No hay régimen sancionador. Es un reglamento de ejecución dirigido a los Estados miembros y a la Comisión, y ni tipifica infracciones ni prevé multas ni remite a un régimen nacional: sus treinta y seis artículos no contienen ninguna disposición sancionadora. Las consecuencias del incumplimiento llegan por otras vías. La primera es la protección de datos, porque los artículos 33 a 35 sitúan a la autoridad que solicita y a la que presenta como responsables del tratamiento bajo el Reglamento (UE) 2016/679, con el régimen de ese Reglamento detrás. La segunda es institucional, por la vía del incumplimiento del Derecho de la Unión frente al Estado miembro. Y la tercera, dentro del propio sistema, es operativa antes que jurídica: un componente que no supera las pruebas del artículo 31 no puede ponerse a disposición de los usuarios.

Este régimen no sustituye a ningún otro. Las pruebas que viajan por el sistema son datos personales y la autoridad que solicita y la que presenta actúan como responsables del tratamiento, así que una violación de seguridad que afecte a esos datos se notifica además por la vía del Reglamento (UE) 2016/679. En España, los componentes nacionales son sistemas de información de una administración pública y arrastran también el régimen de notificación que les corresponda por el Esquema Nacional de Seguridad y por la norma de transposición de NIS2.

Incidente que el punto de contacto único para el apoyo técnico considere importante, más cualquier medida temporal o permanente adoptada a raíz de él.

Plazo

La norma no fija plazo. La comunicación se hace por el panel de apoyo técnico, que existe precisamente para reaccionar con rapidez ante incidentes e interrupciones.

Desde cuándo corre

Desde que el punto de contacto único para el apoyo técnico conoce el incidente y lo califica de importante.

Art. 22.3.a) y b)

Actividad que pueda derivar en una violación de la seguridad de los sistemas electrónicos o que despierte sospechas de ello.

Plazo

La norma no fija plazo.

Desde cuándo corre

Desde que el punto de contacto único nacional detecta la actividad, aunque todavía no haya confirmado que sea una violación de la seguridad.

Art. 21.2.c)

Problemas detectados durante los controles periódicos de los componentes que puedan derivar en una violación de la seguridad del sistema o que despierten sospechas de ello.

Plazo

La norma no fija plazo. La información se cruza entre el punto de contacto de la Comisión y los nacionales a través del panel.

Desde cuándo corre

Desde el hallazgo en el control periódico del artículo 29.1.

Art. 29.2

Fallo técnico inesperado que deje indisponibles componentes nacionales del sistema, con indicación de cuándo se prevé que vuelvan a funcionar si se sabe.

Plazo

Sin demora.

Desde cuándo corre

Desde que se produce el fallo técnico inesperado.

Art. 27.4

Fallo técnico inesperado que deje indisponible uno o varios servicios comunes. Aquí quien informa es la Comisión y los destinatarios son los Estados.

Plazo

Sin demora.

Desde cuándo corre

Desde que se produce el fallo técnico inesperado en los servicios comunes.

Art. 27.5

Los demás puntos de contacto únicos para el apoyo técnico, nacionales y el de la Comisión, a través del panel de apoyo técnico. Los coordinadores nacionales y el presidente del grupo de coordinación de la pasarela tienen acceso al panel.

Cuándo

Ante cualquier incidente considerado importante, ante actividad sospechosa de violación de la seguridad y ante los hallazgos de los controles periódicos.

Art. 21.2.c) · art. 22.3 y 22.4 · art. 29.2

El coordinador nacional de la pasarela, como escalón superior cuando el problema no se resuelve entre puntos de contacto.

Cuándo

Cuando persisten las dudas sobre la legalidad de las solicitudes de pruebas de una autoridad de otro Estado tras revisarlas y pedir sus registros.

Art. 21.3.c)

El resto de Estados miembros y la Comisión.

Cuándo

Ante un fallo técnico inesperado que deje indisponibles componentes nacionales, y a la inversa cuando quien cae es un servicio común.

