{"id":3195,"date":"2025-03-01T13:37:59","date_gmt":"2025-03-01T13:37:59","guid":{"rendered":"https:\/\/blogemergencias.es\/index.php\/2025\/03\/01\/reglamento-ue-2025-37-del-parlamento-europeo-y-del-consejo-de-19-de-diciembre-de-2024-por-el-que-se-modifica-el-reglamento-ue-2019-881-en-lo-que-se-refiere-a-los-servicios-de-seguridad-gestionad\/"},"modified":"2025-03-01T13:37:59","modified_gmt":"2025-03-01T13:37:59","slug":"reglamento-ue-2025-37-del-parlamento-europeo-y-del-consejo-de-19-de-diciembre-de-2024-por-el-que-se-modifica-el-reglamento-ue-2019-881-en-lo-que-se-refiere-a-los-servicios-de-seguridad-gestionad","status":"publish","type":"post","link":"https:\/\/blogemergencias.es\/index.php\/2025\/03\/01\/reglamento-ue-2025-37-del-parlamento-europeo-y-del-consejo-de-19-de-diciembre-de-2024-por-el-que-se-modifica-el-reglamento-ue-2019-881-en-lo-que-se-refiere-a-los-servicios-de-seguridad-gestionad\/","title":{"rendered":"Reglamento (UE) 2025\/37 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, por el que se modifica el Reglamento (UE) 2019\/881 en lo que se refiere a los servicios de seguridad gestionados."},"content":{"rendered":"
\n

\u00a0<\/p>\n

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNI\u00d3N EUROPEA,<\/p>\n

Visto el Tratado de Funcionamiento de la Uni\u00f3n Europea, y en particular su art\u00edculo\u00a0114,<\/p>\n

Vista la propuesta de la Comisi\u00f3n Europea,<\/p>\n

Previa transmisi\u00f3n del proyecto de acto legislativo a\u00a0los Parlamentos nacionales,<\/p>\n

Visto el dictamen del Comit\u00e9 Econ\u00f3mico y Social Europeo\u00a0(1<\/span>)<\/a>,<\/p>\n

Previa consulta al Comit\u00e9 de las Regiones,<\/p>\n

De conformidad con el procedimiento legislativo ordinario\u00a0(2<\/span>)<\/a>,<\/p>\n

Considerando lo siguiente:<\/p>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(1)<\/p>\n<\/td>\n

\n

El Reglamento (UE)\u00a02019\/881 del Parlamento Europeo y del Consejo\u00a0(3<\/span>)<\/a> establece un marco para la creaci\u00f3n de esquemas europeos de certificaci\u00f3n de la ciberseguridad, a\u00a0efectos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de las tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n (TIC) en la Uni\u00f3n, as\u00ed como de evitar la fragmentaci\u00f3n del mercado interior respecto a\u00a0los esquemas de certificaci\u00f3n de la ciberseguridad en la Uni\u00f3n.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(2)<\/p>\n<\/td>\n

\n

A fin de garantizar la resiliencia de la Uni\u00f3n frente a\u00a0los ciberataques y prevenir cualquier vulnerabilidad en el mercado interior, el presente Reglamento complementar\u00e1 el marco regulador horizontal que establece requisitos globales de ciberseguridad para los productos con elementos digitales en virtud del Reglamento (UE)\u00a02024\/2847 del Parlamento Europeo y del Consejo\u00a0(4<\/span>)<\/a>, estableciendo requisitos esenciales para los servicios de seguridad gestionados, as\u00ed como la aplicaci\u00f3n y fiabilidad de dichos servicios.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(3)<\/p>\n<\/td>\n

\n

Los servicios de seguridad gestionados son prestados por proveedores de servicios de seguridad gestionados tal como se definen en el art\u00edculo\u00a06, punto\u00a040, de la Directiva (UE)\u00a02022\/2555 del Parlamento Europeo y del Consejo\u00a0(5<\/span>)<\/a>. Por lo tanto, la definici\u00f3n de servicios de seguridad gestionados en el presente Reglamento debe ser coherente con la de proveedores de servicios de seguridad gestionados establecida en la Directiva (UE)\u00a02022\/2555. Dichos servicios consisten en llevar a\u00a0cabo o\u00a0prestar asistencia para actividades relacionadas con la gesti\u00f3n de los riesgos de ciberseguridad de los clientes de tales servicios y han ido adquiriendo cada vez m\u00e1s importancia en el contexto de la prevenci\u00f3n y atenuaci\u00f3n de los efectos de incidentes. En consecuencia, los proveedores de dichos servicios se consideran, de conformidad con la Directiva\u00a0(UE)\u00a02022\/2555, entidades esenciales o\u00a0importantes pertenecientes a\u00a0un sector de alta criticidad. Como se indica en el considerando\u00a086 de la citada Directiva, los proveedores de servicios de seguridad gestionados en \u00e1mbitos como la respuesta a\u00a0incidentes, las pruebas de penetraci\u00f3n, las auditor\u00edas de seguridad y la consultor\u00eda desempe\u00f1an un papel especialmente importante prestando asistencia a\u00a0las entidades en sus esfuerzos de prevenci\u00f3n, detecci\u00f3n, respuesta y recuperaci\u00f3n en relaci\u00f3n con los incidentes. No obstante, los propios proveedores de servicios de seguridad gestionados tambi\u00e9n han sido v\u00edctimas de ciberataques y plantean un riesgo especial como consecuencia de su estrecha integraci\u00f3n en las actividades de sus clientes. Por lo tanto, es importante que las entidades que se consideren esenciales e\u00a0importantes de acuerdo con la Directiva (UE)\u00a02022\/2555 redoblen su diligencia a\u00a0la hora de seleccionar proveedores de servicios de seguridad gestionados.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(4)<\/p>\n<\/td>\n

\n

La definici\u00f3n de servicios de seguridad gestionados en el presente Reglamento incluye una lista no exhaustiva de servicios de seguridad gestionados que podr\u00edan acogerse a\u00a0esquemas europeos de certificaci\u00f3n de la ciberseguridad, como la respuesta a\u00a0incidentes, las pruebas de penetraci\u00f3n, las auditor\u00edas de seguridad y la consultor\u00eda, relacionada con la asistencia t\u00e9cnica. Los servicios de seguridad gestionados podr\u00edan abarcar servicios de ciberseguridad que ayudan en la preparaci\u00f3n, la prevenci\u00f3n, la detecci\u00f3n, el an\u00e1lisis, la atenuaci\u00f3n de los efectos, la respuesta y la recuperaci\u00f3n de incidentes. El suministro de informaci\u00f3n sobre ciberamenazas y la evaluaci\u00f3n de riesgos relacionados con la asistencia t\u00e9cnica tambi\u00e9n podr\u00edan considerarse servicios de seguridad gestionados. Pueden existir diferentes esquemas europeos de certificaci\u00f3n de la ciberseguridad para diferentes servicios de seguridad gestionados. Los certificados europeos de ciberseguridad expedidos de conformidad con dichos esquemas deben referirse a\u00a0servicios de seguridad gestionados espec\u00edficos de un proveedor espec\u00edfico de tales servicios.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(5)<\/p>\n<\/td>\n

\n

Los proveedores de servicios de seguridad gestionados tambi\u00e9n pueden desempe\u00f1ar un papel importante en relaci\u00f3n con las acciones de apoyo a\u00a0la respuesta y recuperaci\u00f3n inicial de la Uni\u00f3n en caso de incidentes significativos e\u00a0incidentes de ciberseguridad a\u00a0gran escala, bas\u00e1ndose en servicios de proveedores de confianza y en la realizaci\u00f3n de pruebas de entidades cr\u00edticas para detectar posibles vulnerabilidades basadas en las evaluaciones coordinadas de riesgos a\u00a0escala de la Uni\u00f3n. La certificaci\u00f3n de los servicios de seguridad gestionados puede ser pertinente en la selecci\u00f3n de los proveedores de confianza de servicios de seguridad gestionados tal como se define en el Reglamento (UE) 2025\/38 del Parlamento Europeo y del Consejo\u00a0(6<\/span>)<\/a>.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(6)<\/p>\n<\/td>\n

\n

La certificaci\u00f3n de los servicios de seguridad gestionados no solo es pertinente en el marco del proceso de selecci\u00f3n de la Reserva de Ciberseguridad de la\u00a0UE establecida por el Reglamento (UE) 2025\/38 sino que constituye tambi\u00e9n un indicador de calidad fundamental para las entidades p\u00fablicas y privadas que tengan intenci\u00f3n de contratar esos servicios. En vista de la criticidad de los servicios de seguridad gestionados y de la sensibilidad de los datos tratados, la certificaci\u00f3n podr\u00eda proporcionar importantes orientaciones y garant\u00edas sobre la fiabilidad de esos servicios a\u00a0los clientes potenciales. Se pretende que los esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los servicios de seguridad gestionados contribuyan a\u00a0evitar la fragmentaci\u00f3n del mercado interior. Por consiguiente, el presente Reglamento tiene por objeto mejorar el funcionamiento del mercado interior.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(7)<\/p>\n<\/td>\n

