El Reglamento no fija cuantías ni tipos infractores: encarga a los Estados miembros establecer el régimen de sanciones aplicable a cualquier infracción y adoptar las medidas necesarias para garantizar su ejecución, con la fórmula habitual de que sean efectivas, proporcionadas y disuasorias. Lo hace además sin perjuicio de las obligaciones que a los Estados les impone la Directiva 2008/99/CE, de protección del medio ambiente mediante el Derecho penal.

Ninguno de los dos actos establece régimen de notificación de incidentes, y la ausencia es completa: no hay supuesto notificable, ni plazo, ni destinatario, ni equipo de respuesta, ni obligación de avisar a los demás participantes en un traslado cuando el sistema falla o se ve comprometido. Lo más cercano es de otra naturaleza: el acto de ejecución obliga a que los sistemas exhiban de forma clara los días que quedan para actuar y los transcurridos desde que un plazo venció, lo que hace visible una parálisis pero no la notifica a nadie. Si un incidente de seguridad afecta a datos personales, la obligación de notificar nace del Reglamento general de protección de datos y no de aquí.

Traslado sujeto a notificación previa

Los traslados de residuos destinados a la eliminación y los de residuos peligrosos y otros determinados destinados a la valorización siguen el procedimiento de notificación y autorización previas por escrito, y todo su expediente viaja por medios electrónicos (art. 4, apartados 1 a 3, y art. 27.1.a)

Traslado del régimen del anexo VII

Los traslados sujetos únicamente a requisitos de información general, de residuos de la llamada lista verde, no se notifican pero también se tramitan por el sistema: la información, la documentación, la confirmación de recepción y los certificados van por la misma vía (art. 4, apartados 4 y 5, art. 18 y art. 27.1.b)

Exportación, importación y tránsito

El régimen electrónico alcanza igualmente a los traslados dentro de la Unión con tránsito por terceros países, a la exportación desde la Unión, a la importación y al tránsito por la Unión, y para ellos el nodo del sistema central sirve además de punto de conexión de aduanas y de operadores de terceros países (art. 27.1.c) y art. 27.3)

Notificantes

Presentan la notificación y toda la documentación asociada, autentican el documento de notificación y el de movimiento y las solicitudes de modificación, y conservan en la Unión durante cinco años lo presentado e intercambiado. Es la figura con más peso en el expediente electrónico (art. 5, art. 20.1 y art. 14.1.a) del acto de ejecución)

Quien organiza un traslado del anexo VII

En el régimen de información general no hay notificación, pero sí documento: presenta y autentica el documento del anexo VII, autentica la entrega al transportista y conserva cinco años la información en la Unión (art. 18, art. 20.2 y art. 14.1.d) del acto de ejecución)

Transportistas

Autentican la recepción de los residuos que transportan y tienen un acceso deliberadamente estrecho: solo los documentos en los que figuran como transportista, y los del anexo VII solo después de que la persona que organiza el traslado los haya autenticado (art. 14.1.f) y art. 18.4 del acto de ejecución)

Destinatarios e instalaciones

Autentican la recepción de los residuos, presentan los certificados de valorización o eliminación que cierran el expediente y conservan en la Unión durante cinco años, plazo que corre precisamente desde ese certificado (art. 20, art. 14.1.c), e) y g) del acto de ejecución)

Sitio web del sistema central

La vía por defecto para quien no tiene sistema propio. La Comisión mantiene un sitio web como parte del sistema central que sirve para preparar y tratar la información de cualquiera de los regímenes, y por él pueden operar autoridades, autoridades de inspección y operadores de la Unión y de terceros países (art. 27.3, párrafo tercero)

Programa propio conectado por API

El caso que trae esta norma al observatorio. El operador puede acceder por interfaz de programación con un programa informático propio si ese programa cumple las disposiciones del acto de ejecución y si la autoridad competente lo ha indicado en su declaración. Al elegir esta vía, ese programa queda sujeto a las exigencias de seguridad, confidencialidad, gobernanza de datos, registros de auditoría y conservación (art. 5.4 y arts. 21 a 23 del acto de ejecución)

Sistema local de la autoridad

Los Estados pueden explotar sistemas propios interoperables con el sistema central. Si una autoridad declara que sus operadores accederán por ahí, esos operadores entran por la interfaz gráfica hasta que la autoridad supere las pruebas de interoperabilidad, y desde entonces por el sistema local (art. 27.4 del Reglamento y arts. 4 y 11 del acto de ejecución)

