acceso a la plataforma IETM mediante autenticación de doble factor, y permitirle llevar a cabo operaciones de tratamiento basadas en los derechos de tratamiento que le correspondan, registrados de conformidad con la letra a);

RE (UE) 2025/2243, art. 5.5

Pista de auditoría por operación y por elemento de dato Ciber

La plataforma consigna cada operación que un usuario realiza sobre un conjunto de datos anotando, por cada elemento tratado, el identificador del conjunto, una identificación codificada ligada a la cuenta del usuario incorporado o la información de identificación aportada en el doble factor si es ocasional, la fecha y la hora, y el tipo de operación. Si la operación modifica o suprime el valor de un elemento, se mantiene también el valor original. Las operaciones registrables están tasadas: crear, editar, leer, descargar copia, firma del expedidor, del transportista y del destinatario, sello del transporte combinado estampado por la autoridad y archivar. En paralelo, la plataforma mantiene pistas de auditoría propias de cada solicitud de acceso de una autoridad, de la respuesta que dio y de la comunicación de seguimiento que reciba.

Literal de la norma el tipo de operación realizada, identificada de conformidad con los apartados 1 y 2; cuando la operación de tratamiento implique modificar o suprimir el valor de un elemento de datos, también se mantendrá el valor original del elemento de datos.

RE (UE) 2025/2243, arts. 3.c), 3.e), 9.5 y 9.7

Conservación para auditoría y borrado del dato personal Ciber

Los dos extremos del ciclo de vida, escritos juntos. Lo registrado en los registros de autorizaciones se conserva para auditoría al menos el mismo tiempo que deba mantenerse disponible el conjunto de datos sobre el que esos usuarios operaron, plazo que viene de la norma sectorial de origen a través del artículo 9, apartado 1, letra i), del Reglamento. Los datos del conjunto se guardan en un sistema de almacenamiento en línea y fácilmente accesible mientras el conjunto esté activo o inactivo. Y expirados esos plazos, la plataforma suprime en un plazo razonable toda la información que constituya datos personales, tanto la de los registros de autorizaciones como la de las operaciones.

Literal de la norma La información registrada en los registros de autorizaciones de conformidad con los apartados 1 a 5 se conservará a efectos de auditoría, como mínimo, durante el mismo período de tiempo durante el cual el eFTI CMDS respecto del cual los usuarios correspondientes hayan realizado operaciones de tratamiento deba mantenerse disponible, de conformidad con el Derecho nacional o de la Unión aplicable, con arreglo al artículo 9, apartado 1, letra i), del Reglamento (UE) 2020/1056.

RE (UE) 2025/2243, arts. 5.6, 5.7, 9.6 y 9.8

Canales con certificados de seguridad y validación de claves Ciber

Cada interconexión de la plataforma tiene su régimen. Con la puerta IETM, la plataforma mantiene un punto de acceso eDelivery, o el equivalente que haya definido el Estado miembro, y usa procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves o certificados de esa puerta. Los certificados de ese punto de acceso los expide, a través de una autoridad de certificación, el Estado miembro donde la plataforma obtuvo su certificado de conformidad, lo que ata la identidad técnica de la plataforma a su certificación. Con los sistemas afluentes y con otros sistemas externos que alberguen componentes de la propia plataforma, el mínimo es el mismo: puntos de acceso con claves o certificados válidos y procedimientos seguros de validación. Y el acceso de las autoridades se hace únicamente de máquina a máquina por conexión segura, nunca por la interfaz de usuario.

Literal de la norma Los puntos de acceso a que se refiere el apartado 1, letra a), utilizarán certificados de seguridad expedidos, a través de una autoridad de certificación, por el Estado miembro en el que la plataforma IETM haya recibido el certificado de conformidad a que se refiere el artículo 12, apartado 1, del Reglamento (UE) 2020/1056.

RE (UE) 2025/2243, art. 12 · art. 3.1

Seguridad del dato almacenado y jurisdicción de la Unión Ciber

Es el artículo con más trabajo de seguridad concentrado de todo el marco, y distingue según dónde se guarde el dato. Si el almacenamiento es físico y gestionado por el operador de la plataforma, hacen falta cuatro cosas: capacidad de almacenamiento suficiente, también para copias de seguridad; protección frente a daños físicos a las unidades, intencionados o accidentales, de origen humano o por catástrofe natural; recuperación de los datos en caso de daño; y políticas adecuadas de gestión de riesgos de seguridad de la información, con evaluaciones periódicas de vulnerabilidad y su seguimiento. Si el almacenamiento es en la nube, el espacio se compra a proveedores que cumplan las principales normas internacionales y las mejores prácticas de seguridad en la nube y protección de datos personales; el considerando 10 nombra ISO 27001, ISO 27017 e ISO 27701. Y en los dos casos, los datos se almacenan en la Unión o bajo la jurisdicción de la Unión o de los Estados miembros.