\n

Los esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los servicios de seguridad gestionados deben conducir a\u00a0la adopci\u00f3n de dichos servicios y a\u00a0una mayor competencia entre los proveedores de servicios de seguridad gestionados. Sin perjuicio del objetivo de garantizar unos niveles suficientes y adecuados de conocimientos t\u00e9cnicos pertinentes e\u00a0integridad profesional de dichos proveedores, dichos esquemas de certificaci\u00f3n deben, por tanto, facilitar la entrada en el mercado y la oferta de servicios de seguridad gestionados, simplificando, en la medida de lo posible, la potencial carga normativa, administrativa y financiera que podr\u00eda recaer en los proveedores, en particular las peque\u00f1as y medianas empresas (pymes), incluidas las microempresas, al ofrecer servicios de seguridad gestionados. Adem\u00e1s, con el fin de fomentar la adopci\u00f3n de servicios de seguridad gestionados y estimular la demanda de tales servicios, los esquemas europeos de certificaci\u00f3n de la ciberseguridad deben contribuir a\u00a0su accesibilidad, en particular para los agentes m\u00e1s peque\u00f1os, como las pymes, incluidas las microempresas, as\u00ed como para las autoridades locales y regionales que tienen capacidades y recursos limitados, pero que tienen m\u00e1s probabilidades de verse afectadas por vulneraciones de la ciberseguridad con implicaciones financieras, jur\u00eddicas, de reputaci\u00f3n y operativas.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(8)<\/p>\n<\/td>\n

\n

Es importante ofrecer apoyo a\u00a0las pymes, incluidas las microempresas en la aplicaci\u00f3n del presente Reglamento y en la obtenci\u00f3n de las capacidades y capacidades especializadas en materia de ciberseguridad necesarios para prestar servicios de seguridad gestionados de conformidad con los requisitos establecidos en el presente Reglamento. El Programa Europa Digital establecido por el Reglamento (UE)\u00a02021\/694 del Parlamento Europeo y del Consejo\u00a0(7<\/span>)<\/a> y otros programas pertinentes de la Uni\u00f3n disponen que la Comisi\u00f3n establezca un apoyo financiero y t\u00e9cnico que permita a\u00a0esas empresas contribuir al crecimiento de la econom\u00eda de la Uni\u00f3n y al fortalecimiento de un nivel com\u00fan de ciberseguridad en la Uni\u00f3n, incluido a\u00a0trav\u00e9s de la racionalizaci\u00f3n del apoyo financiero del Programa Europa Digital y otros programas pertinentes de la Uni\u00f3n y apoyando a\u00a0las pymes, incluidas las microempresas.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(9)<\/p>\n<\/td>\n

\n

Los esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los servicios de seguridad gestionados deben contribuir a\u00a0la disponibilidad de servicios seguros y de alta calidad que garanticen una transici\u00f3n digital segura y a\u00a0la consecuci\u00f3n de los objetivos establecido en el Programa Estrat\u00e9gico de la D\u00e9cada Digital para 2030 establecido por la Decisi\u00f3n (UE)\u00a02022\/2481 del Parlamento Europeo y del Consejo\u00a0(8<\/span>)<\/a>, en particular en lo que se refiere al objetivo de que el\u00a075\u00a0% de las empresas de la Uni\u00f3n empiecen a\u00a0utilizar servicios de computaci\u00f3n en nube, macrodatos (\u00abbig data\u00bb) o\u00a0inteligencia artificial, de que m\u00e1s del\u00a090\u00a0% de las pymes, incluidas las microempresas, alcancen al menos un nivel b\u00e1sico de intensidad digital y de que los servicios p\u00fablicos esenciales sean accesibles en l\u00ednea.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(10)<\/p>\n<\/td>\n

\n

Adem\u00e1s de la implementaci\u00f3n de productos, servicios o\u00a0procesos de TIC, los servicios de seguridad gestionados a\u00a0menudo ofrecen caracter\u00edsticas adicionales que dependen de las competencias, conocimientos especializados y experiencia del personal de los proveedores de dichos servicios. A\u00a0fin de garantizar que los servicios de seguridad gestionados que se presten sean de muy alta calidad, debe exigirse, dentro de los objetivos de seguridad, un nivel muy elevado de dichas competencias, conocimientos especializados y experiencia, as\u00ed como unos procedimientos internos adecuados. Para asegurar que todos los aspectos de los servicios de seguridad gestionados puedan estar incluidos en los esquemas europeos de certificaci\u00f3n de la ciberseguridad espec\u00edficos, es necesario, por tanto, modificar el Reglamento (UE)\u00a02019\/881. Deben tenerse en cuenta los resultados y recomendaciones de la evaluaci\u00f3n y revisi\u00f3n previstas en el Reglamento (UE)\u00a02019\/881.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(11)<\/p>\n<\/td>\n

\n

Con el fin de facilitar el crecimiento de un mercado interior fiable, al tiempo que se crean asociaciones con terceros pa\u00edses afines, el proceso de certificaci\u00f3n previsto en el marco europeo de certificaci\u00f3n de la ciberseguridad previsto en el Reglamento (UE)\u00a02019\/881 debe ejecutarse de manera que facilite el reconocimiento internacional y la armonizaci\u00f3n con las normas internacionales.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(12)<\/p>\n<\/td>\n

\n

La Uni\u00f3n se enfrenta a\u00a0una brecha de talento, caracterizada por una escasez de profesionales cualificados, y a\u00a0un panorama de amenazas en r\u00e1pida evoluci\u00f3n, como se reconoce en la Comunicaci\u00f3n de la Comisi\u00f3n, de\u00a018\u00a0de\u00a0abril de\u00a02023, titulada \u00abColmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la\u00a0UE (\u201cAcademia de Cibercapacidades\u201d)\u00bb. Los recursos educativos y la oferta de formaci\u00f3n formal difieren y los conocimientos pueden adquirirse de diversas maneras: formalmente, por ejemplo, a\u00a0trav\u00e9s de la universidad o\u00a0cursos o\u00a0no formalmente, por ejemplo, mediante la formaci\u00f3n en el puesto de trabajo o\u00a0la experiencia profesional en el \u00e1mbito pertinente. Por consiguiente, a\u00a0fin de facilitar la aparici\u00f3n de servicios de seguridad gestionados de alta calidad y tener una mejor visi\u00f3n de conjunto de la composici\u00f3n de la mano de obra de la Uni\u00f3n en materia de ciberseguridad, es importante reforzar la cooperaci\u00f3n entre los Estados miembros, la Comisi\u00f3n, la Agencia de la Uni\u00f3n Europea para la Ciberseguridad establecida por el Reglamento (UE)\u00a02019\/881 (ENISA) y las partes interesadas, incluidas las provenientes del sector privado y del mundo acad\u00e9mico, mediante el desarrollo de asociaciones p\u00fablico-privadas, el apoyo a\u00a0iniciativas de investigaci\u00f3n e\u00a0innovaci\u00f3n, el desarrollo y el reconocimiento mutuo de normas comunes y la certificaci\u00f3n de capacidades en materia de ciberseguridad, tambi\u00e9n a\u00a0trav\u00e9s del marco europeo de capacidades en ciberseguridad. Tal cooperaci\u00f3n tambi\u00e9n facilitar\u00eda la movilidad de los profesionales de la ciberseguridad dentro de la Uni\u00f3n, as\u00ed como la integraci\u00f3n de los conocimientos y la formaci\u00f3n en materia de ciberseguridad en los programas educativos, garantizando al mismo tiempo el acceso de las personas j\u00f3venes a\u00a0per\u00edodos de pr\u00e1cticas y aprendizaje profesional, incluidas las personas que viven en regiones desfavorecidas, como las islas y las zonas escasamente pobladas, rurales y remotas. Es importante que dicha cooperaci\u00f3n tenga el objetivo de atraer a\u00a0m\u00e1s mujeres y ni\u00f1as a\u00a0este \u00e1mbito y contribuya a\u00a0superar la brecha de g\u00e9nero en la ciencia, la tecnolog\u00eda, la ingenier\u00eda y las matem\u00e1ticas, y que el sector privado trate de impartir formaci\u00f3n en el puesto de trabajo que aborde las capacidades m\u00e1s demandadas, con la participaci\u00f3n de la administraci\u00f3n p\u00fablica y las empresas emergentes, as\u00ed como las pymes, incluidas las microempresas. Asimismo, es importante que los proveedores y los Estados miembros colaboren y contribuyan a\u00a0la recopilaci\u00f3n de datos sobre la situaci\u00f3n y la evoluci\u00f3n del mercado laboral en el \u00e1mbito de la ciberseguridad.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(13)<\/p>\n<\/td>\n

\n

ENISA desempe\u00f1a un papel importante en la preparaci\u00f3n de las propuestas de esquemas europeos de certificaci\u00f3n de la ciberseguridad. Al preparar el proyecto de presupuesto general de la Uni\u00f3n, la Comisi\u00f3n debe evaluar los recursos presupuestarios necesarios para la plantilla de personal de ENISA, de conformidad con el procedimiento establecido en el art\u00edculo\u00a029 del Reglamento (UE)\u00a02019\/881.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(14)<\/p>\n<\/td>\n