Autoridades competentes y de inspección

Las competentes autorizan y objetan, declaran la vía de acceso y pueden explotar sistema local; las de inspección tienen acceso a todos los datos de cualquier traslado y pueden almacenar los pertinentes para el control del cumplimiento, incluidos procesos penales (arts. 4, 11, 18.5 y 18.6 del acto de ejecución)

Comisión Europea

Gestiona el sistema central, que es a la vez nodo de intercambio en tiempo real y sitio web de uso directo, publica las modalidades de acceso de cada autoridad y examina la funcionalidad del sistema cada dos años (art. 27.3 y 27.6 del Reglamento y art. 27 del acto de ejecución)

Exclusiones

Reglamento (UE) 2024/1157 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, relativo a los traslados de residuos, por el que se modifican los Reglamentos (UE) n.o 1257/2013 y (UE) 2020/1056, y se deroga el Reglamento (CE) n.o 1013/2006

Identificador

CELEX 32024R1157

Fuente

EUR-Lex · Texto consolidado 02024R1157 y Reglamento de Ejecución (UE) 2025/1290 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Conviene dar la proporción antes que nada. El Reglamento base tiene ochenta y seis artículos y trece anexos sobre residuos, y la palabra ciberseguridad no aparece en él ni una sola vez. En el acto de ejecución que lo desarrolla aparece exactamente una vez, en un artículo de una sola frase. Quien busque aquí un catálogo de controles, un régimen de incidentes, gestión de vulnerabilidades, cifrado, continuidad o un equipo de respuesta no va a encontrar nada de eso. Lo que impide quedarse en el nivel 1 son tres cosas concretas. La primera es que el intercambio electrónico no es una opción: desde el 21 de mayo de 2026 las notificaciones y los documentos de traslado se presentan e intercambian por medios electrónicos, y el papel deja de ser una vía alternativa. La segunda es a quién alcanza la exigencia de seguridad: el acto de ejecución define programa informático como cualquiera que se conecte al sistema central por interfaz de programación, de modo que el artículo que exige un nivel adecuado de seguridad durante todo el ciclo de vida obliga también al programa que se construya el propio operador. La tercera es que alrededor de esa frase hay controles reconocibles y escritos con detalle: cuenta personal por usuario con separación entre usuarios principales y estándar, una matriz de acceso por función que decide qué ve cada figura del traslado, registros de auditoría que todo sistema debe mantener y entregar a la autoridad, conservación de las versiones y de todos los cambios desde la presentación inicial, y conservación de la información dentro de la Unión durante cinco años. Lo que impide subir es que la exigencia de seguridad se agota en la fórmula «nivel adecuado», sin línea de base, sin norma técnica que la concrete, sin evaluación de conformidad y sin consecuencia sancionadora identificable cuando lo que falla es la seguridad del sistema.

Valoración del curador · nivel 2 de 5

Tramitar el traslado por medios electrónicos Ciber parcial

Desde el 21 de mayo de 2026, la información y los documentos del traslado se presentan e intercambian por medios electrónicos, a través del nodo del sistema central que gestiona la Comisión o a través de otros sistemas o programas informáticos interoperables. La lista de lo que va por esa vía está tasada y es larga: en los traslados notificados abarca la notificación, las solicitudes de información y documentación, las decisiones de autorización y su retirada, las condiciones, las objeciones, las confirmaciones de recepción, los certificados de valorización o eliminación, la información previa al inicio del traslado y los cambios posteriores; en el régimen del anexo VII, la información, documentación, confirmación y certificados del artículo 18; y en exportación, importación y tránsito, lo que corresponda a cada título. El papel deja de ser una vía alternativa.

Literal de la norma La información y documentos que figuran a continuación se presentarán e intercambiarán por medios electrónicos, a través del nodo del sistema central a que se refiere el apartado 3 o a través de otros sistemas o programas informáticos interoperables disponibles de conformidad con el apartado 4: […]

Art. 27.1 y 27.3

Conservar la información en la Unión durante cinco años Ciber parcial

Las autoridades competentes, el notificante, el destinatario y la instalación que recibe los residuos conservan en la Unión toda la información y los documentos presentados o intercambiados en relación con traslados notificados, durante un plazo mínimo de cinco años contados desde la fecha en que se expida el certificado de valorización o eliminación. En las notificaciones generales el plazo corre desde el último certificado. En el régimen del anexo VII el plazo es el mismo, y obliga a la persona que organiza el traslado, al destinatario y a la instalación receptora. Para los traslados ilícitos, las autoridades competentes conservan cinco años desde que se completa la retirada o la valorización o eliminación alternativas.