Literal de la norma medidas que apliquen políticas adecuadas de gestión de riesgos en materia de seguridad de la información, incluidas evaluaciones periódicas de la vulnerabilidad en materia de seguridad y su seguimiento; […] medidas para garantizar que los datos IETM se almacenen en la Unión o bajo la jurisdicción de la Unión o de los Estados miembros.

RE (UE) 2025/2243, art. 13 · art. 11

Protección de acceso desde dispositivo no controlado Ciber

El caso al que apunta es el del conductor que enseña el documento en el arcén desde un aparato prestado o compartido. Las interfaces de persona a máquina incluyen funciones de protección de acceso que impidan el acceso no autorizado a los datos y a las funcionalidades de la plataforma cuando el dispositivo desde el que entra el usuario no está bajo su control. Las copias legibles como texto que se descargan para enseñarlas en una inspección llevan además una referencia codificada legible mecánicamente de la marca de certificación de la plataforma y un sello con la fecha y la hora de la descarga, de modo que el agente pueda distinguir una copia auténtica y reciente de una capturada antes.

Literal de la norma Las interfaces de persona a máquina de las plataformas IETM incluirán funciones de protección de acceso para impedir el acceso no autorizado a los datos IETM y a las funcionalidades de la plataforma IETM cuando el dispositivo a través del cual el usuario profesional acceda a la plataforma IETM no esté bajo el control del usuario.

RE (UE) 2025/2243, art. 10.3 y 10.2

Aviso al operador de cada acceso de la autoridad Ciber parcial

La plataforma ofrece funcionalidades para que el usuario profesional con las autorizaciones adecuadas pida y reciba notificaciones, también como informes periódicos, sobre las solicitudes de acceso de las autoridades competentes y las comunicaciones de seguimiento asociadas, y sobre las operaciones que realicen otros usuarios profesionales cuando quien pregunta es el tenedor de los datos. La notificación lleva como mínimo la fecha y hora de la solicitud, el Estado miembro de la autoridad que la presentó y el identificador del conjunto de datos afectado. Antes de dejar tratar nada, la plataforma informa además al usuario con mensajes claros de que sus datos pueden ponerse automáticamente a disposición de las autoridades y de que se registra una pista de auditoría de lo que haga.

Literal de la norma Antes de permitir a un usuario profesional llevar a cabo operaciones de tratamiento de datos IETM, la plataforma le informará a través de mensajes claramente redactados de que, al tratar los datos en la plataforma IETM, el usuario consiente que: […]

RE (UE) 2025/2243, arts. 7 y 9.4

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 9.1.f) · art. 10.1.a) · RE (UE) 2025/2243, arts. 4, 5, 10.3 y 3.2.d) · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 9.1.g) e i) · art. 17 · RE (UE) 2025/2243, arts. 3.c), 3.e), 7, 9.5 y 5.6 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 9.1.g) y j) · art. 10.1.d) · art. 12.3 · RE (UE) 2025/2243, arts. 9.1, 9.5.e) y 10.2 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

RE (UE) 2025/2243, arts. 13.a).i), 13.a).iii), 9.6 y 11 · art. 10.1.c) · RE (UE) 2024/1942, art. 6.2.f) · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

RE (UE) 2025/2243, art. 13.a).iv) y 13.b) · considerando 10 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

RE (UE) 2025/2243, art. 13.a).iv) · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

RE (UE) 2025/2243, art. 13.a).ii) y 13.b) · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

RE (UE) 2025/2243, arts. 12.1, 12.2, 12.4, 1.19), 1.20) y 1.32) · art. 4.3 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

RE (UE) 2025/2243, arts. 3.1, 4.4, 4.5, 5.2, 6 y 12 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 4.2 · arts. 11 a 13 · anexo II · RE (UE) 2025/2243, art. 1.27 y art. 10.2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 4.2 · art. 10.1 · art. 13 · RE (UE) 2025/2243, art. 13.b) y 13.c) · considerando 10 · categorización del curador, no de la norma

Operador económico interesado

El transportista, el operador logístico o quien tenga que demostrar ante una autoridad que cumple los requisitos de información del transporte. Es el sujeto del Reglamento, y su posición es la más cómoda de todas: no está obligado a usar medios electrónicos, conserva el derecho a presentar la información en papel y, si elige lo electrónico, lo único que se le exige es hacerlo por una plataforma certificada y por una conexión autenticada y segura.

Literal de la norma todo operador de transporte o logística, o cualquier otra persona física o jurídica, que sea responsable de poner la información reglamentaria a disposición de las autoridades competentes, de conformidad con los requisitos pertinentes relativos a la información reglamentaria

Art. 3.14 · art. 4

Desarrollador de plataforma IETM

Quien crea o adquiere la plataforma, tanto si la usa para su propia actividad como si la comercializa. Es el destinatario de los requisitos funcionales del artículo 9, apartado 1, y el único legitimado para pedir la certificación de la plataforma ante un organismo de evaluación acreditado. Sobre él recae también el deber de pedir una reevaluación cuando se revisen las especificaciones técnicas del acto de ejecución.

