COMISIÓN EUROPEA

Estrasburgo, 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

relativo a la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el marco europeo de certificación de la ciberseguridad y la seguridad de las cadenas de suministro de TIC y por el que se deroga el Reglamento (UE) 2019/881 («Reglamento sobre la Ciberseguridad 2»)

(Texto pertinente a efectos del EEE)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

EXPOSICIÓN DE MOTIVOS

1.CONTEXTO DE LA PROPUESTA

•Razones y objetivos de la propuesta

En este contexto, existen cuatro problemas principales que la presente propuesta de revisión del Reglamento sobre la Ciberseguridad pretende abordar: i) el desajuste entre el marco de actuación de la Unión en materia de ciberseguridad y las necesidades de las partes interesadas en un contexto de ciberamenazas cada vez más hostil; ii) el estancamiento en la aplicación del marco europeo de certificación de la ciberseguridad; iii) la complejidad y diversidad de las políticas relacionadas con la ciberseguridad que afectan a la postura de ciberseguridad de la Unión; y iv) el aumento de los riesgos para la seguridad de las cadenas de suministro de tecnologías de la información y de las comunicaciones (TIC).

Sobre la base de los principales problemas detectados, los dos objetivos generales de la intervención son aumentar las capacidades y la resiliencia en materia de ciberseguridad y evitar la fragmentación en el seno del mercado único mediante:

·la contribución al refuerzo de la gobernanza de la ciberseguridad de la Unión y la ayuda para garantizar que las instituciones, las autoridades y otras partes interesadas pertinentes estén mejor preparadas para prevenir, detectar y responder a las ciberamenazas de manera coordinada y efectiva; y

·el apoyo al desarrollo, la aplicación y la adopción de instrumentos comunes de la Unión en materia de ciberseguridad, como los esquemas de certificación, así como la provisión de marcos armonizados que generen confianza e interoperabilidad en todos los Estados miembros.

Estos objetivos generales responden a los principales retos detectados en la definición del problema. Reflejan el objetivo político general de reforzar la gobernanza de la ciberseguridad en la Unión y apoyar el desarrollo de un mercado único digital seguro, resiliente y competitivo.

Para contribuir a la consecución de los objetivos generales citados, esta intervención persigue los siguientes objetivos específicos (OE):

·para abordar el desajuste entre el marco de actuación de la Unión en materia de ciberseguridad y las necesidades de las partes interesadas:

·OE1: crear la capacidad necesaria para aplicar eficazmente las políticas de ciberseguridad de la Unión y una cooperación operativa continua que permita una colaboración más estructurada entre los Estados miembros;

·OE2: desarrollar y aplicar medios y mecanismos para apoyar y abordar de manera efectiva las necesidades de los Estados miembros, la industria y otras partes interesadas;

·para hacer frente a la adopción y eficacia limitadas del marco europeo de certificación de la ciberseguridad:

·OE3: crear los requisitos previos para agilizar el funcionamiento de los esquemas de certificación de la ciberseguridad impulsados por las necesidades del mercado mediante la ampliación del ámbito de aplicación del marco europeo de certificación de la ciberseguridad, la garantía de un mantenimiento efectivo y unos procedimientos ágiles, así como el aumento de la transparencia;

·para abordar la fragmentación en el cumplimiento y la complejidad de los marcos horizontales y sectoriales:

·OE4: crear mecanismos y condiciones para facilitar el cumplimiento de los requisitos de ciberseguridad, lo que hace que su aplicación sea más coherente y efectiva. 

·para hacer frente a los riesgos de ciberseguridad en la cadena de suministro:

·OE5: rebajar el riesgo que suponen las entidades que proceden de terceros países que plantean preocupaciones en materia de ciberseguridad o están establecidas en ellos (en lo sucesivo, «proveedores de alto riesgo») en relación con las cadenas de suministro de TIC críticas y reducir las dependencias críticas mediante el desarrollo de un marco coherente y efectivo a nivel de la UE que permita abordar los riesgos para la seguridad de las cadenas de suministro de TIC.

La revisión del Reglamento sobre la Ciberseguridad entra en el ámbito de aplicación del programa de adecuación y eficacia de la normativa (programa REFIT). Contribuye en gran medida a mejorar la claridad, eliminar las ineficiencias y armonizar los procedimientos de los distintos marcos jurídicos. La revisión del Reglamento sobre la Ciberseguridad contribuye al correcto funcionamiento del mercado interior, al tiempo que garantiza la seguridad y la autonomía estratégica de la Unión.

Más concretamente, propone una reforma completa del mandato de la Agencia de la Unión Europea para la Ciberseguridad ( ENISA) que contribuya de manera efectiva a la aplicación de las políticas y aporte un valor añadido mediante el apoyo a la cooperación operativa entre los Estados miembros.

En vista de los crecientes riesgos y amenazas en materia de ciberseguridad a los que se enfrenta la Unión, el propósito de la propuesta es dotar de más recursos financieros y humanos a ENISA, en consonancia con la ampliación de sus cometidos y tareas y su importancia crítica en la defensa del ecosistema digital de la Unión, a fin de que esta agencia pueda desempeñar eficazmente las tareas que le encomienda la presente propuesta.

La revisión también ayudará a eliminar la fragmentación en las prácticas y mejorar la coordinación, al tiempo que reduce los costes operativos y de cumplimiento a largo plazo. Mediante la derogación del actual Reglamento sobre la Ciberseguridad y la introducción de un marco europeo de certificación de la ciberseguridad reformado, la propuesta ofrece una herramienta más efectiva y eficiente que promueve la confianza entre las empresas, el público general y las autoridades públicas, y facilita el cumplimiento de la legislación pertinente de la Unión. La revisión del modelo de gobernanza y el apoyo a procedimientos de certificación más predecibles, coherentes y ágiles se traducen en una mayor eficiencia y aceleración del desarrollo y la aplicación del esquema.

El aumento de las sinergias con los marcos jurídicos vigentes pertinentes de la Unión promoverá la certificación como herramienta de cumplimiento para las empresas y reducirá la carga administrativa para los organismos de evaluación de la conformidad que desempeñan esta labor en virtud de múltiples actos legislativos en el ámbito de la ciberseguridad. Asimismo, al ampliar el ámbito de aplicación del marco europeo de certificación de la ciberseguridad y permitir el desarrollo de un esquema sobre la postura de ciberseguridad de las entidades, la propuesta reduce los costes de cumplimiento para las entidades sujetas a la legislación de la Unión en materia de ciberseguridad, empezando por aquellas incluidas en el ámbito de aplicación de la Directiva SRI 2. Este enfoque simplificará considerablemente las obligaciones reglamentarias de las entidades sujetas a múltiples requisitos de cumplimiento y garantizará un uso más efectivo de los recursos en todas las autoridades nacionales. A esta revisión se suma una propuesta de directiva que introduce modificaciones específicas de la Directiva SRI 2 al objeto de simplificar el cumplimiento y garantizar una aplicación optimizada y coherente de aspectos concretos del marco de ciberseguridad, como el ámbito de aplicación, las definiciones, la notificación de incidentes con programas de secuestro de archivos y la supervisión de las entidades que prestan servicios transfronterizos.

El nuevo Reglamento crea además un marco armonizado para hacer frente a los riesgos no técnicos que afectan a las cadenas de suministro de TIC y reducir la fragmentación actual de los enfoques de los distintos Estados miembros. En conjunto, estos aspectos representan una simplificación y modernización sustanciales del marco jurídico de la Unión en materia de ciberseguridad, plenamente en consonancia con los principios del programa REFIT de claridad, eficiencia y preparación digital.

•Coherencia con las disposiciones existentes en la misma política sectorial

La Unión ha ampliado sus herramientas jurídicas y políticas con la adopción de una serie de instrumentos jurídicos y medidas de actuación: i) la Directiva SRI 2 tiene por objeto reforzar la ciberseguridad de las infraestructuras críticas; ii) las medidas de seguridad física se definen en su «directiva hermana», la Directiva relativa a la resiliencia de las entidades críticas (Directiva REC); iii) el Reglamento de Ciberresiliencia aumenta la ciberseguridad de los productos; iv) el Reglamento de Cibersolidaridad desarrolla las capacidades de respuesta a escala de la Unión; v) el Plan Director de Ciberseguridad de la UE 7 promueve la cooperación en la gestión de crisis a nivel de la UE. En este ámbito la Comisión y el alto representante desempeñan funciones fundamentales en la preparación y respuesta a incidentes de ciberseguridad a gran escala; vi) el conjunto de instrumentos de la UE para la seguridad de las redes 5G (el «conjunto de instrumentos 5G») promueve la ciberseguridad de las redes 5G; vii) el Plan de Acción europeo sobre la ciberseguridad de los hospitales y los prestadores de asistencia sanitaria 8 ayuda a impulsar su ciberseguridad. y viii) la Academia de Cibercapacidades 9 aborda el creciente problema de la brecha de talento en materia de ciberseguridad.

•Coherencia con otras políticas de la Unión

2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica

•Subsidiariedad (en el caso de competencia no exclusiva)

Las acciones recogidas en el Reglamento propuesto ofrecen un claro valor añadido gracias a su contribución a la armonización, la claridad jurídica y las respuestas coordinadas a los retos en materia de ciberseguridad.

•Proporcionalidad

•Elección del instrumento

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

•Evaluaciones ex post / controles de la adecuación de la legislación existente

·Pertinencia: La relevancia de ENISA en el ámbito de la ciberseguridad queda patente en su capacidad de respuesta a las necesidades cambiantes de las partes interesadas y en su adaptabilidad a un panorama en constante evolución. Aunque el grado de satisfacción de las partes interesadas es, en general, positivo, existen oportunidades para aumentar el impacto de ENISA. Para ello puede mejorarse el apoyo y la visibilidad en diversos sectores, en particular las pequeñas y medianas empresas (pymes), que a menudo tienen dificultades para cumplir los requisitos de ciberseguridad. Son esenciales una mejor organización de los recursos y una coordinación más clara con las autoridades nacionales. Para que ENISA se adapte mejor a las necesidades dinámicas del panorama europeo de la ciberseguridad es preciso reorganizar las prioridades de las actividades y optimizar los recursos existentes.

En cuanto al marco europeo de certificación de la ciberseguridad, a pesar de su planteamiento prometedor, sigue considerándose que tiene más potencial que impacto práctico, ya que recientemente solo ha entrado en funcionamiento un esquema de certificación. El marco se ha diseñado para integrarse sin dificultad con otros actos jurídicos de la Unión y de este modo agilizar los procedimientos y facilitar el comercio transfronterizo. Su importancia se pone de relieve en ámbitos que requieren un alto nivel de seguridad, como los servicios en la nube y las infraestructuras 5G.

·Eficacia: ENISA ha cumplido satisfactoriamente su mandato, ya que ha obtenido casi todos los resultados previstos y ha dado muestras de flexibilidad y resiliencia durante crisis como la pandemia de COVID-19 y la guerra de agresión de Rusia contra Ucrania. Sin embargo, para lograr una mayor eficiencia es necesario mejorar la priorización, la claridad del enfoque y la asignación estratégica de recursos. Para adaptarse a la evolución de las demandas de ciberseguridad y minimizar los retrasos se precisa un enfoque más ágil con respecto a la gobernanza interna.

El objetivo del marco europeo de certificación de la ciberseguridad era armonizar la certificación de la ciberseguridad en toda la Unión, pero se enfrentó a importantes dificultades, como las limitaciones y la fragmentación de los procedimientos, que dieron lugar a retrasos e ineficiencias, como el retraso en la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC). Los factores externos, como las tensiones geopolíticas y la pandemia de COVID-19, complicaron aún más la consecución de los objetivos del marco europeo de certificación de la ciberseguridad, lo que pone de relieve la necesidad de medidas adaptables y de una asignación coherente de recursos entre las partes interesadas para lograr la uniformidad y la eficacia en la certificación de la ciberseguridad. A pesar de estos obstáculos, se han obtenido resultados positivos, especialmente en lo que respecta a la sensibilización de los Estados miembros con respecto a la importancia y las complejidades de la certificación de la ciberseguridad.

·Eficiencia: ENISA funcionó de manera eficiente con arreglo a su marco organizativo basado en matrices, que promovió la cooperación y la priorización de tareas. Sin embargo, se enfrentó a dificultades para satisfacer las crecientes demandas y cubrir puestos especializados, agravadas por la escasez mundial de especialistas en TI, lo que dio lugar a retrasos y a una gran carga de trabajo. Para abordar estas cuestiones, ENISA logró hacer un uso optimizado de su personal interno y reasignar recursos de manera efectiva, como demostraron algunos ajustes estratégicos como el cambio en la asignación de recursos de 2022 para destinarlos a la acción de apoyo a la ciberseguridad. Además, una mejor gestión presupuestaria, unida a la reducción de los gastos administrativos, aportaría aún más eficiencia operativa a la Agencia.

La eficiencia del marco europeo de certificación de la ciberseguridad se ha cuestionado debido a los retrasos en la adopción de esquemas de certificación de la ciberseguridad y a las complejidades que conlleva, habida cuenta de que el primer esquema no se puso en marcha hasta principios de 2024, casi cinco años después de la adopción del Reglamento sobre la Ciberseguridad. A estos retrasos contribuyeron los retos políticos y técnicos, como los debates sobre la soberanía de los datos y las dificultades para convertir los proyectos en actos jurídicos. Los retos políticos y las exigencias técnicas han impedido que se produjesen avances, como ocurrió con el esquema europeo de certificación de la ciberseguridad para los servicios en la nube (EUCS) y el esquema EU5G. A pesar de estas ineficiencias, el marco fue positivo en varios aspectos. Sin embargo, sigue siendo necesario mejorar la participación de las partes interesadas y la gobernanza interna para garantizar un funcionamiento óptimo y aportaciones estratégicas.

·Coherencia: La coherencia de ENISA está respaldada por un compromiso considerable de las partes interesadas y por su concordancia con los marcos legislativos recientes. Sin embargo, en aras de una mayor coherencia y mejor asignación de recursos, es esencial mejorar las sinergias con otros organismos de la Unión, como el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad y las autoridades nacionales. Además, deben perfeccionarse la comunicación interna y la gestión de recursos dentro de ENISA, así como la interacción transparente con las partes interesadas del sector privado. Una definición clara de las tareas de ENISA, coherente con el Reglamento de Ciberresiliencia y la Directiva SRI 2, mejorará tanto la eficiencia como la coherencia normativa.

En lo que respecta al marco europeo de certificación de la ciberseguridad, la plena convergencia con otros instrumentos legislativos de la Unión, como la Directiva SRI 2 y el Reglamento de Ciberresiliencia, es esencial para lograr un enfoque unificado de la ciberseguridad. Si bien el marco europeo de certificación de la ciberseguridad muestra una armonización teórica con estas medidas legislativas, la integración en la práctica sigue siendo compleja y requiere una supervisión diligente. La aplicación del esquema EUCC adoptado en el marco del Reglamento de Ciberresiliencia será una prueba significativa a este respecto.

·Valor añadido de la UE: ENISA ha realizado importantes contribuciones al ecosistema de ciberseguridad de la Unión mediante el fomento de la cooperación y la armonización de las prácticas. Su función como facilitadora de los esfuerzos nacionales y fuente de información sobre las amenazas emergentes ha sido vital. Sin embargo, las partes interesadas del sector privado señalan la necesidad de un apoyo más a medida, lo que indica que es preciso mejorar la participación de las partes interesadas y la colaboración de la industria. Una reevaluación estratégica de la gestión de recursos permitiría a ENISA adaptarse mejor a la evolución de los retos en materia de ciberseguridad y prestar sus servicios a diversas partes interesadas de manera más efectiva. El propósito del marco europeo de certificación de la ciberseguridad era introducir procesos de certificación armonizados, pero se enfrentó a dificultades de aplicación debido a los prolongados plazos y a la fragmentación. El valor añadido del marco europeo de certificación de la ciberseguridad ha sido limitado debido a deficiencias que han dificultado la consecución de sus objetivos y a su escasa eficiencia. A pesar de estas dificultades, el marco europeo de certificación de la ciberseguridad aportó una mayor armonización entre los Estados miembros, así como mejores oportunidades de cooperación, en particular mediante la creación de foros de cooperación con las partes interesadas, como el Grupo Europeo de Certificación de la Ciberseguridad (GECC).

•Consultas con las partes interesadas

Entre 2023 y 2025 se llevaron a cabo varias consultas con las partes interesadas, tanto en el contexto de la evaluación del Reglamento sobre la Ciberseguridad como de su revisión, tal como se indica a continuación.

–En 2023, se realizaron 65 entrevistas (52 de las cuales se centraron más en ENISA y 13 principalmente en el marco europeo de certificación de la ciberseguridad) y un programa de encuestas que recibió 209 respuestas (de las cuales 70 se referían a dicho marco), se celebró una consulta pública y se organizaron dos talleres sobre análisis DAFO (debilidades, amenazas, fortalezas y oportunidades) y recomendaciones con 26 y 70 participantes, respectivamente. La finalidad específica de estas actividades era recabar las opiniones de las partes interesadas para evaluar el impacto, la eficacia y la eficiencia de ENISA. En diciembre de 2024 se completó el informe final del estudio Study to Support the Evaluation of the European Union Agency for Cybersecurity (ENISA) and the European Cybersecurity Certification Framework [«Estudio de apoyo a la evaluación de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y el marco europeo de certificación de la ciberseguridad»], encargado por la Comisión a PwC, Intellera Consulting y PPMI (2024). 

–En 2025, la Comisión publicó una convocatoria de datos. Concretamente, se invitó a las partes interesadas a presentar contribuciones por escrito, como documentos de posición, informes técnicos u observaciones sobre propuestas de reforma específicas.  Se recibieron un total de 184 contribuciones individuales de una amplia variedad de categorías de partes interesadas, entre ellas asociaciones industriales, empresas de ciberseguridad, pymes, instituciones académicas y organizaciones de interés público.

–Entre abril y junio de 2025, la Comisión organizó una consulta pública en el marco de la revisión del Reglamento sobre la Ciberseguridad, que recibió 193 respuestas. La consulta constaba de treinta y ocho preguntas, tanto cerradas como abiertas, relativas al mandato de ENISA, el marco europeo de certificación de la ciberseguridad, la seguridad y la simplificación de las cadenas de suministro de TIC.

–Consulta específica (entrevistas): se llevaron a cabo una serie de entrevistas semiestructuradas con una selección de partes interesadas. Entre ellas figuraban representantes de ENISA y autoridades públicas nacionales que han desarrollado plataformas nacionales de notificación o las gestionan. Las entrevistas se centraron en el papel y la capacidad de ENISA, el funcionamiento operativo del marco europeo de certificación de la ciberseguridad, los retos prácticos que plantea la armonización de los procesos de certificación a escala nacional y de la Unión, las cargas de notificación y los obstáculos a la aplicación. Estos intercambios proporcionaron información cualitativa que enriqueció la interpretación de los resultados de la consulta pública y ayudó a perfeccionar las opciones de actuación.

–Consulta a los representantes de los Estados miembros en el marco del grupo de trabajo del Consejo 19 y en debates bilaterales, en los que los Estados miembros pudieron expresar sus puntos de vista con respecto a la revisión del Reglamento sobre la Ciberseguridad.

–Consulta específica [grupos del marco europeo de certificación de la ciberseguridad: GECC, Grupo de las Partes Interesadas sobre Certificación de la Ciberseguridad (GPICC)]: la Comisión, en calidad de presidenta de ambos grupos, presentó la situación de la revisión del Reglamento sobre la Ciberseguridad en las reuniones del GECC celebradas el 12 de marzo y el 3 de julio de 2025, y en la reunión del GPICC del 17 de marzo de 2025. Además, se recabaron opiniones cualificadas de miembros del GECC mediante cuestionarios.

·el mandato y la función operativa de ENISA, en particular el apoyo a los Estados miembros y los conocimientos especializados en tecnologías emergentes;

·la eficacia del marco europeo de certificación de la ciberseguridad, incluidos los procesos de gobernanza y desarrollo;

·la complejidad y fragmentación de las obligaciones de ciberseguridad, con especial atención a las cargas de notificación y la posible simplificación;

·la proporcionalidad de los requisitos para las pymes y el potencial de emplear vías de cumplimiento diferenciadas; y

·las repercusiones sociales y económicas de las normas armonizadas en materia de ciberseguridad, en particular los efectos en los consumidores, los derechos, la innovación y la competitividad.

•Evaluación de impacto

La propuesta política final no se desvía de las opciones examinadas en la evaluación de impacto.

Opciones para abordar el desajuste entre el marco de actuación de la de la Unión en materia de ciberseguridad y las necesidades de las partes interesadas en un contexto cada vez más hostil

Opciones para el marco europeo de certificación de la ciberseguridad

Opción B.1: Aclarar el ámbito de aplicación, los elementos y los objetivos del marco europeo de certificación de la ciberseguridad e introducir un mecanismo de mantenimiento. Esta opción proporcionaría un nuevo mecanismo de mantenimiento para los esquemas tras su adopción, que llevaría a cabo ENISA.

Opción B.2: Reformar el marco europeo de certificación de la ciberseguridad mediante la revisión de sus procedimientos y la ampliación de su ámbito de aplicación para facilitar la simplificación del cumplimiento de la normativa. Con arreglo a esta opción, el Reglamento sobre la Ciberseguridad sería derogado y sustituido por un nuevo reglamento. Además de la opción B.1, se revisarían los procedimientos relativos a la solicitud, el desarrollo y la adopción de esquemas para mejorar la responsabilidad pública y la eficiencia.

Opción B.3: Reformar el marco europeo de certificación de la ciberseguridad según lo previsto en la opción B.2 e introducir la certificación obligatoria de la postura de ciberseguridad. Esta opción se basaría en la opción B.2, pero su objetivo es seguir reforzando el impacto del marco mediante la introducción de la certificación obligatoria de las entidades esenciales, teniendo en cuenta escenarios de riesgo específicos, en lugar de basarse únicamente en la certificación voluntaria de las entidades.

Opciones de simplificación

Opción C.1: Adoptar un enfoque de instrumentos no vinculantes y no legislativos, incluido el uso de las habilitaciones existentes (adopción de actos de ejecución en virtud del artículo 21, apartado 5, y del artículo 23, apartado 11, de la Directiva SRI 2). Esta opción prevé la adopción de actos de ejecución en virtud de las habilitaciones previstas en la Directiva SRI 2 para garantizar un mayor grado de armonización de las medidas de gestión de riesgos de ciberseguridad y los umbrales de notificación de incidentes, así como el tipo de información, los formatos y los procedimientos de notificación. También prevé la adopción de un conjunto de directrices para mejorar la seguridad jurídica y la aplicación armonizada.

Opción C.2: Intervención específica: mayor simplificación del cumplimiento con el marco legislativo de la Unión pertinente en materia de ciberseguridad. Esta opción implica una intervención limitada consistente en cambios en el Reglamento sobre la Ciberseguridad y la Directiva SRI 2 destinados a simplificar aspectos específicos del marco de ciberseguridad, como las adaptaciones del ámbito de aplicación, el máximo nivel de armonización posible de los actos de ejecución, la prueba de cumplimiento mediante la certificación y la adopción del conjunto de directrices previstas en la opción C.1.

Opción D.1: Adoptar un enfoque no vinculante para abordar los riesgos de ciberseguridad para las cadenas de suministro de TIC. Esta opción no contemplaría una intervención reguladora a nivel de la UE; la Comisión aumentaría el número de evaluaciones de riesgos coordinadas y de conjuntos de instrumentos voluntarios.

Opción D.2: Intervención reguladora ad hoc para codificar el conjunto de instrumentos 5G. Esta opción codificaría las medidas del conjunto de instrumentos 5G. Los Estados miembros tendrían la obligación de garantizar que los componentes de proveedores de alto riesgo no se utilizasen en activos clave de la red.

Esta combinación ofrece una respuesta equilibrada a los retos de las políticas constatados y mejora notablemente la eficacia, la eficiencia y la coherencia en toda la Unión.

Al mismo tiempo, se espera que la optimización y la reducción de las obligaciones de cumplimiento generen un ahorro de hasta 15 300 millones EUR para las empresas a lo largo de cinco años. Además, mejorar la postura de ciberseguridad de la Unión y su soberanía tecnológica en general, y estimular la innovación y la competitividad aportaría beneficios significativos para el público general, las autoridades públicas y las empresas. Se espera que esto compense en gran medida los gastos iniciales a largo plazo.

Al reducir la fragmentación del mercado y armonizar los requisitos reglamentarios, las opciones preferidas redundan en la igualdad competitiva en toda la Unión y proporcionan a las empresas vías más claras hacia el cumplimiento y la innovación.

•Adecuación regulatoria y simplificación

•Derechos fundamentales

La propuesta legislativa se evaluó en función de su potencial para reforzar o poner en peligro los derechos fundamentales y promover la igualdad y la confianza, prestando especial atención a las repercusiones y los derechos sociales, como la privacidad, la protección de datos y la capacidad de las personas para comprender, ejercer y hacer valer sus derechos.

La ampliación del mandato de ENISA aportará una mayor ciberresiliencia a toda la economía y a la sociedad en general, lo que redundará en la protección de la privacidad de las personas y de los datos personales. La propuesta también contribuirá a la educación y la formación en materia de ciberseguridad, ya que aclara el papel de ENISA en el desarrollo de las competencias de los trabajadores del sector de la ciberseguridad.

Además, el marco europeo de certificación de la ciberseguridad generará una mayor confianza entre el público general y las empresas de la Unión en las soluciones de TIC certificadas que sustentan la vida cotidiana. La puesta en marcha de esquemas adicionales aumentaría estas repercusiones.

4.REPERCUSIONES PRESUPUESTARIAS

5.OTROS ELEMENTOS

•Planes de ejecución y modalidades de seguimiento, evaluación e información

•Documentos explicativos (para las Directivas)

•Explicación detallada de las disposiciones específicas de la propuesta

Título II: ENISA (AGENCIA DE LA UNIÓN EUROPEA PARA LA CIBERSEGURIDAD)

La Comisión puede determinar, mediante actos de ejecución, los activos de TIC clave utilizados para la fabricación de productos y la prestación de servicios por parte de los tipos de entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. El artículo 102 detalla los elementos que deben tenerse en cuenta para determinar los activos de TIC clave. El artículo 103 establece posibles medidas de mitigación en las cadenas de suministro de TIC. La Comisión, mediante actos de ejecución, puede decidir que las entidades que operan en sectores de alta criticidad y otros sectores críticos deben estar sujetas a medidas de mitigación específicas, que se detallan en el artículo.

La Comisión, mediante actos de ejecución, establecerá listas de proveedores de alto riesgo pertinentes para las prohibiciones establecidas en los actos de ejecución adoptados de conformidad con el artículo 103, apartados 1 y 7, o la prohibición a que se refiere el artículo 110, apartado 1, tras llevar a cabo una evaluación del establecimiento y la propiedad y el control. Debe consultar a los proveedores afectados y a las autoridades competentes (artículo 104).

Una entidad establecida en un tercer país o controlada por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el artículo 100 podrá solicitar que se le permita suministrar componentes de TIC en activos de TIC clave de entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 y participar en la contratación pública relativa al suministro de dichos componentes de TIC. El artículo 105 especifica qué debe contener la solicitud y cuál es el procedimiento para dicha exención. El artículo 106 especifica los derechos de defensa de la entidad de que se trate. La Comisión mantendrá un registro de acceso público de las decisiones relativas a las exenciones (artículo 107). Los artículos 108 y 109 especifican las normas de confidencialidad y las tasas relacionadas con el procedimiento de exención.

El capítulo II prevé la aplicación del marco de confianza de las cadenas de suministro de TIC a las redes de comunicaciones electrónicas móviles, fijas y por satélite, para garantizar la armonización con la propuesta de Ley de Redes Digitales.

Los activos de TIC clave para las redes de comunicaciones electrónicas móviles, fijas y por satélite serán los establecidos en el anexo II. El período transitorio para la eliminación progresiva de los componentes de TIC de los proveedores de alto riesgo para los activos de TIC clave de la red de comunicaciones electrónicas móviles no excederá de treinta y seis meses a partir de la entrada en vigor del presente Reglamento. La Comisión especificará los períodos transitorios para las redes de comunicaciones electrónicas fijas y por satélite en virtud de actos de ejecución. La Comisión estará facultada para adoptar actos delegados a fin de modificar los activos de TIC clave y los períodos transitorios designados, también para las generaciones móviles futuras (artículo 110). El artículo 111 establece que los proveedores de redes de comunicaciones electrónicas móviles, fijas y por satélite no podrán utilizar, instalar o integrar, bajo ninguna forma, componentes de TIC de proveedores de alto riesgo y que no podrán recibir ninguna autorización general o individual.

Autoridades competentes, supervisión y ejecución, jurisdicción, derechos de defensa (capítulo III)

El capítulo III establece además las normas relativas a las autoridades competentes, la supervisión, la ejecución y la jurisdicción. 

