Anexo 5 Disposiciones de aplicación del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo en lo relativo al registro de las partes usuarias de las carteras

Requisitos aplicables a los certificados de registro de parte usuaria de la cartera a que se refiere el artículo 8

1. La política de certificación del registro de parte usuaria de la cartera aplicable al suministro de certificados de registro de parte usuaria de la cartera describirá los requisitos de seguridad aplicables a un certificado de registro de parte usuaria de la cartera y las normas de aplicabilidad de dicho certificado, para su expedición a las partes usuarias de la cartera y su uso por estas en sus interacciones con soluciones de cartera. La política de certificación del registro de parte usuaria de la cartera se publicará en un formato legible por el ser humano.

2. La declaración de prácticas de certificación del registro de parte usuaria de la cartera aplicable al suministro de certificados de registro de parte usuaria de la cartera describirá las prácticas que emplea un proveedor de certificados de registro de parte usuaria de la cartera para la expedición, la gestión, la revocación y el cambio de claves de los certificados de registro de parte usuaria de la cartera y, cuando proceda, cómo se relacionan con los certificados de acceso de parte usuaria de la cartera expedidos a partes usuarias de la cartera. La declaración de prácticas de certificación del registro de parte usuaria de la cartera se publicará en un formato legible por el ser humano.

3. La política de certificación y la declaración de prácticas de certificación del registro de parte usuaria de la cartera aplicables al suministro de certificados de registro de parte usuaria de la cartera estarán sintáctica y semánticamente armonizadas en toda la Unión y cumplirán al menos los requisitos de la política de certificación normalizada («NCP») aplicables especificados en la norma ETSI EN 319411-1, versión 1.4.1 (2023-10), e incluirán:

a) una descripción clara de la jerarquía de infraestructura de clave pública y los itinerarios de certificación, desde los certificados de registro de parte usuaria de la cartera de la entidad final hasta la parte superior de la jerarquía utilizada para expedirlos, indicando al mismo tiempo el ancla o las anclas de confianza previstas en dicha jerarquía y dichos itinerarios;

b) una descripción exhaustiva de los procedimientos para la expedición de certificados de registro de parte usuaria de la cartera, y en concreto para la verificación de la identidad y de cualquier atributo de la parte usuaria de la cartera a la que se vaya a expedir un certificado de parte usuaria de la cartera;

c) la obligación de que el proveedor de certificados de registro de parte usuaria de la cartera, cuando expida un certificado de registro de parte usuaria de la cartera, verifique que:

- la parte usuaria de la cartera está incluida, con un estado de registro válido, en un registro nacional para partes usuarias de las carteras del Estado miembro en el que está establecida dicha parte;

- la información contenida en el certificado de registro de parte usuaria de la cartera es exacta y coherente con la información de inscripción en el registro disponible en dicho registro;

- el certificado de acceso de parte usuaria de la cartera es válido;

- la descripción de los procedimientos para la revocación de los certificados de registro de parte usuaria de la cartera es exhaustiva;

d) la obligación de que el proveedor de certificados de registro de parte usuaria de la cartera aplique medidas y procesos relativos a:

- el seguimiento automatizado continuo de cualquier cambio en el registro nacional de partes usuarias de la cartera en el que estén registradas las partes usuarias de la cartera a las que haya expedido certificados de registro de parte usuaria de la cartera;

- la reexpedición del certificado de registro de parte usuaria de la cartera;

- la revocación de cualquier certificado de registro de parte usuaria de la cartera que haya expedido a la parte usuaria de la cartera correspondiente, cuando esos cambios así lo exijan, en particular cuando el contenido del certificado ya no sea exacto ni coherente con la información registrada, o cuando se modifique, suspenda o cancele el registro de dicha parte usuaria;

e) una descripción exhaustiva de los procedimientos y los mecanismos para la validación armonizada de los certificados de registro de parte usuaria de la cartera;

f) la obligación de que el proveedor de certificados de registro de parte usuaria de la cartera permita a las partes interesadas pertinentes, en concreto a las partes usuarias de la cartera en lo que respecta a sus propios certificados, a los organismos de supervisión y a las autoridades de protección de datos competentes, solicitar la revocación de los certificados de registro de parte usuaria de la cartera;

g) la obligación de que el proveedor de certificados de registro de parte usuaria de la cartera registre todas esas revocaciones en su base de datos de certificados y publique el estado de revocación del certificado a su debido tiempo, y en cualquier caso en un plazo de veinticuatro horas a partir de la recepción de la solicitud de revocación;

h) la obligación de que los proveedores de certificados de registro de parte usuaria de la cartera faciliten información sobre el estado de validez o revocación de los certificados de registro de parte usuaria de la cartera que hayan expedido;

i) una descripción, cuando proceda, del modo en que un proveedor de certificados de registro de parte usuaria de la cartera archiva todos los certificados de registro de parte usuaria de la cartera que ha expedido;

j) la obligación de que los certificados de registro de parte usuaria de la cartera incluyan:

- la ubicación en la que estén disponibles los datos de validación de la firma electrónica avanzada o del sello electrónico avanzado del certificado utilizado para firmar o sellar el certificado de registro, para toda la cadena de confianza que debe construirse hasta el ancla de confianza prevista;

- una referencia legible por máquina a la política de certificación y la declaración de prácticas de certificación aplicables;

- la información a que se refiere el anexo I, puntos 1, 2, 3, 5, 6 y 8, 9, 10, 11, 12, 13, 14 y 15;

- la URL a la política de privacidad a que se refiere el artículo 8, apartado 2, letra g);

- la política general de acceso a que se refiere el artículo 8, apartado 3.

4. El formato de intercambio de datos para el certificado de registro de parte usuaria se firmará con JSON Web Tokens (IETF RFC 7519) y CBOR Web Tokens (IETF RFC 8392).

5. La revocación mencionada en el punto 3, letra (g), será efectiva inmediatamente después de su publicación.

6. La información mencionada en el punto 3, letra (h), deberá proporcionarse al menos por cada certificado en cualquier momento, y al menos con posterioridad al período de validez del certificado, en un formato automatizado que sea fiable, gratuito y efectivo de conformidad con la política de certificación.