Anexo �nico Disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las reacciones a las violaciones de la seguridad de las carteras europeas de identidad digital

Criterios para la evaluación de una violación o una puesta en peligro de la seguridad

1. Los Estados miembros basarán su evaluación de una violación o una puesta en peligro de la seguridad en los siguientes criterios:

a) la violación o la puesta en peligro ha causado o puede causar la muerte de una persona física o daños considerables a la salud de una persona física;

b) se ha producido, o puede producirse, un acceso presuntamente malintencionado o no autorizado a la red y los sistemas de información de un proveedor de carteras, del proveedor de mecanismos de validación a que se refiere el artículo 5 bis, apartado 8, del Reglamento (UE) n.º 910/2014, o de un proveedor del sistema de identificación electrónica en virtud del cual se proporciona una solución de cartera («entidades afectadas»), de tal manera que puede causar graves perturbaciones operativas, y esos sistemas son componentes esenciales de la solución de cartera afectada, de los mecanismos de validación a que se refiere el artículo 5 bis, apartado 8, del Reglamento (UE) n.º 910/2014 afectados o del sistema de identificación electrónica en virtud del cual se proporciona una solución de cartera afectado;

c) una solución de cartera, un mecanismo de validación contemplado en el artículo 5 bis, apartado 8, del Reglamento (UE) n.º 910/2014, o un sistema de identificación electrónica en virtud del cual se proporciona una solución de cartera, o una parte de ellos:

- está completamente indisponible para los usuarios de una cartera o las partes usuarias de una cartera durante más de doce horas consecutivas, o se prevé que vaya a estarlo;

- está indisponible para los usuarios de una cartera o las partes usuarias de una cartera durante más de dieciséis horas calculadas sobre la base de una semana natural, o se prevé que vaya a estarlo;

d) se sospecha que más del 1 % de los usuarios de una cartera o de las partes usuarias de una cartera está afectado o se prevé que vaya a estar afectado por una limitación de la disponibilidad de la solución de cartera o de los servicios prestados por las entidades afectadas en lo que respecta a la solución de cartera;

e) existe la capacidad de poner en peligro, o se ha puesto en peligro, la restricción del acceso físico al personal de confianza de las entidades afectadas, o la protección de dicho acceso físico, a una o varias de las ubicaciones de la red y de los sistemas de información que dan soporte a la solución de cartera, a la provisión de los mecanismos de validación a que se refiere el artículo 5 bis, apartado 8, del Reglamento (UE) n.º 910/2014 asociados a una solución de cartera, o al sistema de identificación electrónica en virtud del cual se proporciona una solución de cartera;

f) la privacidad, la integridad, la confidencialidad o la autenticidad de los datos almacenados, transmitidos o tratados en la solución de la cartera están en peligro, o pueden estar en peligro, de una o varias de las siguientes maneras:

- con repercusión en más del 1 % de los usuarios de la cartera de la solución de cartera afectada o en más de 100 000 de dichos usuarios, si este número es menor;

- como resultado de una actividad presuntamente malintencionada que ha logrado su objetivo;

- como resultado de una o varias vulnerabilidades conocidas, incluidas las gestionadas de conformidad con el Reglamento de Ejecución (UE) 2024/2981 de la Comisión (1), o si existe la probabilidad de que se produzca ese resultado;

- existe la probabilidad de que repercuta en los datos personales de manera que pueda suponer un riesgo para los derechos y libertades de las personas físicas afectadas y, en particular, en caso de violación de la seguridad de los datos personales tal como se define en el artículo 9, apartado 1, y en el artículo 10 del Reglamento (UE) 2016/679;

- es probable que afecte a las comunicaciones electrónicas personales;

- es probable que entrañe un alto riesgo para los derechos y libertades de las personas físicas;

- es probable que afecte a personas físicas vulnerables;

g) la certificación de la solución de cartera ha sido cancelada o se prevé que sea cancelada;

h) la violación o la puesta en peligro ha causado o puede causar a la entidad afectada pérdidas financieras directas superiores a 500 000 EUR o, cuando proceda, al 5 % de su volumen de negocios total anual en el ejercicio financiero anterior, si esta cifra es inferior.

2. Los Estados miembros no tendrán en cuenta las consecuencias previstas de una operación de mantenimiento realizada por las entidades afectadas o en su nombre, siempre que dicha operación de mantenimiento:

a) se haya notificado previamente a los usuarios de una cartera, a las partes usuarias de la cartera y a los organismos de supervisión competentes potencialmente afectados;

b) no cumpla ninguno de los criterios establecidos en el punto 1 del presente anexo.

3. Por lo que se refiere al punto 1, letra c), la duración de un incidente que afecte a la disponibilidad se medirá desde el momento en que se interrumpa la prestación adecuada del servicio afectado hasta el momento en que el servicio se restablezca y vuelva a funcionar. Cuando una entidad afectada no pueda determinar el momento en que se produjo la interrupción, la duración del incidente se medirá desde el momento en que este fue detectado o desde el momento en que se dejó constancia de él en el registro de la red o del sistema o en otras fuentes de datos, si esto ocurriera antes. La indisponibilidad total de un servicio se medirá desde el momento en que el servicio quede completamente indisponible para los usuarios hasta el momento en que las actividades u operaciones habituales se hayan restablecido al mismo nivel de servicio que se prestaba antes del incidente. Cuando una entidad afectada no pueda determinar el momento en que se inició la indisponibilidad total de un servicio, esta se medirá a partir del momento en que fue detectada por dicha entidad.

4. Por lo que se refiere al punto 1, letra d), se considera que la disponibilidad de un servicio es limitada, en particular, cuando el tiempo de respuesta de ese servicio es considerablemente más lento que su tiempo medio de respuesta o cuando no están disponibles todas sus funcionalidades. Cuando sea posible, deberán utilizarse criterios objetivos basados en los tiempos medios de respuesta de los servicios para evaluar los retrasos en el tiempo de respuesta.

5. Para determinar las pérdidas financieras directas resultantes de una violación o una puesta en peligro de la seguridad a que se refiere el punto 1, letra h), las entidades afectadas tendrán en cuenta todas las pérdidas financieras que hayan sufrido como consecuencia del incidente, como los costes de sustitución o reubicación de software, hardware o infraestructuras, los costes de personal, incluidos los costes asociados a la sustitución o reubicación del personal, la contratación de personal adicional, la remuneración de las horas extraordinarias y la recuperación de las capacidades perdidas o deterioradas, los desembolsos por incumplimiento de las obligaciones contractuales, los costes de reparación y compensación a los clientes, las pérdidas por lucro cesante, los costes asociados a la comunicación interna y externa, y los costes de asesoramiento, incluidos los asociados al asesoramiento jurídico, a los servicios forenses y a los servicios de reparación. Los costes necesarios para el funcionamiento cotidiano de la empresa, como los costes de mantenimiento general de infraestructuras, equipos, hardware y software, las mejoras y las iniciativas de evaluación de riesgos, y las primas de seguros, no se considerarán pérdidas financieras derivadas de un incidente. Las entidades afectadas calcularán los importes de las pérdidas financieras basándose en los datos disponibles y, si no pueden determinarse los importes reales de las pérdidas financieras, harán una estimación de dichos importes.

(1) Reglamento de Ejecución (UE) 2024/2981 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la certificación de las carteras europeas de identidad digital (DO L, 2024/2981, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2981/oj).