Los artículos del 112 al 114 especifican las competencias, los medios y las responsabilidades de los Estados miembros en la garantía de la aplicación y el cumplimiento de las disposiciones del título IV. Los Estados miembros deberán designar una o varias autoridades competentes y notificar de ello a la Comisión. El artículo 113 prevé la creación por parte de la Comisión de una red de cooperación entre las autoridades competentes de los Estados miembros y la Comisión para facilitar el cumplimiento, mientras que el artículo 114 especifica las medidas de supervisión y ejecución que las autoridades competentes están facultadas para adoptar. Las sanciones en caso de infracción de las disposiciones del título IV se especifican en el artículo 115. El artículo 116 recoge la posibilidad de que los Estados miembros se presten asistencia mutua cuando las entidades realicen actividades transfronterizas o cuando sus activos de TIC clave estén ubicados en varios Estados miembros. El artículo 117 establece las normas en cuanto a jurisdicción y territorialidad.

2026/0011 (COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

relativo a la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el marco europeo de certificación de la ciberseguridad y la seguridad de las cadenas de suministro de TIC y por el que se deroga el Reglamento (UE) 2019/881 («Reglamento sobre la Ciberseguridad 2»)

(Texto pertinente a efectos del EEE)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo 24 ,

Visto el dictamen del Comité de las Regiones 25 ,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1) Desde la adopción del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo 26 , el panorama geopolítico, tecnológico y político ha experimentado transformaciones significativas. Los incidentes de ciberseguridad, ya sean causados por fallos del sistema, errores humanos, actos malintencionados o fenómenos naturales, han aumentado exponencialmente y los ciberataques son más sofisticados y afectan a entidades esenciales, a empresas y al público general. El ecosistema de la ciberdelincuencia se ha ampliado y son muy habituales los incidentes con programas de secuestro de archivos. Se han intensificado los incidentes relacionados con las cadenas de suministro, ya sean causados por delincuentes con ánimo de lucro o por agentes estatales con fines de perturbación, espionaje, desinformación o bélicos. Los incidentes provocados por actividades informáticas malintencionadas y fallos del sistema forman parte de una estrategia híbrida más amplia y tienen repercusiones en cadena, lo que provoca perturbaciones en los servicios esenciales y socava la confianza en las instituciones, además de afectar al nivel de preparación social y en materia de defensa de la Unión. Estos incidentes han demostrado su capacidad para afectar a la actividad económica, la estabilidad financiera y la vida de las personas. Al mismo tiempo, la vulnerabilidad de las infraestructuras y sistemas civiles críticos plantea un riesgo para las capacidades de defensa cuando dependen de ellos.

(2)Paralelamente, las tecnologías emergentes, como la inteligencia artificial y la computación cuántica, tienen un efecto perturbador en la ciberseguridad y la ciberdefensa. Estas tecnologías están reconfigurando las herramientas de defensa y las tácticas de los adversarios, lo que plantea amenazas para la ciberseguridad y la ciberdefensa, al tiempo que ofrece vías para los avances tecnológicos. Aunque pueden contribuir a la ciberseguridad gracias a una mejor detección de las amenazas o a la respuesta automatizada a incidentes, también están aumentando la superficie global de ataque de las organizaciones, son posibles objetivos de manipulación y pueden erosionar la viabilidad a largo plazo de medidas de seguridad como el cifrado.

(3)Para hacer frente a esta evolución, la Unión ha mejorado sus instrumentos jurídicos y políticos. La Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo 27 refuerza la ciberseguridad de las infraestructuras críticas y se complementa con la Directiva (UE) 2022/2557 del Parlamento Europeo y del Consejo 28 en lo que respecta a la seguridad física. El Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo 29 refuerza la ciberseguridad de los productos con elementos digitales. El Reglamento (UE) 2025/38 del Parlamento Europeo y del Consejo 30 desarrolla capacidades de respuesta a escala de la Unión, y la Recomendación del Consejo, de 6 de junio de 2025, de Plan Director de la UE para la Gestión de Crisis de Ciberseguridad 31 (en lo sucesivo, «Recomendación sobre el Plan Director de Ciberseguridad») apoya la cooperación en materia de gestión de crisis a nivel de la Unión. El conjunto de instrumentos de la UE para la seguridad de las redes 5G 32 constituye un primer paso hacia un enfoque coordinado a escala de la Unión para proteger las redes 5G. La Comunicación de la Comisión sobre la Academia de Cibercapacidades 33 aborda el creciente problema de la brecha de talento en materia de ciberseguridad. Además, el marco de ciberseguridad se ha reforzado mediante legislación sectorial específica, a saber, el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo 34 para el sector financiero, el Reglamento Delegado (UE) 2024/1366 35 de la Comisión para el subsector de la electricidad, el Reglamento Delegado (UE) 2022/1645 36 de la Comisión y el Reglamento de Ejecución (UE) 2023/203 de la Comisión 37 (parte IS), así como mediante las normas de seguridad aérea pertinentes establecidas en el Reglamento (UE) 2019/1583 de la Comisión 38 para el subsector del transporte aéreo y otros documentos estratégicos, como la Comunicación de la Comisión sobre un Plan de Acción europeo sobre la ciberseguridad de los hospitales y los prestadores de asistencia sanitaria 39 . Las entidades de la Unión también se refuerzan con el Reglamento (UE, Euratom) 2023/2841 del Parlamento Europeo y del Consejo 40 , por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión. En este marco jurídico mejorado para la ciberseguridad se especifican con más detalle las tareas de ENISA.

(4)En este contexto, y tal como se afirma en la Estrategia ProtectEU, la Estrategia Europea para la Seguridad Interior 41 , y la Estrategia de Preparación de la Unión 42 , garantizar la preparación, la seguridad y la resiliencia de la sociedad y la economía de la Unión requiere una sólida coordinación europea, confianza e intercambio de información entre las partes interesadas, marcos robustos que garanticen la seguridad de los productos, servicios y procesos de TIC y de los servicios de seguridad gestionados, así como el aumento y el refuerzo de la mano de obra en el ámbito de la ciberseguridad. Además, insta a reforzar las cadenas de suministro de TIC mediante la consecución de la soberanía tecnológica europea sobre activos clave, lo que aumentaría la resiliencia de la Unión y podría contribuir a los esfuerzos de ciberdefensa. Asimismo, la Comunicación titulada «Fortalecer la seguridad económica de la UE» 43 señala como objetivos prioritarios la necesidad de impedir el acceso a información y datos sensibles que puedan socavar la seguridad económica de la UE, así como de prevenir y mitigar las perturbaciones en las infraestructuras críticas de la UE que afecten a la economía de la Unión. Reconoce la función esencial que desempeñan las medidas eficaces de ciberseguridad a este respecto.

(5)Los incidentes de ciberseguridad a gran escala que afectan a infraestructuras críticas, servicios digitales o funciones sociales esenciales pueden repercutir en la población, por lo que requieren una acción coordinada de protección civil y gestión de crisis a escala de la Unión. En consonancia con el enfoque que abarca todos los peligros previstos en la Estrategia de Preparación de la Unión y la Decisión n.º 1313/2013/UE relativa a un Mecanismo de Protección Civil de la Unión, las disposiciones para la conciencia situacional, la respuesta a incidentes y los ejercicios en virtud del presente Reglamento deben contribuir a la gestión de crisis de la Unión, en particular a través del Centro de Coordinación de la Respuesta a Emergencias (CECRE).

(6)La presente propuesta está en consonancia con la [Propuesta de Directiva que complementa [la revisión del Reglamento (UE) 2019/881] y modifica la Directiva (UE) 2022/2555 en lo que respecta a la simplificación de la aplicación de las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión], así como con la [Propuesta de Reglamento sobre la simplificación de la legislación digital (Ómnibus Digital) 44 ] que establece la obligación de ENISA de desarrollar un punto de entrada único para la notificación de incidentes a través del cual las entidades podrán cumplir simultáneamente sus obligaciones de notificación de incidentes en virtud de varios actos jurídicos.

(7)El Reglamento (CE) n.º 460/2004 del Parlamento Europeo y del Consejo 45 creó ENISA con el objetivo de contribuir a garantizar un nivel efectivo y elevado de seguridad de las redes y de la información en la Unión y desarrollar una cultura de la seguridad de las redes y de la información en beneficio de los ciudadanos, los consumidores, las empresas y las administraciones públicas. El mandato de ENISA se prorrogó tres veces antes de que, en virtud del Reglamento (UE) 2019/881, se le concediera un mandato permanente. Con el fin de abordar mejor las necesidades creadas por la evolución de las amenazas y el panorama tecnológico, en particular en lo que se refiere a la cooperación operativa y al aumento de la necesidad de profesionales de la ciberseguridad, el mandato de ENISA debe reforzarse aún más. En aras de la seguridad jurídica, debe sustituirse el Reglamento (UE) 2019/881.

(8)En vista de la evolución del panorama de amenazas, en el que los incidentes de ciberseguridad son cada vez más significativos, reviste mayor importancia que nunca generar confianza en las personas, las autoridades públicas y las empresas en su uso diario de las tecnologías. Una certificación reforzada a escala de la Unión del marco europeo de certificación de la ciberseguridad que establezca requisitos y criterios de evaluación de la ciberseguridad comunes para todos los mercados y sectores nacionales puede ayudar a aumentar la confianza. El nuevo marco debe establecer los principales requisitos horizontales para los esquemas europeos de certificación de la ciberseguridad y permitir que tanto estos como las declaraciones de conformidad de la UE sean reconocidos y utilizados en todos los Estados miembros. Para ello, debe establecer un procedimiento y un marco de gobernanza que permitan el desarrollo y el mantenimiento oportunos y previsibles de los esquemas europeos de certificación de la ciberseguridad. Los esquemas europeos de certificación de la ciberseguridad deben aplicarse de manera uniforme en todos los Estados miembros para garantizar una aplicación armonizada de los requisitos de ciberseguridad, igualar las condiciones de competencia y evitar la práctica de escoger entre los Estados miembros en función de las diferencias en los niveles de exigencia en diferentes Estados miembros. ENISA debe desempeñar un papel clave en el desarrollo de los esquemas mediante especificaciones técnicas y garantizar que estos estén siempre técnicamente actualizados. Además, para satisfacer las necesidades del mercado de manera efectiva, el marco debe prever la posibilidad de certificar las medidas de gestión de riesgos de ciberseguridad dirigidas a las entidades y facilitar el cumplimiento de otros actos legislativos de la Unión aplicables en el ámbito de la ciberseguridad. La armonización con la legislación vigente de la Unión, como el Reglamento (UE) 2024/2847 y la Directiva (UE) 2022/2555, es esencial para que los esquemas europeos de certificación de la ciberseguridad contribuyan a reducir la carga que supone el cumplimiento para las empresas, resulten más atractivos y refuercen la ciberresiliencia de la Unión.

(9)La misión de ENISA debe ser ayudar a los Estados miembros y a las entidades de la Unión a lograr un elevado nivel de ciberseguridad, resiliencia y confianza en la Unión. A tal fin, ENISA debe actuar como punto de referencia de asesoramiento y conocimientos especializados en cuestiones relacionadas con la ciberseguridad, y su trabajo debe girar principalmente en torno a cuatro ámbitos clave de la ciberseguridad a escala de la Unión. En primer lugar, ENISA debe respaldar a los Estados miembros en la aplicación coherente de las políticas y la legislación de la Unión en materia de ciberseguridad, y prestarles asistencia a través de actividades de creación de capacidades para mejorar continuamente sus capacidades en cuanto a preparación, resiliencia y respuesta. En segundo lugar, debe contribuir a la cooperación operativa a escala de la Unión y entre los Estados miembros y a mejorar la conciencia situacional conjunta en el ámbito de las ciberamenazas y los incidentes de ciberseguridad entre los Estados miembros y las entidades de la Unión. El tercer ámbito clave debe ser la certificación y la normalización de la ciberseguridad, y el cuarto, la puesta en marcha de la Academia de Cibercapacidades, que debe contribuir al desarrollo de una mano de obra europea del sector de la ciberseguridad próspera cuyas competencias sean transferibles en todos los Estados miembros.

(10)El Reglamento (UE, Euratom) 2023/2841, por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión, establece el mandato del CERT-EU, que se convierte en el Servicio de Ciberseguridad para las instituciones, los órganos y los organismos de la Unión al objeto de contribuir al refuerzo de la seguridad del entorno de TIC no clasificado de las entidades de la Unión ofreciéndoles asesoramiento sobre ciberseguridad, prestándoles ayuda para prevenir, detectar, gestionar, mitigar y responder a incidentes, y recuperarse de ellos, y actuando como centro de coordinación para el intercambio de información sobre ciberseguridad y la respuesta a incidentes. Asimismo, se encomienda al CERT-EU la prestación de servicios de ciberseguridad pertinentes a las entidades de la Unión. Como parte de su misión, ENISA debe respaldar también a las entidades de la Unión. Para ello debe, en particular, entablar una cooperación estructurada con el CERT-EU en materia de desarrollo de capacidades, cooperación operativa y análisis estratégicos a largo plazo de las ciberamenazas. Cuando proceda, ENISA podrá aprovechar la cooperación estructurada con el CERT-EU para que sus propios servicios de ciberseguridad o apoyo en esta materia aporten un valor añadido a las entidades de la Unión, de manera coordinada para garantizar las sinergias con los esfuerzos del CERT-EU.

(11)Una de las tareas principales de ENISA debe ser respaldar a los Estados miembros en la ejecución coherente de las políticas y el Derecho de la Unión en materia de ciberseguridad, en particular en lo que respecta a la Directiva (UE) 2022/2555, el Reglamento (UE) 2024/2847 y el Reglamento (UE) 2025/38. Para contribuir a una ejecución coherente y eficaz del acervo de la Unión en materia de ciberseguridad, ENISA debe publicar orientaciones técnicas e informes, proporcionar asesoramiento y mejores prácticas, y facilitar el intercambio de mejores prácticas entre las autoridades competentes a tal fin. Además, ENISA realiza una evaluación de la situación de la ciberseguridad en la Unión y adopta un informe a tal efecto, de conformidad con el artículo 18 de la Directiva (UE) 2022/2555. ENISA debe estar en condiciones de responder a las solicitudes de asesoramiento y asistencia por parte de los Estados miembros y, en su caso, de entidades de la Unión, en materias que correspondan al mandato de ENISA.

(12)Con vistas a estimular la cooperación entre los sectores público y privado y dentro del sector privado y, en particular, a apoyar la protección de las infraestructuras críticas, ENISA debe promover el intercambio de información dentro de los sectores y entre ellos, con especial atención a aquellos enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y a la información sobre productos con elementos digitales incluida en el ámbito de aplicación del Reglamento (UE) 2024/2847. Este apoyo puede adoptar la forma de mejores prácticas y orientaciones sobre las herramientas y procedimientos disponibles, así como de orientaciones para abordar las cuestiones reglamentarias relacionadas con el intercambio de información. Para ello puede, por ejemplo, facilitar la creación de centros de puesta en común y análisis de la información a nivel sectorial.

(13)Con el fin de apoyar y facilitar la cooperación estratégica y el intercambio de información, ENISA debe contribuir a la labor del Grupo de Cooperación establecido por la Directiva (UE) 2022/2555 (en lo sucesivo, el «Grupo de Cooperación SRI»); para ello debe, en particular, proporcionar conocimientos y asesoramiento y facilitar el intercambio de mejores prácticas, entre otras cuestiones, sobre dependencias transfronterizas en lo que respecta a riesgos e incidentes. ENISA también debe contribuir a la labor del Grupo de Cooperación sobre la Identidad Digital Europea establecido por el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo 46 , el Grupo Europeo de Certificación de la Ciberseguridad y el Grupo de Cooperación Administrativa (ADCO) establecido por el Reglamento (UE) 2024/2847.

(14)El núcleo público de la internet abierta, consistente en sus protocolos e infraestructura principales, que constituyen un bien público mundial, posibilita la funcionalidad esencial de internet en su conjunto, y en él se sustenta su funcionamiento normal. En el marco de su mandato, ENISA debe apoyar la seguridad y la resiliencia del núcleo público de la internet abierta y su funcionamiento estable. Dicho apoyo puede consistir, entre otras cuestiones, en la implantación y el funcionamiento seguros de protocolos clave (en particular, el sistema de nombres de dominio, el protocolo de puerta de enlace de frontera y la versión 6 del protocolo de internet), así como en el funcionamiento del sistema de nombres de dominio (incluido el de todos los dominios de nivel superior), mediante la promoción de las mejores prácticas, la orientación y la cooperación, de conformidad con los acuerdos de gobernanza de internet establecidos a escala mundial y multilateral y las respectivas funciones y responsabilidades de los organismos técnicos y operativos internacionales pertinentes.

(15)ENISA actúa como punto de referencia de asesoramiento y conocimientos especializados en cuestiones relacionadas con la ciberseguridad. Por consiguiente, cuando así lo solicite la Comisión, ENISA debe prestarle asistencia mediante conocimientos especializados, asesoramiento técnico, información, análisis, incluidos estudios de viabilidad, dictámenes y trabajos preparatorios sobre cualquier cuestión específica en el ámbito de la ciberseguridad, al objeto de fundamentar la elaboración de políticas de la Comisión y facilitar a esta el seguimiento de la aplicación de la legislación de la Unión en materia de ciberseguridad.

(16)Asimismo, sobre la base de sus conocimientos especializados, ENISA debe asistir a los Estados miembros en sus esfuerzos por desarrollar y mejorar su capacidad y preparación para prevenir, detectar y dar respuesta a las ciberamenazas y los incidentes de ciberseguridad, así como en relación con la seguridad de las redes y los sistemas de información. En particular, ENISA debe apoyar el establecimiento y la mejora de los equipos de respuesta a incidentes de seguridad informática (CSIRT) previstos en la Directiva (UE) 2022/2555 para que alcancen un elevado nivel común de madurez en la Unión.

(17)ENISA debe seguir prestando apoyo a los Estados miembros en la elaboración y aplicación de directrices para sus estrategias nacionales de ciberseguridad a fin de contribuir a la adopción y aplicación de dichas estrategias por parte de todos los Estados miembros. ENISA debe promover la difusión de dichas estrategias a través del mapa interactivo de las estrategias nacionales de ciberseguridad y seguir supervisando los avances en su ejecución, y para ello prestará su ayuda en el desarrollo de indicadores clave de rendimiento en este ámbito.

(18)El Reglamento (UE, Euratom) 2023/2841 ha encomendado al Consejo Interinstitucional de Ciberseguridad que apoye a las entidades de la Unión para reforzar sus respectivas posturas de ciberseguridad, y al CERT-EU que contribuya al refuerzo de la seguridad del entorno de TIC no clasificado de todas las entidades de la Unión. Sobre la base de su experiencia en ciberseguridad, ENISA debe respaldar al Consejo Interinstitucional de Ciberseguridad y al CERT-EU en sus funciones de conformidad con el Reglamento (UE, Euratom) 2023/2841, en particular contribuyendo al análisis de ciberamenazas, la conciencia situacional, los ejercicios de ciberseguridad, la coordinación de la respuesta a incidentes y el intercambio de conocimientos técnicos y mejores prácticas.

(19)Sobre la base de sus conocimientos especializados y a fin de complementar las capacidades de las autoridades públicas nacionales y de la Unión, ENISA debe impartir formación basada en el Marco Europeo de Capacidades en Ciberseguridad (ECSF) para apoyar la aplicación eficaz de las políticas, la cooperación operativa y la sensibilización.

(20)Para asegurar las sinergias con el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad y la Red de Centros Nacionales de Coordinación establecidos en virtud del Reglamento (UE) 2021/887 del Parlamento Europeo y del Consejo 47 , ENISA debe respaldar a ambos y compartir para ello información sobre los riesgos y las ciberamenazas actuales y emergentes, como aquellos relacionados con las tecnologías de la información y las comunicaciones.

(21)La Estrategia de Preparación de la Unión destaca que la alfabetización digital, consistente en la adquisición de capacidades digitales básicas, es esencial para el empoderamiento de unos ciudadanos más resilientes frente a posibles crisis. Sin embargo, como destaca la Comunicación de la Comisión «La Unión de las Competencias» 48 , casi la mitad de la población adulta carece de capacidades digitales básicas, a pesar de que son necesarias para más del 90 % de los puestos de trabajo. Para conseguir que la mano de obra actual y futura tenga las competencias necesarias en un entorno digital en rápida evolución, así como contribuir al desarrollo de la reserva europea de talento en materia de ciberseguridad, ENISA debe apoyar las actividades de sensibilización destinadas a atraer talento y ayudar a divulgar información sobre la formación y las capacidades necesarias en el ámbito de la ciberseguridad, con iniciativas como el Reto Europeo de Ciberseguridad. A este respecto, ENISA debe coordinar concursos de ciberseguridad, eventos de tipo «capturar la bandera» y ejercicios prácticos similares para desarrollar las capacidades en materia de ciberseguridad y fomentar el desarrollo de capacidades en toda la Unión. Cuando lleve a cabo actividades de sensibilización, ENISA debe velar por que estas respondan a las necesidades de las autoridades públicas nacionales y las entidades de la Unión, así como a las de las empresas —en especial, las pymes— y las instituciones de educación y formación, al tiempo que mantiene marcos y formaciones de carácter práctico, como su programa de concienciación «Awareness raising in a box» (AR-in-a-BOX). ENISA debe seguir desarrollando orientaciones prácticas y ejecutables para apoyar la aplicación de las políticas y la legislación de la Unión en materia de ciberseguridad. Asimismo, debe procurar proporcionar información pertinente acerca de los esquemas de certificación aplicables, por ejemplo, por medio de directrices y recomendaciones.

(22)Con el fin de respaldar a las empresas que trabajan en el sector de la ciberseguridad, así como a los usuarios de soluciones de ciberseguridad, y para garantizar la aplicación efectiva del título III del presente Reglamento, ENISA debe crear y mantener un «observatorio del mercado», mediante la realización de análisis y la difusión de las principales tendencias en el mercado de la ciberseguridad, tanto en el lado de la oferta como en el de la demanda. Además, para asistir a los usuarios de la Reserva de Ciberseguridad de la UE establecida en virtud del Reglamento (UE) 2025/38, ENISA debe preparar, con arreglo a lo dispuesto por dicho Reglamento, la cartografía de los servicios que necesitan dichos usuarios y la disponibilidad de dichos servicios.

(23)Las ciberamenazas tienen un alcance mundial. Es necesaria una cooperación internacional más estrecha para mejorar la ciberseguridad, más concretamente, para definir normas comunes de comportamiento y enfoques compartidos. A tal fin, ENISA debe apoyar la cooperación de la Unión con terceros países, en particular los candidatos a la adhesión a la Unión, y con organizaciones internacionales como la OTAN. Para ello, debe proporcionar los conocimientos especializados y los análisis necesarios a la Comisión y a las entidades de la Unión pertinentes, en su caso. Las actividades de ENISA en el ámbito internacional deben estar siempre en consonancia con las prioridades de la Unión.

(24)Para contribuir a la consecución de un elevado nivel de ciberseguridad en la Unión, ENISA debe apoyar la cooperación operativa entre los Estados miembros, en colaboración con el CERT-EU, entre las entidades de la Unión y entre las partes interesadas. A tal fin, deben reforzarse las funciones de ENISA. ENISA debe incorporarse a la red de CSIRT y contribuir al intercambio y análisis de información sobre la red. ENISA debe seguir fomentando y apoyando la cooperación entre los CSIRT pertinentes cuando se produzcan incidentes, ataques o perturbaciones en las redes o la infraestructura gestionadas o protegidas por los CSIRT. El apoyo activo de ENISA a la labor de la red de CSIRT y de la red de organizaciones de enlace nacionales para la gestión de cibercrisis (EU-CyCLONe) ayudará a estas redes a seguir reforzando su nivel de madurez. El apoyo de ENISA a dicha cooperación abarca la lucha contra las amenazas a la seguridad e integridad de las instituciones democráticas, las elecciones y otros procesos, así como a las infraestructuras críticas de las que dependen, en consonancia con el «Escudo Europeo de la Democracia: empoderar democracias sólidas y resilientes» 49 .

(25)Para apoyar la creación de capacidades, la cooperación operativa y los análisis estratégicos a largo plazo de las ciberamenazas, ENISA debe hacer uso de los conocimientos especializados técnicos y operativos de que dispone el CERT-EU a través de la cooperación estructurada, por ejemplo, mediante acuerdos específicos.

(26)Con el fin de reforzar la ciberseguridad en toda la Unión y garantizar una respuesta rápida y eficaz a las ciberamenazas, ENISA debe respaldar a los Estados miembros que lo soliciten y proporcionarles asesoramiento sobre la mejora de sus capacidades para prevenir y detectar incidentes, responder a ellos y recuperarse de ellos. Para ello, debe facilitar la gestión técnica de incidentes significativos en el sentido de la Directiva (UE) 2022/2555, en particular mediante el apoyo del intercambio voluntario de soluciones técnicas entre los Estados miembros o la garantía de que se analizarán las ciberamenazas y los incidentes de ciberseguridad. ENISA también debe ayudar a la EU-CyCLONe en la elaboración de informes a nivel político de la Unión y de los Estados miembros.

(27)Para reducir la exposición a injerencias extranjeras, la manipulación de la cadena de suministro y la exfiltración estratégica de datos, ENISA debe utilizar herramientas de comunicación seguras dentro de la red de CSIRT y la EU-CyCLONe. Con arreglo a la Recomendación sobre el Plan Director de Ciberseguridad, estas herramientas deberán facilitarlas entidades jurídicas establecidas o que se consideren establecidas en la Unión y controladas por Estados miembros o por nacionales de Estados miembros.

(28)Para contribuir a la preparación y respuesta a nivel de la Unión en caso de incidentes y crisis de ciberseguridad a gran escala, ENISA debe llevar a cabo actividades de conciencia situacional en materia de ciberseguridad.

(29) El acceso en tiempo real a datos sobre ciberamenazas verificados y fiables es esencial para generar una conciencia situacional conjunta en la Unión. ENISA, la Comisión, el CERT-EU y el Centro Europeo de Ciberdelincuencia (EC3) de Europol ya han desarrollado repositorios de datos sobre ciberamenazas adaptados a sus necesidades específicas. ENISA y otras entidades de la Unión pertinentes deben cooperar voluntariamente para desarrollar repositorios de datos sobre ciberamenazas en tiempo real, verificados y fiables, y buscar sinergias encaminadas a garantizar economías de escala y reforzar la buena gestión financiera. Esta tarea también debe incluir a entidades de la Unión de carácter sectorial, como la Agencia de la Unión Europea para el Programa Espacial. No deben compartir fuentes en bruto, sino únicamente análisis, tendencias y tácticas, técnicas y procedimientos derivados, siempre con pleno respeto a la independencia de las entidades para gestionar su propio ciclo de vida de los datos sobre ciberamenazas en consonancia con sus mandatos y normas sobre la necesidad de conocer.

(30)A fin de contribuir a una respuesta oportuna y coordinada, ENISA debe poder emitir alertas tempranas de un incidente significativo o a gran escala, potencial o en curso, o de una ciberamenaza de posible naturaleza transfronteriza, dirigidas al o a los CSIRT afectados y, cuando proceda, a la red de CSIRT y a la EU-CyCLONe, en particular en lo que respecta a las entidades enumeradas en los anexos I y II de la Directiva (UE) 2022/2555. La información contenida en dichas alertas tempranas puede incluir vulnerabilidades de dominio público y especificar si afectan a productos con elementos digitales regulados por el Reglamento (UE) 2024/2847, así como técnicas y procedimientos, indicadores de compromiso, tácticas de los adversarios, información específica del agente de riesgo y recomendaciones sobre medidas de mitigación.

(31) Con el fin de mantener la confianza y no poner en peligro el intercambio de información, es importante que ENISA aplique marcas visibles que indiquen en qué medida un documento o información que ha elaborado o recibido puede compartirse posteriormente. Del mismo modo, ENISA debe utilizar los documentos o la información que reciba para llevar a cabo sus actividades teniendo en cuenta cualquier limitación a la distribución ulterior de dicha información que se indique mediante una marca visible.

(32)Para aumentar la sensibilización sobre los indicadores de ciberamenazas y las recomendaciones sobre medidas de mitigación, ENISA debe poner un servicio de alerta temprana a disposición de las entidades que operan en los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555. Estas alertas tempranas genéricas y voluntarias deben beneficiar, en particular, a las pymes y facilitarse en un formato legible por máquina que se ponga a disposición del público. En cualquier caso, dicho servicio voluntario es independiente de las asociaciones público-privadas que ENISA pueda establecer o haya establecido y no está relacionado con ninguna de ellas.

(33)Para contribuir a la conciencia situacional conjunta en materia de ciberseguridad en la Unión, ENISA, en estrecha cooperación con los Estados miembros, debe elaborar un informe periódico y pormenorizado sobre la situación técnica de la ciberseguridad en la UE en cuanto a incidentes y ciberamenazas, sobre la base de la información accesible al público, de su propio análisis y de los informes compartidos por los CSIRT de los Estados miembros o los puntos de contacto únicos nacionales sobre la seguridad de las redes y los sistemas de información (en lo sucesivo, «puntos de contacto únicos») previstos en la Directiva (UE) 2022/2555, en ambos casos con carácter voluntario, Europol y el CERT-EU. Dicho informe debe ponerse a disposición del Consejo, el Servicio Europeo de Acción Exterior, la EU-CyCLONe, la red de CSIRT, la Comisión y Europol.