Art. 27.4 y 27.5

Autoridad que solicita pruebas

La autoridad competente responsable del procedimiento en línea. Explica el sistema al usuario, lo autentica con un medio de identificación electrónica notificado, recoge su petición expresa y emite la solicitud (art. 1, punto 3, arts. 9 a 14)

Autoridad que presenta pruebas

La autoridad que aporta legalmente la prueba. Recibe la solicitud por un punto de acceso de eDelivery, comprueba la correspondencia de identidades, ofrece la vista previa y devuelve la prueba solo si el usuario lo decide (art. 1, punto 2, art. 15 y art. 16)

Plataformas intermediarias

Soluciones técnicas que conectan a las autoridades con los servicios comunes o entre Estados. Soportan las mismas obligaciones de registro y de seguridad que la autoridad a la que sirven, y son encargadas del tratamiento cuando facilitan el espacio de vista previa (art. 1, punto 6, art. 17 y art. 35.2)

Estado miembro

Propietario y responsable de los componentes nacionales y de las interfaces y elementos de integración: desarrollo, disponibilidad, supervisión, actualización, mantenimiento, alojamiento y seguridad (art. 25 y art. 28.2)

Punto de contacto único nacional

Designado por cada Estado para el apoyo técnico. Investiga y resuelve interrupciones, posibles violaciones de la seguridad e incidentes, y avisa a sus homólogos de cualquier actividad sospechosa (art. 21)

Coordinador nacional de la pasarela

Gestiona los registros y los derechos de acceso en el directorio de servicios de datos y en el mediador de pruebas, y recoge el asunto cuando persisten las dudas sobre la legalidad de las solicitudes (art. 5.2, art. 21.3.c) y art. 22.4)

Comisión Europea

Propietaria de los servicios comunes y del panel de apoyo técnico, responsable de su seguridad, y titular del sistema de gestión de la administración que decide quién accede a ellos (art. 4.1, art. 24, art. 28.1 y art. 30)

Grupo de coordinación de la pasarela

Órgano de gobernanza formado por los coordinadores nacionales y presidido por la Comisión. Aprueba las modalidades operativas de sus subgrupos, entre ellas las de seguridad y los planes de gestión del riesgo, y fija el calendario de pruebas (art. 18, art. 19 y art. 31.1)

Exclusiones

Reglamento de Ejecución (UE) 2022/1463 de la Comisión, de 5 de agosto de 2022, por el que se establecen las especificaciones operativas y técnicas del sistema técnico para el intercambio automatizado transfronterizo de pruebas y la aplicación del principio de «solo una vez», de conformidad con el Reglamento (UE) 2018/1724 del Parlamento Europeo y del Consejo

Identificador

CELEX 32022R1463

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

La norma no es de ciberseguridad por objeto: describe cómo se monta un sistema europeo de intercambio de pruebas entre administraciones. Pero dedica una sección entera a la seguridad de sus componentes y esa parte sí es exigible por sí sola desde el 12 de diciembre de 2023, sin necesidad de ningún desarrollo posterior. Lo que pide es concreto: impedir el acceso no autorizado, impedir la introducción, consulta, modificación o supresión no autorizada de datos, detectar ambas cosas, registrar los eventos de seguridad conforme a normas internacionales reconocidas, comunicar al nivel de seguridad de eDelivery y garantizar que el origen de cada mensaje no pueda negarse. Lleva además un sistema de registro con retención de doce meses, un objetivo de disponibilidad, controles periódicos y un punto de contacto que investiga las violaciones de seguridad. Lo que la baja de nivel es el perímetro: alcanza los componentes del sistema, no los registros administrativos de los que sale la prueba, y no obliga a ninguna empresa.

Valoración del curador · nivel 3 de 5

Cada uno asegura los componentes que posee Ciber

El reparto que ordena toda la sección de seguridad. La Comisión garantiza la seguridad de los servicios comunes y de las interfaces y elementos de integración de los que es responsable; el Estado miembro, la de los componentes nacionales y de sus propias interfaces. No hay responsable único del sistema: hay tantos perímetros como propietarios, y la frontera entre ellos es el punto de acceso de eDelivery.