\n

El presente Reglamento prev\u00e9 modificaciones espec\u00edficas del Reglamento (UE)\u00a02019\/881 para permitir el establecimiento de esquemas europeos de certificaci\u00f3n de la ciberseguridad para los servicios de seguridad gestionados. Al hacerlo, tambi\u00e9n especifica y aclara determinadas disposiciones de dicho Reglamento relativas a\u00a0la preparaci\u00f3n y el funcionamiento de todos los esquemas europeos de certificaci\u00f3n de la ciberseguridad con vistas a\u00a0garantizar su transparencia y apertura. Estas \u00faltimas modificaciones, que se limitan a\u00a0la especificaci\u00f3n o\u00a0aclaraci\u00f3n del Reglamento (UE)\u00a02019\/881, en particular las modificaciones relativas a\u00a0la informaci\u00f3n que debe facilitar ENISA al transmitir la propuesta de esquema, a\u00a0los grupos de trabajo ad hoc<\/span> creados para cada propuesta de esquema, y a\u00a0la informaci\u00f3n y consulta sobre los esquemas europeos de certificaci\u00f3n de la ciberseguridad, no deben perjudicar en modo alguno la evaluaci\u00f3n y revisi\u00f3n m\u00e1s amplias de dicho Reglamento que se exigen en virtud del art\u00edculo\u00a067 de dicho Reglamento, en particular la evaluaci\u00f3n de los efectos, la eficacia y la eficiencia del t\u00edtulo de dicho Reglamento relativo al marco de certificaci\u00f3n de la ciberseguridad. La evaluaci\u00f3n y revisi\u00f3n de dicho t\u00edtulo deben basarse en una consulta amplia a\u00a0las partes interesadas y en un an\u00e1lisis completo y exhaustivo de los procedimientos pertinentes.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

(15)<\/p>\n

\u00a0<\/p>\n

\u00a0<\/p>\n

(16)<\/p>\n<\/td>\n

\n

Dado que el objetivo del presente Reglamento, a\u00a0saber, facilitar el establecimiento de esquemas europeos de certificaci\u00f3n de la ciberseguridad para los servicios de seguridad gestionados, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a\u00a0su dimensi\u00f3n y efectos, puede lograrse mejor a\u00a0escala de la Uni\u00f3n, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el art\u00edculo\u00a05 del Tratado de la Uni\u00f3n Europea. De conformidad con el principio de proporcionalidad establecido en el mismo art\u00edculo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.<\/p>\n

\u00a0<\/p>\n

El Supervisor Europeo de Protecci\u00f3n de Datos, al que se consult\u00f3 de conformidad con el art\u00edculo\u00a042, apartado\u00a01, del Reglamento (UE)\u00a02018\/1725 del Parlamento Europeo y del Consejo\u00a0<\/span>(9)<\/a>, emiti\u00f3 su dictamen el\u00a010\u00a0de\u00a0enero de\u00a02024.<\/span><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

HAN ADOPTADO EL PRESENTE REGLAMENTO:<\/p>\n

Art\u00edculo\u00a01<\/h5>\n

Modificaciones del Reglamento (UE)\u00a02019\/881<\/p>\n

El Reglamento (UE)\u00a02019\/881 se modifica como sigue:<\/p>\n

1)\u00a0En el art\u00edculo\u00a01, apartado\u00a01, p\u00e1rrafo primero, la letra\u00a0b) se sustituye por el texto siguiente:<\/p>\n

\u00abb)\u00a0un marco para la creaci\u00f3n de esquemas europeos de certificaci\u00f3n de la ciberseguridad, a\u00a0efectos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados en la Uni\u00f3n, as\u00ed como de evitar la fragmentaci\u00f3n del mercado interior respecto a\u00a0los esquemas de certificaci\u00f3n de la ciberseguridad en la Uni\u00f3n.\u00bb.<\/p>\n

2)\u00a0El art\u00edculo\u00a02 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0los puntos\u00a09, 10 y\u00a011 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab9)\u00a0\u201cesquema europeo de certificaci\u00f3n de la ciberseguridad\u201d: conjunto completo de disposiciones, requisitos t\u00e9cnicos, normas y procedimientos establecidos a\u00a0escala de la Uni\u00f3n y que se aplican a\u00a0la certificaci\u00f3n o\u00a0a\u00a0la evaluaci\u00f3n de la conformidad de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados espec\u00edficos;<\/p>\n

\u00a0 10)\u00a0\u201cesquema nacional de certificaci\u00f3n de la ciberseguridad\u201d: conjunto completo de disposiciones, requisitos t\u00e9cnicos, normas y procedimientos desarrollados y adoptados por una autoridad p\u00fablica nacional y que se aplican a\u00a0la certificaci\u00f3n o\u00a0a\u00a0la evaluaci\u00f3n de la conformidad de los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados incluidos en el \u00e1mbito de aplicaci\u00f3n del esquema espec\u00edfico;<\/p>\n

\u00a0 11)\u00a0\u201ccertificado europeo de ciberseguridad\u201d: documento expedido por un organismo pertinente que certifica que un determinado producto, servicio o\u00a0proceso de TIC o\u00a0servicio de seguridad gestionado ha sido evaluado para verificar que cumple los requisitos espec\u00edficos de seguridad establecidos en un esquema europeo de certificaci\u00f3n de la ciberseguridad;\u00bb;<\/p>\n

\u00a0b)\u00a0se inserta el punto siguiente:<\/p>\n

\u00a0\u00ab14 bis) \u201cservicio de seguridad gestionado\u201d: servicio prestado a\u00a0un tercero que consiste en llevar a\u00a0cabo o\u00a0prestar asistencia para actividades relacionadas con la gesti\u00f3n de riesgos de ciberseguridad, como, por ejemplo, la gesti\u00f3n de incidentes, las pruebas de penetraci\u00f3n, las auditor\u00edas de seguridad y la consultor\u00eda relacionada con la asistencia t\u00e9cnica, incluidos los conocimientos espec\u00edficos;\u00bb;<\/p>\n

\u00a0c)\u00a0los puntos\u00a020, 21 y\u00a022 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab20)\u00a0\u201cespecificaci\u00f3n t\u00e9cnica\u201d: documento que prescribe los requisitos t\u00e9cnicos que debe cumplir un producto, servicio o\u00a0proceso de TIC o\u00a0un servicio de seguridad gestionado, o\u00a0los procedimientos de evaluaci\u00f3n de la conformidad relativos a\u00a0estos;<\/p>\n

\u00a0 21)\u00a0\u201cnivel de garant\u00eda\u201d: fundamento que permite garantizar que un producto, servicio o\u00a0proceso de TIC o\u00a0un servicio de seguridad gestionado cumple los requisitos de seguridad de un esquema europeo de certificaci\u00f3n de la ciberseguridad espec\u00edfico; indica el nivel en el que se ha evaluado un producto, servicio o\u00a0proceso de TIC o\u00a0un servicio de seguridad gestionado, pero, como tal, no mide la seguridad del producto, servicio o\u00a0proceso de TIC o\u00a0del servicio de seguridad gestionado en cuesti\u00f3n;<\/p>\n

22)\u00a0\u201cautoevaluaci\u00f3n de la conformidad\u201d: acci\u00f3n realizada por un fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados para evaluar si estos cumplen los requisitos de un esquema europeo de certificaci\u00f3n de la ciberseguridad espec\u00edfico.\u00bb.<\/p>\n

3)\u00a0En el art\u00edculo\u00a04, el apartado\u00a06 se sustituye por el texto siguiente:<\/p>\n

\u00ab6.\u00a0\u00a0\u00a0ENISA promover\u00e1 el uso de la certificaci\u00f3n europea de ciberseguridad, con vistas a\u00a0evitar la fragmentaci\u00f3n del mercado interior. ENISA contribuir\u00e1 a\u00a0la creaci\u00f3n y al mantenimiento de un marco europeo de certificaci\u00f3n de la ciberseguridad de conformidad con el t\u00edtulo\u00a0III del presente Reglamento, con el fin de aumentar la transparencia de la ciberseguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados y reforzar as\u00ed la confianza en el mercado interior digital y su competitividad.\u00bb.<\/p>\n

4)\u00a0El art\u00edculo\u00a08 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el apartado\u00a01 se modifica como sigue:<\/p>\n

\u00a0 i)\u00a0la parte introductoria se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00ab1.\u00a0\u00a0\u00a0ENISA apoyar\u00e1 y promover\u00e1 el desarrollo y la aplicaci\u00f3n de la pol\u00edtica de la Uni\u00f3n en materia de certificaci\u00f3n de la ciberseguridad de productos, servicios y procesos de TIC y servicios de seguridad gestionados, seg\u00fan lo establecido en el t\u00edtulo\u00a0III del presente Reglamento, por los siguientes medios:\u00bb;<\/p>\n

\u00a0 ii)\u00a0la letra\u00a0b) se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00abb)\u00a0preparar propuestas de esquemas europeos de certificaci\u00f3n de la ciberseguridad (en lo sucesivo, \u201cpropuestas de esquemas\u201d) para productos, servicios y procesos de TIC y servicios de seguridad gestionados de conformidad con el art\u00edculo\u00a049;\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a03 se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00ab3.\u00a0\u00a0\u00a0ENISA recopilar\u00e1 y publicar\u00e1 directrices y formular\u00e1 buenas pr\u00e1cticas en relaci\u00f3n con los requisitos de ciberseguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados, en cooperaci\u00f3n con las autoridades nacionales de certificaci\u00f3n de la ciberseguridad y con el sector, de una manera formal, estructurada y transparente.\u00bb;<\/p>\n