(34)Con el fin de mejorar la conciencia situacional conjunta de las partes interesadas en lo que respecta a ciberamenazas e incidentes de ciberseguridad, ENISA debe analizar las tendencias en esta materia. Para ello debe realizar un análisis periódico que aborde los sectores de alta criticidad y otros sectores críticos enumerados en los anexos I y II de la Directiva (UE) 2022/2555, como el sanitario, el de la energía y el del transporte. Dicho análisis debe incluir los niveles de madurez de los sectores y detectar, entre otras cosas, los posibles retos específicos de un determinado sector. Cuando proceda, y con el fin de detectar los efectos en la cadena de suministro, el análisis debe demostrar las ciberamenazas y las tendencias relacionadas con las categorías de productos contempladas por el Reglamento (UE) 2024/2847. ENISA debe desarrollar conocimientos especializados en el ámbito de la ciberseguridad de las infraestructuras y sus dependencias críticas para la cadena de suministro, en particular para apoyar a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y la ejecución del Reglamento (UE) 2024/2847. A tal fin, ENISA también debe cooperar, cuando proceda, con otras entidades de la Unión pertinentes.

(35)Además, para comprender mejor los retos en el ámbito de la ciberseguridad, ENISA debe analizar las tecnologías actuales y emergentes y proporcionar evaluaciones específicas sobre las repercusiones sociales, jurídicas, económicas y reglamentarias previstas de las innovaciones tecnológicas en la ciberseguridad. Con el fin de facilitar el acceso del público a la información sobre los riesgos de ciberseguridad y las posibles soluciones, ENISA podrá proporcionar información pertinente en su sitio web, de manera sencilla y bien estructurada.

(36)La función reforzada de ENISA en el fomento de la conciencia situacional, el análisis de las amenazas y la prestación de asesoramiento técnico contribuirá a mejorar los esfuerzos colectivos de ciberseguridad en relación con los productos con elementos digitales y apoyará la ejecución del Reglamento (UE) 2024/2847. De conformidad con el Reglamento (UE) 2024/2847, ENISA podrá proponer actividades conjuntas a las autoridades de vigilancia del mercado para comprobar el cumplimiento por parte de productos con elementos digitales y determinar categorías de dichos productos para las que puedan organizarse barridos. La información procedente del análisis de ciberamenazas y las alertas tempranas debe contribuir al apoyo que ENISA presta a dichas autoridades y a la aplicación efectiva del Reglamento (UE) 2024/2847 para prevenir los efectos de los ciberataques en la cadena de suministro en todo el mercado interior y mejorar la preparación general de la Unión.

(37)Los ataques con programas de secuestro de archivos constituyen una seria amenaza para la ciberseguridad de la Unión. Con vistas a impulsar la ciberseguridad de la Unión y luchar contra los programas de secuestro de archivos, ENISA debe desarrollar capacidades de conciencia situacional y apoyo a la respuesta a incidentes y la recuperación de estos. Al ayudar a entidades esenciales e importantes específicas a responder a un ataque con programas de secuestro y a recuperarse de él, ENISA debe cooperar estrechamente con Europol y con los CSIRT o las autoridades competentes, según proceda, para aprovechar la experiencia consolidada de Europol en la lucha contra los delitos con programas de secuestro de archivos. Esta ayuda debe complementar las actividades que llevan a cabo los CSIRT para asistir en la respuesta a incidentes. A fin de generar sinergias en su labor de lucha contra los programas de secuestro de archivos, ENISA debe crear un servicio de asistencia, para lo que podrá poner en común las capacidades y los servicios pertinentes de lucha contra dichos programas y facilitar información, orientaciones y herramientas que puedan ayudar a las entidades esenciales e importantes a responder a incidentes de esta índole y a recuperarse de ellos.

(38)ENISA debe proporcionar conocimientos técnicos y apoyo a la Comisión en la elaboración de un programa continuo de ejercicios de ciberseguridad de carácter anual a escala de la Unión, de conformidad con la Recomendación sobre el Plan Director de Ciberseguridad, destinado a preparar a las entidades para las crisis de ciberseguridad, probar el nivel de ciberseguridad de las entidades participantes y minimizar la duplicación de esfuerzos. ENISA puede, por ejemplo, asesorar sobre los tipos de ejercicios adecuados, como los de simulación teórica, híbridos o en directo, así como sobre los objetivos, los escenarios y la participación.

(39)El acceso a información correcta y oportuna sobre las vulnerabilidades y una gestión sólida de estas son indispensables para garantizar un elevado nivel de ciberseguridad en el mercado interior. Por este motivo, ENISA debe mantener una base de datos europea de vulnerabilidades de conformidad con la Directiva (UE) 2022/2555 y crear un servicio de gestión de vulnerabilidades de la Unión, para garantizar un nivel de servicio resiliente y sostenible y reducir el riesgo de perturbaciones. A tal fin, ENISA debe explorar las posibilidades de profundizar la cooperación estructurada con programas, registros o bases de datos similares a la base de datos europea de vulnerabilidades, con el fin de evitar la duplicación de esfuerzos y buscar la complementariedad a escala internacional, cuando proceda. Asimismo, ENISA debe promover la divulgación coordinada de vulnerabilidades con múltiples interesados a escala de la Unión y prestar servicios de valor añadido, como asesores de vulnerabilidades, puntuación de la gravedad y listas de productos, además de proporcionar un catálogo europeo mejorado de vulnerabilidades conocidas que estén siendo aprovechadas, para ayudar a las entidades en su gestión de las vulnerabilidades.

(40)La función de ENISA en el desarrollo del marco europeo de certificación de la ciberseguridad debe ser un aspecto clave de su mandato. ENISA debe proporcionar sus conocimientos técnicos a lo largo de todo el ciclo de vida de los esquemas europeos de certificación de la ciberseguridad. Con vistas a un futuro esquema, ENISA debe determinar las normas o especificaciones técnicas existentes que puedan servir como base de dicho esquema y, en su caso, redactar las especificaciones técnicas que puedan incorporarse por referencia en un esquema. ENISA debe encargarse de preparar las propuestas de esquema a petición de la Comisión. En cuanto a los esquemas ya existentes, ENISA debe ocuparse de su mantenimiento. Para ello, debe ayudar a crear y desarrollar un ecosistema de certificación para recabar las observaciones de los Estados miembros y las partes interesadas privadas y reforzar sus capacidades de certificación. Asimismo, debe ponerse en marcha y gestionarse un sitio web dedicado específicamente a la certificación que recoja información pertinente, de acceso público y gratuito, sobre los esquemas adoptados, incluidos los certificados y las declaraciones de conformidad.

(41)Para apoyar la ejecución de la legislación de la Unión en el ámbito de la ciberseguridad, ENISA debe configurar el estado de la técnica en dicha materia mediante especificaciones técnicas, las cuales podrán utilizarse además como referencia en los esquemas europeos de certificación de la ciberseguridad. ENISA también debe supervisar la creación y la evolución de las normas de los organismos de normalización pertinentes con vistas a seguir las tendencias de normalización a escala europea y mundial y, cuando sea necesario, orientar dichas normas mediante la participación —incluida la elaboración de contribuciones— y el liderazgo en las actividades de las organizaciones de normalización. ENISA debe mantener en todo momento la imparcialidad. Por ejemplo, pueden darse situaciones en las que ENISA deba retirarse de las actividades de los organismos de normalización si se le pide que evalúe las normas europeas solicitadas por la Comisión en apoyo de la legislación de la Unión. ENISA no debe contribuir a la elaboración de las normas que se encargue de evaluar.

(42)Para apoyar la aplicación de las políticas de la Unión y la preparación de posibles actividades de normalización, ENISA debe participar en el desarrollo y la evaluación de algoritmos criptográficos, en particular en el ámbito de la criptografía poscuántica. En ese contexto, a petición de la Comisión y con sujeción a un convenio de contribución, tal como se define en el Reglamento (UE, Euratom) 2024/2509 del Parlamento Europeo y del Consejo 50 , ENISA podrá establecer un proceso para solicitar y evaluar algoritmos para algoritmos criptográficos de las partes interesadas pertinentes, en particular las activas en los ámbitos criptográfico, académico y de investigación, así como los fabricantes, los CSIRT, las autoridades nacionales de certificación de la ciberseguridad y las autoridades competentes con arreglo a la Directiva (UE) 2022/2555. En el marco de su contribución al establecimiento de dichos procesos, ENISA debe promover la colaboración entre las partes interesadas pertinentes y ocuparse de los aspectos organizativos. El proceso debe ser formal, abierto, transparente e inclusivo y prever la consulta a las partes interesadas pertinentes sobre los proyectos de requisitos mínimos y el proceso y los criterios de evaluación, en particular en lo que respecta a la seguridad y la realización de evaluaciones.

(43)A fin de facilitar la aplicación de las actividades de evaluación de la conformidad en el marco de los esquemas europeos de certificación de la ciberseguridad y otros actos legislativos pertinentes de la Unión, ENISA podrá proporcionar herramientas técnicas de realización de pruebas pertinentes a los Estados miembros, las empresas y los organismos encargados de la evaluación de la conformidad para su uso en las actividades de evaluación. El propósito de dichas herramientas debe ser generar sinergias a escala de la Unión y propiciar un funcionamiento eficiente de los procedimientos de evaluación de la conformidad para satisfacer las necesidades de los Estados miembros y del mercado. Estas necesidades pueden surgir, por ejemplo, en el ámbito de la seguridad desde el diseño para asistir a las empresas, en especial las pymes, en sus esfuerzos de aplicación en el contexto del Reglamento (UE) 2024/2847. En este contexto, ENISA cobrará tasas para cubrir los costes relacionados con el establecimiento, el diseño, el desarrollo, el mantenimiento y la actualización de los programas y equipos informáticos necesarios para dichas herramientas de realización de pruebas. 

(44)Para asistir a los Estados miembros en sus esfuerzos por hacer frente a la escasez de profesionales de la ciberseguridad y a la creciente necesidad de una mano de obra cualificada, diversa, con equilibrio de género y dinámica, así como para promover la movilidad laboral y la preparación en todos los Estados miembros, ENISA debe basarse en los principios y el trabajo iniciados en el marco de la Academia de Cibercapacidades. En particular, debe establecer el Marco Europeo de Capacidades en Ciberseguridad (ECSF) como marco común para los perfiles profesionales de las funciones de ciberseguridad. ENISA debe seguir apoyando a los Estados miembros en el abordaje de las disparidades de género en las funciones relacionadas con la ciberseguridad. Este enfoque es coherente con la visión recogida en la Comunicación de la Comisión «La Unión de las Competencias» y contribuiría a sus objetivos. Debe seguir estudiándose la posibilidad de crear un sello de calidad para las declaraciones europeas individuales de capacidades en materia de ciberseguridad.

(45)El ECSF debe ser una herramienta práctica y flexible de uso voluntario que proporcione una comprensión y terminología comunes de las funciones oportunas y las tareas, capacidades y conocimientos asociados que se requieren principalmente en las funciones de ciberseguridad, con vistas a apoyar la identificación de los conjuntos de capacidades críticas —incluidas las transversales— necesarias para la mano de obra y permitir a los proveedores de aprendizaje, incluidas las empresas, las instituciones de educación superior o los proveedores de educación y formación profesionales, diseñar programas y ayudar a los responsables políticos a desarrollar iniciativas para abordar los déficit de competencias. Dado que puede utilizarse como marco de referencia para el reconocimiento de capacidades, también debe ser compatible con la Clasificación Europea de Capacidades y Ocupaciones (ESCO) para que los departamentos de recursos humanos comprendan los requisitos y puedan planificar los recursos, la contratación y el desarrollo profesional a fin de satisfacer las necesidades de ciberseguridad. Mientras que DigComp 3.0 describe los conocimientos, las capacidades y las actitudes requeridas para poseer la competencia digital necesaria para la vida cotidiana, la participación en la sociedad, el trabajo y el aprendizaje, y que pueden ser utilizados tanto por adultos como por niños, el ECSF es un marco sencillo que determina las funciones de ciberseguridad y las tareas, los conocimientos y las capacidades asociados y que son necesarios para llevarlas a cabo. A este respecto, se dirige a un público especializado en ciberseguridad, como profesionales y posibles futuros profesionales de la ciberseguridad o instituciones educativas y empleadores. El ECSF también debe apoyar el desarrollo de declaraciones europeas individuales de capacidades en materia de ciberseguridad, como instrumento clave para el desarrollo de los esquemas y que propicia la aparición de nuevos agentes en el mercado y estimula la competencia dentro de un marco común. El ECSF debe evaluarse y actualizarse periódicamente para garantizar que refleja adecuadamente las necesidades del mercado laboral de la ciberseguridad y los avances tecnológicos y en las políticas. ENISA debe apoyar la adopción del ECSF por parte de los Estados miembros y las entidades de la Unión y proporcionar una asistencia adecuada cuando sea preciso. 

(46)Las capacidades y cualificaciones en materia de ciberseguridad deben ser comparables, transparentes y fiables en todo el mercado interior. A tal fin, las declaraciones europeas individuales de capacidades en materia de ciberseguridad 51 deben ayudar a los empleadores, como las pymes y las empresas emergentes, a contratar a profesionales o posibles futuros profesionales de la ciberseguridad de manera efectiva en los distintos Estados miembros, en consonancia con los objetivos establecidos en la Comunicación «La Unión de las Competencias». Para garantizar una aplicación uniforme en todos los Estados miembros, las declaraciones europeas individuales de capacidades en materia de ciberseguridad deben basarse en un entendimiento común, a escala de la Unión, de las competencias necesarias para cumplir dichos objetivos y deben proporcionarlas prestadores autorizados por ENISA con arreglo a un conjunto común de criterios. Este enfoque debe estar en consonancia con los objetivos de la futura iniciativa de portabilidad de las competencias y contribuir a su consecución.

(47)El desarrollo de esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad debe tener por objeto complementar las acciones de los Estados miembros y ofrecer a las autoridades públicas y a los agentes económicos la posibilidad de hacer uso de un mecanismo europeo de declaración, en consonancia con la competencia de apoyo de la Unión en el ámbito de la educación y formación profesionales a que se refieren el artículo 6, letra e), y los artículos 165, apartado 1, y 166, apartado 1, del TFUE. Los esquemas, junto con el trabajo de la Academia de Cibercapacidades, también pueden servir como base de programas de educación superior como los títulos europeos sectoriales, así como para desarrollar microcredenciales. Por lo tanto, el propósito de los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad no es armonizar las disposiciones legales y reglamentarias de los Estados miembros, sino ser considerados como facilitadores y como una oportunidad que los Estados miembros y los agentes económicos pueden aprovechar y promover voluntariamente.

(48)ENISA debe garantizar que los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad se mantengan próximos a las necesidades del mercado y se basen en la experiencia de los prestadores públicos y privados de certificaciones individuales, incluidos los Estados miembros, las instituciones de educación superior y de educación y formación profesionales y las empresas. ENISA debe consultar a la Comisión sobre la priorización de los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad, teniendo debidamente en cuenta la aplicación de las políticas y las necesidades del mercado. 

(49)Para garantizar la armonización entre el ECSF y los esquemas, la revisión de un perfil de funciones del ECSF debe dar lugar automáticamente a una evaluación de la adecuación del esquema o esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad asociados, que a su vez puede conducir a su actualización.

(50)Habida cuenta de la diversidad de perfiles de funciones en ciberseguridad y de tareas, competencias y conocimientos asociados, puede ser necesario adaptar la evaluación de personas y los métodos de evaluación a cada esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad. Cada esquema debe garantizar que la evaluación de las capacidades necesarias para una persona en cuanto a resultados de aprendizaje, incluida, cuando proceda, la evaluación del nivel de competencia, se realice sistemáticamente tomando como referencia un perfil o subconjunto de funciones del ECSF. Los métodos de evaluación pueden incluir elementos como una prueba de conocimientos teóricos, un examen práctico, requisitos previos y una evaluación interpares. Debe tenerse debidamente en cuenta la experiencia de las personas.

(51)A fin de garantizar una aplicación coherente de los esquemas europeos de declaraciones individuales de las capacidades en materia de ciberseguridad, en particular en lo que se refiere a la evaluación de las personas, ENISA debe proporcionar formación obligatoria al personal encargado de llevar a cabo dicha evaluación. Este personal debe poseer experiencia en el ámbito de la ciberseguridad que pueda demostrarse mediante la posesión de una declaración europea individual de las capacidades en materia de ciberseguridad para el perfil de funciones al que se refiere la evaluación y con un nivel de competencia como mínimo equivalente al de las personas que estén evaluando.

(52)La función de los proveedores de declaraciones autorizados es acreditar los conocimientos y competencias que requiere una persona para desempeñar una de las funciones recogidas en el ECSF y ofrecer garantías a los empleadores de toda la Unión. Dado que los empleadores que operan infraestructuras críticas de la Unión procurarán cerciorarse de que las personas que obtienen la declaración de las capacidades en materia de ciberseguridad cuentan realmente con los niveles adecuados de capacidades y competencias, los prestadores de declaraciones autorizados encargados de acreditar dichos niveles deben ofrecer fiabilidad desde el punto de vista de la ciberseguridad y no estar sujetos a influencias indebidas de terceros países que puedan plantear preocupaciones en materia de ciberseguridad. Por consiguiente, las entidades establecidas en un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el presente Reglamento, o controladas por dicho tercer país, por una entidad establecida en dicho tercer país o por un nacional de dicho tercer país (proveedores de alto riesgo) de conformidad con el presente Reglamento no deben poder optar a ser proveedores de declaraciones autorizados de ninguna declaración europea individual de capacidades en materia de ciberseguridad con arreglo a la sección 4 del título II.

(53) Para garantizar que las personas que poseen una declaración de capacidades en materia de ciberseguridad puedan utilizarla y transmitirla fácilmente, y que dicha declaración posea validez en todos los Estados miembros, los proveedores de declaraciones autorizados deben asegurarse de que se expidan versiones digitales de las declaraciones europeas individuales de capacidades en materia de ciberseguridad y se adjunten a la cartera europea de identidad digital establecida por el Reglamento (UE) n.º 910/2014 cuando así lo solicite el titular de la declaración. Los proveedores de declaraciones autorizados deben considerarse prestadores de servicios de confianza y estar sujetos al régimen de supervisión y al régimen de responsabilidad establecidos en el Reglamento (UE) n.º 910/2014. El sistema para la declaración de atributos utilizado con arreglo al Reglamento de Ejecución (UE) 2025/1569 de la Comisión 52  debe registrarse en el catálogo de sistemas para la declaración de atributos previsto en dicho Reglamento de Ejecución.

(54)Para contribuir al desarrollo de la mano de obra en el ámbito de la ciberseguridad y a la portabilidad de las competencias en toda la Unión, ENISA debe poner a disposición del público, a través de un sitio web específico, los esquemas europeos individuales de declaraciones de las capacidades en materia de ciberseguridad y la lista de proveedores de declaraciones autorizados.

(55)Para la dirección y el funcionamiento de ENISA deben tenerse en cuenta los principios de la Declaración Común y el Planteamiento Común sobre las agencias descentralizadas de la Unión adoptado el 19 de julio de 2012 por el Parlamento Europeo, el Consejo y la Comisión 53 . Las recomendaciones de la Declaración Común y el Planteamiento Común también han de quedar reflejadas, cuando proceda, en los programas de trabajo de ENISA, sus evaluaciones y sus prácticas administrativas y de notificación.

(56)Para que el Consejo de Administración pueda desempeñar sus funciones de manera eficaz y orientar la dirección general de las actividades de ENISA, así como establecer sus prioridades estratégicas, es esencial que esté compuesto por representantes de alto nivel de los Estados miembros y de la Comisión. A tal fin, cada Estado miembro nombrará al responsable de la autoridad competente nacional del Estado miembro encargada de la ciberseguridad, con arreglo al artículo 8, apartado 1, de la Directiva (UE) 2022/2555, como miembro del Consejo de Administración.

(57)Para garantizar que los suplentes del Consejo de Administración puedan desempeñar adecuadamente sus funciones, los Estados miembros deben nombrar a personas que posean los conocimientos y la experiencia profesionales adecuados. En lo que respecta a los suplentes, la Comisión y los Estados miembros procurarán lograr una representación equilibrada entre hombres y mujeres en el Consejo de Administración y se esforzarán por limitar la rotación de dichos miembros con el fin de garantizar la continuidad de la labor de dicho Consejo.

(58)Para que ENISA pueda llevar a cabo su misión de manera efectiva, el Consejo de Administración, integrado por los representantes de Estados miembros y de la Comisión, debe establecer la orientación general de las operaciones de ENISA, así como sus prioridades estratégicas, y garantizar que desempeña su cometido de conformidad con el presente Reglamento. El Consejo de Administración debe estar dotado de las facultades necesarias para establecer el presupuesto, supervisar su ejecución, aprobar el correspondiente reglamento financiero, establecer procedimientos de trabajo transparentes para la toma de decisiones por ENISA, adoptar el documento único de programación de ENISA y su propio reglamento interno, nombrar al director ejecutivo y decidir con respecto a la prórroga y terminación de su mandato, así como determinar si se crea el puesto de director ejecutivo adjunto y, en su caso, decidir con respecto a su nombramiento y la prórroga y terminación de su mandato. Por consiguiente, toda persona que ejerza una función ejecutiva en el seno de ENISA debe ser nombrada por el Consejo de Administración. El Consejo de Administración también debe ser responsable de nombrar o destituir a los miembros de la Sala de Recurso, así como de establecer normas para prevenir o gestionar los conflictos de intereses a este respecto.

(59)Para facilitar que ENISA establezca sus prioridades estratégicas y estas estén siempre actualizadas, el Consejo de Administración debe celebrar al menos una reunión al año dedicada a las prioridades estratégicas de ENISA. Para que las reuniones del Consejo de Administración sean efectivas y estén bien fundamentadas, el Consejo de Administración podrá invitar a sus reuniones a cualquier persona cuya opinión pueda ser pertinente y de interés para los temas objeto de debate y aportar información, conocimientos especializados o asesoramiento. Dicha persona sería un observador ad hoc sin derecho de voto.

(60)El Consejo de Administración adoptará sus decisiones por mayoría absoluta de los miembros con derecho a voto, salvo que se disponga otra cosa en el presente Reglamento. Dada la importancia de las cuestiones presupuestarias y de recursos humanos, en particular en lo relativo al presupuesto anual, el informe anual de actividades, la estrategia de lucha contra el fraude, las normas de ejecución que dan efecto al Estatuto de los funcionarios, el nombramiento del director ejecutivo, el director ejecutivo adjunto y el contable, el seguimiento de las conclusiones de la Oficina Europea de Lucha contra el Fraude (OLAF) y de la Fiscalía Europea y la adopción de las normas financieras de ENISA, el Consejo de Administración solo podrá adoptar dichas decisiones si el representante de la Comisión emite un voto favorable. A efectos de tomar decisiones sobre la adopción de un documento único de programación de ENISA, y teniendo en cuenta la opinión de la Comisión, solo se exigirá el voto favorable del representante de la Comisión respecto de los elementos de la decisión no relacionados con el programa de trabajo anual y plurianual de ENISA.

(61)El Comité Ejecutivo debe contribuir al buen funcionamiento del Consejo de Administración. Como parte de sus trabajos preparatorios relativos a las decisiones del Consejo de Administración, el Comité Ejecutivo debe examinar en detalle la información pertinente, explorar las opciones disponibles y ofrecer asesoramiento y soluciones para preparar las decisiones del Consejo de Administración. También debe asistir y asesorar al director ejecutivo en la ejecución de las decisiones del Consejo de Administración.

(62)Para un buen funcionamiento de ENISA, es preciso que su director ejecutivo sea nombrado atendiendo a sus méritos y a su capacidad administrativa y de gestión debidamente acreditada, así como a su competencia y experiencia en relación con la ciberseguridad. También es necesario que desempeñe sus funciones con completa independencia. El Consejo de Administración debe nombrar al director ejecutivo de entre los integrantes de la lista de candidatos elaborada por la Comisión, siguiendo un procedimiento abierto y transparente y en observancia del principio de equilibrio de género.

(63) El director ejecutivo debe preparar una propuesta de documento único de programación de ENISA, previa consulta con la Comisión, y tomar todas las medidas necesarias para garantizar la correcta ejecución de dicho documento único de programación. El director ejecutivo debe preparar un informe anual que incluya la aplicación del programa de trabajo anual de ENISA que presentará al Consejo de Administración, redactar un proyecto de declaración de las previsiones de ingresos y gastos de ENISA y ejecutar el presupuesto. Además, el director ejecutivo debe tener la posibilidad de crear grupos de trabajo ad hoc para que examinen asuntos concretos, en particular los de índole científica, técnica, jurídica o socioeconómica. En particular, en relación con la preparación de una propuesta específica de esquema europeo de certificación de la ciberseguridad (en lo sucesivo, «propuesta de esquema»), la creación de un grupo de trabajo ad hoc se considera necesaria. Asimismo, puede ser necesario crear un grupo de trabajo ad hoc para que se encargue de las actividades de mantenimiento de esquemas europeos de certificación de la ciberseguridad específicos que se hayan adoptado. También deben crearse grupos de trabajo ad hoc para desarrollar y mantener esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad y asistir a la Agencia en la gobernanza, la aplicación y la evolución del ECSF. El director ejecutivo debe garantizar que los miembros de los grupos de trabajo ad hoc sean seleccionados de entre los expertos de mayor nivel, teniendo debidamente en cuenta la necesidad de lograr un equilibrio de género y en la representación, según proceda en función de las cuestiones específicas de que se trate, de las administraciones públicas de los Estados miembros, las entidades de la Unión y partes interesadas del sector privado como la industria, los usuarios y expertos académicos en seguridad de las redes y de la información y en productos con elementos digitales.

(64)El Consejo de Administración podrá decidir crear la función de director ejecutivo adjunto para asistir al director ejecutivo, cuando estime que dicha función es necesaria para garantizar o mantener el buen funcionamiento de ENISA. En su decisión sobre la creación de dicha función, el Consejo de Administración podrá tener en cuenta la opinión del director ejecutivo.

(65)ENISA debe contar con un Grupo Consultivo a fin de garantizar un diálogo periódico con el sector privado, las organizaciones de consumidores y otras partes interesadas pertinentes. El Grupo Consultivo de ENISA, establecido por el Consejo de Administración a propuesta del director ejecutivo, debe centrarse en cuestiones que afecten a las partes interesadas y ponerlas en conocimiento de ENISA. El Grupo Consultivo de ENISA debe ser consultado en particular en lo que se refiere al proyecto de programa de trabajo anual. La composición del Grupo Consultivo de ENISA y las tareas asignadas a este grupo deben garantizar una representación suficiente de las partes interesadas en los trabajos de ENISA. Los representantes de las autoridades nacionales y de la Unión encargadas de hacer cumplir la ley, de la protección de datos y de la vigilancia del mercado deben poder formar parte del Grupo Consultivo de ENISA.

(66)Los aspirantes a convertirse en proveedores de declaraciones autorizados o aquellos que deseen renovar su autorización deben tener acceso a las vías de recurso oportunas cuando se vean afectados por las decisiones adoptadas por ENISA. Por lo tanto, debe establecerse un mecanismo adecuado de recurso para que puedan impugnarse las decisiones de ENISA ante una Sala de Recurso cuyas resoluciones puedan ser a su vez objeto de recurso ante el Tribunal de Justicia de la Unión Europea de conformidad con los Tratados. El requisito de agotar el procedimiento de recurso en ENISA antes de interponer un recurso ante el Tribunal de Justicia de la Unión Europea solo es aplicable a las personas que estén legitimadas para comparecer ante la Sala de Recurso.

(67)A fin de garantizar la plena autonomía e independencia de ENISA y para que esta pueda desempeñar sus tareas, debe dotarse a esta de un presupuesto suficiente e independiente financiado principalmente con una contribución de la Unión, pero también con contribuciones de terceros países que participen en su trabajo y mediante tasas abonadas por proveedores de declaraciones autorizados y organismos de evaluación de la conformidad que participen en esquemas y expidan certificados europeos de ciberseguridad y declaraciones de conformidad de la UE. Debe permitirse que el Estado miembro de acogida, o cualquier otro Estado miembro, efectúe aportaciones voluntarias a los ingresos de ENISA. Ninguna contribución, financiera o en especie, realizada a ENISA por los Estados miembros, terceros países u otras entidades o personas debe comprometer su independencia o imparcialidad. El procedimiento presupuestario de la Unión debe aplicarse a la contribución de la Unión y a cualesquiera otras subvenciones con cargo al presupuesto general de la Unión. Además, el Tribunal de Cuentas Europeo debe realizar una auditoría de las cuentas de ENISA para garantizar la transparencia y la responsabilidad pública. Para que la Agencia pueda participar en todos los proyectos futuros pertinentes, debe otorgársele la posibilidad de recibir subvenciones.

