Anexo 4 Disposiciones de aplicación del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo en lo relativo al registro de las partes usuarias de las carteras

Requisitos aplicables a los certificados de acceso de parte usuaria de la cartera a que se refiere el artículo 7

1. La política de certificación del acceso de parte usuaria de la cartera aplicable al suministro de certificados de acceso de parte usuaria de la cartera describirá los requisitos de seguridad aplicables a un certificado de acceso de parte usuaria de la cartera y las normas de aplicabilidad de dicho certificado, de modo que se puedan expedir estos certificados a las partes usuarias de las carteras y estas puedan utilizarlos en sus interacciones con soluciones de cartera.

2. La declaración de prácticas de certificación del acceso de parte usuaria de la cartera aplicable al suministro de certificados de acceso de parte usuaria de la cartera describirá las prácticas que emplea un proveedor de certificados de acceso de parte usuaria de la cartera para la expedición, la gestión, la revocación y el cambio de claves de los certificados de acceso de parte usuaria de la cartera.

3. La política de certificación y la declaración de prácticas de certificación aplicables al suministro de certificados de acceso de parte usuaria de la cartera estarán sintáctica y semánticamente armonizadas en toda la Unión y, cuando proceda, cumplirán al menos los requisitos de la política de certificación normalizada («NCP») especificados en la norma ETSI EN 319411-1, versión 1.4.1 (2023-10), e incluirán:

a) una descripción clara de la jerarquía de infraestructura de clave pública y los itinerarios de certificación, desde los certificados de acceso de parte usuaria de la cartera de la entidad final hasta la parte superior de la jerarquía utilizada para expedirlos, indicando el ancla o las anclas de confianza previstas en dicha jerarquía y los itinerarios que deben basarse en el marco de confianza establecido de conformidad con el artículo 5 bis, apartado 18, del Reglamento (UE) n.º 910/2014;

b) una descripción exhaustiva de los procedimientos para la expedición de certificados de acceso de parte usuaria de la cartera, y en concreto para la verificación de la identidad y cualquier otro atributo de la parte usuaria de la cartera a la que se vaya a expedir un certificado de parte usuaria de la cartera;

c) la obligación de que los proveedores de certificados de acceso de parte usuaria de la cartera, cuando expidan un certificado de acceso de parte usuaria de la cartera, verifiquen que:

- la parte usuaria de la cartera está incluida, con un estado de registro válido, en un registro nacional de partes usuarias de las carteras del Estado miembro en el que está establecida dicha parte;

- toda información contenida en el certificado de acceso de parte usuaria de la cartera es exacta y coherente con la información de inscripción en el registro disponible en dicho registro;

d) una descripción exhaustiva de los procedimientos para la revocación de los certificados de acceso de parte usuaria de la cartera;

e) la obligación de que los proveedores de certificados de acceso de parte usuaria de la cartera apliquen medidas y procesos para:

- hacer un seguimiento continuo de cualquier cambio en el registro nacional de partes usuarias de la cartera en el que estén registradas las partes usuarias de la cartera a las que hayan expedido certificados de acceso de parte usuaria de la cartera;

- revocar, cuando los cambios así lo requieran, cualquier certificado de parte usuaria de la cartera que el proveedor haya expedido a la parte usuaria correspondiente, en particular cuando el contenido del certificado ya no sea exacto ni coherente con la información registrada, o cuando se suspenda o cancele el registro de dicha parte;

f) una descripción exhaustiva de los procedimientos y los mecanismos para la validación armonizada de los certificados de acceso de parte usuaria de la cartera en toda la Unión;

g) la obligación de que los proveedores de certificados de acceso de parte usuaria de la cartera permitan a las partes interesadas pertinentes, en concreto a las partes usuarias de la cartera en lo que respecta a sus propios certificados, a los organismos de supervisión y a las autoridades de protección de datos competentes, solicitar la revocación de los certificados de acceso de parte usuaria de la cartera;

h) la obligación de que los proveedores de certificados de acceso de parte usuaria de la cartera registren todas esas revocaciones en su base de datos de certificados y publiquen el estado de revocación del certificado a su debido tiempo, y en cualquier caso en un plazo de veinticuatro horas a partir de la recepción de la solicitud de revocación;

i) la obligación de que los proveedores de certificados de acceso de parte usuaria de la cartera faciliten información sobre el estado de validez o revocación de los certificados de parte usuaria de la cartera que hayan expedido;

j) una descripción, cuando proceda, del modo en que un proveedor de certificados de acceso de parte usuaria de la cartera archiva todos los certificados de acceso de parte usuaria de la cartera que ha expedido, de conformidad con el estándar de solicitud de comentarios («RFC») 9162 de transparencia de la certificación, versión 2.0, del Grupo de Trabajo de Ingeniería de Internet («IETF»);

k) la obligación de que los certificados de acceso de parte usuaria de la cartera incluyan:

- la ubicación en la que está disponible el certificado que da soporte a la firma electrónica avanzada o el sello electrónico avanzado en dicho certificado, para todo el itinerario de certificación que debe construirse hasta el ancla de confianza prevista en la jerarquía de infraestructura de clave pública utilizada por el proveedor;

- una referencia procesable por máquina a la política de certificación y la declaración de prácticas de certificación aplicables;

- la información a que se refiere el anexo I, puntos 1, 2, 3, 5, 6 y punto 7, letras (a), (b) y (c).

4. La revocación mencionada en el punto 3, letra (g), será efectiva inmediatamente después de su publicación.

5. La información mencionada en el punto 3, letra (h), deberá proporcionarse al menos por cada certificado en cualquier momento, y al menos con posterioridad al período de validez del certificado, en un formato automatizado que sea fiable, gratuito y efectivo de conformidad con la política de certificación.