Art. 28.1 y 28.2

Las cuatro medidas mínimas: impedir, detectar y registrar Ciber

El suelo de seguridad, y está redactado como mínimo, no como catálogo cerrado. Cuatro cosas sobre los componentes de los que se es responsable: impedir que una persona no autorizada acceda a ellos, impedir que introduzca, consulte, modifique o suprima datos, detectar cualquiera de esas dos actividades, y garantizar el registro de los eventos de seguridad conforme a normas internacionales reconocidas en materia de seguridad para las tecnologías de la información. La norma no dice cuáles son esas normas internacionales, así que la elección y su justificación quedan del lado de quien las aplica.

Literal de la norma los Estados miembros y la Comisión adoptarán, como mínimo, las medidas necesarias para: a) impedir que toda persona no autorizada acceda a los componentes de los que sean responsables; b) impedir que toda persona no autorizada introduzca, consulte, modifique o suprima datos; c) detectar cualquiera de las actividades mencionadas en las letras a) y b), y d) garantizar el registro de los eventos de seguridad, de acuerdo con las normas internacionales reconocidas en materia de seguridad para las tecnologías de la información.

Art. 28.3

Comunicar al nivel de seguridad de eDelivery Ciber

Fija el listón de las comunicaciones y lo extiende más allá del tramo transfronterizo. No solo las conexiones de entrada y salida de los puntos de acceso de eDelivery, también todas las comunicaciones internas entre las distintas autoridades nacionales tienen que cumplir al menos el mismo nivel de requisitos de seguridad que el servicio de transmisión electrónica de eDelivery. La finalidad declarada son tres propiedades: la seguridad y la confidencialidad del intercambio, y la integridad de las pruebas transmitidas.

Literal de la norma las conexiones que gestionen la entrada y salida de los puntos de acceso de eDelivery y todas las comunicaciones internas entre las distintas autoridades nacionales cumplan al menos con el mismo nivel de requisitos de seguridad que el servicio de transmisión electrónica de eDelivery, con el fin de proteger la seguridad y confidencialidad del intercambio y la integridad de las pruebas transmitidas a través del STSUV

Art. 28.4.a)

El origen del mensaje no se puede negar Ciber

No repudio de origen sobre las tres piezas que viajan por el sistema: la solicitud de pruebas que sale del punto de acceso de quien las pide, la respuesta que sale del punto de acceso de quien las presenta y el mensaje de error. Es lo que permite reconstruir después quién pidió qué, y sostiene el mecanismo del artículo 21, apartado 3, cuando una autoridad duda de la legalidad de las solicitudes que recibe.

Literal de la norma no se deniegue el origen de la solicitud de pruebas transmitida desde el punto de acceso de la autoridad que las solicite, así como de la respuesta a la solicitud de pruebas intercambiada o del mensaje de error transmitido desde el punto de acceso de la autoridad que presente las pruebas

Art. 28.4.b)

Dónde cambia de manos la responsabilidad sobre la prueba Ciber

El punto exacto del traspaso, que es lo que suele faltar en los sistemas compartidos. El Estado de la autoridad que presenta la prueba responde de su calidad, confidencialidad, integridad y disponibilidad hasta que la prueba llega al punto de acceso de eDelivery de quien la pidió o de su plataforma intermediaria. Desde que llega ahí, el Estado de la autoridad solicitante responde de su confidencialidad y su integridad. La disponibilidad y la calidad no cruzan la frontera: se quedan del lado emisor.

Literal de la norma el Estado miembro de la autoridad que presente las pruebas será el responsable de la calidad, confidencialidad, integridad y disponibilidad de las pruebas solicitadas hasta que estas lleguen al punto de acceso de eDelivery de la autoridad que las solicite o de la plataforma intermediaria, según proceda

Art. 28.5

Proteger los propios registros Ciber

Los registros del sistema son a su vez un activo a proteger, y la norma lo dice aparte para que no se lea como una consecuencia automática de la medida anterior. Cada uno garantiza la confidencialidad, la integridad y la disponibilidad de sus propios registros con medidas de seguridad apropiadas y proporcionadas. Sin esto, la traza que sostiene las auditorías y la investigación de un incidente sería alterable por quien la genera.