(68)Debe otorgarse a ENISA la facultad de cobrar tasas a fin de capacitarla para satisfacer la demanda de sus actividades, en particular en lo que se refiere a las decisiones de autorización a prestadores para expedir declaraciones europeas individuales de capacidades en materia de ciberseguridad y al mantenimiento de los esquemas europeos de certificación de la ciberseguridad y las herramientas de realización de pruebas. El importe de las tasas que se cobren en concepto de tramitación de las solicitudes para convertirse en proveedor de declaraciones autorizado debe determinarse adecuadamente para que estas cubran suficientemente los costes estimados de desarrollo y mantenimiento de los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad, así como los derivados de evaluar si se cumplen los requisitos y las obligaciones para convertirse en proveedor de declaraciones autorizado y se siguen cumpliendo tras conseguirlo. Las tasas asociadas a los costes de expedición y renovación de autorizaciones para proveedores de declaraciones autorizados deben contemplar los costes asociados a las evaluaciones realizadas por ENISA o bajo su supervisión. La cuantía de las tasas correspondientes a la participación en esquemas europeos de certificación de la ciberseguridad y a la expedición de certificados ligados a dichos esquemas debe fijarse adecuadamente para que estas cubran suficientemente los costes estimados de mantenimiento de dichos esquemas. El pago de dichas tasas debe permitir a los organismos de evaluación de la conformidad notificados y, en su caso, a los titulares de certificados asociados a un esquema participar en dichas actividades, así como en las actividades pertinentes de desarrollo de capacidades y fomento destinadas a promover el intercambio de mejores prácticas y la adopción de esquemas y soluciones certificadas.

(69)Para garantizar la proporcionalidad, la transparencia y la seguridad jurídica, las tasas deben fijarse de manera transparente y justa. Deben reflejarse en el coste los gastos de ENISA asociados al personal que desarrolla las actividades sujetas a tasas, en particular la contribución proporcional del empleador al plan de pensiones y los costes relacionados con la Sala de Recurso. Las tasas no deben dar lugar a cargas financieras o administrativas innecesarias para los solicitantes. Deben fijarse plazos razonables para el pago de las tasas.

(70)Es necesario establecer un conjunto de indicadores para medir la carga de trabajo de la Agencia y la eficacia y eficiencia de las actividades que se financian mediante tasas. Teniendo en cuenta estos indicadores, la Agencia debe adaptar su planificación de recursos humanos y gestión de recursos procedentes de tasas para poder satisfacer adecuadamente la demanda y reaccionar ante cualquier fluctuación en los ingresos de dicha procedencia.

(71)Con el fin de determinar y gestionar correctamente el riesgo real o aparente de conflicto de intereses, ENISA debe adoptar normas relativas a la prevención y gestión de los conflictos de intereses. ENISA debe aplicar asimismo las normas relativas al acceso a documentos recogidas en el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo 54 . Los datos personales deben ser tratados por ENISA de conformidad con el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo 55 . ENISA debe cumplir las disposiciones aplicables a las entidades de la Unión, así como la legislación nacional en materia de tratamiento de la información, en especial la información sensible no clasificada y la información clasificada de la UE (ICUE).

(72)En el desempeño de sus funciones, ENISA podrá tener acceso a información sensible, como la relativa a ciberamenazas e incidentes de ciberseguridad. Por lo tanto, es fundamental que mantenga la confidencialidad de la información que maneja. En particular, de conformidad con el artículo 339 del TFUE, los funcionarios y otros agentes de ENISA están obligados a no divulgar informaciones que, por su naturaleza, estén amparada por el secreto profesional y, en especial, los datos relativos a las empresas y que se refieran a sus relaciones comerciales o a los elementos de sus costes, incluso después de haber cesado en sus cargos.

(73)Para asegurar que cumple plenamente sus objetivos, ENISA debe permanecer en contacto con las correspondientes autoridades de supervisión de la Unión y otras autoridades competentes de la Unión y entidades de la Unión pertinentes, como el CERT-EU, el EC3 de Europol, el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad, la Agencia Europea de Defensa (AED), la Agencia de la Unión Europea para el Programa Espacial (EUSPA), el Organismo de Reguladores Europeos de las Comunicaciones Electrónicas (ORECE), la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), el Banco Central Europeo (BCE), la Autoridad Bancaria Europea (ABE), el Comité Europeo de Protección de Datos (CEPD), la Agencia de Cooperación de los Reguladores de la Energía (ACER), la Agencia de la Unión Europea para la Seguridad Aérea (AESA) y cualquier otra entidad de la Unión relacionada con la ciberseguridad. ENISA debe mantener además contactos con las autoridades competentes en virtud de la Directiva (UE) 2022/2555, las autoridades de vigilancia del mercado y las encargadas de la protección de datos a fin de intercambiar conocimientos técnicos y mejores prácticas y facilitar asesoramiento sobre los aspectos de la ciberseguridad que podrían repercutir en su trabajo.

(74)Europol desempeña un papel importante en la prevención y la lucha contra la ciberdelincuencia, en particular los incidentes de seguridad de las redes y de la información. Para crear sinergias entre las tareas respectivas de cada Agencia, ENISA debe cooperar con Europol, para lo cual compartirá información sobre las tendencias en las técnicas, las demandas y las repercusiones de los ataques con programas de secuestro de archivos. Dicha cooperación también podrá consistir en identificar las variantes de programas de secuestro de archivos más comunes dirigidas a las entidades enumeradas en los anexos I y II de la Directiva (UE) 2022/2555 para asistir a las entidades esenciales e importantes en la respuesta a incidentes y la recuperación.

(75)En aras de la cooperación operativa y la conciencia situacional conjunta sobre las ciberamenazas y los incidentes de ciberseguridad, es esencial que ENISA coopere con las partes interesadas y, en particular, con las empresas y organizaciones del sector privado, con las que puede establecer asociaciones público-privadas.

(76)Para alcanzar eficazmente los objetivos establecidos en el presente Reglamento, ENISA podrá colaborar, en particular, con instituciones académicas que lleven a cabo iniciativas de investigación en ámbitos de interés y desarrollar canales adecuados para recabar las aportaciones de las organizaciones de consumidores, entre otras.

(77)Dado el carácter transfronterizo de las ciberamenazas y los incidentes de ciberseguridad, el nivel de ciberseguridad y preparación de terceros países puede afectar a las entidades de la Unión. Por consiguiente, ENISA debe poder ofrecer actividades de creación de capacidades y de formación, así como iniciativas de hermanamiento en terceros países y, en particular, actividades adaptadas a los países candidatos a la adhesión a la Unión u otros países socios, de conformidad con las prioridades de la Unión. Dichas actividades deben llevarse a cabo en respuesta a una solicitud específica de apoyo adecuado, teniendo en cuenta las prioridades de la Unión, y ejecutarse mediante acuerdos especiales, en particular, los convenios de contribución a que se refiere el Reglamento (UE, Euratom) 2024/2509. El marco europeo de certificación de la ciberseguridad tiene por objeto proteger contra las ciberamenazas, como las vulnerabilidades de ciberseguridad aprovechadas maliciosamente o los incidentes de ciberseguridad que afectan a la funcionalidad (diseño y funcionamiento) de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades. Al centrarse específicamente en los riesgos técnicos relacionados con los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o las posturas de las entidades en materia de ciberseguridad, el marco europeo de certificación de la ciberseguridad complementa el marco de seguridad de las cadenas de suministro de TIC, cuyo objetivo es garantizar un enfoque armonizado a escala de la Unión para abordar los riesgos no técnicos en sectores de alta criticidad y otros sectores críticos.

(78)Los Estados miembros también pueden recurrir a la certificación europea de ciberseguridad en el contexto de la contratación pública con arreglo a la Directiva 2014/24/UE del Parlamento Europeo y del Consejo 56 .

(79)Para simplificar el cumplimiento por parte de las entidades, el marco europeo de certificación de la ciberseguridad debe prever la posibilidad de certificar su postura de ciberseguridad. Las entidades, en particular las que prestan distintos tipos de servicios en varios Estados miembros, pueden enfrentarse a diferentes obligaciones en materia de ciberseguridad y seguridad de los datos en virtud de instrumentos horizontales como el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo 57 y la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo 58 , así como de instrumentos sectoriales específicos. Con el fin de racionalizar la aplicación del marco regulador general de la ciberseguridad y facilitar su cumplimiento, la legislación de la Unión debe prever la posibilidad de que las entidades demuestren que cumplen los requisitos de gestión de riesgos de ciberseguridad mediante un certificado europeo de ciberseguridad. Un esquema oportuno podría contribuir a racionalizar los requisitos de cumplimiento impuestos por diferentes instrumentos reglamentarios, sin perjuicio de sus requisitos de certificación específicos. Estas medidas de simplificación pueden reducir la carga administrativa y movilizar recursos para reforzar la preparación operativa en materia de ciberseguridad de las entidades en sectores críticos de la Unión.

(80)La certificación europea de los requisitos de gestión de riesgos de ciberseguridad desarrollada en el marco del marco europeo de certificación de la ciberseguridad permitirá a las entidades demostrar el cumplimiento de la legislación pertinente de la Unión cuando un esquema contemple los requisitos legales establecidos en el acto jurídico en cuestión y así lo disponga. Partiendo de esta premisa, un acto jurídico de la Unión también puede establecer la presunción de conformidad con dichos requisitos. Estos esquemas podrían contribuir a mejorar la aplicación coherente de los requisitos de ciberseguridad de la legislación de la Unión para igualar las condiciones de competencia en todos los Estados miembros y aliviar la carga que supone el cumplimiento.

(81)El marco europeo de certificación de la ciberseguridad debe prever la posibilidad de certificar procesos de TIC, definidos como un conjunto de actividades llevadas a cabo para la concepción, elaboración, suministro y mantenimiento de un producto o servicio de TIC. Un perfil de protección es un ejemplo de proceso de TIC, tal como se especifica en el Reglamento de Ejecución (UE) 2024/482 de la Comisión 59 . Otro ejemplo de proceso de TIC es el conjunto de actividades emprendidas por un fabricante para la concepción y la elaboración seguras de un producto de TIC, incluidas las medidas físicas, lógicas, procedimentales, de personal y otras medidas de seguridad necesarias para proteger la confidencialidad e integridad de la concepción y la aplicación de un producto de TIC en su entorno de desarrollo. La certificación de estas actividades se denomina a menudo «certificación de las instalaciones» en el contexto de un proceso de certificación con arreglo al Reglamento de Ejecución (UE) 2024/482 de la Comisión.

(82)La definición de servicios de seguridad gestionados en el presente Reglamento debe ser coherente con la de proveedores de servicios de seguridad gestionados establecida en la Directiva (UE) 2022/2555. Dichos servicios consisten en llevar a cabo actividades relacionadas con la gestión de los riesgos de ciberseguridad de los clientes de tales servicios, o prestar asistencia para su realización, y han ido adquiriendo cada vez más importancia en el contexto de la prevención y atenuación de los efectos de incidentes. En consecuencia, los prestadores de dichos servicios se consideran, de conformidad con la Directiva (UE) 2022/2555, entidades esenciales o importantes pertenecientes a un sector de alta criticidad. Los proveedores de servicios de seguridad gestionados en ámbitos como la respuesta a incidentes, las pruebas de penetración, las auditorías de seguridad y la consultoría desempeñan la función, especialmente importante, de asistir a las entidades en sus esfuerzos de prevención y detección de incidentes, respuesta a estos y recuperación de estos. No obstante, los proveedores de servicios de seguridad gestionados también han sido víctimas de ciberataques y plantean un riesgo especial como consecuencia de su estrecha integración en las actividades de sus clientes. Por lo tanto, es necesario que las entidades que se consideren esenciales e importantes de acuerdo con la Directiva (UE) 2022/2555 redoblen su diligencia a la hora de seleccionar proveedores de servicios de seguridad gestionados.

(83)Los esquemas europeos de certificación de la ciberseguridad son pertinentes para una amplia comunidad de partes interesadas, como los prestadores de soluciones de TIC, los organismos de evaluación de la conformidad y los usuarios. Para promover una amplia participación de las partes interesadas, la Asamblea Europea de Certificación de la Ciberseguridad (en lo sucesivo, «la Asamblea») debe reunirse al menos una vez al año al objeto de fomentar la colaboración entre la Comisión, ENISA, los Estados miembros y las partes interesadas pertinentes. Esta Asamblea desempeñará una función esencial para detectar y abordar los nuevos retos en materia de ciberseguridad y las prioridades estratégicas de certificación, además de garantizar que los esquemas de certificación faciliten la integración segura de las tecnologías digitales y se adapten a las necesidades de los usuarios. La Asamblea debe fomentar el liderazgo de la Unión en las actividades de certificación y mantener la capacidad del marco de certificación para generar confianza para las empresas, las autoridades públicas y el público.

(84)La Comisión debe mantener un sitio web específico para garantizar la transparencia mediante la publicación de información actualizada sobre los avances en la aplicación del marco europeo de certificación de la ciberseguridad. El sitio web debe incluir información relacionada con los esquemas de certificación que se están elaborando, las prioridades estratégicas para los futuros esquemas, las propuestas de esquemas que ha recibido ENISA e información sobre la adopción de esquemas de certificación. El sitio web de la Comisión complementará al sitio web de ENISA sobre esquemas europeos de certificación de la ciberseguridad, que debe ofrecer información exhaustiva sobre la preparación técnica de las propuestas de esquema y su mantenimiento, y se centrará en los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE expedidos.

(85)A fin de mejorar el diálogo entre las instituciones de la Unión y contribuir a un proceso de consulta formal, abierto, transparente e inclusivo, la Comisión debe tener en cuenta los elementos que se deriven de las opiniones expresadas por el Parlamento Europeo, el Consejo y la Asamblea Europea de Certificación de la Ciberseguridad en su evaluación del presente Reglamento.

(86)Los estudios de viabilidad realizados por ENISA deben contribuir a la preparación para la planificación y el desarrollo de esquemas de certificación de la ciberseguridad. Los estudios deben incorporar las perspectivas de las partes interesadas pertinentes y adaptar los futuros esquemas de certificación a las actividades de investigación, desarrollo y evaluación tecnológica en curso, y reconocer, en particular, las contribuciones de las iniciativas de investigación de la Unión y de los Estados miembros. Estos estudios pueden ayudar a identificar las normas y especificaciones técnicas disponibles. Deben llevarse a cabo a petición de la Comisión o de conformidad con las prioridades estratégicas de la Unión para garantizar que la evolución del panorama tecnológico y las necesidades de ciberseguridad se aborden y reflejen adecuadamente cuando se soliciten y desarrollen esquemas.

(87)El diseño de las propuestas de esquemas y su cobertura de los objetivos y elementos de seguridad deben ser proporcionales a la materia de que se trate y al alcance del objeto de certificación. Por ejemplo, un esquema de certificación de servicios en la nube podría abordar objetivos de seguridad pertinentes para los servicios de TIC y la seguridad organizativa, mientras que un objetivo de seguridad relacionado con la no inclusión de vulnerabilidades aprovechables conocidas probablemente no sería pertinente para la certificación de procesos de TIC.

(88)A fin de garantizar que los esquemas europeos de certificación de la ciberseguridad se apliquen de manera armonizada en todos los Estados miembros, es necesario establecer normas sobre el mantenimiento de los esquemas. Las actividades de mantenimiento también son necesarias para garantizar que los esquemas y su documentación de apoyo estén siempre actualizados, especialmente en un ámbito de ciberseguridad en el que el panorama de amenazas y las tecnologías evolucionan constantemente. Por lo tanto, en el diseño y mantenimiento de los esquemas de certificación debe evitarse el riesgo de que queden obsoletos rápidamente. Por lo general, las actividades de mantenimiento deben incluir la redacción y actualización de documentación de apoyo, incluidas las especificaciones y orientaciones técnicas, así como la identificación de normas o especificaciones técnicas pertinentes para el esquema. También debe formar parte de las actividades de mantenimiento el análisis del funcionamiento del esquema, sus posibles deficiencias y las mejoras necesarias. Además, las actividades de mantenimiento deben incluir el intercambio de información entre los Estados miembros con respecto a la aplicación de los esquemas y las contribuciones a los mecanismos de revisión y evaluación interpares.

(89)Debido a la naturaleza técnica de las actividades de mantenimiento, ENISA debe encargarse de gestionarlas, en colaboración con la Comisión y con el apoyo del Grupo Europeo de Certificación de la Ciberseguridad (GECC) y su subgrupo encargado de las tareas de mantenimiento. La creación del subgrupo de mantenimiento del GECC permite recopilar contribuciones técnicas e información de los Estados miembros para armonizar los enfoques.

(90)Al objeto de que los esquemas sigan siendo pertinentes para el mercado y estén actualizados, las actividades de mantenimiento deben contemplar interacciones con los grupos de partes interesadas pertinentes, tales como el intercambio de contribuciones técnicas. Estos grupos de partes interesadas pueden ser organizaciones de normalización, organismos de evaluación de la conformidad, proveedores, usuarios, autoridades públicas o asociaciones empresariales. Debido a las especificidades de los distintos esquemas, incluidos sus correspondientes foros técnicos e industrias, debe poderse recopilar contribuciones técnicas de diferentes maneras en cada caso. En el caso de algunos esquemas, ENISA necesitará recurrir a un grupo de trabajo ad hoc integrado por expertos de las administraciones públicas de los Estados miembros, las entidades de la Unión y el sector privado. Las contribuciones técnicas también pueden proceder de centros de puesta en común y análisis de la información o de organizaciones de normalización. ENISA debe realizar un análisis para determinar qué formato es más adecuado para cada esquema y acompañar cada propuesta de esquema de una estrategia de mantenimiento.

(91)Los esquemas europeos de certificación de la ciberseguridad deben basarse en normas o especificaciones técnicas, especialmente en lo que respecta a la definición de los requisitos de seguridad y las metodologías de evaluación. ENISA debe tener la posibilidad de elaborar especificaciones técnicas que puedan ser de utilidad en la preparación y el mantenimiento de los esquemas, en particular cuando no se disponga de documentos de las organizaciones de normalización o estos no sean adecuados para satisfacer los objetivos del esquema. En el proceso de redacción, ENISA debe contar con el apoyo del GECC y, en su caso, del grupo de trabajo ad hoc creado para el esquema en cuestión. ENISA también debe recabar contribuciones de los grupos de partes interesadas. Asimismo, debe tener en cuenta la aceptación del mercado, así como las normas europeas e internacionales. Teniendo en cuenta la calidad de las especificaciones técnicas y los objetivos del esquema, la Comisión podrá consultar las especificaciones técnicas elaboradas por ENISA en un esquema europeo de certificación de la ciberseguridad.

(92)Las especificaciones técnicas elaboradas por ENISA e incorporadas por referencia a un esquema se publicarán en el sitio web de ENISA de esquemas europeos de certificación de la ciberseguridad para que todas las partes interesadas puedan acceder a ellas. Sin embargo, en algunos casos específicos, la publicación en el sitio web podría comportar un riesgo para la ciberseguridad de los productos, servicios o procesos de TIC certificados, los servicios de seguridad gestionados o las posturas de las entidades en materia de ciberseguridad y, por extensión, para la seguridad pública. Este sería el caso, por ejemplo, de las especificaciones técnicas que contengan información precisa sobre nuevas vías de ataque cuya divulgación al público permitiría a los agentes malintencionados utilizarlas. Este tipo de información debe distribuirse, de manera restringida en función de la necesidad de conocer, entre las partes interesadas pertinentes, como las autoridades nacionales de certificación de la ciberseguridad, los organismos de evaluación de la conformidad y los proveedores certificados. Debido a su distribución restringida, dichas especificaciones técnicas no deben mencionarse en los esquemas europeos de certificación de la ciberseguridad y, por lo tanto, deben ser de carácter no vinculante.

(93)Los esquemas de certificación de la postura de ciberseguridad deben diseñarse de manera modular para permitir la demostración del cumplimiento y la presunción de conformidad con los requisitos de ciberseguridad pertinentes establecidos en otros actos legislativos de la Unión, cuando dicha legislación prevea esa posibilidad. Por lo tanto, la presunción de conformidad con los requisitos de estos actos jurídicos solo surtirá efecto como posible vía para demostrar el cumplimiento si los respectivos actos jurídicos permiten dicha presunción. Por lo tanto, es probable que los detalles de dicho esquema, a saber, su finalidad, objetivos o elementos, difieran de los de otros. En particular, deben desarrollarse esquemas para la certificación de la postura de ciberseguridad de las entidades que prevean la evaluación de la conformidad continua de una entidad con la legislación de la Unión. Por lo tanto, no es necesario que los esquemas de certificación de la postura de ciberseguridad abarquen todos los elementos de los esquemas europeos de certificación de la ciberseguridad, como los niveles de garantía, y esto debe reflejarse en las normas de dichos esquemas.

(94)Un marco para la certificación de la postura de ciberseguridad en el marco europeo de certificación de la ciberseguridad permite desarrollar un esquema para que las entidades que prestan servicios en varios Estados miembros puedan demostrar el cumplimiento de las obligaciones en materia de gestión de riesgos de ciberseguridad establecidas en la Directiva 2022/2555 del Parlamento Europeo y del Consejo. De este modo, al poder demostrar el cumplimiento, las entidades pueden beneficiarse de enfoques de supervisión más coherentes y menos gravosos en todo el mercado interior. El desarrollo de dicho esquema de certificación debe facilitarse mediante la adopción de actos de ejecución en virtud de la Directiva (UE) 2022/2555. Mediante perfiles de extensión, un esquema de certificación de la postura de ciberseguridad permitirá demostrar el cumplimiento de los requisitos cuando un Estado miembro haya adoptado o mantenido disposiciones que garanticen un nivel más elevado de ciberseguridad en consonancia con la Directiva (UE) 2022/2555. Sobre esta base, una entidad que preste servicios en varios Estados miembros puede demostrar el cumplimiento de todos los perfiles de extensión pertinentes mediante un único certificado europeo de ciberseguridad.

(95)Los objetivos y requisitos de seguridad establecidos en los esquemas europeos de certificación de la ciberseguridad en lo que respecta a la seguridad de los productos deben ser coherentes con los requisitos esenciales de ciberseguridad recogidos en el anexo I del Reglamento (UE) 2024/2847. Esta coherencia es necesaria para que los fabricantes cuyos productos entren en el ámbito de aplicación del Reglamento (UE) 2024/2847 no se enfrenten a requisitos contradictorios cuando certifiquen sus productos en el marco de un esquema europeo de certificación de la ciberseguridad. Además, esta coherencia de los requisitos facilita la presunción de conformidad establecida en el artículo 27 del Reglamento (UE) 2024/2847, que dispone que aquellos fabricantes de productos con elementos digitales que hayan sido certificados en virtud de un esquema europeo de certificación de la ciberseguridad pueden beneficiarse, en determinadas condiciones, de la presunción de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I de dicho Reglamento.

(96)En el marco del esquema europeo de certificación de la ciberseguridad, debe ser posible especificar un perfil de extensión mediante el establecimiento de requisitos adicionales o específicos para los casos de uso, incluidas capacidades adicionales como características mejoradas de los productos, ofertas o activos de servicios especializados, procesos optimizados y medidas de seguridad avanzadas. Dado que los perfiles de extensión no se corresponden con un nivel de garantía específico, deben describir detalladamente su finalidad, incluidas las amenazas para la seguridad que abordan. El propósito de los perfiles de extensión es, en particular, demostrar el cumplimiento de normas y requisitos reglamentarios específicos, como los relativos a las medidas adicionales para la gestión de riesgos de ciberseguridad establecidas por un Estado miembro con arreglo al principio de armonización mínima en consonancia con la Directiva (UE) 2022/2555.

(97)Sin perjuicio del sistema general de revisión interpares que se establezca en todas las autoridades nacionales de certificación de la ciberseguridad en virtud del marco europeo de certificación de la ciberseguridad, los esquemas europeos de certificación de la ciberseguridad podrán incluir un mecanismo de evaluación interpares para aquellos organismos que expidan certificados europeos de ciberseguridad para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades, en especial para aquellos que emitan certificados con un nivel de garantía «elevado» con arreglo a dichos esquemas. También se incluyen aquellos organismos de certificación de las autoridades nacionales de certificación de la ciberseguridad que expidan certificados con un nivel de garantía «elevado». El GECC debe apoyar la aplicación de dichos mecanismos de evaluación interpares. Dichas evaluaciones interpares deben establecer en particular si los organismos de que se trate desempeñan sus cometidos de forma armonizada y pueden incluir vías de recurso.

(98)Crisis como las guerras, las catástrofes naturales y las pandemias podrían afectar negativamente a las actividades de certificación. En situaciones de crisis de esta naturaleza podría no ser viable, por ejemplo, garantizar la seguridad de las instalaciones debido a la destrucción de infraestructuras, los ciberataques, la indisponibilidad del personal o la imposibilidad de acceder a dichas instalaciones. Por consiguiente, un esquema europeo de certificación de la ciberseguridad debe especificar normas temporales sobre la continuidad de las actividades de certificación en tales situaciones.

(99)Convertir las propuestas de esquemas técnicos en actos de ejecución requiere conocimientos técnicos y jurídicos complejos y puede generar una carga administrativa considerable. Además, determinados elementos de los esquemas europeos de certificación de la ciberseguridad, como la gestión de las vulnerabilidades o las condiciones en las que pueden utilizarse dichas marcas o etiquetas, son de carácter intersectorial y pueden beneficiarse de disposiciones de referencia armonizadas. Para garantizar la calidad de los esquemas europeos de certificación de la ciberseguridad adoptados y reducir la carga de cumplimiento para las empresas, la Comisión debe estar facultada para adoptar disposiciones modelo que abarquen determinados elementos de dichos esquemas.

(100)Con el fin de garantizar la coherencia del marco europeo de certificación de la ciberseguridad, un esquema europeo de certificación de la ciberseguridad podrá especificar niveles de garantía para los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE expedidos con arreglo a dicho esquema. Un certificado europeo de ciberseguridad debe referirse a uno de los niveles de garantía siguientes: «básico», «sustancial» o «elevado». Por su parte, las declaraciones de conformidad de la UE solo podrán referirse al nivel de garantía «básico». Los niveles de garantía deben prever el rigor y la profundidad necesarios para evaluar el producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad de una entidad, y podrán determinarse por referencia a especificaciones técnicas, normas y procedimientos relacionados, incluidos los controles técnicos, a fin de mitigar o evitar incidentes. Cada nivel de garantía debe ser coherente en los distintos ámbitos sectoriales a los que se aplica la certificación.

(101)La elección del nivel adecuado de certificación y de los requisitos de seguridad asociados por parte de los usuarios de certificados europeos de ciberseguridad debe basarse en el análisis de los riesgos asociados con el uso de productos, servicios o procesos de TIC, servicios de seguridad gestionados o el contexto de la certificación de las entidades. El nivel de garantía debe ser proporcional al nivel del riesgo asociado al uso previsto del producto, servicio o proceso de TIC, los servicios de seguridad gestionados o el entorno operativo y la naturaleza de la entidad cuya postura de ciberseguridad es objeto de certificación.

(102)En el caso del nivel de garantía «básico», la evaluación debe regirse al menos por los siguientes componentes de garantía: la evaluación debe incluir como mínimo una revisión de la documentación técnica del producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad de la entidad por el organismo de evaluación de la conformidad. Cuando la certificación incluya procesos de TIC, también debe someterse a la revisión técnica el proceso utilizado para diseñar, desarrollar y mantener el producto o servicio de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad de la entidad. En los casos en que un esquema europeo de certificación de la ciberseguridad establezca una autoevaluación de la conformidad, debe ser suficiente con que el fabricante o proveedor de los productos, servicios o procesos de TIC o los servicios de seguridad gestionados o la entidad cuya posición en materia de ciberseguridad es objeto de certificación haya llevado a cabo una autoevaluación sobre el cumplimiento del producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad de la entidad con respecto al esquema de certificación.

(103)En el caso del nivel de garantía «sustancial», la evaluación, además de cumplir con lo indicado para el nivel de garantía «básico», debe regirse al menos por la verificación del cumplimiento de las funcionalidades de seguridad del producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad de una entidad con respecto a su documentación técnica.

(104)Para el nivel de garantía «elevado», la evaluación, además de cumplir con lo indicado para el nivel de garantía «sustancial», debe regirse al menos por una prueba de eficacia que evalúe la resistencia de las funcionalidades de seguridad frente a ciberataques complejos efectuados por personas que tienen habilidades y recursos significativos. Las actividades de evaluación de la conformidad deben llevarse a cabo en el Espacio Económico Europeo cuando se trate del nivel de garantía «elevado» o cuando un esquema se haya diseñado para demostrar el cumplimiento y establecer la presunción de conformidad con otros actos legislativos de la Unión. Este requisito se justifica por el hecho de que las actividades de evaluación que tienen lugar fuera del Espacio Económico Europeo dan lugar a amenazas adicionales para la ciberseguridad, en particular, para la propiedad intelectual de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o las entidades objeto de la evaluación. Así, el código fuente de un producto de TIC podría ser sometido a examen al cruzar la frontera de un tercer país, lo que conlleva un riesgo para la propiedad intelectual. Además, los laboratorios de pruebas establecidos en terceros países no operan en un entorno que deba regirse por las medidas de ciberseguridad exigidas por la legislación de la UE, como la Directiva (UE) 2022/2555 o el Reglamento (UE) 2024/2847. Por ejemplo, un laboratorio de pruebas puede recurrir a un prestador tercero de servicios en la nube que no cumpla los requisitos de ciberseguridad estipulados en la Directiva (UE) 2022/2555. No obstante, debe permitirse que un esquema de certificación prevea mecanismos de excepción, por ejemplo cuando se trate de la certificación de las instalaciones o en aquellos casos en los que no sea viable realizar las actividades de evaluación de la conformidad en el Espacio Económico Europeo.