\u00a0c)\u00a0el apartado\u00a05 se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00ab5.\u00a0\u00a0\u00a0ENISA facilitar\u00e1 el establecimiento y la adopci\u00f3n de normas europeas e\u00a0internacionales para la gesti\u00f3n de riesgos y para la seguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados.\u00bb.<\/p>\n

5)\u00a0El art\u00edculo\u00a046 se sustituye por el texto siguiente:<\/p>\n

\u00abArt\u00edculo\u00a046<\/p>\n

Marco europeo de certificaci\u00f3n de la ciberseguridad<\/p>\n

\u00a0 1.\u00a0\u00a0\u00a0Se crea el marco europeo de certificaci\u00f3n de la ciberseguridad con el fin de mejorar las condiciones de funcionamiento del mercado interior incrementando el nivel de ciberseguridad en el seno de la Uni\u00f3n y haciendo posible que, a\u00a0escala de la Uni\u00f3n, se adopte un planteamiento armonizado de esquemas europeos de certificaci\u00f3n de la ciberseguridad, con el objetivo de crear un mercado \u00fanico digital para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados.<\/p>\n

\u00a0 2.\u00a0\u00a0\u00a0El marco europeo de certificaci\u00f3n de la ciberseguridad definir\u00e1 un mecanismo destinado a\u00a0instaurar esquemas europeos de certificaci\u00f3n de la ciberseguridad y a\u00a0confirmar que los productos, servicios y procesos de TIC que hayan sido evaluados con arreglo a\u00a0dichos esquemas cumplen los requisitos de seguridad especificados con el objetivo de proteger la disponibilidad, autenticidad, integridad o\u00a0confidencialidad de los datos almacenados, transmitidos o\u00a0tratados o\u00a0las funciones o\u00a0servicios que ofrecen, o\u00a0a\u00a0los que permitan acceder, dichos productos, servicios y procesos durante todo su ciclo de vida. Adem\u00e1s, confirmar\u00e1 que los servicios de seguridad gestionados que hayan sido evaluados con arreglo a\u00a0dichos esquemas cumplen los requisitos de seguridad especificados con el objetivo de proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos consultados, tratados, almacenados o\u00a0transmitidos en relaci\u00f3n con la prestaci\u00f3n de tales servicios, y que tales servicios son prestados en todo momento con la competencia, pericia y experiencia necesarias por personal que posee un nivel suficiente y adecuado de los conocimientos t\u00e9cnicos pertinentes y de integridad profesional.\u00bb.<\/p>\n

6)\u00a0El art\u00edculo\u00a047 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el apartado\u00a02 se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00ab2.\u00a0\u00a0\u00a0El programa de trabajo evolutivo de la Uni\u00f3n incluir\u00e1, en particular, una lista de productos, servicios y procesos de TIC, y de servicios de seguridad gestionados o\u00a0de categor\u00edas de estos, que pudieran beneficiarse de la inclusi\u00f3n en el \u00e1mbito de aplicaci\u00f3n de un esquema europeo de certificaci\u00f3n de la ciberseguridad.\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a03 se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0i)\u00a0la parte introductoria se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0 \u00ab3.\u00a0\u00a0\u00a0La inclusi\u00f3n de productos, servicios y procesos de TIC espec\u00edficos, o\u00a0de servicios de seguridad gestionados, o\u00a0de categor\u00edas de estos, en el programa de trabajo evolutivo de la Uni\u00f3n se justificar\u00e1 sobre la base de uno o\u00a0m\u00e1s de los siguientes motivos:\u00bb;<\/p>\n

\u00a0 \u00a0ii)\u00a0la letra\u00a0a) se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0 \u00aba)\u00a0la disponibilidad y el desarrollo de esquemas nacionales de certificaci\u00f3n de la ciberseguridad que incluyan cualquier categor\u00eda espec\u00edfica de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados y, en particular, en lo que se refiere al riesgo de fragmentaci\u00f3n;\u00bb;<\/p>\n

\u00a0 \u00a0iii)\u00a0se inserta la letra\u00a0siguiente:<\/p>\n

\u00a0 \u00a0 \u00abc bis) los avances tecnol\u00f3gicos y la disponibilidad y el desarrollo de esquemas de certificaci\u00f3n de la ciberseguridad internacionales y normas internacionales y normas empleadas por la industria;\u00bb;<\/p>\n

7)\u00a0El art\u00edculo\u00a049 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0los apartados\u00a01 a\u00a04 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab1.\u00a0\u00a0\u00a0Tras recibir una solicitud de la Comisi\u00f3n con arreglo al art\u00edculo\u00a048, ENISA preparar\u00e1 una propuesta de esquema que cumpla los requisitos aplicables establecidos en los art\u00edculos\u00a051, 51\u00a0bis, 52 y\u00a054.<\/p>\n

\u00a0 \u00a02.\u00a0\u00a0\u00a0Tras recibir una solicitud del GECC con arreglo al art\u00edculo\u00a048, apartado\u00a02, ENISA podr\u00e1 preparar una propuesta de esquema que cumpla los requisitos aplicables establecidos en los art\u00edculos\u00a051, 51\u00a0bis, 52 y\u00a054. Cuando ENISA rechace una solicitud, motivar\u00e1 su decisi\u00f3n. Toda decisi\u00f3n de rechazar dicha solicitud ser\u00e1 adoptada por el Consejo de Administraci\u00f3n.<\/p>\n

\u00a0 \u00a03.\u00a0\u00a0\u00a0A la hora de preparar las propuestas de esquema, ENISA consultar\u00e1 a\u00a0todas las partes interesadas de manera oportuna mediante un proceso de consulta formal, abierto, transparente e\u00a0inclusivo. Al transmitir la propuesta de esquema a\u00a0la Comisi\u00f3n con arreglo al apartado\u00a06, ENISA facilitar\u00e1 informaci\u00f3n sobre la forma en que ha cumplido lo dispuesto en el presente apartado.<\/p>\n

\u00a0 \u00a04.\u00a0\u00a0\u00a0Para cada propuesta de esquema, ENISA crear\u00e1 un grupo de trabajo ad hoc con arreglo al art\u00edculo\u00a020, apartado\u00a04, con el objetivo de facilitar a\u00a0ENISA asesoramiento y conocimientos espec\u00edficos. Dichos grupos de trabajo incluir\u00e1n, seg\u00fan proceda y sin perjuicio de los procedimientos y la discrecionalidad establecidos en el art\u00edculo\u00a020, apartado\u00a04, expertos de las administraciones p\u00fablicas de los Estados miembros, de las instituciones, \u00f3rganos y organismos de la Uni\u00f3n y del sector privado.\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a07 se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0\u00ab7.\u00a0\u00a0\u00a0La Comisi\u00f3n, sobre la base de la propuesta de esquema preparada por ENISA, podr\u00e1 adoptar actos de ejecuci\u00f3n que establezcan esquemas de certificaci\u00f3n de la ciberseguridad europeos para productos, servicios y procesos de TIC y servicios de seguridad gestionados que cumplan los requisitos pertinentes de los art\u00edculos\u00a051, 51\u00a0bis, 52 y\u00a054. Dichos actos de ejecuci\u00f3n se adoptar\u00e1n de conformidad con el procedimiento de examen a\u00a0que se refiere el art\u00edculo\u00a066, apartado\u00a02.\u00bb.<\/p>\n

8)\u00a0Se inserta el art\u00edculo siguiente:<\/p>\n

\u00a0\u00abArt\u00edculo\u00a049\u00a0bis<\/p>\n

Informaci\u00f3n y consulta sobre los esquemas europeos de certificaci\u00f3n de la ciberseguridad<\/p>\n

\u00a0 1.\u00a0\u00a0\u00a0La Comisi\u00f3n har\u00e1 p\u00fablica la informaci\u00f3n sobre su solicitud a\u00a0ENISA para que esta prepare una propuesta de esquema o\u00a0revise un esquema europeo de certificaci\u00f3n de la ciberseguridad existente a\u00a0que se refiere el art\u00edculo\u00a048.<\/p>\n

\u00a0 2.\u00a0\u00a0\u00a0Durante la preparaci\u00f3n de una propuesta de esquema por parte de ENISA en virtud del art\u00edculo\u00a049, el Parlamento Europeo, el Consejo o\u00a0ambos, podr\u00e1n solicitar a\u00a0la Comisi\u00f3n, en su calidad de presidenta del GECC, y a\u00a0ENISA, que presente trimestralmente informaci\u00f3n pertinente sobre una propuesta de esquema. A\u00a0petici\u00f3n del Parlamento Europeo o\u00a0del Consejo, ENISA, de acuerdo con la Comisi\u00f3n, y sin perjuicio de lo dispuesto en el art\u00edculo\u00a027, podr\u00e1 poner a\u00a0disposici\u00f3n del Parlamento Europeo y del Consejo las partes pertinentes de una propuesta de esquema de un modo que se ajuste al nivel de confidencialidad requerido y, en su caso, de forma restringida.<\/p>\n