Literal de la norma Las autoridades competentes, el notificante, el destinatario y la instalación que recibe los residuos conservarán en la Unión toda la información y los documentos presentados o intercambiados en relación con traslados notificados durante un plazo mínimo de cinco años a partir de la fecha en la que se expida el certificado de conformidad con el artículo 15, apartado 4, o el artículo 16, apartado 6.

Art. 20

Diseñar el sistema con un nivel adecuado de seguridad Ciber

Es el artículo por el que esta norma entra en el observatorio, y cabe en una frase: los sistemas y programas informáticos se diseñan y desarrollan de modo que alcancen un nivel adecuado de seguridad, en particular ciberseguridad, y funcionen de manera uniforme en esos sentidos durante todo su ciclo de vida. Tres precisiones sacan de la frase más de lo que aparenta. La primera es a quién obliga: sistemas son el central y los locales de las autoridades, y programa informático es cualquiera que se conecte al sistema central por interfaz de programación, con lo que el desarrollo propio de un operador queda dentro. La segunda es el momento: no es una comprobación previa a conectarse, es una exigencia de diseño y de desarrollo que además debe sostenerse durante todo el ciclo de vida. La tercera es el listón, y aquí conviene no adornar nada: nivel adecuado, sin línea de base, sin norma técnica que lo concrete y sin evaluación de conformidad que lo verifique.

Literal de la norma Los sistemas y programas informáticos se diseñarán y desarrollarán de modo que alcancen un nivel adecuado de seguridad, en particular ciberseguridad, y funcionen de manera uniforme en esos sentidos durante todo su ciclo de vida.

Reglamento (UE) 2025/1290, art. 21

Garantizar la confidencialidad de los datos intercambiados Ciber

El artículo hermano del anterior, y el más concreto de los tres del capítulo. Los sistemas y programas informáticos se diseñan y desarrollan de modo que garanticen la confidencialidad de los datos intercambiados, y la norma dice contra qué: contra el acceso no autorizado o ilícito y contra la pérdida, destrucción o daño accidentales, utilizando las medidas técnicas adecuadas. Merece la pena leer los dos pares por separado, porque no protegen lo mismo. El primero es el adversario deliberado y cubre tanto a quien no debería entrar como a quien entra teniendo credenciales pero sin título para ese dato. El segundo es el accidente, y al nombrar la pérdida y la destrucción mete la disponibilidad e integridad del dato dentro de un artículo titulado confidencialidad. La norma tampoco aquí dice qué medidas técnicas son las adecuadas.

Literal de la norma Los sistemas y programas informáticos se diseñarán y desarrollarán de modo que garanticen la confidencialidad de los datos intercambiados, incluida la protección contra el acceso no autorizado o ilícito y contra su pérdida, destrucción o daño accidentales, utilizando las medidas técnicas adecuadas.

Reglamento (UE) 2025/1290, art. 23

Verificar la calidad y la exactitud de los datos Ciber parcial

Los sistemas y programas informáticos garantizan que los datos recabados sean de buena calidad, y la norma nombra dos vías para conseguirlo: mecanismos de verificación de la calidad de los datos y herramientas de control de la exactitud. Es una obligación de resultado con los medios apenas esbozados, dirigida a los mismos destinatarios que los artículos de seguridad y confidencialidad.

Literal de la norma Los sistemas y programas informáticos garantizarán que los datos recabados sean de buena calidad, incluso mediante la aplicación de mecanismos de verificación de la calidad de los datos y de herramientas de control de la exactitud de los datos.

Reglamento (UE) 2025/1290, art. 22

Cuenta personal por usuario, con usuarios principales y estándar Ciber

El modelo de identidad está escrito con un detalle que no es habitual. Cada usuario crea una cuenta personal en el sistema que utilice, y el acceso a los datos del sistema central solo es posible si ese usuario representa a un operador o a una autoridad; un mismo usuario puede representar a varios operadores, o a una autoridad competente, o a una de inspección, o a ambas. El sistema distingue dos tipos: usuarios principales, autorizados a añadir y a eliminar usuarios dentro de su operador o autoridad, y usuarios estándar, que no lo están. Al autorizar a alguien nuevo, es el usuario principal quien decide de qué tipo será. Y hay un mínimo de resiliencia organizativa: cada operador tiene al menos un usuario principal y cada autoridad al menos dos, precisamente para garantizar el servicio si uno falta. La vía de acceso, además, no es libre: los usuarios que representan a operadores solo acceden en la forma que haya indicado la declaración de su autoridad competente.