(105)En algunos casos, pueden ser necesarios diferentes enfoques para cumplir los objetivos de seguridad de un determinado nivel de garantía tomando en consideración las especificidades de un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la postura de ciberseguridad de las entidades. Para posibilitar un enfoque más detallado, un esquema europeo de certificación de la ciberseguridad debe permitir especificar uno o varios niveles de evaluación correspondientes con uno de los niveles de garantía. De este modo pueden desarrollarse esquemas con varios niveles de evaluación diseñados para una finalidad diferente que se correspondan con el nivel de seguridad propio de un nivel de garantía específico.

(106)Debe permitirse que los esquemas europeos de certificación de la ciberseguridad prevean la posibilidad de que la evaluación de la conformidad se realice bajo la responsabilidad exclusiva del fabricante o proveedor de los productos, servicios o procesos de TIC o los servicios de seguridad gestionados o de la entidad cuya postura de ciberseguridad sea objeto de certificación (en lo sucesivo, «autoevaluación de la conformidad»). En tales casos, debe ser suficiente con que el fabricante, el proveedor o la entidad cuya postura de ciberseguridad sea objeto de certificación lleve a cabo todas las comprobaciones para garantizar la conformidad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de una entidad con respecto al esquema europeo de certificación de la ciberseguridad. La autoevaluación de la conformidad debe considerarse adecuada para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de una entidad que sean de baja complejidad, presenten un riesgo bajo para el público y tengan un diseño o unos mecanismos de producción sencillos.

(107)Cuando un esquema europeo de certificación de la ciberseguridad permita tanto autoevaluaciones de la conformidad como certificaciones de productos, servicios o procesos de TIC, servicios de seguridad gestionados o la postura de ciberseguridad de las entidades, este esquema deberá proporcionar medios claros y comprensibles para que los consumidores u otros usuarios distingan entre productos, servicios o procesos de TIC, servicios de seguridad gestionados o las posturas de las entidades en materia de ciberseguridad que se hayan sometido a una autoevaluación o hayan sido certificados por terceros.

(108)El fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados o las entidades cuya posición en materia de ciberseguridad sea objeto de certificación debe poder expedir y firmar la declaración de conformidad de la UE como parte del procedimiento de evaluación de la conformidad. La declaración de conformidad de la UE es un documento que determina si un producto, servicio o proceso de TIC específico, un servicio de seguridad gestionado específico o la postura de ciberseguridad de una entidad específica cumple los requisitos del esquema europeo de certificación de la ciberseguridad. Al expedir y firmar la declaración de conformidad de la UE, el fabricante o proveedor de los productos, servicios o procesos de TIC o los servicios de seguridad gestionados o la entidad cuya posición en materia de ciberseguridad es objeto de certificación asume la responsabilidad de la conformidad del producto, servicio o proceso de TIC, del servicio de seguridad gestionado o de la postura de ciberseguridad de la entidad con los requisitos de seguridad del esquema europeo de certificación de la ciberseguridad. Debe presentarse una copia de la declaración de conformidad de la UE a la autoridad nacional de certificación de la ciberseguridad y a ENISA.

(109)Los fabricantes o proveedores de productos, servicios o procesos de TIC o servicios de seguridad gestionados o las entidades cuya postura de ciberseguridad sea objeto de certificación deben poner a disposición de la autoridad nacional de certificación de la ciberseguridad competente, por un plazo previsto en el esquema europeo específico de certificación de la ciberseguridad, la declaración de conformidad de la UE, la documentación técnica, y toda la información pertinente relativa a la conformidad con el esquema europeo de certificación de la ciberseguridad de que se trate y en consonancia con la legislación aplicable de la Unión. La documentación técnica debe especificar los requisitos aplicables en virtud del esquema en la medida en que sea pertinente para la autoevaluación de la conformidad. La documentación técnica debe recopilarse de tal forma que permita la evaluación de la conformidad de un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la postura de ciberseguridad de una empresa con los requisitos aplicables en virtud de dicho esquema.

(110)Los certificados europeos de la ciberseguridad y las declaraciones de conformidad de la UE deben ayudar a los usuarios finales a elegir con conocimiento de causa. Por lo tanto, la información pertinente debe publicarse en un sitio web gestionado por ENISA. Además, los productos, servicios y procesos de TIC que han sido certificados o para los que se ha expedido una declaración de conformidad de la UE deben ir acompañados de información estructurada, adaptada al nivel técnico previsto del usuario al que se destinan. Todos los usuarios deben poder tener acceso a informaciones relativas al número de referencia del esquema de certificación, a la autoridad u organismo emisor y, en su caso, al nivel de garantía, o deben poder obtener una copia del certificado europeo de ciberseguridad. Dicha información debe actualizarse periódicamente y estar disponible en un sitio web específico sobre los esquemas europeos de certificación de la ciberseguridad. Además, a fin de garantizar una accesibilidad ininterrumpida, debe exigirse a los fabricantes y proveedores que notifiquen al organismo de certificación oportuno cualquier cambio en la ubicación de la información en línea o, en su caso, física.

(111)La evaluación de la conformidad es el procedimiento por el cual se evalúa si se han cumplido los requisitos especificados en relación con un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o una entidad. Para llevar a cabo este procedimiento es necesario un tercero independiente, que no sea el fabricante del producto ni el proveedor del producto, servicio o proceso de TIC o del servicio de seguridad gestionado que está siendo certificado, ni la entidad cuya postura de ciberseguridad está siendo evaluada. Un certificado europeo de ciberseguridad debe ser expedido tras un procedimiento de evaluación exitoso de un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la postura de ciberseguridad de la entidad. Un certificado europeo de ciberseguridad debe considerarse una confirmación de que la evaluación se ha llevado a cabo de forma apropiada.

(112)La estricta separación de las actividades de supervisión y certificación es importante para evitar distorsiones e interferencias que puedan producirse en situaciones en las que la entidad que supervisa el mercado también compita en el mismo mercado. Por consiguiente, las actividades en las que las autoridades nacionales de certificación de la ciberseguridad se limiten a desempeñar su función de supervisión, como la aprobación previa a la expedición de un certificado, no requerirán una mayor separación interna de otras actividades de supervisión. Sería el caso, por ejemplo, de una situación en la que la autoridad nacional de certificación de la ciberseguridad recopila activamente información a lo largo de todo el proceso de certificación llevado a cabo por organismos privados de evaluación de la conformidad y, a continuación, emite su dictamen sobre la expedición del certificado por parte de dichos organismos (en lo sucesivo, «modelo de aprobación previa»).

(113)Los esquemas europeos de certificación de la ciberseguridad deben especificar las condiciones en las que puede ser necesario volver a certificar los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o las posturas de ciberseguridad de una entidad, o en las que puede ser necesario reducir el ámbito de un certificado europeo de ciberseguridad específico. Además, los esquemas europeos de certificación de la ciberseguridad deben tener en cuenta cualquier posible efecto adverso de cualquier vulnerabilidad o falta de conformidad con los requisitos de seguridad de dicho certificado que se detecte posteriormente en relación con el producto, servicio o proceso de TIC, servicio de seguridad gestionado o postura de ciberseguridad de una entidad certificados.

(114)La armonización desempeña un papel crucial a la hora de garantizar una ciberseguridad sólida y mejorar el acceso al mercado de las empresas. Por el contrario, la fragmentación y la falta de reconocimiento mutuo de los certificados plantean obstáculos significativos al flujo de datos, lo que aumenta los costes operativos para la industria de la Unión. Para mitigar estos retos, es esencial evitar la fragmentación tanto en el alcance de los controles de seguridad como en los métodos de evaluación de la conformidad en toda la Unión.

(115)Los Estados miembros deben informar a la Comisión y al GECC con suficiente antelación antes de adoptar nuevos esquemas nacionales de certificación de la ciberseguridad para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades para que la Comisión y el GECC puedan evaluar las repercusiones del nuevo esquema nacional de certificación de la ciberseguridad en el adecuado funcionamiento del mercado interior y valorar el posible interés estratégico de solicitar un esquema europeo de certificación de la ciberseguridad.

(116)Las referencias en la legislación nacional a normas nacionales que hayan dejado de producir efectos jurídicos debido a la entrada en vigor de un esquema europeo de certificación de la ciberseguridad pueden ser una fuente de confusión. Por consiguiente, en su caso, los Estados miembros deben reflejar en sus legislaciones nacionales la adopción de un esquema europeo de certificación de la ciberseguridad.

(117)A los efectos de facilitar el crecimiento de un mercado interior fiable y crear asimismo asociaciones con terceros países, el proceso de certificación establecido en virtud del marco europeo de certificación de la ciberseguridad debe aplicarse de manera que facilite el reconocimiento internacional, el reconocimiento mutuo y la armonización con las normas internacionales.

(118)Con el fin de seguir facilitando el comercio y reconociendo la naturaleza internacional de las cadenas de suministro de TIC, la Unión podrá celebrar acuerdos de reconocimiento mutuo relativos a certificados europeos de ciberseguridad, de conformidad con el artículo 218 del TFUE. La Comisión debe estar facultada para adoptar actos de ejecución a los efectos de reconocer unilateralmente la equivalencia de los certificados de terceros países con los certificados europeos de ciberseguridad. Debe ser posible establecer condiciones específicas para dicho reconocimiento de certificados de terceros países.

(119)Para conseguir una equivalencia en la ejecución del marco en toda la Unión, facilitar el reconocimiento mutuo y favorecer la aceptación global de los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE, es necesario establecer un sistema de revisión interpares entre las autoridades nacionales de certificación de la ciberseguridad. Dicha revisión interpares debe abarcar los procedimientos de supervisión de la conformidad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados y la postura de ciberseguridad de las entidades con respecto a los certificados europeos de ciberseguridad, así como los procesos de vigilancia de las obligaciones de los fabricantes o proveedores de los productos, servicios o procesos de TIC o los servicios de seguridad gestionados y las entidades certificadas que realizan una autoevaluación de la conformidad. Abarcará asimismo la vigilancia de la conformidad de los organismos de evaluación y la adecuación de los conocimientos especializados del personal de los organismos que expiden los certificados del nivel de garantía «elevado». ENISA participará en las revisiones interpares como observadora y apoyará la organización del mecanismo de revisión interpares y las propias revisiones, para lo cual desarrollará los documentos de orientación y modelos oportunos, en colaboración con la Comisión y el GECC. Asimismo, publicará en su sitio web sobre esquemas europeos de certificación de la ciberseguridad la información sobre el calendario de las revisiones interpares, así como la lista de autoridades nacionales de certificación de la ciberseguridad objeto de revisión interpares que deben cumplir dicho calendario. El Reglamento de Ejecución (UE) 2025/2540 de la Comisión 60 , adoptado en virtud del Reglamento (UE) 2019/881, establece el plan de revisiones interpares que están utilizando los esquemas europeos de certificación de la ciberseguridad adoptados. Es necesario garantizar la continuidad de las revisiones interpares. No obstante, cuando sea preciso, la Comisión podrá, mediante actos de ejecución, establecer un nuevo plan para las revisiones interpares de al menos cinco años, además de fijar los criterios y las metodologías de funcionamiento de dicho sistema de revisión interpares.

(120) Una vez que se adopte un esquema europeo de certificación de la ciberseguridad, los fabricantes o proveedores de productos, servicios o procesos de TIC o servicios de seguridad gestionados o las entidades cuya postura de ciberseguridad es objeto de certificación podrán presentar una solicitud de certificación de sus productos, servicios o procesos de TIC, servicios de seguridad gestionados o postura de ciberseguridad al organismo de evaluación de la conformidad de su elección en cualquier parte de la Unión. Los organismos de evaluación de la conformidad deben ser acreditados por un organismo nacional de acreditación si cumplen los requisitos establecidos en el presente Reglamento y, en su caso, los requisitos especificados por la Comisión de conformidad con el presente Reglamento. El sistema que dispone el presente Reglamento debe complementarse con el sistema de acreditación establecido en el Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo 61 .

(121) Los organismos de evaluación de la conformidad que hayan sido acreditados o notificados con arreglo a la legislación vigente de la Unión, en particular el Reglamento (UE) 2024/2847 o el Reglamento de Ejecución (UE) 2024/482, pueden poseer competencias pertinentes para los esquemas europeos de certificación de la ciberseguridad adoptados recientemente. A fin de evitar cargas financieras y administrativas innecesarias, conviene crear sinergias para la acreditación de los organismos de evaluación de la conformidad con arreglo al presente Reglamento. Por este motivo, los requisitos de acreditación de los esquemas deben establecerse de manera que se ajusten en la medida de lo posible a los requisitos relativos a los organismos notificados recogidos en el Reglamento (UE) 2024/2847 y a los requisitos de acreditación previstos en el Reglamento de Ejecución (UE) 2024/482. Además, los organismos de evaluación de la conformidad que se sometan a un proceso de acreditación con arreglo al presente Reglamento podrán basarse en resultados anteriores de evaluación de sus competencias con arreglo a otros actos legislativos de la Unión, siempre que exista un solapamiento en los requisitos de acreditación.

(122)Con el fin de facilitar la armonización de los servicios de evaluación de la conformidad en toda la Unión, se podrán establecer en un esquema europeo de certificación de la ciberseguridad requisitos adicionales o específicos para los organismos de evaluación de la conformidad. En el contexto de la certificación, una autorización debe entenderse como la decisión por la que una autoridad nacional de certificación de la ciberseguridad determina que un organismo de evaluación de la conformidad cumple los requisitos específicos o adicionales establecidos en un esquema europeo de certificación de la ciberseguridad para llevar a cabo una actividad específica de evaluación de la conformidad.

(123)Cuando un esquema europeo de certificación de la ciberseguridad establezca requisitos adicionales o específicos con arreglo al presente Reglamento, los organismos de evaluación de la conformidad precisarán la autorización de las autoridades nacionales de certificación de la ciberseguridad para llevar a cabo tareas en el marco de dicho esquema. Para evitar la autorización múltiple, promover la aceptación y el reconocimiento de las decisiones de autorización y llevar a cabo la vigilancia efectiva de los organismos de evaluación de la conformidad autorizados, estos deben solicitar la autorización de la autoridad nacional de certificación de la ciberseguridad del Estado miembro en el que están establecidos. No obstante, debe proporcionarse a los organismos de evaluación de la conformidad la posibilidad de solicitar una autorización en otro Estado miembro si el suyo no dispone de una autoridad nacional de certificación de la ciberseguridad o si esta no posee competencias para prestar los servicios de autorización solicitados. En estos casos, debe existir una cooperación y un intercambio de información adecuados entre las autoridades de certificación de la ciberseguridad. La Comisión debe estar facultada para adoptar actos de ejecución que determinen los procedimientos de autorización, incluida la cooperación transfronteriza en materia de autorización.

(124)A fin de salvaguardar el nivel de protección exigido para un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la postura de ciberseguridad de una entidad, es esencial que los subcontratistas y las empresas filiales que evalúen la conformidad estén obligados a cumplir los mismos requisitos que los organismos de evaluación de la conformidad notificados para la realización de tareas de evaluación de la conformidad. En consecuencia, un organismo de evaluación de la conformidad debe poseer la competencia adecuada y poder comprobar que sus subcontratistas cumplen los requisitos aplicables.

(125)La autoridad notificante debe evaluar adecuadamente la medida en que el organismo de evaluación de la conformidad pretende apoyarse en subcontratistas establecidos fuera de la Unión o tener acceso a personal o instalaciones fuera del Estado miembro de notificación. La autoridad pública de un Estado miembro debe poder decidir que no puede asumir la responsabilidad de dicho acuerdo como autoridad nacional de certificación de la ciberseguridad y retirar o limitar el alcance de la notificación. 

(126)A fin de evaluar los requisitos de ciberseguridad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades, las autoridades nacionales de certificación de la ciberseguridad deben notificar a la Comisión y a los demás Estados miembros los organismos de evaluación de la conformidad acreditados. La notificación de los organismos de evaluación de la conformidad acreditados y, en su caso, autorizados indica que puede confiarse a dichos organismos la realización de actividades de evaluación y certificación de conformidad con el presente Reglamento y el esquema europeo de certificación de la ciberseguridad. Contribuye, por lo tanto, a la reputación general de la certificación europea de la ciberseguridad. Por consiguiente, es esencial garantizar que los organismos de evaluación de la conformidad notificados cumplan sus requisitos y obligaciones a lo largo del tiempo, y que la lista de organismos de evaluación de la conformidad notificados se mantenga actualizada.

(127)El Reglamento de Ejecución (UE) 2024/3143 de la Comisión 62 , adoptado en virtud del Reglamento (UE) 2019/881, establece las circunstancias, los formatos y los procedimientos de notificación de los organismos de evaluación de la conformidad que utilizan los esquemas europeos de certificación de la ciberseguridad adoptados. Es necesario, por tanto, garantizar la continuidad de las actividades de notificación. No obstante, la Comisión estará facultada para adoptar actos de ejecución a fin de ajustar dichas circunstancias, procedimientos y formatos de notificación de los organismos de evaluación de la conformidad. En este contexto, la Comisión debe aprovechar la experiencia adquirida con los esquemas existentes y procurar la armonización con otros actos legislativos y marcos pertinentes de la Unión, en particular el Reglamento (UE) 2024/2847 y el nuevo marco legislativo, a fin de reducir la carga que supone el cumplimiento para los organismos de evaluación de la conformidad que actúan con arreglo a otros instrumentos jurídicos.

(128) Las cadenas de suministro de TIC se componen de un conjunto vinculado de recursos y procesos entre los operadores económicos. Las cadenas de suministro de TIC cumplen una función esencial para mantener la estabilidad social y estimular la actividad económica en toda la Unión. También son de vital importancia para la existencia de la infraestructura digital en la Unión y sustentan el funcionamiento de la sociedad y la economía de la Unión. Las cadenas de suministro de TIC hacen posible la fabricación, producción, distribución y mantenimiento de servicios, sistemas y productos de TIC que sustentan diversos sectores de alta y muy alta criticidad, como la asistencia sanitaria, las finanzas, el transporte, las telecomunicaciones, la energía y las aduanas. La seguridad de las cadenas de suministro de TIC de esos sectores críticos también puede repercutir en la seguridad de aquellas infraestructuras militares y de defensa que dependan a su vez de sectores críticos civiles y de sus cadenas de suministro de TIC. Sin embargo, según el informe sobre el estado de las ciberamenazas publicado por ENISA [ENISA Threat Landscape 2025 63 , («Panorama de amenazas 2025 de ENISA»)], los ataques a las cadenas de suministro se encuentran entre los cinco principales tipos de amenazas a la ciberseguridad, lo que demuestra que los atacantes aprovechan activamente las vías indirectas sirviéndose de proveedores y dependencias terceros. La perturbación de las cadenas de suministro de TIC puede interrumpir las actividades económicas en el mercado interior, generar pérdidas económicas, mermar la confianza de los usuarios y ocasionar grandes daños a la economía y la sociedad de la Unión. Por consiguiente, la preparación y la eficacia en materia de ciberseguridad son más esenciales que nunca para que el mercado interior funcione correctamente. 

(129)Al margen de los riesgos técnicos que abordan la Directiva (UE) 2022/55 del Parlamento Europeo y del Consejo 64 , el Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo 65 y el marco europeo de certificación de la ciberseguridad establecido por el Reglamento (UE) 2019/881, las cadenas de suministro de TIC están cada vez más expuestas a riesgos no técnicos. Tales riesgos no técnicos pueden estar vinculados, con carácter meramente enunciativo, al órgano jurisdiccional al que está sujeto un proveedor de determinados componentes, en particular si un tercer país o agentes de riesgo controlados desde dicho país llevan a cabo actividades de espionaje económico o actividades o campañas cibernéticas malintencionadas contra la Unión o sus Estados miembros o adoptan un comportamiento estatal irresponsable en el ciberespacio. Los riesgos no técnicos también pueden estar relacionados con vulnerabilidades ocultas, puertas traseras o posibles perturbaciones sistémicas del suministro, especialmente en caso de bloqueo tecnológico o dependencia de proveedores. Por ejemplo, podrían utilizarse las funciones de desconexión de emergencia para restringir la disponibilidad de las redes de comunicación y las redes eléctricas.

(130)La Comunicación conjunta sobre el refuerzo de la seguridad económica de la UE 66 subrayó el riesgo de que terceros países obtengan acceso a información y datos sensibles de la Unión o de sus Estados miembros, ya sea como resultado del espionaje industrial o del suministro por su parte de equipos o programas informáticos utilizados en determinados productos o a través de la propiedad y el control de determinadas empresas que posean información y datos sensibles. También subrayó el riesgo de que las infraestructuras críticas de la Unión —incluidas las infraestructuras críticas de transporte, sistemas espaciales, infraestructuras energéticas y de comunicaciones, en particular las consideradas estratégicas para la movilidad militar— se vean perturbadas por agentes extranjeros, lo que podría tener efectos en cascada en la economía de la Unión. Las perturbaciones podrían producirse a través de ataques físicos, cibernéticos o híbridos, incluido el sabotaje de instalaciones enteras o de sus partes o subcomponentes. Estos riesgos también podrían estar vinculados a las cadenas de suministro de TIC, que sustentan componentes o servicios esenciales para las infraestructuras críticas.

(131)En respuesta a los retos para la seguridad de las cadenas de suministro de TIC que plantean los riesgos no técnicos, algunos Estados miembros han adoptado medidas reglamentarias, como la designación de proveedores de alto riesgo, y probablemente otros Estados miembros hagan lo mismo. Esto podría dar lugar a una mayor divergencia en los enfoques nacionales y, en última instancia, a una mayor vulnerabilidad de algunos Estados miembros, con posibles efectos indirectos en toda la Unión. Por lo tanto, es necesario armonizar determinados aspectos relacionados con los riesgos de ciberseguridad no técnicos para la cadena de suministro de TIC. Esta intervención a escala de la Unión también está justificada por la necesidad de garantizar un elevado nivel de ciberseguridad en todo su territorio. El objetivo de las disposiciones relativas a la seguridad de las cadenas de suministro de TIC es eliminar estas divergencias tan pronunciadas entre los Estados miembros, concretamente mediante la definición de normas para los mecanismos de evaluación de riesgos de seguridad de las cadenas de suministro de TIC a escala de la Unión y de normas mínimas de protección frente a estos.

(132)Para reducir las dependencias y vulnerabilidades críticas, es necesario establecer un marco de confianza de las cadenas de suministro de TIC que aborde los riesgos no técnicos que plantean los proveedores de alto riesgo y las dependencias en sectores de alta criticidad y otros sectores críticos. Por consiguiente, es necesario proporcionar un marco objetivo, basado en el riesgo, con perspectivas de futuro y tecnológicamente neutro a escala de la Unión que permita identificar los activos de TIC clave y establecer un conjunto de medidas de mitigación proporcionadas para hacer frente a los riesgos.

(133)Pueden observarse riesgos de ciberseguridad, incluidos los derivados de la dependencia de proveedores de alto riesgo, en varias cadenas de suministro de TIC críticas en la Unión, como los equipos de detección, los vehículos conectados y automatizados, los sistemas de suministro de electricidad y el almacenamiento de electricidad, los sistemas de suministro de agua, los drones y los sistemas antidrones, los servicios de computación en la nube, los productos sanitarios, los equipos de vigilancia, los servicios espaciales y los semiconductores. Por ejemplo, las vulnerabilidades de los equipos de detección de seguridad podrían dar acceso a sistemas de TIC y permitir a agentes malintencionados manipular los escáneres para que artículos prohibidos consigan pasar por el puesto de control de seguridad sin ser detectados, con posibles consecuencias catastróficas.

(134)El presente Reglamento no será óbice para que los Estados miembros adopten o mantengan disposiciones que garanticen un nivel más elevado de ciberseguridad en lo que respecta a la seguridad de las cadenas de suministro de TIC, siempre y cuando tales disposiciones sean compatibles con las obligaciones que impone a los Estados Miembros el Derecho de la Unión. Dichas disposiciones pueden consistir, por ejemplo, en la imposición de medidas de mitigación más estrictas en lo que respecta a los activos de TIC clave.

(135)Con el fin de detectar posibles riesgos de ciberseguridad que afecten a cadenas de suministro de TIC específicas, el Grupo de Cooperación establecido en virtud del artículo 14 de la Directiva (UE) 2022/2555 (el «Grupo de Cooperación SRI») podrá efectuar evaluaciones coordinadas de los riesgos de seguridad de cadenas de suministro de TIC específicas a escala de la Unión. Las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión deben examinar, entre otros, los principales agentes de riesgo y las principales amenazas y vulnerabilidades que afectan a los activos de TIC clave. En el marco de estas evaluaciones se elaborarán sendas listas de escenarios de riesgo y de medidas para mitigar los riesgos. Las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión deben completarse en un plazo de seis meses. En caso de especial urgencia podrán acortarse los plazos.

(136)Cuando la Comisión tenga motivos suficientes para creer que existe una ciberamenaza significativa para la seguridad de la Unión relacionada con cadenas de suministro de TIC críticas y pueda ser necesaria una acción para preservar el correcto funcionamiento del mercado interior, deberá consultar sin demora a los Estados miembros sobre la necesidad de adoptar medidas de mitigación y llevar a cabo una evaluación de los riesgos para la seguridad, teniendo en cuenta dicha consulta a los Estados miembros.

(137)Cuando, como resultado de una evaluación de riesgos para la seguridad realizada por el Grupo de Cooperación SRI o la Comisión, se ponga de manifiesto que un tercer país concreto plantea riesgos no técnicos graves y estructurales de ciberseguridad no técnica para las cadenas de suministro de TIC, la Comisión verificará la amenaza que plantea dicho país. La Comisión podrá iniciar dicha verificación también sobre la base de otras fuentes, como una declaración pública en nombre de la Unión o de un Estado miembro en respuesta a casos de comportamiento estatal irresponsable en el ciberespacio que hayan dado lugar a un incidente de ciberseguridad. A fin de evaluar el nivel de amenaza, la Comisión debe tener en cuenta elementos como la existencia de leyes o prácticas en el tercer país que obliguen a las entidades bajo su jurisdicción a notificar a las autoridades de dicho tercer país información sobre vulnerabilidades de software o hardware antes de que se tenga conocimiento de que dichas vulnerabilidades se han aprovechado. Otro elemento importante es la ausencia de recursos judiciales efectivos y mecanismos de control independientes y democráticos capaces de subsanar problemas de seguridad, como los relacionados con las prácticas existentes, la información fundamentada sobre incidentes perpetrados por agentes de riesgo que operen fueran del territorio de dicho país y que hayan llevado a cabo actividades o campañas cibernéticas malintencionadas, así como la falta de capacidad o de voluntad del tercer país para cooperar con la Comisión o los Estados miembros para hacer frente al riesgo derivado de la actuación de dichos agentes de riesgo. La Comisión también debe tener en cuenta la información derivada de las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión o de los informes elaborados por los Estados miembros o por organizaciones internacionales como la OTAN.

(138)A efectos del presente Reglamento, el concepto de control debe entenderse como la capacidad para ejercer una influencia decisiva sobre una entidad jurídica, bien directamente, bien indirectamente a través de una o varias entidades jurídicas interpuestas. El control de entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad también deberá preverse en los casos en que dichas entidades cuenten con estructuras de dirección ejecutiva en ese país.

(139)La Unión no debe financiar proyectos en los que participen proveedores de alto riesgo, ya que esto pondría en peligro la seguridad de la Unión y socavaría sus intereses y credibilidad. Por consiguiente, los proveedores de alto riesgo identificados en virtud del presente Reglamento no tendrán derecho a participar en ninguno de los programas e instrumentos de financiación de la Unión ejecutados en régimen de gestión directa e indirecta de conformidad con el artículo 136 del Reglamento (UE/Euratom) 2024/2509 y las normas sectoriales específicas de la Unión, ni en ninguna actividad de financiación de la Unión ejecutada en régimen de gestión compartida, tampoco en el marco del próximo marco financiero plurianual, en relación con el suministro de componentes de TIC o componentes que incorporen elementos de TIC destinados a su uso en activos de TIC clave identificados. Los socios ejecutantes de la Unión, como el Grupo Banco Europeo de Inversiones y los bancos e instituciones nacionales de fomento, deben abstenerse de apoyar proyectos que contradigan lo anterior, también en operaciones bajo su propio riesgo. 