Literal de la norma Los Estados miembros y la Comisión garantizarán la confidencialidad, la integridad y la disponibilidad de los registros contemplados en el artículo 17, apartados 1, 2 y 3, a través de medidas de seguridad apropiadas y proporcionadas, cada uno de ellos respecto a sus registros respectivos.

Art. 28.6

Controles periódicos de los componentes Ciber

Los Estados y la Comisión llevan a cabo controles periódicos de los componentes de los que son responsables. La norma no fija frecuencia, ni alcance, ni quién los ejecuta, ni exige independencia: es una obligación de vigilancia continua cuyo detalle queda del lado de cada responsable. Lo que sí concreta es qué se hace con el hallazgo, que va al panel de apoyo técnico si puede derivar en una violación de la seguridad.

Art. 29.1

Avisarse entre Estados de lo que aparece en los controles Ciber

Los puntos de contacto únicos para el apoyo técnico se informan mutuamente, por el panel, de los problemas detectados en los controles que puedan derivar en una violación de la seguridad del sistema o que despierten sospechas de ello. La misma lógica de aviso temprano aparece en el artículo 21, apartado 2, letra c), referida a cualquier actividad sospechosa, no solo a la detectada en un control. El umbral es bajo a propósito: se avisa de la sospecha, no de la violación confirmada.

Art. 29.2 · art. 21.2.c)

Sistema de gestión de la administración de los servicios comunes Ciber

La Comisión establece un sistema que gestiona las normas de autenticación y autorización aplicables a la validación de los datos de identificación para conceder acceso a los servicios comunes y al panel de apoyo técnico. Es el control de acceso del lado de la Unión, y su contrapartida nacional es la gestión de derechos de acceso de los artículos 5 y 6, que ejercen los coordinadores nacionales sobre quién puede registrar y modificar información en el directorio de servicios de datos y en el mediador de pruebas.

Art. 30

Registrar cada solicitud, cada respuesta y cada decisión del usuario Ciber

El sistema de registro es obligatorio y tasado. De cada solicitud se registran la solicitud completa del artículo 13, apartado 1, la información de la respuesta salvo la prueba misma o el informe de error, y los datos de eventos de eDelivery del intercambio, la respuesta y los informes de error. De cada prueba intercambiada se registra además qué decidió el usuario tras la vista previa, incluido el caso de que abandonara el espacio de vista previa o el portal sin decidir nada. La Comisión registra por su parte todas las interacciones con los servicios comunes. La prueba en sí no se guarda en el registro.

Art. 17.1, 17.2 y 17.3

Doce meses de conservación, o más si lo manda el Derecho nacional Ciber

Los registros se conservan doce meses. El plazo es un suelo y no un techo: la norma deja expresamente a salvo los períodos más largos que imponga el Derecho nacional, para el sistema o para otros fines. Doce meses es también la ventana real de investigación de un incidente, y define hasta dónde se puede reconstruir un intercambio sospechoso.

Literal de la norma Sin perjuicio de que el Derecho nacional imponga períodos de conservación más prolongados respecto a los registros mencionados en los apartados 1, 2 y 3 a efectos del STSUV o para otros fines, la Comisión y las autoridades que solicitan pruebas, las autoridades que presentan pruebas o las plataformas intermediarias, según proceda, conservarán dichos registros durante 12 meses.

Art. 17.4

Entregar los registros para auditorías y controles aleatorios Ciber

Las autoridades y las plataformas se facilitan mutuamente sus registros, previa petición y a través del panel de apoyo técnico, en tres supuestos: cuando se sospecha que ha habido incidentes, cuando se pretende realizar auditorías y cuando se pretenden hacer controles de seguridad aleatorios dentro del propio ámbito de responsabilidad. Los Estados y la Comisión hacen lo mismo con los registros de los servicios comunes. El registro no es solo traza propia: es material que otro Estado puede pedir.