Literal de la norma Cada usuario creará una cuenta personal en el sistema que utilice para acceder al sistema central de conformidad con el artículo 5 y el artículo 11, apartado 9.

Reglamento (UE) 2025/1290, art. 6 · art. 5

Ver solo lo que corresponde a la función que se ejerce Ciber

El acceso está repartido por función y por participación en el traslado concreto, no por categoría de empresa. Cada operador ve la información y los documentos que ha presentado o gestionado. Quien actúa como productor, notificante, destinatario o instalación receptora ve además lo relativo a los traslados notificados en los que participa, y quien actúa como productor, persona que organiza el traslado, destinatario o instalación receptora, lo relativo a los traslados del régimen del anexo VII en los que participa. El transportista es el caso más estrecho y el más ilustrativo del criterio: solo ve los documentos de notificación en los que figura como transportista una vez que las autoridades han consentido, sus autorizaciones y condiciones, los documentos de movimiento derivados de ellos, y los documentos del anexo VII en los que aparece, y estos solo después de que la persona que organiza el traslado los haya autenticado. En el otro extremo, la autoridad que participa en inspecciones accede a todos los datos de cualquier traslado y puede almacenar los pertinentes para el control del cumplimiento, incluidos procesos penales.

Reglamento (UE) 2025/1290, art. 18

Autenticar cada documento y mantener registros de auditoría Ciber

Todos los sistemas y programas informáticos exigen a sus usuarios que autentiquen los documentos que la norma enumera figura por figura: el notificante autentica el documento de notificación, el de movimiento y las solicitudes de modificación; la autoridad competente, la información que pide o facilita y sus decisiones; la persona que organiza el traslado, el documento del anexo VII y la entrega al transportista; el transportista y el destinatario, la recepción de los residuos; la instalación, la recepción y los certificados. Esa autenticación arrastra tres datos que se intercambian con el resto: fecha y hora con precisión de segundos y código de zona horaria, nombre y apellidos de quien autentica, y su función en la autoridad o para el operador. Y el apartado que cierra el artículo es el que más pesa en clave de seguridad: todos los sistemas y programas informáticos registran y mantienen registros de auditoría con esa misma información, y los facilitan a petición de las autoridades. Conviene precisar qué no es esto: la norma no menciona la firma ni el sello electrónico, ni remite al marco europeo de identificación electrónica; la autenticación aquí es un acto dentro del sistema, no una firma cualificada.

Literal de la norma Todos los sistemas y programas informáticos registrarán y mantendrán registros de auditoría que contendrán la información establecida en el apartado 2 y facilitarán dichos registros a petición de las autoridades.

Reglamento (UE) 2025/1290, art. 14

Conservar las versiones y todos los cambios desde la presentación inicial Ciber parcial

Los sistemas y programas informáticos conservan toda la información y los documentos intercambiados a través del sistema central conforme al plazo de cinco años del Reglamento. Cuando la información o los documentos se hayan actualizado después de presentarse, esa conservación abarca dos cosas distintas: las versiones actualizadas de la información, los documentos y los adjuntos junto con todos los cambios introducidos desde la presentación inicial, y todos los documentos adjuntos cargados después de esa presentación inicial.

Reglamento (UE) 2025/1290, art. 19

Plazos tasados de almacenamiento de los datos personales Ciber parcial

El acto de ejecución tasa cuánto tiempo almacenan los sistemas los datos personales de la información y los documentos intercambiados, y da varias reglas según el caso. La general son cinco años desde la presentación del certificado, o desde el último certificado en las notificaciones generales, o desde el certificado del régimen del anexo VII. Si los certificados no se expiden en el plazo de un año desde que correspondía, los plazos pasan a ser diez años desde la presentación de la notificación y cinco desde la presentación del documento del anexo VII. Si no todas las autoridades consintieron la notificación, cinco años desde su presentación. Y los datos almacenados por las autoridades de inspección para el control del cumplimiento no se conservan más tiempo del necesario, conforme a la legislación nacional.