(140)La contratación pública puede ser una herramienta sólida para que las autoridades públicas contribuyan a una economía más innovadora, sostenible y competitiva y para emplear el dinero público de manera estratégica. La contratación pública relacionada con las cadenas de suministro de TIC no debe utilizarse para beneficiar a proveedores que amenazan la seguridad de las infraestructuras críticas de la Unión. Por consiguiente, los proveedores de alto riesgo identificados en virtud del presente Reglamento no tendrán derecho a participar en la contratación pública relativa al suministro de componentes de TIC o componentes que incorporen elementos de TIC para su uso en activos de TIC clave identificados.

(141)La certificación de la ciberseguridad contribuye al refuerzo de la seguridad general y a la lucha contra las ciberamenazas, y sirve de referencia de confianza. Esta confianza podría verse mermada si las declaraciones de las capacidades en materia de ciberseguridad fueran expedidas por proveedores de alto riesgo que, por tanto, no deben tener derecho a solicitar ser proveedores autorizados de ninguna declaración europea individual de las capacidades en materia de ciberseguridad. De manera similar, también conviene excluir a los proveedores de alto riesgo de la obtención de la certificación de ciberseguridad en el marco del marco europeo de certificación de la ciberseguridad y de convertirse en organismos de evaluación de la conformidad acreditados para expedir dichos certificados.

(142)Las normas de ciberseguridad desempeñan un papel fundamental en la seguridad y fiabilidad de las infraestructuras digitales. Es necesario adoptar las medidas adecuadas para garantizar la normalización en el ámbito de la ciberseguridad. La participación de entidades establecidas en países que se haya determinado que plantean preocupaciones en materia de ciberseguridad para la cadena de suministro de TIC en consonancia con el presente Reglamento, o controladas por estos países, puede dar lugar a que influyan en las normas de ciberseguridad de manera que se socave su seguridad y fiabilidad.

(143)Sobre la base de los resultados de las evaluaciones de los riesgos de seguridad, la Comisión podrá determinar, mediante actos de ejecución, qué activos de TIC deben considerarse activos de TIC clave debido a su carácter esencial y estar sujetos a medidas de mitigación específicas. La mera existencia de la posibilidad de conectividad del activo debe ser suficiente para tener en cuenta su riesgo de ciberseguridad.

(144)Cuando sea necesario para garantizar un elevado nivel de ciberseguridad, ciberresiliencia y confianza dentro de la Unión, las medidas de mitigación podrán aplicarse a las entidades en relación con su cadena de suministro de TIC y, en particular, con los activos de TIC clave identificados. Las medidas de mitigación propuestas deben basarse en la evaluación de los posibles riesgos y dependencias, como las posibles repercusiones económicas y sociales de dichas medidas para las entidades afectadas, en particular las pymes, que operan en sectores de alta criticidad u otros sectores críticos. Las repercusiones económicas deben valorarse teniendo en cuenta los costes de la aplicación de las medidas de mitigación, incluida la duración del ciclo de vida de los componentes pertinentes de activos de TIC clave cuando las medidas incluyan la sustitución de proveedores. Debe evaluarse asimismo la disponibilidad de proveedores alternativos en el mercado para garantizar la continuidad de la prestación de los servicios.

(145)Habida cuenta de que las medidas de mitigación podrían tener un efecto restrictivo en el comercio internacional de bienes y servicios, estas deben ser proporcionadas y específicas para perseguir el objetivo legítimo de garantizar la ciberseguridad de las cadenas de suministro de TIC en relación con las entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555, en consonancia con las obligaciones internacionales de la Unión. 

(146)El uso, la instalación o cualquier otro tipo de integración de componentes proporcionados por proveedores de alto riesgo en el funcionamiento de activos de TIC clave puede dar lugar a riesgos de posteriores transferencias de datos a un tercer país. En particular, puede plantear riesgos la existencia de un nivel insuficiente de protección de datos en el tercer país, en lo que respecta a la protección de los derechos fundamentales, la propiedad intelectual o los secretos comerciales, así como al acceso y la explotación ilícitos de dichos datos para posibles perturbaciones futuras de la cadena de suministro y con fines de espionaje. Para reducir tales riesgos, podrán aplicarse restricciones en relación con la transferencia de tipos específicos de datos a terceros países. 

(147)Las vulnerabilidades importantes se derivan de la escasa diversidad de los equipos utilizados por las entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. La dependencia de un único proveedor genera una vinculación a equipos o soluciones específicos. La falta de diversidad de proveedores aumenta la vulnerabilidad general de las infraestructuras críticas, en particular si las entidades obtienen sus componentes de TIC utilizados en activos de TIC sensibles de un proveedor que presenta un alto nivel de riesgo. La dependencia también afecta significativamente a la resiliencia nacional y a escala de la Unión y crea puntos únicos de fallo. Para reducir estos riesgos, podrán aplicarse requisitos consistentes en tener más de un proveedor en el caso de los activos de TIC clave específicos.

(148)Las entidades de la Unión también pueden estar utilizando activos clave, tal como se definen en el presente Reglamento. Por consiguiente, también deben aplicárseles las normas relativas a la seguridad de las cadenas de suministro de TIC establecidas en el presente Reglamento. A fin de tener en cuenta la especificidad de las entidades de la Unión, en las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión es importante tomar en consideración los riesgos no técnicos derivados de las cadenas de suministro de TIC en relación con las entidades de la Unión.

(149)En circunstancias excepcionales que justifiquen una intervención inmediata para preservar el correcto funcionamiento del mercado interior y cuando existan pruebas claras que den a la Comisión motivos suficientes para considerar que el uso de componentes de TIC o componentes que incluyan elementos de TIC de un proveedor específico representa una ciberamenaza significativa para las actividades económicas o sociales de al menos tres Estados miembros, la Comisión podrá proponer, en estrecha consulta con los Estados miembros, que se prohíba el uso, la instalación o la integración de dichos componentes de dicho proveedor por parte de entidades de los tipos contemplados en los anexos I y II de la Directiva (UE) 2022/2555. 

(150)A fin de garantizar la proporcionalidad de las medidas aplicadas, las entidades establecidas en un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el presente Reglamento, o controladas por dicho tercer país, por una entidad establecida en dicho tercer país o por un nacional de dicho tercer país, pueden solicitar quedar exentas de la prohibición de proporcionar a las entidades de los tipos contemplados en los anexos I y II de la Directiva (UE) 2022/2555 componentes de TIC o componentes que incluyan elementos de TIC para su uso, instalación o integración en activos de TIC clave de dicha entidad y participar en procedimientos de contratación pública organizados de conformidad con la legislación por la que se transponen las Directivas 2014/24/UE 67 y 2014/25/UE del Parlamento Europeo y del Consejo 68 en relación con el suministro de componentes de TIC o componentes que incluyan elementos de TIC para su uso en activos de TIC clave identificados. A tal fin, la entidad debe demostrar mediante pruebas claras que aplica medidas eficaces para abordar los riesgos no técnicos y garantizar la ausencia de cualquier posible injerencia indebida por parte de un tercer país que plantea preocupaciones en materia de ciberseguridad.

(151)Las redes de comunicaciones electrónicas constituyen la espina dorsal de una amplia gama de servicios esenciales para el funcionamiento del mercado interior y el mantenimiento y el ejercicio de funciones sociales y económicas vitales, como la energía, el transporte, la banca, la sanidad y la defensa, así como los sistemas de control industrial. Por lo tanto, estas redes de alta criticidad son objetivos atractivos para todo tipo de ciberataques y amenazas híbridas, perturbaciones, espionaje, recopilación de información, fraude y delincuencia financiera. En la evaluación de riesgos del Grupo de Cooperación SRI sobre la ciberseguridad y la resiliencia de las infraestructuras y redes de comunicaciones europeas se determinaron una serie de riesgos y amenazas de importancia estratégica desde la perspectiva de la Unión, como los ataques tipo programas de borrado o de secuestro de archivos (wiperware/ransomware), los ataques a la cadena de suministro, las intrusiones en la red y los ataques distribuidos de denegación de servicio (DDoS).

(152)Habida cuenta de la interconexión e interdependencia entre las diferentes redes nacionales de comunicaciones electrónicas, es necesario que todos los Estados miembros adopten las medidas adecuadas para garantizar la seguridad de sus redes. Por las mismas razones, es necesario disponer de un marco jurídico eficaz a escala de la Unión que aborde también los riesgos no técnicos y garantice la seguridad de las redes de comunicaciones electrónicas interconectadas de manera global.

(153)En particular, la ciberseguridad de las redes 5G es una cuestión de importancia estratégica para la Unión, ya que dichas redes constituyen la columna vertebral de una amplia variedad de servicios esenciales para el funcionamiento del mercado interior y también son fundamentales para establecer nuestra preparación en materia de defensa y movilidad militar. Las redes 5G pueden proporcionar una conectividad ultrarrápida fiable, por ejemplo para el intercambio de datos e información, la detección de drones y la coordinación en tiempo real del campo de batalla.

(154)La implantación de la infraestructura 5G consiste principalmente en redes no autónomas, en las que solo se actualiza la red de acceso radioeléctrico a tecnología 5G, mientras que el resto de la red sigue dependiendo de la red básica 4G preexistente. Las redes 5G no autónomas se basan principalmente en infraestructuras ya existentes, lo que significa que la seguridad de las futuras redes 5G viene determinada, en cierta medida, por los equipos de red ya instalados y por la configuración de dichos equipos. Por lo tanto, las medidas de mitigación también deben abarcar las redes 4G de las que depende la implantación de la infraestructura 5G.

(155)Con el fin de abordar importantes retos de seguridad en las redes 5G, los Estados miembros, en el marco del Grupo de Cooperación SRI, junto con la Comisión y ENISA, llevaron a cabo una evaluación coordinada de los riesgos, tanto técnicos como no técnicos, de seguridad de las redes 5G a escala de la Unión. Esta evaluación permitió determinar varios riesgos, entre otros, la posible injerencia de terceros países o agentes de terceros países a través de la cadena de suministro, así como clasificar los activos en función de su criticidad. Esta evaluación debe tomarse como base para definir los activos de TIC clave para las redes de comunicaciones 5G.

(156)Para reducir los riesgos detectados en la evaluación coordinada de los riesgos de seguridad de las redes 5G a escala de la Unión, el Grupo de Cooperación SRI adoptó el conjunto de instrumentos de la UE para la seguridad de las redes 5G, que establecen medidas estratégicas y técnicas. Aunque la mayoría de los Estados miembros cuentan con marcos jurídicos que permiten restringir o excluir a proveedores de alto riesgo, tal como se recomienda en el conjunto de instrumentos 5G, la ejecución de dichos marcos no ha sido uniforme. Como resultado, un número importante de emplazamientos 5G de toda la Unión son abastecidos por proveedores de alto riesgo, tal como se señala en la Comunicación de la Comisión sobre la aplicación del conjunto de instrumentos 5G 69 . Esta situación crea vulnerabilidades, como la dependencia estratégica y la posible exposición a injerencias de terceros países, las cuales también podrían afectar a la futura infraestructura 6G basada en las redes 5G existentes. La aplicación fragmentada de las medidas recomendadas del conjunto de instrumentos 5G, en particular en lo que respecta al alcance de las restricciones a los proveedores de alto riesgo, ha dado lugar a divergencias entre los Estados miembros, lo que a su vez provoca unas condiciones de competencia desiguales que dividen el mercado interior y debilitan la seguridad de la red en general. El Tribunal de Cuentas Europeo ha puesto de relieve estas disparidades y ha advertido de que la ausencia de un enfoque coordinado socava el funcionamiento del mercado interior. La dependencia persistente de proveedores de alto riesgo plantea graves riesgos para la seguridad de las infraestructuras críticas en la Unión y podría erosionar la confianza en el mercado interior, ya que la disparidad en los niveles de seguridad puede disuadir a los consumidores y a las empresas de depender de productos y servicios basados en la tecnología 5G de toda la Unión. Por lo tanto, es esencial contar con medidas a escala de la Unión para garantizar un enfoque armonizado de la seguridad de las redes 5G.

(157)Con el fin de establecer un período de eliminación progresiva de los activos de TIC clave de las redes de comunicaciones electrónicas fijas y por satélite, la Comisión debe llevar a cabo una evaluación que tenga debidamente en cuenta la magnitud de los riesgos para la seguridad que plantee cada uno de estos activos, la vida útil de los componentes pertinentes y el impacto económico que la eliminación de dichos componentes tendría en los operadores afectados. Sobre la base de los resultados de dicha evaluación, la Comisión podrá considerar la posibilidad de establecer diferentes períodos de eliminación progresiva para activos de TIC clave específicos y los elementos que los integran.

(158)A efectos de la supervisión efectiva y la ejecución de las obligaciones relativas a los proveedores de redes de comunicaciones electrónicas móviles, fijas y por satélite, las autoridades competentes pertinentes en virtud del presente Reglamento deben garantizar una estrecha cooperación con las autoridades competentes en virtud de la [propuesta de Ley de Redes Digitales]. A petición de una autoridad competente designada en virtud del presente Reglamento, las autoridades nacionales de reglamentación u otras autoridades competentes en materia de espectro radioeléctrico, cuando proceda, deben retirar los derechos a que se refieren el artículo 9 y el artículo 20 [Propuesta de Ley de Redes Digitales] si el proveedor de redes públicas de comunicaciones electrónicas no cumple las obligaciones establecidas en el presente Reglamento o incluso si no elimina gradualmente los componentes de TIC o los componentes que incluyan elementos de TIC de proveedores de alto riesgo en la explotación de activos de TIC clave en el plazo especificado de conformidad con el presente Reglamento.

(159)Habida cuenta de las diferencias en las estructuras nacionales de gobernanza, los Estados miembros deben designar o establecer una o varias autoridades competentes responsables de las medidas de supervisión y ejecución con arreglo al presente Reglamento.

(160)Las autoridades competentes deben prestar apoyo a las entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 para el cumplimiento de sus obligaciones en virtud del presente Reglamento. A tal fin, la Comisión debe evaluar si los proveedores que puedan verse afectados por prohibiciones específicas están establecidos en un tercer país que plantea preocupaciones en materia de ciberseguridad o están controlados por dicho tercer país o por una entidad establecida en dicho tercer país o por un nacional de dicho tercer país. Las autoridades competentes deben cooperar estrechamente con la Comisión y otras autoridades competentes en el marco de la red establecida en virtud del presente Reglamento. Sobre la base de la evaluación de la Comisión, las autoridades competentes deben compartir la información pertinente relativa a los proveedores de alto riesgo con las entidades pertinentes del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. No se espera que las entidades verifiquen si un proveedor está bajo control extranjero, pero pueden basarse plenamente en la información recibida de las autoridades competentes. Las autoridades competentes deben velar por que no se imponga ninguna carga administrativa innecesaria a dichas entidades. 

(161)A fin de garantizar el cumplimiento efectivo, el presente Reglamento debe establecer medidas de supervisión y ejecución para que las autoridades competentes puedan supervisar entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. Cuando las autoridades competentes ejerzan sus funciones de supervisión y ejecución en relación con dichas entidades, no deben ir más allá de lo necesario y deben actuar de forma proporcional a los riesgos detectados.

(162)A fin de garantizar una ejecución eficaz y uniforme en toda la Unión, es necesario dotar a las autoridades competentes de facultades de ejecución que puedan ejercer en caso de incumplimiento de las obligaciones establecidas en el presente Reglamento. Cuando ejerzan dicha facultad, las autoridades competentes deben prestar la debida atención a una serie de factores, a saber, la naturaleza, gravedad y duración de la infracción, los perjuicios materiales o inmateriales originados, la intencionalidad o negligencia en la infracción, las medidas adoptadas para prevenir o paliar los perjuicios materiales o inmateriales, el grado de responsabilidad o cualquier infracción anterior pertinente, el grado de cooperación con la autoridad competente y cualquier otra circunstancia agravante o atenuante. Las medidas de ejecución, incluidas las multas, deben ser proporcionadas y su imposición debe estar sujeta a las garantías procesales adecuadas conforme a los principios generales del Derecho de la Unión y de la Carta de los Derechos Fundamentales de la Unión Europea, entre ellas, el derecho a la tutela judicial efectiva, a un juicio justo, la presunción de inocencia y los derechos de la defensa.

(163)Es importante prever la facultad de imponer multas coercitivas para obligar a las entidades de los tipos a que se refieren los anexos I o II de la Directiva (UE) 2022/2555 a poner fin a un incumplimiento del presente Reglamento de conformidad con una decisión previa de la autoridad competente.

(164) A fin de garantizar el cumplimiento efectivo de las obligaciones contempladas en el presente Reglamento, cada autoridad competente debe estar facultada para imponer multas o solicitar su imposición.

(165)A efectos de la imposición de multas a una entidad del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 que sea una empresa, empresa se entenderá en el sentido de los artículos 101 y 102 del TFUE. Si las multas se imponen a personas que no son una empresa, a la hora de valorar la cuantía apropiada de la multa, la autoridad competente debe tener en cuenta el nivel general de ingresos prevalente en el Estado miembro así como la situación económica de la persona. Debe corresponder a los Estados miembros determinar si se debe imponer multas administrativas a las autoridades públicas y en qué medida. La imposición de una multa no afecta al ejercicio de otras facultades de las autoridades competentes.

(166)A fin de garantizar condiciones uniformes para la ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para la adopción de actos de ejecución que establezcan normas detalladas con respecto a las tasas recaudadas por ENISA; actos de ejecución que prevean un esquema europeo de certificación de la ciberseguridad para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades; actos de ejecución que establezcan principios comunes y disposiciones de referencia destinadas a fijar elementos comunes a los sistemas europeos de certificación de ciberseguridad; actos de ejecución que especifiquen los procedimientos para modelos de aprobación previa o de delegación general; actos de ejecución sobre el reconocimiento de los certificados de ciberseguridad de terceros países u organizaciones internacionales como equivalentes a los certificados europeos de ciberseguridad; actos de ejecución para establecer un plan de revisión interpares; actos de ejecución para establecer los procedimientos, incluidos los relativos a la cooperación transfronteriza, para la autorización de los organismos de evaluación de la conformidad; actos de ejecución para establecer las circunstancias, formatos y procedimientos de notificación de los organismos de evaluación de la conformidad; actos de ejecución para designar a un tercer país como país que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC; actos de ejecución para identificar activos de TIC clave utilizados para la fabricación de productos o la prestación de servicios por entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555; actos de ejecución para establecer que las entidades que operen en sectores de alta criticidad y otros sectores críticos estén sujetas a medidas específicas de mitigación, precisando los plazos para la retirada progresiva de componentes de TIC o que incluyan elementos TIC suministrados por proveedores de alto riesgo; actos de ejecución para especificar con mayor detalle las condiciones relativas a la exención aplicable a entidades establecidas en un tercer país que plantea preocupaciones en materia de ciberseguridad o controladas por entidades de dicho país, así como para establecer normas detalladas relativas a las tasas percibidas por la Comisión. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo y debe utilizarse el procedimiento de evaluación. A fin de garantizar condiciones uniformes para la ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución en lo referente al establecimiento de una lista de proveedores de alto riesgo pertinente para determinadas medidas previstas en el presente Reglamento.

(167)Los esquemas europeos de certificación de la ciberseguridad deben reflejar los últimos avances tecnológicos, las nuevas amenazas conexas y la adopción de nueva legislación de la Unión que establezca la demostración del cumplimiento y la presunción de conformidad —mediante la certificación europea de ciberseguridad— con los requisitos pertinentes de ciberseguridad de dicha legislación. Por estas razones, debe delegarse en la Comisión la facultad para adoptar actos con arreglo al artículo 290 del TFUE con el fin de añadir o modificar los objetivos de seguridad que persiguen los esquemas europeos de certificación de la ciberseguridad. Del mismo modo, en aras de un marco fiable para las cadenas de suministro de TIC, debe delegarse en la Comisión la facultad para adoptar actos con arreglo al artículo 290 del TFUE con el fin de modificar el anexo II del presente Reglamento para adaptarlo a los avances tecnológicos. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación. En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo deben recibir toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos deben tener acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(168)Las actividades de ENISA deben evaluarse de modo periódico e independiente. La evaluación debe tener en cuenta el logro de sus objetivos por parte de ENISA y la pertinencia de sus tareas, en particular sus tareas relativas a la cooperación operativa a escala de la Unión. En caso de procederse a una revisión, la Comisión debe evaluar el modo de reforzar el papel de ENISA como punto de referencia en materia de asesoramiento y conocimiento especializado.

(169)El Reglamento de Ejecución (UE) 2024/482 de la Comisión establece normas relativas a la adopción del esquema europeo de certificación de la ciberseguridad basado en criterios comunes (EUCC). El EUCC es el primer y único esquema europeo de certificación de la ciberseguridad adoptado en virtud del Reglamento (UE) 2019/881. Se refiere a la certificación de productos de TIC, incluidos aquellos pertenecientes a los ámbitos técnicos «tarjetas inteligentes y dispositivos similares» y «dispositivos de equipos informáticos con cajas de seguridad» y los perfiles de protección (como procesos de TIC). Es necesario, por tanto, garantizar la continuidad de las actividades de certificación y de las actividades de la Agencia.

(170)El Supervisor Europeo de Protección de Datos y el Comité Europeo de Protección de Datos fueron consultados de conformidad con el artículo 42, apartado 2, del Reglamento (UE) 2018/1725 70 y emitieron un dictamen conjunto [fecha].

(171)Procede derogar el Reglamento (UE) 2019/881.

(172)Dado que los objetivos del presente Reglamento no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a sus dimensiones y efectos, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

TÍTULO I 
DISPOSICIONES GENERALES

Artículo 1
Objeto y ámbito de aplicación

1.Por el presente Reglamento se establecen:

a)la misión, los objetivos, las tareas y los aspectos organizativos relativos a la Agencia de la Unión Europea para la Ciberseguridad (ENISA);

b)un marco para la creación de esquemas europeos de certificación de la ciberseguridad, a efectos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la posición en materia de ciberseguridad de entidades de la Unión, así como de evitar la fragmentación del mercado interior respecto a los esquemas de certificación de la ciberseguridad en la Unión; y

c)un marco de confianza para las cadenas de suministro de TIC.

2.El marco a que se refiere el apartado 1, letra b) se aplicará sin perjuicio de las disposiciones específicas contenidas en otros actos jurídicos de la Unión relativas a la certificación de carácter voluntario u obligatorio.

3.El marco a que se refiere el apartado 1, letra c), se aplicará a las entidades públicas o privadas de uno de los tipos mencionados en los anexos I o II de la Directiva (UE) 2022/2555 que presten sus servicios o lleven a cabo sus actividades en la Unión.

4.El presente Reglamento se entiende sin perjuicio de las funciones estatales esenciales de los Estados miembros, como la garantía de la integridad territorial del Estado, el mantenimiento del orden público y la salvaguardia de la seguridad nacional. En particular, la seguridad nacional seguirá siendo responsabilidad exclusiva de cada Estado miembro.

Artículo 2
Definiciones

A los efectos del presente Reglamento, se entenderá por:

1)«ciberseguridad»: todas las actividades necesarias para la protección de las redes y los sistemas de información, de los usuarios de tales sistemas y de otras personas afectadas por las ciberamenazas;

2)«entidades de la Unión»: entidades de la Unión según se definen en el artículo 3, punto 1, del Reglamento (UE, Euratom) 2023/2841;

3)«prestador de declaraciones autorizado»: entidad, pública o privada, para la que ENISA ha adoptado una decisión por la que se autoriza a dicha entidad a conceder declaraciones europeas individuales de las capacidades en materia de ciberseguridad según lo establecido en un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad;

4)«declaración europea individual de las capacidades en materia de ciberseguridad»: registro, en formato digital o físico, que certifica que una persona conoce, comprende y es capaz de desempeñar las tareas asociadas a un perfil de función o un subconjunto de un perfil de función del Marco Europeo de Capacidades en Ciberseguridad (ECSF), tras una evaluación establecida en un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad;

5)«esquema europeo individual de declaración de las capacidades en materia de ciberseguridad»: conjunto completo de disposiciones, requisitos, normas y procedimientos establecidos por ENISA y asociados a un perfil de funciones del ECSF o a un subconjunto de este y que se aplican a prestadores de declaraciones autorizados y son aplicados por ellos;

6)«sistemas de redes y de información»: sistemas de redes y de información según se definen en el artículo 6, punto 1, de la Directiva (UE) 2022/2555;

7)«estrategia nacional de ciberseguridad»: una estrategia nacional de ciberseguridad según se define en el artículo 6, punto 4, de la Directiva (UE) 2022/2555;

8)«incidente»: un incidente según se define en el artículo 6, punto 6, de la Directiva (UE) 2022/2555;

9)«incidente de ciberseguridad a gran escala»: un incidente de ciberseguridad a gran escala según se define en el artículo 6, punto 7, de la Directiva (UE) 2022/2555;

10)«gestión de incidentes»: la gestión de incidentes según se define en el artículo 6, punto 8, de la Directiva (UE) 2022/2555;

11)«ciberamenaza»: toda circunstancia, hecho o acción potencial que pueda dañar, perturbar o afectar desfavorablemente de otra manera a las redes y sistemas de información, a sus usuarios y a otras personas;

12)«esquema europeo de certificación de la ciberseguridad»: conjunto completo de disposiciones, requisitos técnicos, normas y procedimientos establecidos a escala de la Unión y que se aplican a la certificación o a la evaluación de la conformidad de productos, servicios o procesos de TIC específicos, servicios de seguridad gestionados específicos o la posición específica de las entidades en materia de ciberseguridad;

13)«esquema nacional de certificación de la ciberseguridad»: conjunto completo de disposiciones, requisitos técnicos, normas y procedimientos desarrollados y adoptados por una autoridad pública nacional y que se aplican a la certificación o a la evaluación de la conformidad de productos, servicios o procesos de TIC, servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad incluidos en el ámbito de aplicación del esquema específico;

14)«certificado europeo de ciberseguridad»: documento expedido por un organismo pertinente que certifica que un determinado producto, servicio o proceso de TIC, servicio de seguridad gestionado o posición en materia de ciberseguridad de una entidad ha sido evaluado para verificar que cumple los requisitos específicos de seguridad establecidos en un esquema europeo de certificación de la ciberseguridad;

15)«declaración de conformidad de la UE»: documento expedido por un fabricante o proveedor de productos, servicios o procesos de TIC, servicios de seguridad gestionados o la entidad cuya posición en materia de ciberseguridad es objeto de certificación, en el que se indica que el cumplimiento de los requisitos correspondientes al nivel de garantía «básico», establecidos en el esquema europeo de certificación de la ciberseguridad, ha quedado demostrado mediante la autoevaluación de la conformidad;

16)«producto de TIC»: un elemento o un grupo de elementos de las redes y los sistemas de información;

17)«servicio de TIC»: un servicio que consista, en su totalidad o principalmente, en la transmisión, almacenamiento, extracción o tratamiento de información mediante redes y sistemas de información;

18)«proceso de TIC»: un conjunto de actividades llevadas a cabo para la concepción, elaboración, suministro y mantenimiento de un producto o servicio de TIC;

19)«servicio de seguridad gestionado»: servicio prestado a un tercero que consiste en llevar a cabo o prestar asistencia para actividades relacionadas con la gestión de riesgos de ciberseguridad, como, por ejemplo, la gestión de incidentes, las pruebas de penetración, las auditorías de seguridad y la consultoría relacionada con la asistencia técnica, incluidos los conocimientos específicos;

20)«acreditación»: una acreditación según se define en el artículo 2, punto 10, del Reglamento (CE) n.º 765/2008;

21)«organismo nacional de acreditación»: un organismo nacional de acreditación según se define en el artículo 2, punto 11, del Reglamento (CE) n.º 765/2008;

22)«evaluación de la conformidad»: una evaluación de la conformidad según se define en el artículo 2, punto 12, del Reglamento (CE) n.º 765/2008;

23)«organismo de evaluación de la conformidad»: un organismo de evaluación de la conformidad según se define en el artículo 2, punto 13, del Reglamento (CE) n.º 765/2008;

24)«norma»: una norma según se define en el artículo 2, punto 1, del Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo 71 ;

25)«especificación técnica»: una especificación técnica según se define en el artículo 2, punto 4, del Reglamento (UE) n.º 1025/2012;

26)«norma armonizada»: una norma armonizada según se define en el artículo 2, punto 1, letra c), del Reglamento (UE) n.º 1025/2012;

27)«nivel de garantía»: fundamento que permite garantizar que un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la posición en materia de ciberseguridad de una entidad cumple los requisitos de seguridad de un esquema europeo de certificación de la ciberseguridad específico; indica el nivel en el que se ha evaluado un producto, servicio o proceso de TIC, un servicio de seguridad gestionado o la posición en materia de ciberseguridad de una entidad, pero, como tal, no mide la seguridad del producto, servicio o proceso de TIC, del servicio de seguridad gestionado o de la posición en materia de ciberseguridad de la entidad en cuestión;

28)«autoevaluación de la conformidad»: acción realizada por un fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados o la entidad cuya posición en materia de ciberseguridad es objeto de certificación para evaluar si tales productos, servicios o procesos de TIC, servicios de seguridad gestionados o posición de las entidades en materia de ciberseguridad cumplen los requisitos de un esquema europeo específico de certificación de la ciberseguridad;