\u00a0 3.\u00a0\u00a0\u00a0Con el fin de reforzar el di\u00e1logo entre las instituciones de la Uni\u00f3n y contribuir a\u00a0un proceso de consulta formal, abierto, transparente e\u00a0inclusivo, el Parlamento Europeo, el Consejo o\u00a0ambos, podr\u00e1n invitar a\u00a0la Comisi\u00f3n y a\u00a0ENISA a\u00a0debatir cuestiones relativas al funcionamiento de los esquemas europeos de certificaci\u00f3n de la ciberseguridad para productos, servicios y procesos de TIC o\u00a0servicios de seguridad gestionados.<\/p>\n

\u00a0 4.\u00a0\u00a0\u00a0La Comisi\u00f3n tendr\u00e1 en cuenta, en su caso, los elementos derivados de las opiniones expresadas por el Parlamento Europeo y el Consejo, o\u00a0por uno de ellos, sobre las cuestiones a\u00a0que se refiere el apartado\u00a03 del presente art\u00edculo al evaluar el presente Reglamento en virtud del art\u00edculo\u00a067.\u00bb.<\/p>\n

9)\u00a0El art\u00edculo\u00a051 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el t\u00edtulo se sustituye por el texto siguiente:<\/p>\n

\u00abObjetivos de seguridad de los esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los productos, servicios y procesos de TIC\u00bb;<\/p>\n

\u00a0b)\u00a0la parte introductoria se sustituye por el texto siguiente:<\/p>\n

\u00abLos esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los productos, servicios o\u00a0procesos de TIC deber\u00e1n dise\u00f1arse para cumplir, seg\u00fan proceda, al menos los objetivos de seguridad siguientes:\u00bb.<\/p>\n

10)\u00a0Se inserta el art\u00edculo siguiente:<\/p>\n

\u00abArt\u00edculo\u00a051 bis<\/p>\n

Objetivos de seguridad de los esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los servicios de seguridad gestionadosLos esquemas europeos de certificaci\u00f3n de la ciberseguridad en relaci\u00f3n con los servicios de seguridad gestionados deber\u00e1n dise\u00f1arse para cumplir, seg\u00fan proceda, al menos los objetivos de seguridad siguientes:<\/p>\n

\u00a0a)\u00a0que los servicios de seguridad gestionados se presten con la competencia, pericia y experiencia necesarias, y, en particular, que el personal encargado de prestar dichos servicios posea un nivel suficiente y adecuado de competencia y conocimientos t\u00e9cnicos en el \u00e1mbito espec\u00edfico, as\u00ed como una experiencia suficiente y adecuada, y act\u00fae con el m\u00e1ximo nivel de integridad profesional;<\/p>\n

\u00a0b)\u00a0que el proveedor disponga de procedimientos internos adecuados para asegurar que los servicios de seguridad gestionados se presten en todo momento con un nivel de calidad suficiente y adecuado;<\/p>\n

\u00a0c)\u00a0que se protejan los datos consultados, almacenados, transmitidos o\u00a0tratados de otro modo en relaci\u00f3n con la prestaci\u00f3n de servicios de seguridad gestionados frente al acceso, almacenamiento, revelaci\u00f3n, destrucci\u00f3n u\u00a0otro tipo de tratamiento accidentales o\u00a0no autorizados, la p\u00e9rdida o\u00a0la alteraci\u00f3n, o\u00a0la falta de disponibilidad;<\/p>\n

\u00a0d)\u00a0que se restauren la disponibilidad y el acceso a\u00a0los datos, servicios y funciones de forma r\u00e1pida en caso de incidente f\u00edsico o\u00a0t\u00e9cnico;<\/p>\n

\u00a0e)\u00a0que las personas, programas o\u00a0m\u00e1quinas autorizados puedan acceder exclusivamente a\u00a0los datos, servicios o\u00a0funciones a\u00a0que se refiere su derecho de acceso;<\/p>\n

\u00a0f)\u00a0que se lleve un registro y est\u00e9 disponible para evaluar los datos, servicios o\u00a0funciones que han sido objeto de acceso, uso u\u00a0otro tratamiento, en qu\u00e9 momentos y por qui\u00e9n;<\/p>\n

\u00a0g)\u00a0que los productos, servicios y procesos de TIC que se implementen en el contexto de la prestaci\u00f3n de los servicios de seguridad gestionados sean seguros desde el dise\u00f1o y por defecto, y, cuando proceda, incluyan las \u00faltimas actualizaciones de seguridad y no contengan vulnerabilidades conocidas p\u00fablicamente.\u00bb.<\/p>\n

11)\u00a0El art\u00edculo\u00a052 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el apartado\u00a01 se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00ab1.\u00a0\u00a0\u00a0Los esquemas europeos de certificaci\u00f3n de la ciberseguridad podr\u00e1n especificar uno o\u00a0m\u00e1s de los niveles de garant\u00eda siguientes para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados: \u201cb\u00e1sico\u201d, \u201csustancial\u201d o\u00a0\u201celevado\u201d. El nivel de garant\u00eda deber\u00e1 reflejar el nivel del riesgo asociado al uso previsto del producto, servicio o\u00a0proceso de TIC o\u00a0servicio de seguridad gestionado, en t\u00e9rminos de probabilidad y repercusiones de un incidente.\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a03 se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00ab3.\u00a0\u00a0\u00a0Los requisitos de seguridad relativos a\u00a0cada nivel de garant\u00eda se precisar\u00e1n en el esquema europeo de certificaci\u00f3n de la ciberseguridad pertinente, incluidas las correspondientes funcionalidades de seguridad y el correspondiente rigor y profundidad necesarios para evaluar un producto, servicio o\u00a0proceso de TIC o\u00a0un servicio de seguridad gestionado.\u00bb;<\/p>\n

\u00a0c)\u00a0los apartados\u00a05, 6 y\u00a07 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab5.\u00a0\u00a0\u00a0Un certificado europeo de ciberseguridad o\u00a0una declaraci\u00f3n de conformidad de la\u00a0UE que se refiere a\u00a0un nivel de garant\u00eda \u201cb\u00e1sico\u201d ofrece garant\u00edas de que los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados para los cuales se expide cumplen los correspondientes requisitos de seguridad, incluidas las funcionalidades de seguridad, y de que se han evaluado hasta un nivel que pretende minimizar los riesgos b\u00e1sicos conocidos de incidentes y ciberataques. Las actividades de evaluaci\u00f3n que deber\u00e1n efectuar incluir\u00e1n al menos una revisi\u00f3n de la documentaci\u00f3n t\u00e9cnica. Cuando dicha revisi\u00f3n no sea apropiada, se emprender\u00e1n actividades de evaluaci\u00f3n de la sustituci\u00f3n con efecto equivalente.<\/p>\n

\u00a0 6.\u00a0\u00a0\u00a0Un certificado europeo de ciberseguridad que se refiere a\u00a0un nivel de garant\u00eda \u201csustancial\u201d ofrece garant\u00edas de que los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados para los cuales se expide dicho certificado cumplen los requisitos de seguridad correspondientes, incluidas las funcionalidades de seguridad, y de que se han evaluado hasta un nivel que pretende minimizar los riesgos relacionados con la ciberseguridad conocidos, los riesgos de incidentes y los ciberataques cometidos por agentes con capacidades y recursos limitados. Las actividades de evaluaci\u00f3n que deber\u00e1n efectuarse incluir\u00e1n al menos: la revisi\u00f3n para demostrar la ausencia de vulnerabilidades conocidas p\u00fablicamente y la comprobaci\u00f3n de que los productos, servicios o\u00a0procesos de TIC o\u00a0los servicios de seguridad gestionados aplican correctamente las funcionalidades de seguridad necesarias. Cuando dichas actividades de evaluaci\u00f3n no sean apropiadas, se emprender\u00e1n actividades de evaluaci\u00f3n de la sustituci\u00f3n con efecto equivalente.<\/p>\n

\u00a0 7.\u00a0\u00a0\u00a0Un certificado europeo de ciberseguridad que se refiere a\u00a0un nivel de garant\u00eda \u201celevado\u201d ofrecer\u00e1 garant\u00edas de que los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados para los cuales se expide dicho certificado cumplen los requisitos de seguridad correspondientes, incluidas las funcionalidades de seguridad, y de que se han evaluado hasta nivel que pretende minimizar el riesgo de ciberataques sofisticados cometidos por agentes con capacidades y recursos considerables. Las actividades de evaluaci\u00f3n que deber\u00e1n efectuarse incluir\u00e1n al menos: la revisi\u00f3n para demostrar la improcedencia de las vulnerabilidades conocidas p\u00fablicamente, la comprobaci\u00f3n de que los productos, procesos o\u00a0servicios de TIC o\u00a0los servicios de seguridad gestionados aplican correctamente la funcionalidad de seguridad m\u00e1s con las tecnolog\u00edas de vanguardia necesarias, y la evaluaci\u00f3n de su resistencia a\u00a0atacantes expertos mediante pruebas de penetraci\u00f3n. Cuando dichas actividades de evaluaci\u00f3n no sean apropiadas, se emprender\u00e1n actividades de evaluaci\u00f3n de la sustituci\u00f3n con efecto equivalente.\u00bb.<\/p>\n