Art. 17.5

Desplegar los nodos eIDAS y los puntos de acceso de eDelivery Ciber parcial

Los Estados garantizan que las autoridades que solicitan pruebas estén conectadas a un nodo eIDAS, directamente o a través de una plataforma intermediaria, y que los puntos de acceso de eDelivery se instalen, configuren e integren en los portales de procedimientos, en los servicios de datos y en las plataformas intermediarias. El número de puntos de acceso lo elige cada Estado: uno solo que canalice todos los mensajes, o varios por nivel jerárquico, ámbito sectorial o territorio.

Art. 3

Solo se conecta quien debe, y se comprueba periódicamente Ciber

Control de acceso a nivel de sistema. Los Estados garantizan que solo las autoridades que solicitan pruebas estén conectadas a los servicios comunes, directamente o a través de plataformas intermediarias, y que únicamente las autoridades que solicitan y las que presentan pruebas puedan utilizar el sistema. Y comprueban periódicamente el funcionamiento de esas conexiones. Es la frontera que impide que el sistema se use desde fuera del círculo de autoridades competentes.

Literal de la norma Los Estados miembros se asegurarán de que solo las autoridades que soliciten pruebas estén conectadas, directamente o a través de plataformas intermediarias, a los servicios comunes y de que únicamente las autoridades que soliciten y presenten pruebas puedan utilizar el STSUV.

Art. 4.2 y 4.3

Nivel de seguridad exigible por tipo de prueba Ciber

Cada tipo de prueba registrado en el directorio de servicios de datos va acompañado del nivel de seguridad de los medios de identificación electrónica notificados conforme al Reglamento (UE) n.º 910/2014 y, cuando proceda, de los atributos adicionales necesarios para identificar a la autoridad que la presenta. Con un tope que es garantía para el usuario y no para el sistema: el nivel exigido a los usuarios transfronterizos no puede superar el que se exige a los usuarios que no lo son.

Art. 5.3 y 5.5

Autenticar al usuario con identificación electrónica notificada Ciber

La autoridad que solicita pruebas autentica al usuario con medios de identificación electrónica expedidos mediante un sistema notificado conforme al Reglamento (UE) n.º 910/2014, actúe el usuario en su propio nombre o a través de representante. Antes de seguir, le informa de los atributos adicionales que va a facilitar y de que va a ser redirigido a la autoridad que presenta la prueba para acceder a la vista previa.

Art. 11.1 y 11.2

Sin correspondencia de identidad no hay intercambio Ciber

El control que decide si la prueba sale. La autoridad que presenta la prueba, o la plataforma intermediaria, solo la intercambia si los atributos de identidad del usuario y, cuando proceda, del representante, más los atributos adicionales que el usuario haya facilitado, se corresponden con los que obran en su poder. Si no hay coincidencia, o si la búsqueda devuelve más de un resultado, no hay vista previa y no hay intercambio: se envía un mensaje de error a quien pidió la prueba y un mensaje automático al usuario. Puede además pedirle que vuelva a identificarse y a autenticarse aportando atributos adicionales.

Literal de la norma velarán por que solo se intercambien las pruebas a través del STSUV, si se corresponden con los atributos que obren en su poder los atributos siguientes: los atributos de identidad del usuario (y del representante, cuando proceda) que se hayan intercambiado utilizando los medios de identificación electrónica contemplados en el artículo 11, apartado 1, y los atributos adicionales mencionados en el artículo 11, apartado 2, letra a)

Art. 16

Qué lleva la solicitud, y qué se separa de qué Ciber parcial

La solicitud de pruebas lleva once elementos tasados: identificador único, tipo de prueba, fecha y hora de la petición expresa, procedimiento para el que se pide, nombre y metadatos de quien la pide y de la plataforma intermediaria, los atributos del usuario o del usuario y su representante, el nivel de seguridad del medio de identificación empleado, los atributos adicionales aportados, la identificación de la autoridad que presenta la prueba tal como consta en el directorio, y dos indicadores sobre si hacía falta petición expresa y si hacía falta vista previa.