Reglamento (UE) 2025/1290, arts. 24 y 25

Condiciones para conectarse con un programa propio Ciber parcial

Los usuarios que representan a operadores pueden acceder al sistema central por interfaz de programación usando programas informáticos que permitan esa conexión, bajo dos condiciones acumulativas: que el programa cumpla las disposiciones pertinentes del acto de ejecución, y que una autoridad competente lo haya indicado en la declaración sobre las modalidades de acceso, sea para todos los traslados o para determinados traslados. Además, a esos programas se les exige llevar a cabo las operaciones del anexo II que sean pertinentes para el alcance de las funcionalidades que pretendan ofrecer. Pueden realizar pruebas para confirmar esa capacidad, pero no están obligados a ello.

Reglamento (UE) 2025/1290, art. 5.4 · art. 11.5

Superar las pruebas antes de conectar un sistema local Ciber parcial

La autoridad competente que pretenda acceder al sistema central por interfaz de programación realiza pruebas que confirmen la capacidad de su sistema local para llevar a cabo todas las operaciones que le corresponden según la función que ejerza, de expedición, de tránsito o de destino. Las pruebas se completan como muy tarde veinticinco días hábiles antes de la fecha en que pretenda conectarse, y la autoridad informa por escrito a la Comisión de si se completaron satisfactoriamente o no. Hasta que lo haga, sus operadores acceden por la interfaz gráfica; una vez comunicado, la obligación de acceder por el sistema local es exigible transcurridos veinticinco días hábiles, o en la fecha posterior que la propia autoridad indique.

Reglamento (UE) 2025/1290, art. 11

Gestionar el sistema central y su nodo de intercambio Ciber parcial

La Comisión gestiona un sistema central que hace tres cosas a la vez: proporciona el nodo por el que los demás sistemas y programas intercambian en tiempo real, ofrece un sitio web para preparar y tratar la información a quien no usa sistema propio, y facilita la conservación de documentos. Ese sistema debe garantizar su interoperabilidad con el entorno de información electrónica del transporte de mercancías y, en un plazo de cuatro años desde la adopción del acto de ejecución, quedar interconectado con la ventanilla única aduanera de la Unión. La Comisión publica además en su sitio web las modalidades de acceso declaradas por cada autoridad y las fechas desde las que hay que usar cada sistema, y examina la funcionalidad del sistema central cada dos años comunicando las conclusiones al Parlamento Europeo y a los Estados miembros.

Art. 27.3 y 27.6 · Reglamento (UE) 2025/1290, art. 27

Declarar por qué vía accede cada quién

Cada autoridad competente presenta una declaración sobre las modalidades de acceso al sistema central, con el contenido que fija el anexo I del acto de ejecución, en la que indica cómo accederá ella misma y cómo lo harán los operadores bajo su jurisdicción. Esa declaración es la que habilita o no el uso de programas propios por interfaz de programación. La autoridad debe informar sin demora indebida a sus operadores del contenido de la declaración y de sus modificaciones, de la obligación de usar un sistema local, de las fechas desde las que hay que acceder por una u otra vía, y organizar una función de servicio de asistencia y ofrecer formación sobre el uso del sistema.

Reglamento (UE) 2025/1290, art. 4 · art. 26

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Reglamento (UE) 2025/1290, art. 21 · art. 2.2, puntos 2, 3 y 4 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Reglamento (UE) 2025/1290, arts. 5, 6 y 18 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Reglamento (UE) 2025/1290, art. 14, apartados 2 y 4 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Reglamento (UE) 2025/1290, arts. 14, 19, 22 y 23 · Reglamento (UE) 2024/1157, art. 20 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Reglamento (UE) 2025/1290, art. 11 · art. 5.4 · art. 20 · categorización del curador, no de la norma

Operador

Figura paraguas del acto de ejecución: cualquiera que lleve a cabo, prevea llevar a cabo o participe en un traslado actuando como notificante, persona que organiza el traslado, transportista, destinatario, productor de residuos o instalación de gestión. Es el sujeto que entra en el sistema, se registra, opera con cuentas de usuario y, si decide conectarse por interfaz de programación con un programa propio, carga con las exigencias de seguridad de ese programa. La definición es deliberadamente ancha e incluye a quien no actúa a título profesional.

Literal de la norma «operador»: toda persona física o jurídica que lleve a cabo, tenga previsto llevar a cabo o participe en la realización de un traslado de residuos, y que actúe como notificante, persona que organiza un traslado, transportista, destinatario, productor de residuos o instalación de gestión de residuos, con independencia de que dicha persona actúe o no a título profesional, excluidas las autoridades competentes y las autoridades que participen en las inspecciones;

Reglamento (UE) 2025/1290, art. 2.2.13)

Notificante

Quien tiene la obligación de notificar el traslado sometido al procedimiento de notificación y autorización previas por escrito. Es la figura sobre la que descansa el grueso del expediente electrónico: presenta la notificación y la documentación, autentica el documento de notificación y el de movimiento, y conserva en la Unión durante cinco años toda la información y los documentos presentados o intercambiados.