12)\u00a0En el art\u00edculo\u00a053, los apartados\u00a01, 2 y\u00a03 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab1.\u00a0\u00a0\u00a0Un esquema europeo de certificaci\u00f3n de la ciberseguridad podr\u00e1 permitir realizar una autoevaluaci\u00f3n de la conformidad bajo la responsabilidad exclusiva del fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados. La autoevaluaci\u00f3n de la conformidad \u00fanicamente se autorizar\u00e1 en relaci\u00f3n con los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados que presenten un riesgo bajo correspondientes al nivel de garant\u00eda \u201cb\u00e1sico\u201d.<\/p>\n

\u00a0 2.\u00a0\u00a0\u00a0El fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados puede expedir una declaraci\u00f3n de conformidad de la\u00a0UE en la que se indique que ha quedado demostrado el cumplimiento de los requisitos establecidos en el esquema. Al expedir dicha declaraci\u00f3n, el fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados asumir\u00e1 la responsabilidad de la conformidad del producto, servicio o\u00a0proceso de TIC o\u00a0servicio de seguridad gestionado con los requisitos que establezca dicho esquema.<\/p>\n

\u00a0 3.\u00a0\u00a0\u00a0El fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados deber\u00e1 poner a\u00a0disposici\u00f3n de la autoridad nacional de certificaci\u00f3n de la ciberseguridad designada en virtud del art\u00edculo\u00a058, durante el plazo previsto en el esquema europeo de certificaci\u00f3n de la ciberseguridad correspondiente, la declaraci\u00f3n de conformidad de la\u00a0UE, la documentaci\u00f3n t\u00e9cnica y toda otra informaci\u00f3n pertinente relativa a\u00a0la conformidad de los productos, servicios o\u00a0procesos de TIC o\u00a0los servicios de seguridad gestionados con el esquema. Deber\u00e1 presentarse a\u00a0la autoridad nacional de certificaci\u00f3n de la ciberseguridad y a\u00a0ENISA una copia de la declaraci\u00f3n de conformidad de la\u00a0UE.\u00bb.<\/p>\n

13)\u00a0En el art\u00edculo\u00a054, el apartado\u00a01 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0la letra\u00a0a) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00aba)\u00a0el objeto y el alcance del esquema de certificaci\u00f3n, incluido el tipo o\u00a0categor\u00eda de productos, servicios y procesos de TIC y servicios de seguridad gestionados cubiertos;\u00bb;<\/p>\n

\u00a0b)\u00a0la letra\u00a0g) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abg)\u00a0los criterios y m\u00e9todos de evaluaci\u00f3n espec\u00edficos que deben ser utilizados, incluidos los tipos de evaluaci\u00f3n, para demostrar el logro de los objetivos de seguridad aplicables a\u00a0que se refieren los art\u00edculos\u00a051 y\u00a051\u00a0bis;\u00bb;<\/p>\n

\u00a0c)\u00a0la letra\u00a0j) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abj)\u00a0las normas para controlar el cumplimiento de los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados de los requisitos de los certificados europeos de ciberseguridad o\u00a0de la declaraci\u00f3n de conformidad de la\u00a0UE, incluidos los mecanismos que permitan demostrar la conformidad permanente con los requisitos de ciberseguridad especificados;\u00bb;<\/p>\n

\u00a0d)\u00a0la letra\u00a0l) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abl)\u00a0las normas relativas a\u00a0las consecuencias para los productos, servicios y procesos de TIC o\u00a0los servicios de seguridad gestionados que han sido certificados o\u00a0para los que se haya expedido una declaraci\u00f3n de conformidad de la\u00a0UE, pero que no sean conformes con los requisitos del esquema;\u00bb;<\/p>\n

\u00a0e)\u00a0la letra\u00a0o) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abo)\u00a0la identificaci\u00f3n de los esquemas nacionales o\u00a0internacionales de certificaci\u00f3n de la ciberseguridad que cubran el mismo tipo o\u00a0categor\u00eda de productos, servicios y procesos de TIC o\u00a0servicios de seguridad gestionados, requisitos de seguridad, criterios y m\u00e9todos de evaluaci\u00f3n y niveles de garant\u00eda;\u00bb;<\/p>\n

\u00a0f)\u00a0la letra\u00a0q) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abq)\u00a0el per\u00edodo de disponibilidad de la declaraci\u00f3n de conformidad de la\u00a0UE, la documentaci\u00f3n t\u00e9cnica y cualquier otra informaci\u00f3n pertinente que deba facilitar el fabricante o\u00a0proveedor de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados;\u00bb.<\/p>\n

14)\u00a0El art\u00edculo\u00a056 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el apartado\u00a01 se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00ab1.\u00a0\u00a0\u00a0Los productos, servicios y procesos de TIC y los servicios de seguridad gestionados que hayan sido certificados en virtud de un esquema europeo de certificaci\u00f3n de la ciberseguridad adoptado con arreglo al art\u00edculo\u00a049 se considerar\u00e1n conformes con los requisitos de dicho esquema.\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a03 se modifica como sigue:<\/p>\n

\u00a0 i)\u00a0el p\u00e1rrafo primero se sustituye por el texto siguiente:<\/p>\n

\u00abLa Comisi\u00f3n evaluar\u00e1 peri\u00f3dicamente la eficacia y la utilizaci\u00f3n de los esquemas europeos de certificaci\u00f3n de la ciberseguridad adoptados, as\u00ed como si un determinado esquema europeo de certificaci\u00f3n de la ciberseguridad debe convertirse en obligatorio mediante el Derecho de la Uni\u00f3n aplicable para garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de TIC y, a\u00a0partir del 4\u00a0de\u00a0febrero de\u00a02025, los servicios de seguridad gestionados en la Uni\u00f3n y mejorar el funcionamiento del mercado interior. La primera de tales evaluaciones se efectuar\u00e1 a\u00a0m\u00e1s tardar el\u00a031\u00a0de\u00a0diciembre de\u00a02023, y las evaluaciones posteriores, como m\u00ednimo cada dos a\u00f1os. La Comisi\u00f3n deber\u00e1, a\u00a0partir de los resultados de las evaluaciones, determinar los productos, servicios y procesos de TIC y los servicios de seguridad gestionados cubiertos por un esquema de certificaci\u00f3n existente que deban estar cubiertos por un esquema de certificaci\u00f3n obligatorio.\u00bb;<\/p>\n

\u00a0 ii)\u00a0el p\u00e1rrafo tercero se modifica como sigue:<\/p>\n

\u00a0 \u00a0\u2014\u00a0la letra\u00a0a) se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0 \u00aba)\u00a0tener en cuenta las repercusiones de las medidas sobre los fabricantes o\u00a0proveedores de dichos productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados y sobre los usuarios, en t\u00e9rminos de costes, as\u00ed como los beneficios sociales o\u00a0econ\u00f3micos que se deriven del refuerzo previsto del nivel de seguridad de los productos, servicios o\u00a0procesos de TIC o\u00a0los servicios de seguridad gestionados de que se trate;\u00bb;<\/p>\n

\u00a0 \u00a0\u2014\u00a0la letra\u00a0d) se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0 \u00abd)\u00a0tener en cuenta los plazos de aplicaci\u00f3n, as\u00ed como los per\u00edodos y medidas transitorios, en particular, respecto de las posibles repercusiones de la medida sobre los fabricantes o\u00a0los proveedores de productos, servicios y procesos de TIC o\u00a0servicios de seguridad gestionados, incluidos los intereses y necesidades espec\u00edficos de las pymes, incluidas las microempresas;\u00bb;<\/p>\n

\u00a0c)\u00a0los apartados\u00a07 y\u00a08 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab7.\u00a0\u00a0\u00a0La persona f\u00edsica o\u00a0jur\u00eddica que presenta los productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados para la certificaci\u00f3n pondr\u00e1 a\u00a0disposici\u00f3n de la autoridad nacional de certificaci\u00f3n de la ciberseguridad designada en virtud del art\u00edculo\u00a058, si dicha autoridad es el organismo que expide el certificado europeo de ciberseguridad, o\u00a0del organismo de evaluaci\u00f3n de la conformidad a\u00a0que se refiere el art\u00edculo\u00a060, toda la informaci\u00f3n necesaria para llevar a\u00a0cabo el procedimiento de certificaci\u00f3n.<\/p>\n

\u00a0 8.\u00a0\u00a0\u00a0El titular de un certificado europeo de ciberseguridad informar\u00e1 a\u00a0la autoridad o\u00a0al organismo a\u00a0que se refiere el apartado\u00a07 de cualquier vulnerabilidad o\u00a0irregularidad que se detecte posteriormente relativa a\u00a0la seguridad de los productos, servicios o\u00a0procesos de TIC o\u00a0los servicios de seguridad gestionados certificados que pueda afectar al cumplimiento de los requisitos de certificaci\u00f3n. Dicha autoridad u\u00a0organismo transmitir\u00e1 la informaci\u00f3n sin demora indebida a\u00a0la autoridad nacional de certificaci\u00f3n de la ciberseguridad de que se trate.\u00bb.<\/p>\n