29)«posición de las entidades en materia de ciberseguridad»: nivel de ciberseguridad de las entidades con respecto a los requisitos de seguridad específicos;

30)«modelo de aprobación previa»: modelo mediante el cual un organismo de evaluación de la conformidad puede expedir un certificado europeo de ciberseguridad basado en la evaluación de una autoridad nacional de certificación de la ciberseguridad en el contexto de un proceso de certificación específico con arreglo a un esquema pertinente;

31)«modelo de delegación general»: modelo mediante el cual un organismo de evaluación de la conformidad puede expedir un certificado europeo de ciberseguridad con arreglo a una delegación de actividades de certificación por parte de una autoridad nacional de certificación de la ciberseguridad;

32)«equipo de respuesta a incidentes de seguridad informática» o «CSIRT»: CSIRT designado o establecido de conformidad con el artículo 10 de la Directiva (UE) 2022/2555;

33)«componentes de TIC»: productos, servicios o procesos de TIC que pueden utilizarse en el funcionamiento de activos de TIC;

34)«activos de TIC»: activos de software o hardware de las redes o los sistemas de información utilizados por una entidad del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555;

35)«activos de TIC clave»: activos de TIC identificados de conformidad con el artículo 102;

36)«red de comunicaciones electrónicas»: red de comunicaciones electrónicas en el sentido del artículo 2, apartado 1, del Reglamento (UE) XX/XXXX [Propuesta de Ley de Redes Digitales];

37)«control»: capacidad para ejercer una influencia decisiva sobre una entidad jurídica, bien directamente, bien indirectamente a través de una o varias entidades jurídicas interpuestas;

38)«establecimiento»: ejercicio efectivo de la actividad mediante una organización estable en el país en el que la entidad tenga su administración central o su centro de actividad principal;

39)«proveedor de alto riesgo»: cualquiera de los siguientes:

a)una entidad establecida en un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el artículo 100 o controlada por dicho tercer país, por una entidad establecida en dicho tercer país o por un nacional de dicho tercer país;

b)una entidad designada de conformidad con el artículo 103, apartado 7, y las entidades controladas por dicha entidad;

40)«cadena de suministro de TIC»: conjunto de servicios, productos y procesos de TIC que abarca actividades y agentes que intervienen en todas las fases previas a la comercialización de un producto o a la prestación de un servicio en el mercado;

41)«tercer país»: un tercer país según se define en el artículo 3, punto 4, del Reglamento (UE) 2023/2675 del Parlamento Europeo y del Consejo 72 ; 

42)«riesgo no técnico»: probabilidad de que un proveedor esté sujeto a la influencia de un tercer país que pueda causar la pérdida o la perturbación del servicio prestado, poner en peligro el producto fabricado por una entidad o dar lugar a la exfiltración de datos, entre otros, con fines de espionaje o generación de ingresos;

43)«riesgo de ciberseguridad no técnico significativo»: riesgo de ciberseguridad no técnico debido al cual puede considerarse que existe una alta probabilidad de que se produzca un incidente susceptible de provocar consecuencias negativas graves, como pérdidas materiales o inmateriales o perturbaciones considerables;

44)«funciones de red básica de las redes de comunicaciones electrónicas móviles»: elemento arquitectónico central de las redes de comunicaciones electrónicas móviles que conecta los principales nodos de red a Internet y gestiona funciones esenciales del sistema, a saber, la autenticación de los equipos de usuario, las funciones de interceptación legal (LI), las pasarelas de seguridad (SeGW) en el borde de la red, las funciones de señalización de seguridad, la gestión de la itinerancia y de las sesiones, el transporte de datos de los planos de usuario y de control, la gestión de la política de acceso, el registro y la autorización de los servicios de red, el almacenamiento de datos de los usuarios finales y de la red, los servicios de red esenciales, incluido el sistema de nombres de dominio (DNS), la interconexión con redes móviles de terceros, la exposición de las funciones de la red básica a aplicaciones externas y la selección y gestión de segmentos de red;

45)«virtualización de las funciones de red (NFV) y gestión y orquestación de red (MANO) de las redes de comunicaciones electrónicas móviles»: software y marco arquitectónico que garantizan la gestión del ciclo de vida, la orquestación y la automatización de las funciones de red virtualizadas (VNF), las funciones de red nativas de la nube (CNF) y la selección y gestión de segmentos de red dentro de las redes de comunicaciones electrónicas móviles;

46)«red de acceso radioeléctrico (RAN) de redes de comunicaciones electrónicas móviles»: la red que conecta el equipo móvil del usuario a la red básica, incluidas las estaciones base (eNodeB para 4G, gNodeB para 5G), las unidades de radio remotas (RRH) y las unidades de banda base (BBU), los sistemas de antenas activas (SAA) y, en su caso, los componentes desagregados de la RAN, como las unidades centralizadas (CU) y las unidades distribuidas (DU) y el controlador inteligente de la RAN (RIC);

47)«funciones de la red básica de las redes de comunicaciones electrónicas fijas»: inteligencia troncal de la red que conecta los nodos principales y gestiona una serie de funciones esenciales, tales como la autenticación y autorización de usuarios (AAA), las funciones de interceptación legal (LI), el sistema de nombres de dominio (DNS) y los servicios de direccionamiento IP (DHCP), la gestión de políticas de acceso, el almacenamiento de datos de usuarios finales y de la red y la conmutación y el encaminamiento IP, así como las pasarelas internacionales de internet (IIG);

48)«sistema de gestión de la red de redes de comunicaciones electrónicas fijas»: todas las plataformas centralizadas y los componentes de software necesarios para la operación, la administración, el mantenimiento y la puesta a disposición (OAMP) de la red y el seguimiento de la información relacionada con la red;

49)«funciones de transporte y transmisión de las redes de comunicaciones electrónicas fijas»: todos los componentes necesarios para el retorno y la agregación del tráfico a través de la red, incluidos los equipos ópticos de transporte, los enlaces de microondas y los sistemas de cable submarino que incluyen el equipo submarino, así como el equipo terminal de línea submarina (SLTE) y las instalaciones físicas de la estación de desembarque;

50)«red de acceso de redes de comunicaciones electrónicas fijas»: red que conecta las instalaciones del usuario final a la red de agregación o a la red básica, incluidas la terminal de línea óptica (OLT) y la terminal de red óptica (ONT) en el caso de las redes de fibra; sistema de terminación de módems de cable coaxial (CMTS) y módems de cable para redes de cable coaxial, y componentes fijos de acceso inalámbrico cuando se utilicen como sustitutos de la línea fija.

TÍTULO II 
AGENCIA DE LA UNIÓN EUROPEA PARA LA CIBERSEGURIDAD

Capítulo I 
Misión y objetivos

Artículo 3
Misión de ENISA

1.La misión de ENISA es ayudar a los Estados miembros y a las entidades de la Unión a alcanzar un elevado nivel de ciberseguridad, ciberresiliencia y confianza en el seno de la Unión.

2.ENISA actuará como punto de referencia de asesoramiento y conocimientos especializados en cuestiones relacionadas con la ciberseguridad para los Estados miembros y otras partes interesadas de la Unión.

3.Al desempeñar las tareas que le asigna el presente Reglamento, ENISA contribuirá a reducir la fragmentación del mercado interior.

4.ENISA desempeñará las funciones que se le asignan en virtud de los actos jurídicos de la Unión.

5.ENISA desarrollará sus recursos propios, en particular las capacidades y las competencias humanas y técnicas, necesarios para desarrollar las tareas que le asigna el presente Reglamento.

Artículo 4
Objetivos de ENISA

1.ENISA será un centro de conocimientos técnicos sobre ciberseguridad en virtud de su independencia, la calidad científica y técnica del asesoramiento, las contribuciones y la asistencia prestados y la información ofrecida, la transparencia de sus procedimientos operativos y métodos de funcionamiento y su diligencia en el desempeño de sus funciones.

2.ENISA asistirá a los Estados miembros y, cuando proceda, a las entidades de la Unión en la aplicación de las políticas y la legislación horizontales y sectoriales de la Unión relativas a la ciberseguridad, incluidas las actividades de vigilancia del mercado.

3.ENISA aportará sus conocimientos especializados y asistirá a la Comisión en el desarrollo de las políticas y la legislación de la Unión relacionadas con la ciberseguridad.

4.ENISA prestará su apoyo a la creación de capacidades y a la preparación en toda la Unión, asistiendo a los Estados miembros, a las entidades de la Unión, a través del Servicio de Ciberseguridad para las instituciones, órganos y organismos de la Unión (CERT-EU) a que se refiere el capítulo IV del Reglamento (UE, Euratom) 2023/2841, y a las partes interesadas públicas y privadas a fin de incrementar la protección de sus redes y sistemas de información y a desarrollar y mejorar la ciberresiliencia y la capacidad de respuesta.

5.ENISA contribuirá a la puesta en marcha de la Academia de Cibercapacidades y al aumento de la mano de obra en el ámbito de la ciberseguridad en la Unión al prestar su apoyo a los esfuerzos para desarrollar la portabilidad de las competencias en toda la Unión, en particular mediante el mantenimiento y la adopción del ECSF y el desarrollo, el mantenimiento y la adopción de esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad de conformidad con el capítulo II, sección 4, del presente título, así como la provisión de formación de conformidad con el artículo 6, apartado 8.

6.ENISA fomentará la cooperación, en particular el intercambio de información y la coordinación a nivel de la Unión, entre los Estados miembros, las entidades de la Unión con arreglo al Reglamento (UE, Euratom) 2023/2841 y las partes interesadas pertinentes, públicas y privadas, sobre cuestiones relacionadas con la ciberseguridad.

7.ENISA contribuirá a incrementar las capacidades de ciberseguridad a nivel de la Unión para apoyar las acciones de los Estados miembros en la prevención y respuesta a las ciberamenazas.

8.ENISA apoyará la cooperación operativa a escala de la Unión, también mediante la contribución a la conciencia situacional conjunta sobre el panorama de ciberamenazas e incidentes de ciberseguridad entre los Estados miembros y, en cooperación con el CERT-EU, entre las entidades de la Unión.

9.ENISA cooperará estrechamente con Europol, los CSIRT y otras autoridades nacionales pertinentes con el fin de mejorar la preparación y la respuesta en materia de ciberseguridad ante incidentes de programas de secuestro.

10.ENISA contribuirá al establecimiento y mantenimiento de un marco europeo de certificación de la ciberseguridad de conformidad con el título III del presente Reglamento. ENISA promoverá el uso de la certificación europea de ciberseguridad, con vistas a evitar la fragmentación del mercado interior.

11.ENISA contribuirá a la armonización del mercado único digital mediante su participación en trabajos de normalización pertinentes para las políticas de la Unión relacionadas con la ciberseguridad y la elaboración de especificaciones técnicas.

12.ENISA promoverá un alto nivel de sensibilización sobre ciberseguridad entre las organizaciones y las empresas.

Capítulo II 
Funciones

Sección 1 
Apoyo a la ejecución de la política y del Derecho de la Unión

Artículo 5
Apoyo a la ejecución de la política y del Derecho de la Unión

1.ENISA contribuirá a la ejecución de la política y del Derecho de la Unión:

a)prestando asistencia a los Estados miembros en la ejecución uniforme de las políticas y el Derecho de la Unión en materia de ciberseguridad, en particular mediante la publicación de orientaciones técnicas e informes, la prestación de asesoramiento y el intercambio de buenas prácticas, así como la asistencia en el intercambio de mejores prácticas entre las autoridades competentes a este respecto;

b)respaldando el intercambio de información en y entre sectores, en particular los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y los productos con elementos digitales incluidos en el ámbito de aplicación del Reglamento (UE) 2024/2847, mediante la provisión de buenas prácticas y orientaciones sobre las herramientas y procedimientos disponibles;

c)a petición de la Comisión, asistiendo a los Estados miembros mediante la prestación de apoyo, como orientaciones técnicas, en particular sobre medidas de gestión de riesgos de ciberseguridad, herramientas para la evaluación de la madurez de la ciberseguridad y manuales de respuesta a incidentes, adaptados a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555, así como apoyo para la aplicación de principios seguros desde el diseño para productos con elementos digitales en consonancia con el Reglamento (UE) 2024/2847, al objeto de facilitar la mejora del nivel de madurez en ciberseguridad y el cumplimiento del Derecho de la Unión en lo relativo a la ciberseguridad;

d)contribuyendo a los trabajos del Grupo de Cooperación establecido en virtud del artículo 14, apartado 1, de la Directiva (UE) 2022/2555 (el «Grupo de Cooperación SRI»), del Grupo de Cooperación sobre la Identidad Digital Europea establecido en virtud del artículo 46 sexies, apartado 1, del Reglamento (UE) n.º 910/2014, del Grupo Europeo de Certificación de la Ciberseguridad (GECC) a que se refiere el artículo 90 del presente Reglamento y del Grupo de Cooperación Administrativa (ADCO) establecido en virtud del artículo 52, apartado 15, del Reglamento (UE) 2024/2847;

e)asistiendo a los Estados miembros y a las entidades de la Unión pertinentes para que elaboren y promuevan políticas de ciberseguridad que apoyen la disponibilidad general y la integridad del núcleo público de la internet abierta;

f)de conformidad con el Reglamento (UE) 2024/2847, proporcionando asesoramiento y apoyo técnicos a los Estados miembros y a la Comisión sobre cuestiones relacionadas con la ejecución de dicho Reglamento;

g)asistiendo a los Estados miembros en la prestación de asistencia mutua y en la facilitación de dichos procesos de cooperación para las entidades esenciales e importantes con arreglo al [artículo 37 bis de la Directiva (UE) 2022/2555];

h)a petición del Comité Europeo de Protección de Datos, proporcionando asesoramiento sobre la aplicación de aspectos específicos de ciberseguridad de la política y del Derecho de la Unión en materia de protección de datos y privacidad.

2.ENISA contribuirá a la coordinación de las evaluaciones de riesgos de ciberseguridad a nivel de la Unión, entre ellas las que se realicen en virtud del artículo 22 de la Directiva (UE) 2022/2555.

3.ENISA emitirá directrices relativas a la interoperabilidad de las redes y los sistemas de información utilizados para el intercambio de información, también en lo que respecta a los centros cibernéticos transfronterizos a que se refiere el artículo 6, apartado 3, del Reglamento (UE) 2025/38.

4.ENISA entrará a formar parte del Grupo de Cooperación SRI en cumplimiento del artículo 14, apartado 3, de la Directiva (UE) 2022/2555.

5.A petición de la Comisión, ENISA proporcionará conocimientos especializados, asesoramiento técnico, información o análisis, o llevará a cabo trabajos preparatorios sobre cuestiones específicas de ciberseguridad con vistas a fundamentar la elaboración de políticas de la Comisión y llevar a cabo el seguimiento de la ejecución de la legislación de la Unión.

Artículo 6
Creación de capacidades

ENISA asistirá:

1)a los Estados miembros en sus esfuerzos por mejorar la prevención, detección, análisis y capacidad de respuesta a ciberamenazas e incidentes, proporcionándoles los conocimientos teóricos y prácticos;

2)con carácter voluntario y cuando así lo soliciten, a los Estados miembros en el establecimiento y la aplicación de políticas de divulgación de vulnerabilidades;

3)de conformidad con el Reglamento (UE, Euratom) 2023/2841, al CERT-EU y al Consejo Interinstitucional de Ciberseguridad, en sus esfuerzos por apoyar a las entidades de la Unión en el refuerzo de su ciberseguridad y mejorar la prevención, detección y análisis de ciberamenazas e incidentes de ciberseguridad, así como de sus capacidades para responder a tales ciberamenazas e incidentes de ciberseguridad;

4)a los Estados miembros, a petición suya, en el desarrollo de CSIRT nacionales, con arreglo al artículo 10, apartado 10, de la Directiva (UE) 2022/2555;

5)a los Estados miembros, a petición suya, en el desarrollo o la actualización de estrategias nacionales de ciberseguridad y los indicadores clave de rendimiento para la evaluación de dicha estrategia, con arreglo al artículo 7, apartado 4, de la Directiva (UE) 2022/2555, y también promoverá la difusión y tomará nota de los progresos en la aplicación de estas estrategias en toda la Unión, con el fin de promover mejores prácticas;

6)a las instituciones de la Unión, a petición suya, en la elaboración y revisión de las estrategias de la Unión en materia de ciberseguridad, promoviendo la difusión y el seguimiento de los progresos en su aplicación;

7)a los CSIRT nacionales para elevar el nivel de sus capacidades, en particular promoviendo el diálogo y el intercambio de información, con el fin de lograr que, habida cuenta de los avances más recientes, cada CSIRT disponga de un conjunto mínimo de capacidades y se atenga a las mejores prácticas;

8)a los Estados miembros, las entidades de la Unión y las partes interesadas públicas y privadas, en sus esfuerzos por evaluar, aumentar y mejorar la mano de obra en el ámbito de la ciberseguridad, principalmente mediante el desarrollo, el mantenimiento y el fomento de la adopción de las herramientas pertinentes, como el ECSF y los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad, de conformidad con la sección 4 del presente capítulo;

9)a los organismos públicos pertinentes y a las partes interesadas privadas, impartiendo formaciones específicas, en colaboración, cuando proceda, con las partes interesadas;

10)al Grupo de Cooperación SRI en el intercambio de mejores prácticas e información, en particular en relación con la ejecución de la Directiva (UE) 2022/2555 con arreglo al artículo 14, apartado 4, letra c), de dicha Directiva;

11)a las autoridades de vigilancia del mercado designadas con arreglo al Reglamento (UE) 2024/2847, en sus actividades destinadas a garantizar la aplicación efectiva de dicho Reglamento, mediante el apoyo a la orientación y el asesoramiento técnico a los operadores económicos, el apoyo en los controles de cumplimiento, la evaluación de riesgos, las actividades conjuntas y los barridos, tal como se establece en el Reglamento (UE) 2024/2847;

12)a los miembros del GECC, en el intercambio de mejores prácticas y, a petición de los distintos Estados miembros, en la asistencia a las autoridades nacionales de certificación de la ciberseguridad en relación con la aplicación de los esquemas europeos de certificación de la ciberseguridad a nivel nacional;

13)a las autoridades públicas y las partes interesadas privadas, en las actividades de evaluación de la conformidad, incluidos los organismos de evaluación de la conformidad y las pequeñas y medianas empresas, para contribuir a un ecosistema de evaluación de la conformidad sólido, competitivo, inclusivo y armonizado que contribuya a la ejecución del Reglamento (UE) 2024/2847 y del marco europeo de certificación de la ciberseguridad;

14)al Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad y la Red de Centros Nacionales de Coordinación establecidos en virtud del Reglamento (UE) 2021/887 del Parlamento Europeo y del Consejo, compartiendo para ello información sobre los riesgos y las ciberamenazas actuales y emergentes, como aquellos relacionados con las tecnologías de la información y la comunicación nuevas y emergentes;

15)a los Estados miembros, prestando apoyo técnico, en particular, para el establecimiento y el funcionamiento de espacios controlados de pruebas en el ámbito de la ciberseguridad de conformidad con la legislación pertinente de la Unión.

Artículo 7
Sensibilización y reserva de talento

ENISA asistirá a los Estados miembros en sus esfuerzos de sensibilización sobre las políticas y la legislación de la Unión en materia de ciberseguridad y promoción de su visibilidad mediante el desarrollo de herramientas y orientaciones ejecutables. ENISA apoyará iniciativas destinadas a aumentar la reserva europea de talento en materia de ciberseguridad, en particular mediante la coordinación de concursos.

Artículo 8
Conocimiento y análisis del mercado

1.ENISA llevará a cabo y difundirá análisis de las principales tendencias del mercado de la ciberseguridad, tanto en el lado de la demanda como en el de la oferta, en particular en relación con los ámbitos en los que existen o están previstos esquemas europeos de certificación de la ciberseguridad, los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y las categorías de productos contempladas por el Reglamento (UE) 2024/2847, en particular sus anexos III y IV.

2.ENISA llevará a cabo y difundirá análisis de las tendencias tecnológicas en materia de ciberseguridad, en particular en relación con las actividades y entidades incluidas en el ámbito de aplicación de la Directiva (UE) 2022/2555 y los productos con elementos digitales sujetos al Reglamento (UE) 2024/2847.

3.ENISA desarrollará conocimientos y difundirá asesoramiento técnico y análisis sobre herramientas de última generación, marcos, normas y mejores prácticas en materia de ciberseguridad.

Artículo 9
Cooperación internacional

ENISA contribuirá a los esfuerzos de la Unión por cooperar con terceros países y organizaciones internacionales, así como dentro de los marcos de cooperación internacional pertinentes, a fin de promover la cooperación internacional en relación con los problemas que se refieren a la ciberseguridad, por los siguientes medios:

a)participar, cuando proceda, como observador en la organización de ejercicios internacionales, y analizar los resultados de esos ejercicios e informar al respecto al Consejo de Administración;

b)facilitar, a petición de la Comisión, el intercambio de mejores prácticas con terceros países y organizaciones internacionales;

c)proporcionar asesoramiento especializado a la Comisión cuando así se solicite;

d)facilitar asesoramiento especializado y apoyo a la Comisión sobre cuestiones relacionadas con el reconocimiento internacional de los certificados europeos de ciberseguridad, de conformidad con el artículo 87;

e)facilitar asesoramiento especializado y apoyo a la Comisión en cuestiones relacionadas con la normalización internacional y las relaciones con las organizaciones internacionales de normalización pertinentes, cuando proceda, en colaboración con el GECC creado en virtud del artículo 90.

Sección 2

Cooperación operativa

Artículo 10
Cooperación operativa a nivel de la Unión

1.ENISA apoyará la cooperación operativa entre los Estados miembros, las entidades de la Unión, a través de CERT-EU, y otras partes interesadas.

2.ENISA entrará a formar parte de la red de CSIRT nacionales establecida de conformidad con el artículo 15, apartado 1, de la Directiva (UE) 2022/2555 y asumirá las funciones de secretaría de dicha red de conformidad con el artículo 15, apartado 2, de la Directiva (UE) 2022/2555.

3.ENISA se hará cargo de la secretaría de la red de organizaciones de enlace nacionales para la gestión de cibercrisis (EU-CyCLONe) de conformidad con el artículo 16, apartado 2, párrafo segundo, de la Directiva (UE) 2022/2555.

4.ENISA apoyará la cooperación técnica y operativa entre los Estados miembros, en particular a través de la red de CSIRT y la EU-CyCLONe. Dicho apoyo incluirá:

a)asesorar sobre la mejora de las capacidades de prevención y detección de incidentes, respuesta a estos y recuperación de estos;

b)a petición de uno o varios Estados miembros, proporcionar asesoramiento y evaluaciones en relación con incidentes o ciberamenazas específicos, potenciales o en curso, en particular proporcionando conocimientos especializados y facilitando la gestión técnica de dichos incidentes, así como promoviendo el intercambio voluntario de información y soluciones técnicas pertinentes entre los Estados miembros;

c)analizar las vulnerabilidades, amenazas e incidentes;

d)previa solicitud de uno o varios Estados miembros, prestar apoyo en las investigaciones técnicas ex post de los incidentes que tengan un impacto significativo o sustancial en el sentido del artículo 23, apartado 3, de la Directiva (UE) 2022/2555;

e)contribuir al apoyo a la gestión coordinada de incidentes y crisis de ciberseguridad a gran escala a nivel operativo, en particular ayudando a EU-CyCLONe a elaborar informes destinados al nivel político y facilitando el intercambio oportuno de información entre la red de CSIRT y la EU-CyCLONe;

5.A petición de un Estado miembro o de una entidad de la Unión en cooperación con el CERT-EU, ENISA apoyará la comunicación pública coherente en relación con incidentes o ciberamenazas.

6.ENISA apoyará la cooperación entre los Estados miembros y, a través del CERT-EU, entre las entidades de la Unión en lo que respecta a la implantación de herramientas de comunicación seguras. ENISA utilizará dentro de la red de CSIRT y de la EU-CyCLONe herramientas de comunicación seguras proporcionadas por entidades jurídicas establecidas o que se consideren establecidas en la Unión y controladas por Estados miembros o por nacionales de Estados miembros.

Artículo 11
Conocimiento compartido de la situación en materia de ciberseguridad

1.A efectos de mejorar la conciencia situacional conjunta sobre el panorama de ciberamenazas e incidentes de ciberseguridad entre los Estados miembros y entre las entidades de la Unión, ENISA deberá:

a)desarrollar, en colaboración con la EU-CyCLONe, la red de CSIRT, la Comisión, el CERT-EU, Europol y otras entidades pertinentes de la Unión, repositorios de información verificada y fiable sobre ciberamenazas, que incluya las tendencias en materia de incidentes, tácticas, técnicas y procedimientos;

b)de conformidad con el artículo 12, emitir alertas tempranas sobre incidentes significativos o a gran escala, potenciales o en curso, o sobre ciberamenazas que puedan ser de naturaleza transfronteriza, en particular cuando se refieran a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555;

c)proporcionar análisis ad hoc oportunos sobre las tendencias emergentes en los incidentes, a petición de la red de CSIRT, la EU-CyCLONe o la Comisión;

d)facilitar, cuando así lo soliciten los Estados miembros o la Comisión, análisis u otra información sobre riesgos o amenazas de ciberseguridad reales o percibidos;

e)proporcionar análisis y asesoramiento técnico en relación con los riesgos de ciberseguridad en los productos con elementos digitales, en particular para reforzar la vigilancia del mercado y elaborar un informe técnico bienal sobre las tendencias emergentes, de conformidad con el artículo 17, apartado 3, del Reglamento (UE) 2024/2847;

f)preparar un informe periódico y detallado sobre la situación técnica de la ciberseguridad en la UE en materia de incidentes y ciberamenazas, que pondrá a disposición del Consejo, la EU-CyCLONe, la red de CSIRT, la Comisión, el Servicio Europeo de Acción Exterior y Europol;

g)supervisar las tendencias en las técnicas, la demanda y las repercusiones de los ataques con programas de secuestro y facilitar información sobre dichas tendencias a la Comisión, a la red de CSIRT, a la EU-CyCLONe y a Europol.

2.A efectos de mejorar la conciencia situacional conjunta sobre el panorama de ciberamenazas e incidentes de ciberseguridad, ENISA deberá:

a)llevar a cabo análisis de ciberamenazas, incidentes, tendencias, tecnologías emergentes y sus repercusiones, entre ellos, un análisis periódico que aborde los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y las categorías de productos pertinentes contempladas por el Reglamento (UE) 2024/2847;

b)proporcionar, en colaboración con la Comisión y, cuando proceda, con la red de CSIRT, asesoramiento, orientaciones y buenas prácticas de seguridad de las redes y los sistemas de información, en particular para la seguridad de las infraestructuras de apoyo a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555;

c)realizar análisis estratégicos a largo plazo de las ciberamenazas e incidentes de ciberseguridad con el fin de detectar las tendencias emergentes y ayudar a prevenir incidentes.

3.ENISA podrá hacer públicos los análisis, el asesoramiento, las orientaciones, las buenas prácticas y los informes a que se refiere el apartado 2, de acuerdo con las entidades contribuyentes mencionadas en el apartado 2.

4.Para llevar a cabo las actividades enumeradas en el apartado 1, letras a) a d) y f), y el apartado 2, ENISA utilizará sus propios análisis y, según proceda, la información recibida durante el desempeño de sus funciones, en particular:

a)información procedente de fuentes de acceso público, en particular las vulnerabilidades de conocimiento público en productos o servicios de TIC disponibles en la base de datos europea de vulnerabilidades establecida de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555;

b)información compartida por los Estados miembros, las entidades de la Unión, el CERT-EU, socios del sector privado o no gubernamentales, así como por terceros países y organizaciones internacionales, sujeta a cualquier limitación, mediante una marca visible, de la distribución ulterior de dicha información.

5.ENISA cooperará estrechamente con los Estados miembros en la preparación del informe sobre la situación técnica de la ciberseguridad en la UE en materia de incidentes y ciberamenazas a que se refiere el apartado 1, letra e). El informe se basará en la información accesible al público, en su propio análisis y en los informes comunicados, entre otros, por los CSIRT de los Estados miembros o los puntos de contacto únicos establecidos en la Directiva (UE) 2022/2555, ambos con carácter voluntario, el EC3 y el CERT-EU. De acuerdo con las entidades contribuyentes, ENISA podrá poner a disposición del público una versión agregada del informe.

Artículo 12
Alertas tempranas

1.Las alertas tempranas a que se refiere el artículo 11, apartado 1, párrafo primero, letra b), del presente Reglamento contendrán información pertinente sobre un incidente significativo o a gran escala, potencial o en curso, o una ciberamenaza susceptible de ser de carácter transfronterizo en relación con los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555. Esta información puede incluir vulnerabilidades conocidas públicamente y especificar si afectan a productos con elementos digitales contemplados en el Reglamento (UE) 2024/2847, técnicas y procedimientos, indicadores de compromiso, tácticas de los adversarios, información específica sobre el agente de riesgo y recomendaciones sobre medidas de mitigación.

2.Las alertas tempranas a que se refiere el artículo 11, apartado 1, párrafo primero, letra b), se remitirán lo antes posible al o a los CSIRT afectados y, en su caso, a la red de CSIRT y a la EU-CyCLONe.