Art. 13

Petición expresa del usuario y vista previa antes del intercambio Ciber parcial

El usuario se manifiesta dos veces. Primero recibe la explicación de qué es el sistema, de que su uso es voluntario, de que podrá ver las pruebas antes de decidir y de que puede actuar por representante, más el nombre de las autoridades que van a presentar la prueba y los tipos de prueba o campos de datos que se van a intercambiar, y presenta su petición expresa. Después es redirigido al espacio de vista previa, donde indica qué pruebas quiere ver y cuáles devolver a quien las pidió. La vista previa decae en los procedimientos en que el Derecho de la Unión o nacional permite el intercambio automatizado sin ella.

Art. 9 · art. 12 · art. 14 · art. 15.1.b)

Disponibilidad continua con objetivo declarado Ciber

El sistema funciona las veinticuatro horas del día los siete días de la semana, con un índice de disponibilidad de al menos el 98 % para los puntos de acceso de eDelivery, los espacios de vista previa y los servicios comunes, descontado el mantenimiento programado. Para el resto de componentes no hay cifra en la norma: su objetivo se fija en los acuerdos de nivel de servicio que elabora el subgrupo de gobernanza operativa.

Literal de la norma El horario de funcionamiento del STSUV será las veinticuatro horas del día los siete días de la semana, con un índice de disponibilidad de los puntos de acceso de eDelivery, los espacios de vista previa y los servicios comunes de al menos el 98 %, a excepción del mantenimiento que se programe con arreglo al apartado 2 del presente artículo.

Art. 27.1

Preavisar el mantenimiento y avisar de la caída Ciber

El mantenimiento programado se comunica con antelación escalonada según lo que vaya a durar la indisponibilidad: cinco días hábiles hasta cuatro horas, diez días hábiles hasta doce horas y treinta días hábiles para el mantenimiento de la infraestructura de la sala de ordenadores que pueda dejar el sistema caído hasta seis días al año. En la medida de lo posible se planifica fuera del horario laboral. Los períodos de mantenimiento semanal fijos se comunican una vez y no cada vez. Y ante un fallo técnico inesperado se avisa sin demora, con la fecha prevista de vuelta si se conoce. Todo va por el panel de apoyo técnico.

Art. 27.2 a 27.6

Punto de contacto único nacional para el apoyo técnico Ciber

Cada Estado designa un punto de contacto único que garantiza el funcionamiento y el mantenimiento de sus componentes. Sus tareas incluyen investigar y resolver cualquier posible interrupción de los puntos de acceso de eDelivery, las posibles violaciones de la seguridad y los demás incidentes, e informar a los demás puntos de contacto de cualquier actividad que pueda derivar en una violación de la seguridad o que despierte sospechas. Y una exigencia de capacidad que suele quedarse en el papel: estar organizado para desempeñar sus tareas en cualquier circunstancia y reaccionar con poca antelación.

Art. 21.1, 21.2 y 21.4

Qué hacer cuando se duda de la legalidad de una solicitud Ciber

El procedimiento contra el uso indebido del sistema, y es lo más parecido a una defensa frente a un abuso desde dentro. Cuando una autoridad que presenta pruebas comunica que duda de la legalidad de una o varias solicitudes, su punto de contacto revisa esas solicitudes o muestras de las transmitidas en el pasado por la misma autoridad solicitante, pide por el panel al punto de contacto del Estado de esa autoridad los registros de los intercambios seleccionados, y si el problema persiste lo pone en conocimiento del coordinador nacional.