15)\u00a0En el art\u00edculo\u00a057, los apartados\u00a01 y\u00a02 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab1.\u00a0\u00a0\u00a0Sin perjuicio de lo dispuesto en el apartado\u00a03 del presente art\u00edculo, los esquemas nacionales de certificaci\u00f3n de la ciberseguridad y los procedimientos correspondientes para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados cubiertos por un esquema europeo de certificaci\u00f3n de la ciberseguridad dejar\u00e1n de surtir efectos a\u00a0partir de la fecha establecida en el acto de ejecuci\u00f3n adoptado con arreglo al art\u00edculo\u00a049, apartado\u00a07. Los esquemas nacionales de certificaci\u00f3n de la ciberseguridad y los procedimientos conexos para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados que no est\u00e9n cubiertos por un esquema europeo de certificaci\u00f3n de la ciberseguridad seguir\u00e1n existiendo.<\/p>\n

\u00a0 2.\u00a0\u00a0\u00a0Los Estados miembros se abstendr\u00e1n de introducir nuevos esquemas nacionales de certificaci\u00f3n de la ciberseguridad para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados cubiertos por un esquema europeo de certificaci\u00f3n de la ciberseguridad en vigor.\u00bb.<\/p>\n

16)\u00a0El art\u00edculo\u00a058 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0el apartado\u00a07 se modifica como sigue:<\/p>\n

\u00a0 i)\u00a0las letras\u00a0a) y b) se sustituyen por el texto siguiente:<\/p>\n

\u00a0 \u00aba)\u00a0supervisar\u00e1n y velar\u00e1n por la aplicaci\u00f3n de las normas recogidas en los esquemas europeos de certificaci\u00f3n de la ciberseguridad en virtud del art\u00edculo\u00a054, apartado\u00a01, letra\u00a0j), para controlar la conformidad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados con los requisitos de los certificados europeos de ciberseguridad que hayan sido expedidos en sus respectivos territorios, en cooperaci\u00f3n con otras autoridades de vigilancia del mercado pertinentes;<\/p>\n

\u00a0 \u00a0b)\u00a0controlar\u00e1n el cumplimiento y velar\u00e1n por la aplicaci\u00f3n de las obligaciones de los fabricantes o\u00a0proveedores de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados que est\u00e9n establecidos en sus respectivos territorios y que llevan a\u00a0cabo autoevaluaciones de la conformidad, en particular, controlar\u00e1n el cumplimiento y la aplicaci\u00f3n de las obligaciones de dichos fabricantes y proveedores que figuran en el art\u00edculo\u00a053, apartados\u00a02 y\u00a03, y en el correspondiente esquema europeo de certificaci\u00f3n de la ciberseguridad;\u00bb;<\/p>\n

\u00a0 ii)\u00a0la letra\u00a0h) se sustituye por el texto siguiente:<\/p>\n

\u00a0 \u00a0\u00abh)\u00a0cooperar\u00e1n con otras autoridades nacionales de certificaci\u00f3n de la ciberseguridad u\u00a0otras autoridades p\u00fablicas, en particular, mediante el intercambio de informaci\u00f3n sobre productos, servicios y procesos de TIC o\u00a0servicios de seguridad gestionados que no se ajusten a\u00a0los requisitos del presente Reglamento o\u00a0de esquemas europeos de certificaci\u00f3n de la ciberseguridad espec\u00edficos, y;\u00bb;<\/p>\n

\u00a0b)\u00a0el apartado\u00a09 se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00ab9.\u00a0\u00a0\u00a0Las autoridades nacionales de certificaci\u00f3n de la ciberseguridad cooperar\u00e1n entre ellas y con la Comisi\u00f3n, y, en particular, intercambiar\u00e1n informaci\u00f3n, experiencias y buenas pr\u00e1cticas en relaci\u00f3n con la certificaci\u00f3n de la ciberseguridad y las cuestiones t\u00e9cnicas relativas a\u00a0la ciberseguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados.\u00bb.<\/p>\n

17)\u00a0En el art\u00edculo\u00a059, apartado\u00a03, las letras\u00a0b) y c) se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00abb)\u00a0los procedimientos de supervisi\u00f3n y cumplimiento de las normas para controlar la conformidad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados con los certificados europeos de ciberseguridad con arreglo al art\u00edculo\u00a058, apartado\u00a07, letra\u00a0a);<\/p>\n

\u00a0 c)\u00a0los procedimientos de control y cumplimiento de las obligaciones de los fabricantes o\u00a0proveedores de productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados con arreglo al art\u00edculo\u00a058, apartado\u00a07, letra\u00a0b);\u00bb.<\/p>\n

18)\u00a0En el art\u00edculo\u00a067, los apartados\u00a02 y\u00a03 se sustituyen por el texto siguiente:<\/p>\n

\u00a0\u00ab2.\u00a0\u00a0\u00a0En la evaluaci\u00f3n se analizar\u00e1n tambi\u00e9n los efectos, la eficacia y la eficiencia de las disposiciones del t\u00edtulo\u00a0III del presente Reglamento, incluidos los procedimientos que conducen a\u00a0la adopci\u00f3n de esquemas europeos de certificaci\u00f3n de la ciberseguridad y sus bases emp\u00edricas, en relaci\u00f3n con los objetivos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de TIC y los servicios de seguridad gestionados en la Uni\u00f3n y de mejorar el funcionamiento del mercado interior.<\/p>\n

\u00a0 3.\u00a0\u00a0\u00a0En la evaluaci\u00f3n se analizar\u00e1 la necesidad de establecer requisitos esenciales de ciberseguridad para el acceso al mercado interior a\u00a0fin de evitar que se introduzcan en el mercado interior productos, servicios y procesos de TIC o\u00a0servicios de seguridad gestionados que no sean conformes con los requisitos b\u00e1sicos en materia de ciberseguridad.\u00bb.<\/p>\n

19)\u00a0El anexo\u00a0se modifica de conformidad con el anexo del presente Reglamento.<\/p>\n

Art\u00edculo\u00a02<\/h5>\n

El presente Reglamento entrar\u00e1 en vigor a\u00a0los veinte d\u00edas de su publicaci\u00f3n en el Diario Oficial de la Uni\u00f3n Europea<\/span>.<\/p>\n

El presente Reglamento ser\u00e1 obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.<\/p>\n

Hecho en Bruselas, el 19\u00a0de\u00a0diciembre de\u00a02024.<\/p>\n

Por el Parlamento Europeo<\/span><\/p>\n

La Presidenta<\/span><\/p>\n

R. METSOLA<\/p>\n

Por el Consejo<\/span><\/p>\n

El Presidente<\/span><\/p>\n

B\u00d3KA J.<\/p>\n

(1<\/span>)<\/a>\u00a0\u00a0 DO C\u00a0349 de\u00a029.9.2023, p.\u00a0167<\/a>.<\/p>\n

(2<\/span>)<\/a>\u00a0\u00a0Posici\u00f3n del Parlamento Europeo de\u00a024\u00a0de\u00a0abril de\u00a02024 (pendiente de publicaci\u00f3n en el Diario Oficial) y Decisi\u00f3n del Consejo de 2\u00a0de\u00a0diciembre de\u00a02024.<\/p>\n

(3<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02019\/881 del Parlamento Europeo y del Consejo, de\u00a017\u00a0de\u00a0abril de\u00a02019, relativo a\u00a0ENISA (Agencia de la Uni\u00f3n Europea para la Ciberseguridad) y a\u00a0la certificaci\u00f3n de la ciberseguridad de las tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n y por el que se deroga el Reglamento (UE) n.o<\/span>\u00a0526\/2013 (\u00abReglamento sobre la Ciberseguridad\u00bb) (DO L\u00a0151 de\u00a07.6.2019, p.\u00a015<\/a>).<\/p>\n

(4<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02024\/2847 del Parlamento Europeo y del Consejo, de\u00a023\u00a0de\u00a0octubre de\u00a02024, relativo a\u00a0los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n.o<\/span>\u00a0168\/2013 y el Reglamento (UE)\u00a02019\/1020 y la Directiva (UE)\u00a02020\/1828 (Reglamento de Ciberresiliencia) (DO\u00a0L, 2024\/2847, 20.11.2024, ELI:\u00a0http:\/\/data.europa.eu\/eli\/reg\/2024\/2847\/oj<\/a>).<\/p>\n

(5<\/span>)<\/a>\u00a0\u00a0Directiva (UE)\u00a02022\/2555 del Parlamento Europeo y del Consejo, de\u00a014\u00a0de\u00a0diciembre de\u00a02022, relativa a\u00a0las medidas destinadas a\u00a0garantizar un elevado nivel com\u00fan de ciberseguridad en toda la Uni\u00f3n, por la que se modifican el Reglamento (UE) n.o<\/span>\u00a0910\/2014 y la Directiva (UE)\u00a02018\/1972 y por la que se deroga la Directiva (UE)\u00a02016\/1148 (Directiva SRI\u00a02) (DO L\u00a0333 de\u00a027.12.2022, p.\u00a080<\/a>).<\/p>\n

