Anexo �nico Disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las normas de referencia para la verificación de la identidad y el cotejo de los atributos de la persona a la que v

Norma de referencia para la verificación de la identidad y el cotejo de los atributos de las personas a las que va a expedirse un certificado cualificado o una declaración electrónica cualificada de atributos

Se aplica la norma ETSI TS 119 461 V2.1.1 (2025-02) para la conformidad con el anexo C, cláusula C.3, con las siguientes adaptaciones:

1) 2.1 Referencias normativas

- [1] ETSI EN 319 401 V3.1.1 (2024-06): «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [«Firmas electrónicas e infraestructuras de confianza (ESI); Requisitos de política general para prestadores de servicios de confianza», documento en inglés].

2) C.3 Casos de uso para la expedición de certificados cualificados o declaraciones electrónicas cualificadas de atributos de conformidad con el artículo 24, apartado 1, apartados 1 bis y 1 ter, del Reglamento (UE) n.o 910/2014

- [CONDICIONAL] QTS-C3-01: Si la verificación de la identidad para un certificado cualificado o una declaración electrónica cualificada se realiza junto con la verificación de la identidad para expedir pruebas fidedignas, dicho proceso de verificación de la identidad:

- habrá sido sometido a una revisión inter pares o habrá sido certificado por un organismo de evaluación de la conformidad acreditado para cumplir el nivel de seguridad alto de conformidad con el Reglamento (UE) n.o 910/2014, o

- cumplirá los requisitos establecidos en las cláusulas C3.1 a C3.6.

3) C.3.4 Caso de uso para la acreditación de la identidad por otros medios de identificación

- QTS-C.3.4-06A: El organismo independiente de evaluación de la conformidad mencionado en [CONDICIONAL] QTS -C.3.4-06, letra c), estará acreditado de conformidad con el artículo 3, apartado 18, del Reglamento (UE) n.o 910/2014 y, si se cumplen todos los requisitos aplicables, la evaluación debe dar lugar a un certificado de conformidad basado en una auditoría de certificación. Este proceso de certificación formal se basará en un proceso de evaluación de la seguridad que se remita a los niveles de seguridad definidos para los medios de identificación electrónica notificados o las carteras europeas de identidad digital certificadas con arreglo al Reglamento (UE) n.o 910/2014 e incluirá pruebas rigurosas para evaluar la resistencia frente a posibles amenazas a la seguridad. Estas evaluaciones emplearán las normas técnicas pertinentes para demostrar su solidez frente a tales ataques.

4) 9.2.3.4 Caso de uso para el funcionamiento automatizado

- USE-9.2.3.4-04: El prestador de servicios de acreditación de la identidad (IPSP) establecerá valores objetivo para la tasa de falsa aceptación (FAR) y la tasa de falso rechazo (RRF), sobre la base de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas, siguiendo la metodología establecida en el informe de ENISA «Methodology for sectoral cybersecurity assessments» («Metodología para las evaluaciones sectoriales de la ciberseguridad», documento en inglés) [i.28] o una metodología equivalente, en procesos de acreditación de identidad totalmente automatizados. Estos valores objetivo serán iguales o inferiores a los establecidos para los casos de uso de carácter híbrido, cuando existan. El IPSP mantendrá estos valores objetivo para la FAR y la RRF de manera coherente, con el apoyo de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas.

5) 8.3.3 Validación del documento físico de identidad

- VAL-8.3.3-21: La eficacia de las medidas para cumplir los requisitos VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A y VAL-8.3.3-07X será sometida a prueba por un laboratorio acreditado o una autoridad nacional competente, siempre que estén designados, a más tardar el 19 de agosto de 2027 y posteriormente cada dos años.

6) 7.12. Cese y planes de cese

- OVR-7.12-02: El plan de cese cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].