Art. 21.3

Planes de gestión del riesgo del sistema Ciber

La seguridad del sistema es materia expresa de uno de los subgrupos del grupo de coordinación de la pasarela, y en particular la elaboración de planes de gestión del riesgo para detectar riesgos, evaluar su posible impacto y planificar respuestas técnicas y organizativas adecuadas en caso de incidente. El subgrupo propone, el grupo de coordinación aprueba o rechaza, y lo aprobado entra en los documentos de diseño técnico. Las normas que se propongan para la interoperabilidad se ajustan a las normas internacionales siempre que sea posible.

Art. 19.1.e)

Nada se abre a los usuarios sin superar las pruebas Ciber

Una puerta dura y poco frecuente en normas de este tipo. Los Estados y la Comisión adoptan en el grupo de coordinación un calendario de pruebas y un conjunto de indicadores con los que medir si el resultado es positivo, la Comisión facilita servicios de prueba de conformidad, y solo se ponen a disposición de los usuarios los componentes que han obtenido resultados positivos. Es la única consecuencia automática del incumplimiento que la norma contiene.

Literal de la norma Únicamente se pondrán a disposición de los usuarios aquellos componentes del STSUV respecto a los cuales se hayan obtenido resultados positivos en las pruebas.

Art. 31

Quién es responsable y quién encargado del tratamiento Ciber parcial

Las autoridades competentes que solicitan y que presentan pruebas actúan como responsables del tratamiento en el sentido del Reglamento (UE) 2016/679, respecto de los datos personales que recogen las pruebas intercambiadas y que están presentes en los componentes que poseen. Cuando una plataforma intermediaria facilita el espacio de vista previa, se considera que actúa como encargada del tratamiento por cuenta de la autoridad que presenta la prueba.

Art. 33 · art. 35.2

La solicitud tiene que ser legal y necesaria Ciber parcial

La autoridad que solicita la prueba, o la plataforma intermediaria, es la única responsable de la integridad y la legalidad de cada solicitud, y en particular de que la prueba sea necesaria para el procedimiento concreto para el que el usuario la ha pedido. Una vez recibida la prueba, debe garantizarle el mismo nivel de protección que tendría si el propio usuario la hubiera presentado o cargado sin pasar por el sistema.

Literal de la norma La autoridad que solicite pruebas o la plataforma intermediaria en cuestión, según proceda, será la única responsable de la integridad y legalidad de la solicitud de pruebas respecto a cada intercambio de pruebas realizado a través del STSUV. La autoridad que solicite pruebas se asegurará, en particular, de que las pruebas sean necesarias para el procedimiento concreto para el cual hayan sido solicitadas por un usuario.

Art. 34

Comprobar que el usuario tiene derecho a usar la prueba Ciber

La autoridad que presenta la prueba, o la plataforma intermediaria, es la única responsable de verificar dos cosas antes de que la prueba salga: que existe correspondencia entre el usuario y las pruebas solicitadas que obran en su poder, y que el usuario tiene derecho a utilizar esas pruebas. Lo segundo es autorización, no identificación, y no lo cubre el proceso de correspondencia del artículo 16: son dos comprobaciones distintas en la misma frase.

Art. 35.1

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 4.3 · art. 5.3 y 5.5 · art. 11.1 · art. 28.3.a) y b) · art. 30 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 17 · art. 28.3.c) y d) · art. 28.6 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 28.4.a) y b) · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 28.3.b) · art. 28.4 · art. 28.5 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Art. 3.2 y 3.3 · art. 4.3 · art. 28.4.a) · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Art. 29.1 · art. 31 · art. 17.5 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 19.1.e) · art. 18, letra f) · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 21 · art. 22 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 21.2.c) · art. 22.3 · art. 27.4 y 27.5 · art. 29.2 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 27 · art. 19.1.d) · categorización del curador, no de la norma

Autoridad que solicita pruebas

La autoridad competente responsable de uno o varios de los procedimientos en línea que el sistema cubre. Es quien autentica al usuario con un medio de identificación electrónica notificado, le explica qué es el sistema, recoge su petición expresa y emite la solicitud de pruebas hacia otro Estado. Responde de la integridad y la legalidad de esa solicitud, y de la confidencialidad e integridad de la prueba desde que llega a su punto de acceso de eDelivery.