Reglamento (UE) 2024/1157, art. 3.6) · art. 5 · art. 20.1

Persona que organiza el traslado

El equivalente del notificante en los traslados sujetos únicamente a requisitos de información general, los del régimen del anexo VII. Presenta y autentica el documento del anexo VII y autentica la entrega de los residuos al transportista. Recae en el productor original, en el nuevo productor que altera la naturaleza o composición de los residuos, o en las demás figuras que la definición enumera, siempre bajo la jurisdicción del país de expedición.

Reglamento (UE) 2024/1157, art. 3.7) · art. 18 · Reglamento (UE) 2025/1290, art. 14.1.d)

Transportista

Quien transporta materialmente los residuos. En el sistema electrónico tiene un papel acotado y bien delimitado por la matriz de acceso: autentica la recepción de los residuos que transporta y solo ve los documentos de notificación en los que figura como transportista, sus autorizaciones, los documentos de movimiento derivados de ellos y los documentos del anexo VII en los que aparece, y estos últimos solo una vez autenticados por la persona que organiza el traslado.

Reglamento (UE) 2025/1290, art. 18.4 · art. 14.1.f)

Destinatario e instalación receptora

El destinatario es la persona a la que se trasladan los residuos para su valorización o eliminación; la instalación receptora es donde acaban. Autentican la recepción y presentan los certificados de valorización o eliminación, que son los documentos que cierran el expediente y desde los que corre el plazo de conservación. Ambos conservan en la Unión la información durante cinco años.

Literal de la norma «destinatario»: la persona física o jurídica sujeta a la jurisdicción nacional del país de destino a la que se trasladan los residuos para su valorización o eliminación;

Reglamento (UE) 2024/1157, art. 3.5) · art. 20 · Reglamento (UE) 2025/1290, art. 14.1.e) y g)

Usuario del sistema

Toda persona física que utiliza el sistema central, un sistema local u otro programa informático. Es el sujeto de las reglas de identidad y acceso: crea una cuenta personal, solo accede si representa a un operador o a una autoridad, y se clasifica en usuario principal, que puede añadir y eliminar usuarios dentro de su organización, o usuario estándar, que no puede. Cada operador tiene al menos un usuario principal y cada autoridad al menos dos.

Literal de la norma «usuario»: toda persona física que utilice el sistema central, el sistema local u otro programa informático;

Reglamento (UE) 2025/1290, art. 2.2.11) · art. 5 · art. 6

Autoridad competente

El órgano que cada Estado designa para aplicar el Reglamento. Autoriza u objeta los traslados, declara por qué vía accederán al sistema central los operadores de su jurisdicción, puede explotar un sistema local propio conectado por interfaz de programación y, si lo hace, debe superar las pruebas de interoperabilidad y comunicarlo por escrito a la Comisión antes de conectarse. También conserva en la Unión la información durante cinco años.

Reglamento (UE) 2024/1157, art. 3.9) · art. 75 · art. 20 · Reglamento (UE) 2025/1290, arts. 4, 11 y 26

Autoridad de inspección

La autoridad que participa en las inspecciones de los traslados. Es la figura con el acceso más amplio de todo el sistema: alcanza a todos los datos, información y documentos relativos a cualquier traslado, y puede almacenar los que sean pertinentes para el control del cumplimiento, incluidos procesos penales, conforme a su normativa nacional. Puede entrar por la interfaz gráfica o por un sistema de inspección conectado por interfaz de programación.

Reglamento (UE) 2025/1290, art. 18.6 · art. 5.3 · art. 2.2.5) · Reglamento (UE) 2024/1157, art. 60

Comisión Europea

Gestiona el sistema central, que es a la vez el nodo por el que los demás sistemas intercambian en tiempo real y el sitio web por el que puede operar quien no tiene sistema propio. Le corresponde que el sistema central cumpla las mismas exigencias de seguridad, gobernanza y confidencialidad que impone a los demás, publicar las modalidades de acceso declaradas por cada autoridad, prestar apoyo y examinar la funcionalidad del sistema cada dos años.

Reglamento (UE) 2024/1157, art. 27.3 y 27.6 · Reglamento (UE) 2025/1290, art. 2.2.1) y art. 27