(6<\/span>)<\/a>\u00a0\u00a0Reglamento (UE) 2025\/38 del Parlamento Europeo y del Consejo de 19\u00a0de\u00a0diciembre de\u00a02024 por el que se establecen medidas destinadas a\u00a0reforzar la solidaridad y las capacidades en la Uni\u00f3n a\u00a0fin de detectar ciberamenazas e\u00a0incidentes, prepararse y responder a\u00a0ellos y por el que se modifica el Reglamento (UE)\u00a02021\/694 (Reglamento de Cibersolidaridad) (DO\u00a0L, 2025\/38, 15.1.2025, ELI:\u00a0http:\/\/data.europa.eu\/eli\/reg\/2025\/38\/oj<\/a>).<\/p>\n

(7<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02021\/694 del Parlamento Europeo y del Consejo, de\u00a029\u00a0de\u00a0abril de\u00a02021, por el que se establece el Programa Europa Digital y por el que se deroga la Decisi\u00f3n (UE)\u00a02015\/2240 (DO L\u00a0166 de\u00a011.5.2021, p.\u00a01<\/a>).<\/p>\n

(8<\/span>)<\/a>\u00a0\u00a0Decisi\u00f3n (UE)\u00a02022\/2481 del Parlamento Europeo y del Consejo de\u00a014\u00a0de\u00a0diciembre de\u00a02022 por la que se establece el programa estrat\u00e9gico de la D\u00e9cada Digital para 2030 (DO L\u00a0323 de\u00a019.12.2022, p.\u00a04<\/a>).<\/p>\n

(9<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02018\/1725 del Parlamento Europeo y del Consejo, de\u00a023\u00a0de\u00a0octubre de\u00a02018, relativo a\u00a0la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales por las instituciones, \u00f3rganos y organismos de la Uni\u00f3n, y a\u00a0la libre circulaci\u00f3n de esos datos, y por el que se derogan el Reglamento (CE) n.o<\/span>\u00a045\/2001 y la Decisi\u00f3n n.o<\/span>\u00a01247\/2002\/CE (DO L\u00a0295 de\u00a021.11.2018, p.\u00a039<\/a>).<\/p>\n

ANEXO<\/h5>\n

El anexo del Reglamento (UE)\u00a02019\/881 se modifica como sigue:<\/p>\n

1)\u00a0Los puntos\u00a02 a\u00a05 se sustituyen por el texto siguiente:<\/p>\n

\u00ab2.\u00a0El organismo de evaluaci\u00f3n de la conformidad ser\u00e1 un organismo tercero independiente de la organizaci\u00f3n, o\u00a0de los productos, servicios o\u00a0procesos de TIC o\u00a0de los servicios de seguridad gestionados que eval\u00faa.<\/p>\n

\u00a03.\u00a0Podr\u00e1 tratarse de un organismo pertenecientes a\u00a0una asociaci\u00f3n empresarial o\u00a0una federaci\u00f3n profesional que represente a\u00a0las empresas que participan en el dise\u00f1o, la fabricaci\u00f3n, el suministro, el montaje, el uso o\u00a0el mantenimiento de los productos, servicios o\u00a0procesos de TIC o\u00a0los servicios de seguridad gestionados que eval\u00faa, a\u00a0condici\u00f3n de que se demuestre su independencia y la ausencia de conflictos de intereses.<\/p>\n

\u00a04.\u00a0El organismo de evaluaci\u00f3n de la conformidad, sus m\u00e1ximos directivos y el personal responsable de la realizaci\u00f3n de las tareas de evaluaci\u00f3n de la conformidad no ser\u00e1n el dise\u00f1ador, el fabricante, el proveedor, el instalador, el comprador, el propietario, el usuario ni el encargado del mantenimiento del producto, servicio o\u00a0proceso de TIC o\u00a0del servicio de seguridad gestionado que debe evaluarse, o\u00a0el representante autorizado de ninguno de ellos. Dicha prohibici\u00f3n no ser\u00e1 \u00f3bice para que se utilicen los productos de TIC evaluados necesarios para las actividades del organismo de evaluaci\u00f3n de la conformidad o\u00a0para que se utilicen dichos productos de TIC para fines personales.<\/p>\n

\u00a05.\u00a0El organismo de evaluaci\u00f3n de la conformidad, sus m\u00e1ximos directivos y el personal responsable de la realizaci\u00f3n de las tareas de evaluaci\u00f3n de la conformidad no intervendr\u00e1n directamente en el dise\u00f1o, la fabricaci\u00f3n o\u00a0construcci\u00f3n, la prestaci\u00f3n, la comercializaci\u00f3n, la instalaci\u00f3n, el uso o\u00a0el mantenimiento de los productos, servicios o\u00a0procesos de TIC o\u00a0de los servicios de seguridad gestionados que son evaluados, ni representar\u00e1n a\u00a0las partes que participan en estas actividades. Los organismos de evaluaci\u00f3n de la conformidad, sus m\u00e1ximos directivos y las personas responsables de la realizaci\u00f3n de las tareas de evaluaci\u00f3n de la conformidad no efectuar\u00e1n ninguna actividad que pueda entrar en conflicto con su independencia de criterio o\u00a0su integridad en relaci\u00f3n con las actividades de evaluaci\u00f3n de la conformidad para las que est\u00e9n notificados. Dicha prohibici\u00f3n se aplicar\u00e1, en particular, a\u00a0los servicios de consultor\u00eda.\u00bb.<\/p>\n

2)\u00a0El punto\u00a010 se modifica como sigue:<\/p>\n

\u00a0a)\u00a0la parte introductoria se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00ab10.\u00a0En todo momento, respecto a\u00a0cada procedimiento de evaluaci\u00f3n de la conformidad y cada tipo, categor\u00eda o\u00a0subcategor\u00eda de productos, servicios o\u00a0procesos de TIC o\u00a0de servicios de seguridad gestionados, el organismo de evaluaci\u00f3n de la conformidad dispondr\u00e1 de:\u00bb;<\/p>\n

\u00a0b)\u00a0la letra\u00a0c) se sustituye por el texto siguiente:<\/p>\n

\u00a0\u00abc)\u00a0los procedimientos necesarios para desempe\u00f1ar sus actividades teniendo debidamente en cuenta el tama\u00f1o de una empresa, el sector en que opera, su estructura, el grado de complejidad de la tecnolog\u00eda del producto, servicio o\u00a0proceso de TIC o\u00a0servicio de seguridad gestionado de que se trate y si el proceso de producci\u00f3n es en serie.\u00bb.<\/p>\n

3)\u00a0Los puntos\u00a019 y\u00a020 se sustituyen por el texto siguiente:<\/p>\n

\u00ab19.\u00a0Los organismos de evaluaci\u00f3n de la conformidad cumplir\u00e1n los requisitos de la norma armonizada pertinente tal como se define en el art\u00edculo\u00a02, punto\u00a09, del Reglamento (CE) n.o\u00a0765\/2008 para la acreditaci\u00f3n de los organismos de evaluaci\u00f3n de la conformidad que certifiquen productos, servicios o\u00a0procesos de TIC o\u00a0servicios de seguridad gestionados.<\/p>\n

\u00a0 20.\u00a0Los organismos de evaluaci\u00f3n de la conformidad velar\u00e1n por que los laboratorios de ensayo utilizados con fines de evaluaci\u00f3n de la conformidad cumplan los requisitos de la norma armonizada pertinente tal como se define en el art\u00edculo\u00a02, punto\u00a09, del Reglamento (CE) n.o\u00a0765\/2008 para la acreditaci\u00f3n de los laboratorios que realicen ensayos.\u00bb.<\/p>\n

Se ha realizado una declaraci\u00f3n con respecto a\u00a0este acto y se puede encontrar en [completado por la oficina del DO: DO\u00a0C, C\/2025\/307, 15.1.2025, ELI:\u00a0http:\/\/data.europa.eu\/eli\/C\/2025\/307\/oj<\/a>.<\/p>\n<\/p><\/div>\n

source<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

\u00a0 EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNI\u00d3N EUROPEA, Visto el Tratado de Funcionamiento de la<\/p>\n","protected":false},"author":1,"featured_media":12677,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"_joinchat":[],"footnotes":""},"categories":[1],"tags":[],"class_list":["post-3195","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias"],"featured_image_urls":{"full":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=1920&resize=1920,998&ssl=1",1920,998,false],"thumbnail":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=150&resize=150,150&ssl=1",150,150,false],"medium":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=300&resize=300,300&ssl=1",300,300,false],"medium_large":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=768&resize=768,0&ssl=1",768,0,false],"large":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=1024&resize=1024,1024&ssl=1",1024,1024,false],"1536x1536":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=1536&resize=1536,1536&ssl=1",1536,1536,false],"2048x2048":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=2048&resize=2048,2048&ssl=1",2048,2048,false],"morenews-large":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=825&resize=825,575&ssl=1",825,575,false],"morenews-medium":["https:\/\/i3.wp.com\/blogemergencias.es\/wp-content\/uploads\/2025\/02\/IMAGEN-ESTANDAR-BLOGEMERGENCIAS-ENTRADAS.png?w=590&resize=590,410&ssl=1",590,410,false]},"author_info":{"info":["admin"]},"category_info":"Noticias<\/a>","tag_info":"Noticias","comment_count":0,"_links":{"self":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/3195","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/comments?post=3195"}],"version-history":[{"count":0,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/3195\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media\/12677"}],"wp:attachment":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media?parent=3195"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/categories?post=3195"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/tags?post=3195"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}