Literal de la norma toda persona física o jurídica que haya creado o adquirido una plataforma IETM, ya sea con el fin de tratar información reglamentaria relativa a su propia actividad económica o para comercializar dicha plataforma

Art. 3.11 · art. 9.1 · art. 12

Operador de plataforma IETM

Figura que no está en el Reglamento sino en el acto de ejecución que lo desarrolla, y que separa a quien construyó la plataforma de quien responde de que funcione bien. Es el sujeto de las obligaciones más concretas de todo el marco: incorporar los sistemas de terceros que se conectan, garantizar la seguridad y la conservación de los datos almacenados y aplicar políticas de gestión de riesgos de seguridad de la información sobre el almacenamiento propio.

Literal de la norma persona física o jurídica considerada jurídicamente responsable del funcionamiento adecuado de una plataforma IETM

RE (UE) 2025/2243, art. 1.4 · arts. 4.5, 5.4 y 13

Proveedor de servicios IETM

Quien presta por contrato el servicio de tratamiento de información a los operadores económicos, sobre su propia plataforma o sobre la de otro. Tiene lista de requisitos propia, la del artículo 10, apartado 1, y certificación propia, la del artículo 13. Es la figura de externalización del marco: el operador económico que le confía sus datos le confía con ellos la prueba de que cumple los requisitos de información del transporte.

Literal de la norma toda persona física o jurídica que preste dicho servicio a los operadores económicos interesados en virtud de un contrato

Art. 3.13 · art. 10 · art. 13

Organismo de evaluación acreditado

El tercero que certifica. Se acredita conforme al Reglamento (CE) n.o 765/2008 y cumple los diez requisitos del anexo II, que son los clásicos de independencia, competencia técnica, imparcialidad retributiva, seguro de responsabilidad y secreto profesional. Certifica dos cosas distintas con dos procedimientos distintos: plataformas contra el artículo 9, apartado 1, y proveedores de servicios contra el artículo 10, apartado 1.

Literal de la norma cualquier organismo de evaluación de la conformidad en el sentido del Reglamento (CE) n.o 765/2008, que esté acreditado conforme a dicho Reglamento para realizar evaluaciones de conformidad de las plataformas IETM o de los proveedores de servicios IETM

Art. 3.17 · art. 11 · anexo II

Autoridad competente

Cualquier autoridad, agencia u organismo público que necesite acceder a la información reglamentaria para comprobar, aplicar, validar o supervisar el cumplimiento. Es quien recibe la obligación central del Reglamento, que es aceptar la información electrónica, y quien accede a las plataformas por el canal tasado: comunicación de máquina a máquina a través de una puerta IETM, nunca por la interfaz de usuario de la plataforma.

Literal de la norma toda autoridad, agencia u otro organismo público que cuente con competencias para realizar tareas con arreglo a los actos jurídicos que se indican en el artículo 2, apartado 1, y para las que sea necesario el acceso a información reglamentaria, como por ejemplo la comprobación, la aplicación, la validación o la supervisión del cumplimiento en el territorio de un Estado miembro

Art. 3.3 · art. 5 · RE (UE) 2025/2243, art. 3

Autoridad nacional designada

La autoridad que cada Estado miembro designa para mantener y publicar en un sitio web oficial la lista de organismos de evaluación acreditados, de plataformas certificadas y de proveedores de servicios certificados, y para notificarla a la Comisión antes del 31 de marzo de cada año. Es el único punto donde quien busque una plataforma certificada puede comprobar que lo está de verdad.

Art. 11.3 y 11.4

Usuario profesional

La persona que opera dentro de la plataforma en nombre del operador económico o de otro tenedor de datos. El acto de ejecución lo divide en dos según cómo entre: incorporado, con perfil e identificación electrónica propia, o no incorporado, con derechos temporales concedidos para un envío concreto y acceso por doble factor.

Literal de la norma persona física o jurídica que constituye un operador económico interesado, o está autorizada para representarlo, de conformidad con el Reglamento (UE) 2020/1056, u otro operador económico que constituye un tenedor de datos de conformidad con el punto 23, y que trata datos en una plataforma IETM en nombre de dicho operador económico interesado u otro tenedor de datos

RE (UE) 2025/2243, art. 1.6 · arts. 4 y 5

Autorizador primario

El usuario incorporado que puede crear, modificar y suprimir perfiles de otros usuarios, es decir, el administrador de permisos de la plataforma. Su incorporación tiene un control añadido que no tienen los demás: además de identificarse electrónicamente, hay que verificar sus credenciales de que es un tenedor de datos o su representante legal, y guardar el registro de esa verificación para auditoría.

Literal de la norma usuario profesional incorporado que está autorizado a modificar la información registrada en un perfil de usuario incorporado, incluida la creación o supresión de un perfil de usuario

RE (UE) 2025/2243, art. 1.24 · art. 5.4