Literal de la norma autoridad competente responsable de uno o varios de los procedimientos contemplados en el artículo 14, apartado 1, del Reglamento (UE) 2018/1724

Art. 1, punto 3 · art. 34

Autoridad que presenta pruebas

La autoridad competente que aporta legalmente la prueba, estructurada o desestructurada. Comprueba que los atributos de identidad del usuario se corresponden con los que obran en su poder, ofrece el espacio de vista previa y devuelve la prueba solo si el usuario lo decide. Su Estado responde de la calidad, la confidencialidad, la integridad y la disponibilidad de la prueba hasta que llega al punto de acceso de quien la pidió.

Literal de la norma autoridad competente conforme a lo dispuesto en el artículo 14, apartado 2, del Reglamento (UE) 2018/1724, que aporte legalmente pruebas, ya sean estructuradas o desestructuradas

Art. 1, punto 2 · art. 15 · art. 28.5 · art. 35

Plataforma intermediaria

La solución técnica que conecta a las autoridades con los servicios comunes o con las autoridades de otros Estados, actuando por iniciativa propia o en representación de ellas. No es un papel menor: soporta las mismas obligaciones de registro y de seguridad que la autoridad a la que sirve, y cuando facilita el espacio de vista previa se considera encargada del tratamiento por cuenta de la autoridad que presenta la prueba.

Literal de la norma solución técnica que actúe por iniciativa propia o en representación de otras entidades, como las autoridades que solicitan o presentan pruebas, en función de la organización administrativa de los Estados miembros en los que opere la plataforma

Art. 1, punto 6 · art. 35.2

Estado miembro

El propietario y responsable de los componentes nacionales del sistema: portales de procedimientos, servicios de datos, plataformas intermediarias, espacios de vista previa, registros y servicios nacionales, nodos eIDAS, puntos de acceso de eDelivery y las interfaces y elementos de integración que los unen. Responde de su desarrollo, disponibilidad, supervisión, actualización, mantenimiento, alojamiento y seguridad.

Art. 25 · art. 28.2

Punto de contacto único nacional

El órgano que cada Estado designa para garantizar el funcionamiento y el mantenimiento de sus componentes. Es la figura operativa de seguridad de la norma: investiga y resuelve las interrupciones, las posibles violaciones de la seguridad y los demás incidentes, avisa a sus homólogos de cualquier actividad sospechosa, y revisa las solicitudes cuando una autoridad duda de su legalidad. Tiene que estar organizado para actuar en cualquier circunstancia y reaccionar con poca antelación.

Art. 21

Coordinador nacional de la pasarela

El coordinador que cada Estado nombra bajo el Reglamento (UE) 2018/1724 y que aquí aparece como escalón superior: gestiona los registros y derechos de acceso en el directorio de servicios de datos y en el mediador de pruebas, tiene acceso al panel de apoyo técnico y recibe el asunto cuando persisten las dudas sobre la legalidad de las solicitudes de otro Estado.

Art. 5.2 · art. 21.3.c) · art. 22.4 · art. 28 del Reglamento (UE) 2018/1724

Comisión Europea

Propietaria de los servicios comunes y del panel de apoyo técnico, y responsable de su desarrollo, disponibilidad, supervisión, actualización, mantenimiento, alojamiento y seguridad. Designa su propio punto de contacto único para el apoyo técnico y establece el sistema de gestión de la administración que gobierna la autenticación y la autorización de acceso a los servicios comunes.

Art. 24 · art. 28.1 · art. 20 · art. 30

Grupo de coordinación de la pasarela

El órgano de gobernanza del sistema, compuesto por un coordinador nacional de cada Estado y presidido por la Comisión. Supervisa la creación y puesta en funcionamiento del sistema, aprueba las modalidades operativas de sus subgrupos y fija el calendario de pruebas. Uno de esos subgrupos tiene por materia la seguridad, y en particular la elaboración de los planes de gestión del riesgo.

Art. 18 · art. 19 · art. 31.1