3.ENISA ofrecerá un servicio de alerta temprana a las entidades que operen en los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555.

4.El servicio a que se refiere el apartado 3 se prestará a petición de la entidad y en un formato legible por máquina que se pondrá a disposición del público. Dicho servicio incluirá el intercambio de información sobre indicadores de ciberamenazas y recomendaciones sobre medidas de mitigación.

5.ENISA establecerá un procedimiento para difundir las alertas tempranas a las entidades a que se refiere el apartado 3.

Artículo 13
Apoyo a la respuesta y revisión de incidentes

1.ENISA gestionará y administrará la Reserva de Ciberseguridad de la UE, total o parcialmente, de conformidad con el Reglamento (UE) 2025/38.

2.A petición de la Comisión o de la EU-CyCLONe, ENISA, con el apoyo de la red de CSIRT y con la aprobación del Estado miembro de que se trate, revisará y evaluará los incidentes de ciberseguridad significativos o a gran escala, de conformidad con el artículo 21 del Reglamento (UE) 2025/38.

3.ENISA asistirá, en cooperación con Europol y los CSIRT u otras autoridades competentes, según proceda, a las entidades esenciales e importantes enumeradas en los anexos I y II de la Directiva (UE) 2022/2555 en la preparación para un incidente de programa de secuestro, la respuesta a este y la recuperación de este. A tal fin, ENISA creará un servicio de asistencia y, en particular, hará uso de la conciencia situacional conjunta mejorada sobre el panorama de ciberamenazas e incidentes de ciberseguridad con arreglo al artículo 11, apartado 1, párrafo primero, letras a) y g), del presente Reglamento.

Artículo 14
Ejercicios de ciberseguridad a nivel de la Unión

1.ENISA asistirá a la Comisión en la elaboración de un programa continuo de ejercicios de ciberseguridad de carácter anual a nivel de la Unión.

2.ENISA mantendrá un repositorio de las conclusiones extraídas de los ejercicios a que se refiere el apartado 1 y recomendará a los Estados miembros y, cuando proceda, a las entidades de la Unión formas de aplicar dichas conclusiones de manera efectiva y eficiente.

3.Cuando así lo soliciten la EU-CyCLONe o la Comisión, ENISA organizará o contribuirá a la organización de ejercicios de ciberseguridad a nivel de la Unión, incluidas pruebas de preparación para responder a incidentes y crisis de ciberseguridad a gran escala a nivel de la Unión.

4.A petición de los Estados miembros, ENISA les asistirá en la organización de ejercicios nacionales de ciberseguridad.

5.A petición del CERT-EU, ENISA colaborará en la organización de ejercicios de ciberseguridad organizados por el CERT-EU de conformidad con el artículo 13, apartado 7, del Reglamento (UE, Euratom) 2023/2841.

Artículo 15
Provisión de herramientas y plataformas

1.ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, como plataformas relacionadas con la ciberseguridad a nivel de la Unión, en particular la plataforma única de notificación establecida con arreglo al artículo 16, apartado 1, del Reglamento (UE) 2024/2847 [y el punto de entrada único para la notificación de incidentes establecido con arreglo al artículo 23 bis de la Directiva (UE) 2022/2555], y herramientas de realización de pruebas para respaldar la aplicación de los procedimientos de evaluación de la conformidad con arreglo a la legislación pertinente de la Unión.

2.Cuando proceda a efectos del apartado 1, ENISA cooperará e intercambiará información con la red de CSIRT y, en su caso, con las autoridades de vigilancia del mercado.

Artículo 16
Servicios de gestión de vulnerabilidades

ENISA desarrollará una capacidad común de servicios de gestión de vulnerabilidades de la Unión y prestará dichos servicios a las partes interesadas mediante:

a)el mantenimiento de la base de datos europea de vulnerabilidades creada de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555;

b)la prestación de servicios de gestión de vulnerabilidades a las partes interesadas, utilizando como referencia la base de datos europea de vulnerabilidades y haciendo uso de la información pertinente a disposición de ENISA;

c)cuando corresponda, el establecimiento de una cooperación estructurada con organizaciones que proporcionen programas, registros o bases de datos similares a la base de datos europea de vulnerabilidades;

d)el apoyo activo de los CSIRT designados como coordinadores de conformidad con el artículo 12, apartado 1, de la Directiva (UE) 2022/2555 en lo que respecta a la gestión de la divulgación coordinada de vulnerabilidades que puedan tener repercusiones significativas para entidades de más de un Estado miembro;

e)el desarrollo y mantenimiento de metodologías y mecanismos de gobernanza para la determinación de vulnerabilidades y la divulgación coordinada, en cooperación con las autoridades nacionales competentes, los CSIRT, la industria y la comunidad investigadora.

Sección 3

Certificación y normalización de la ciberseguridad

Artículo 17
Certificación de la ciberseguridad

1.ENISA respaldará y promoverá el desarrollo y la aplicación de la política de la Unión en materia de certificación de la ciberseguridad según lo establecido en el título III del presente Reglamento. ENISA será responsable de:

a)preparar propuestas de esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas») para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad de conformidad con el artículo 74 y, cuando proceda, desarrollar especificaciones técnicas de conformidad con el artículo 77;

b)mantener los esquemas europeos de certificación de la ciberseguridad adoptados con arreglo al artículo 75, en particular con vistas a una posible revisión de aquellos adoptados de conformidad con el artículo 76;

c)promover la adopción de los esquemas adoptados y mantener un sitio web específico que proporcione información sobre los esquemas europeos de certificación de la ciberseguridad, los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE y los publicite, de conformidad con el artículo 79;

d)organizar la creación de capacidades en relación con los procesos de certificación, las actividades de evaluación y la revisión y evaluación interpares, prestando para ello apoyo a los Estados miembros cuando así lo soliciten, de conformidad con el artículo 6, apartado 12.

2.ENISA apoyará a la Comisión en las siguientes actividades:

a)la gobernanza del GECC, en cumplimiento del artículo 90;

b)la organización de una Asamblea Europea de Certificación de la Ciberseguridad de conformidad con el artículo 72, apartado 1;

c)las relacionadas con el reconocimiento internacional de los certificados europeos de ciberseguridad con arreglo al artículo 87;

d)la organización de revisiones interpares conforme al artículo 89;

e)la preparación de disposiciones tipo para su incorporación por referencia a los esquemas europeos de certificación de la ciberseguridad para los productos, servicios o procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad, en virtud del artículo 81, apartado 5.

Artículo 18
Normalización, especificaciones técnicas y orientaciones

1.ENISA elaborará especificaciones técnicas y orientaciones para apoyar la aplicación de la legislación de la Unión en el ámbito de la ciberseguridad. Al elaborar dichas especificaciones técnicas, ENISA tendrá en cuenta las normas europeas e internacionales vigentes, así como otras especificaciones técnicas pertinentes. Garantizará asimismo la coherencia de sus especificaciones técnicas y orientaciones.

2.ENISA supervisará y, cuando proceda, participará y tendrá un papel destacado en las actividades de desarrollo de la normalización realizadas a nivel de la Unión y, de conformidad con el artículo 9, a nivel internacional para respaldar las políticas de la Unión en materia de ciberseguridad.

3.ENISA apoyará el desarrollo y la evaluación de algoritmos criptográficos. Cuando ENISA evalúe con resultados positivos un algoritmo criptográfico, cooperará en su normalización con los organismos europeos de normalización, de conformidad con el Reglamento (UE) n.º 1025/2012.

4.ENISA proporcionará asesoramiento técnico a la Comisión y, cuando proceda, a los Estados miembros, con respecto a las normas o especificaciones técnicas adecuadas para contribuir a las políticas de la Unión en materia de ciberseguridad, como la legislación de armonización de la Unión en el ámbito de la ciberseguridad, en particular el Reglamento (UE) 2024/2847, la Directiva (UE) 2022/2555 en lo referente a las áreas técnicas a efectos de su artículo 25 y los esquemas europeos de certificación de la ciberseguridad con arreglo al artículo 81, apartado 1, letra d).

5.ENISA asistirá a la Comisión en la evaluación de los proyectos de normas armonizadas para promover la aplicación de la legislación de armonización de la Unión en el ámbito de la ciberseguridad.

6.ENISA promoverá la adopción de normas europeas e internacionales en materia de ciberseguridad.

7.ENISA llevará a cabo las tareas a que se refieren los apartados 1 a 6 con integridad, imparcialidad y confidencialidad, para lo que, en su caso, podrá retirar o interrumpir su participación en organismos técnicos específicos cuando dicha participación entre en conflicto con otras tareas u objetivos.

Sección 4 
Puesta en marcha de la Academia de Cibercapacidades

Artículo 19
Marco Europeo de Capacidades en Ciberseguridad

1.ENISA desarrollará y pondrá a disposición del público un Marco Europeo de Capacidades en Ciberseguridad (en lo sucesivo, «ECSF»). Antes de hacer público el ECSF o de actualizarlo con arreglo al apartado 4, ENISA consultará a la Comisión.

2.El ECSF definirá los perfiles de los profesionales de la ciberseguridad y la asociación a un perfil de función determinado de tareas, competencias y conocimientos específicos. El uso del ECSF será voluntario para las entidades públicas y privadas.

3.ENISA podrá consultar a las partes interesadas en las fases de desarrollo y adopción del ECSF.

4.ENISA evaluará la necesidad de actualizar el ECSF periódicamente y, en su caso, procederá a actualizarlo.

Artículo 20
Desarrollo, adopción y mantenimiento de esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad

1.ENISA desarrollará, adoptará y mantendrá esquemas europeos individuales de declaración de las capacidades en materia ciberseguridad. El uso de esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad será voluntario para los organismos públicos nacionales y las entidades privadas, salvo que la legislación nacional disponga lo contrario.

2.Antes de iniciar un nuevo esquema europeo individual de declaración de las capacidades en materia de ciberseguridad, ENISA consultará a la Comisión. ENISA solo adoptará dicho esquema previo dictamen favorable de la Comisión. Al preparar un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad, ENISA podrá consultar a las partes interesadas pertinentes.

3.Un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad debe incluir lo siguiente:

a)el objeto y el ámbito de aplicación del esquema de declaración, basados en los perfiles de funciones del ECSF o sus subconjuntos;

b)los requisitos aplicables a las personas formadas para realizar evaluaciones (en lo sucesivo, «evaluadores») de conformidad con el artículo 21, las competencias, los conocimientos y la experiencia necesarios, así como los métodos de formación;

c)un análisis de la adopción por el mercado de cada esquema de declaración específico;

d)los resultados de aprendizaje, los métodos de evaluación y las condiciones que deberán utilizar los prestadores de declaraciones autorizados para evaluar la demostración por parte de una persona de las competencias requeridas de conformidad con el artículo 21;

e)en su caso, uno o varios niveles de competencia;

f)normas relativas a la conservación de registros por parte de los prestadores de declaraciones autorizados;

g)el contenido y el formato de las declaraciones europeas individuales de las capacidades en materia de ciberseguridad, teniendo debidamente en cuenta el artículo 21, apartado 5, letra e);

h)el período máximo de validez de las declaraciones europeas individuales de las capacidades en materia de ciberseguridad expedidas en virtud del esquema de declaración.

4.Un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad podrá incluir el coste indicativo de una declaración europea individual de las capacidades en materia de ciberseguridad.

5.ENISA garantizará una estrecha cooperación con los Estados miembros durante las fases de preparación de los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad.

6.La modificación de un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad no afectará a la autorización concedida en virtud del artículo 22, apartado 3, letra a), que conservará su validez durante el período para el que se haya concedido.

Artículo 21
Prestadores de declaraciones autorizados

1.Los prestadores de declaraciones autorizados evaluarán si las personas cumplen los requisitos de un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad y, en caso afirmativo, expedirán declaraciones europeas individuales de las capacidades en materia de ciberseguridad. Los prestadores de declaraciones podrán ser titulares de varias autorizaciones, cada una concedida para un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad.

2.ENISA proporcionará orientación e impartirá formación obligatoria a los evaluadores en relación con los requisitos y los métodos de evaluación incluidos en el esquema europeo individual de declaración de las capacidades en materia de ciberseguridad a que se refiere el artículo 20, apartado 3, letra b).

3.Las entidades que deseen convertirse en prestadores de declaraciones autorizados o renovar su autorización (en lo sucesivo, «solicitantes») deberán presentar una solicitud a ENISA. Deberán reunir los requisitos siguientes:

a)disponer de personalidad jurídica;

b)ser capaces de llevar a cabo las tareas establecidas en el presente Reglamento en relación con las declaraciones europeas individuales de las capacidades en materia de ciberseguridad, independientemente de si la evaluación la efectúa el propio prestador de declaraciones autorizado u otra persona en su nombre y bajo su responsabilidad;

c)disponer de los medios necesarios para desempeñar adecuadamente las tareas técnicas y administrativas relacionadas con el esquema europeo individual de declaración de las capacidades en materia de ciberseguridad y tener acceso a todos los equipos e instalaciones necesarios.

A los efectos del apartado 1, letra b), cualquier subcontratación o consulta de personal externo deberá documentarse debidamente, no supondrá la participación de intermediarios y será objeto de un acuerdo escrito que regulará, entre otros aspectos, la confidencialidad y el conflicto de intereses.

4.Los solicitantes no podrán ser proveedores de alto riesgo.

5.Los prestadores de declaraciones autorizados deberán cumplir las siguientes obligaciones:

a)para la aplicación de cada esquema europeo individual de declaración de las capacidades en materia de ciberseguridad:

i)disponer de los evaluadores y el personal necesarios para llevar a cabo sus actividades según lo establecido en dicho esquema oportunamente;

ii)garantizar que los evaluadores respeten el secreto profesional, sean imparciales y desempeñen su tarea con independencia y con el máximo grado de integridad profesional;

iii)disponer de procedimientos escritos para llevar a cabo sus actividades en el marco del esquema para el que están autorizados.

b)no evaluar ni expedir declaraciones europeas individuales de las capacidades en materia de ciberseguridad para sus propios evaluadores;

c)garantizar, cuando proceda mediante el establecimiento de salvaguardias adecuadas, que sus evaluadores puedan desempeñar su trabajo de forma independiente, en particular cuando dichas personas pertenezcan a su propia estructura o sean empleados de dicha estructura o se estén instruyendo en la misma;

d)abstenerse de toda actividad que pueda entrar en conflicto con la independencia de criterio o la integridad de sus asesores;

e)velar por que, a petición de la persona, las declaraciones europeas individuales de las capacidades en materia de ciberseguridad se expidan en formato electrónico como declaraciones electrónicas de atributos en un formato que pueda almacenarse en las carteras europeas de identidad digital establecidas en el Reglamento (UE) n.º 910/2014.

6.Los prestadores de declaraciones autorizados informarán inmediatamente a ENISA en caso de que deje de cumplirse alguno de los requisitos enumerados en los apartados 3 y 4 o las obligaciones recogidas en el apartado 5, o en caso de que surja cualquier duda con respecto a su cumplimiento, en particular en lo que respecta a la independencia de los evaluadores. 

7.Los prestadores de declaraciones autorizados podrán cobrar una tasa a las personas por la evaluación y expedición de las declaraciones individuales europeas de las capacidades en materia de ciberseguridad, teniendo en cuenta el coste indicativo de una declaración de este tipo con arreglo al artículo 20, apartado 4, y publicado en un sitio web específico de conformidad con el artículo 23, letra d).

8.Los solicitantes y los prestadores de declaraciones autorizados permitirán a ENISA llevar a cabo evaluaciones en el marco del proceso de solicitud, mantenimiento o renovación de la autorización y compartir toda la información pertinente para garantizar que se cumplan o sigan cumpliéndose los requisitos establecidos en los apartados 3 y 4 y las obligaciones recogidas en el apartado 5, de conformidad con el artículo 22, apartado 2.

Artículo 22
Examen de las solicitudes de prestador de declaraciones autorizado y mantenimiento de las autorizaciones

1.Los solicitantes pagarán una tasa a ENISA por el examen de su solicitud. Los prestadores de declaraciones autorizados pagarán una tasa a ENISA por mantener su autorización.

2.ENISA evaluará si los solicitantes y los prestadores de declaraciones autorizados cumplen o siguen cumpliendo los requisitos establecidos en el artículo 21, apartados 3 y 4, y las obligaciones establecidas en el artículo 21, apartado 5.

3.Tras examinar una solicitud a la luz de los requisitos establecidos en el artículo 21, apartados 3 y 4, ENISA podrá adoptar una de las siguientes decisiones:

a)conceder al solicitante la condición de prestador de declaraciones autorizado o renovar tal condición;

b)rechazar la solicitud para convertirse en prestador de declaraciones autorizado o no renovar tal condición;

c)dar por concluida la tramitación de la solicitud debido a la inacción del solicitante tras una solicitud de información adicional por parte de ENISA.

ENISA podrá modificar, suspender o revocar dichas decisiones sobre la base de su evaluación con arreglo al artículo 22, apartado 2, o en el supuesto contemplado en el artículo 21, apartado 6.

4.ENISA emitirá la decisión a que se refiere el apartado 3 en un plazo de tres meses a partir de la fecha de presentación de una solicitud, de conformidad con el artículo 21, apartado 3. En los casos en que ENISA haya pedido al solicitante información adicional, emitirá la decisión a que se refiere el apartado 3 en el plazo de un mes a partir de la recepción de la información adicional.

5.La decisión a que se refiere el apartado 3, letra a), tendrá una duración máxima de tres años e indicará la tasa relacionada con el mantenimiento anual de la autorización.

6.ENISA velará por que sus actividades relacionadas con el desarrollo y la adopción de esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad, tal como se establece en el artículo 20, estén estrictamente separadas y se lleven a cabo con independencia de las actividades de examen de las solicitudes y de las evaluaciones establecidas en los apartados 2 y 3 del presente artículo.

Artículo 23
Información pública

ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre:

a)el ECSF, incluido el marco y su calendario de actualización;

b)los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad, su avance y los plazos para su desarrollo;

c)las tasas asociadas a cada esquema europeo individual de declaración de las capacidades en materia de ciberseguridad adoptado en virtud del artículo 47 del presente Reglamento;

d)el coste indicativo de una declaración europea individual de las capacidades en materia de ciberseguridad, de conformidad con el artículo 20, apartado 4;

e)la lista de prestadores de declaraciones autorizados.

Capítulo III 
Organización de ENISA

Artículo 24
Estructura administrativa y de gestión de ENISA

La estructura administrativa y de gestión de la ENISA estará compuesta por:

a)un Consejo de Administración, que ejercerá las funciones definidas en el artículo 28;

b)un Comité Ejecutivo, que ejercerá las funciones definidas en el artículo 30;

c)un director ejecutivo, que ejercerá las responsabilidades definidas en el artículo 32;

d)un director ejecutivo, que ejercerá las responsabilidades definidas en el artículo 34;

e)un Grupo Consultivo de ENISA;

f)una Sala de Recurso, que ejercerá las funciones definidas en los artículos 39 a 42.

Sección 1 
Consejo de Administración

Artículo 25
Composición del Consejo de Administración

1.El Consejo de Administración estará compuesto por un miembro nombrado por cada Estado miembro y dos miembros nombrados por la Comisión. Todos los miembros tendrán derecho a voto.

2.Cada miembro del Consejo de Administración tendrá un suplente. Los suplentes representarán a los miembros en su ausencia.

3.Cada Estado miembro nombrará como miembro del Consejo de Administración al responsable de una autoridad nacional competente designada de conformidad con el artículo 8, apartado 1, de la Directiva (UE) 2022/2555. Cuando no sea viable, los Estados miembros designarán como miembro del Consejo de Administración a un representante de alto nivel de una autoridad nacional competente designada de conformidad con el artículo 8, apartado 1, de la Directiva (UE) 2022/2555.

4.Los miembros designados por la Comisión y los miembros suplentes del Consejo de Administración serán nombrados en función de sus conocimientos en el ámbito de la ciberseguridad, teniendo en cuenta las pertinentes cualificaciones presupuestarias, administrativas y de gestión. En lo relativo a los suplentes, la Comisión y los Estados miembros procurarán lograr una representación equilibrada entre hombres y mujeres en el Consejo de Administración y se esforzarán por limitar la rotación de dichos miembros con el fin de garantizar la continuidad de los trabajos del Consejo de Administración.

5.El mandato de los miembros nombrados por los Estados miembros será igual al mandato a que se refiere el apartado 3.

6.La duración del mandato de los suplentes y de los miembros nombrados por la Comisión será de cuatro años. Este mandato será renovable.

Artículo 26
Presidente del Consejo de Administración

1.El Consejo de Administración elegirá entre sus miembros con derecho de voto un presidente y un vicepresidente. El presidente y el vicepresidente serán elegidos por mayoría de dos tercios de los miembros del Consejo de Administración con derecho a voto.

2.El vicepresidente sustituirá automáticamente al presidente cuando este no pueda ejercer sus funciones.

3.La duración del mandato del presidente y del vicepresidente será de cuatro años y podrá renovarse una vez. No obstante, si el presidente o el vicepresidente dejaran de ser miembros del Consejo de Administración durante su mandato, este expirará automáticamente en la misma fecha.

Artículo 27
Reuniones del Consejo de Administración

1.El presidente convocará las reuniones del Consejo de Administración.

2.El director ejecutivo participará en las reuniones del Consejo de Administración, pero no tendrá derecho de voto.

3.El Consejo de Administración se reunirá al menos dos veces al año en sesión ordinaria. Además, se reunirá a iniciativa de su presidente, a petición de la Comisión o a petición de, como mínimo, un tercio de sus miembros.

4.En las reuniones del Consejo de Administración, un representante del Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad (ECCC, por sus siglas en inglés), establecido por el Reglamento (UE) 2021/887, será un observador permanente, sin derecho a voto.

5.El Consejo de Administración podrá invitar a cualquier persona cuya opinión pueda ser de interés a asistir a una reunión, o a parte de una reunión, en calidad de observador ad hoc, sin derecho de voto y con arreglo al Reglamento interno del Consejo de Administración.

6.Los miembros del Consejo de Administración y sus suplentes podrán estar asistidos en las reuniones del Consejo de Administración por asesores o expertos, con sujeción al reglamento interno del Consejo de Administración.

Artículo 28
Funciones del Consejo de Administración

1.El Consejo de Administración:

a)definirá la orientación general del funcionamiento de ENISA y velará por que esta trabaje de conformidad con las normas y principios establecidos en el presente Reglamento; velará asimismo por la coherencia de la labor de ENISA con las actividades realizadas por los Estados miembros y a nivel de la Unión;

b)adoptará el proyecto de documento único de programación de ENISA a que se refiere el artículo 44 antes de someterlo al dictamen de la Comisión;

c)teniendo en cuenta el dictamen de la Comisión, adoptará el documento único de programación de ENISA de conformidad con el artículo 29, apartado 2, letra a);

d)supervisará la aplicación del programa anual y plurianual que figura en el documento único de programación;

e)adoptará el presupuesto anual de ENISA con arreglo al artículo 29, apartado 2, letras a) y b), y ejercerá otras funciones relacionadas con el presupuesto de ENISA de conformidad con el capítulo IV;

f)evaluará y adoptará el informe anual consolidado sobre las actividades de ENISA, que incluirá las cuentas y describirá en qué medida ENISA ha cumplido sus indicadores de rendimiento; a más tardar el 1 de julio del año siguiente, remitirá dicho informe, junto con su evaluación, al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas Europeo; publicará el informe anual;

g)adoptará las normas financieras aplicables a ENISA de conformidad con el artículo 50;

h)adoptará una estrategia contra el fraude que esté en consonancia con el riesgo de fraude, teniendo en cuenta el análisis coste-eficacia de las medidas que vayan a aplicarse;

i)garantizará un adecuado seguimiento de las conclusiones y recomendaciones resultantes de las diferentes auditorías y evaluaciones, tanto internas como externas, así como de las investigaciones de la Oficina Europea de Lucha contra el Fraude (OLAF) y de la Fiscalía Europea;

j)adoptará su propio reglamento interno, incluidas las normas relativas a las decisiones provisionales sobre la delegación de las tareas específicas con arreglo a lo dispuesto en el artículo 30, apartado 7;

k)ejercerá, de conformidad con el apartado 2 del presente artículo, y respecto del personal de ENISA, las competencias atribuidas por el Estatuto de los funcionarios de la Unión Europea (en lo sucesivo, «Estatuto de los funcionarios») y el régimen aplicable a los otros agentes de la Unión Europea (en lo sucesivo, «régimen aplicable a los otros agentes»), establecidas por el Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo 73 , respectivamente, a la autoridad facultada para proceder a los nombramientos y a la autoridad facultada para celebrar contratos de trabajo (en lo sucesivo, «competencias de la autoridad facultada para proceder a los nombramientos»);

l)adoptará las normas de aplicación que den efecto al Estatuto de los funcionarios y al régimen aplicable a los otros agentes, de conformidad con el artículo 110, apartado 2, de dicho Estatuto;

m)nombrará al director ejecutivo y, si decidiese crear el puesto de director ejecutivo adjunto, nombrará también al director ejecutivo adjunto y, cuando proceda, ampliará su mandato o los cesará de conformidad con el artículo 31;

n)nombrará a un contable, sujeto al Estatuto de los funcionarios y al régimen aplicable a los otros agentes, que será independiente en el desempeño de sus funciones;

o)adoptará todas las decisiones relativas al establecimiento de las estructuras internas de ENISA y, cuando sea necesario, a su modificación, teniendo en cuenta las necesidades de la actividad de ENISA, así como la buena gestión financiera;

p)autorizará la celebración de convenios de trabajo de conformidad con el artículo 68;

q)autorizará la celebración de convenios de trabajo, de conformidad con el artículo 70;

r)nombrará y cesará a los miembros de la Sala de Recurso de conformidad con el artículo 29, apartado 2, letra b);

s)adoptará normas para la prevención y la gestión de los conflictos de intereses aplicables a los miembros de la Sala de Recurso.

2.El Consejo de Administración adoptará, de conformidad con el artículo 110, apartado 2, del Estatuto de los funcionarios, una decisión basada en el artículo 2, apartado 1, del Estatuto y en el artículo 6 del régimen aplicable a los otros agentes, por la que se delegarán las competencias de la autoridad facultada para proceder a los nombramientos en el director ejecutivo y se definirán las condiciones en las que podrá suspenderse la delegación de competencias. El director ejecutivo podrá subdelegar esas competencias.

3.Cuando así lo exijan circunstancias excepcionales, el Consejo de Administración podrá adoptar una decisión para suspender temporalmente la delegación de las competencias de la Autoridad facultada para proceder a los nombramientos en el director ejecutivo y la subdelegación de competencias por parte de este último, y ejercer él mismo las competencias o delegarlas en uno de sus miembros o en un miembro del personal distinto del director ejecutivo.

Artículo 29
Votaciones en el Consejo de Administración

1.El Consejo de Administración adoptará sus decisiones por mayoría absoluta de los miembros con derecho a voto, salvo que se disponga otra cosa en el presente Reglamento.

2.Se requerirá una mayoría de dos tercios de los miembros del Consejo de Administración con derecho de voto para:

a)la adopción del documento único de programación a que se refiere el artículo 28, apartado 1, letra c);

b) la adopción del presupuesto anual a que se refiere el artículo 28, apartado 1, letra e);

c) el nombramiento, la prórroga del mandato o el cese del director ejecutivo y del director ejecutivo adjunto a que se refieren los artículos 31 y 33;

d)el nombramiento y el cese de los miembros de la Sala de Recurso a que se refiere el artículo 36.

3.Las decisiones sobre cuestiones presupuestarias o relacionadas con los recursos humanos, en particular las cuestiones a que se refiere el artículo 28, apartado 1, letras c), e), f), g), h), i), k), l), m) y n), se adoptarán únicamente si los representantes de la Comisión emiten un voto favorable. A efectos de la adopción de las decisiones a que se refiere el artículo 28, apartado 1, letra c), en relación con el documento único de programación de ENISA, solo se exigirá el voto favorable del representante de la Comisión respecto de los elementos de la decisión no relacionados con el programa de trabajo anual y plurianual de ENISA.

4.Cada miembro con derecho de voto dispondrá de un voto. En ausencia de un miembro con derecho a voto, su suplente podrá ejercer el derecho al voto de dicho miembro.

5.El presidente del Consejo de Administración participará en las votaciones.

6.El director ejecutivo no participará en las votaciones.

7.El reglamento interno del Consejo de Administración establecerá de manera más pormenorizada el régimen de votación, en particular las condiciones en las que un miembro puede actuar por cuenta de otro.

Sección 2 
Comité Ejecutivo

Artículo 30
Comité Ejecutivo

1.El Consejo de Administración estará asistido por un Comité Ejecutivo.

2.El Comité Ejecutivo:

a)preparará las resoluciones que deba adoptar el Consejo de Administración;

b)junto con el Consejo de Administración, garantizará un adecuado seguimiento de las conclusiones y recomendaciones resultantes de las distintas auditorías y evaluaciones, tanto internas como externas, así como de las investigaciones llevadas a cabo por la OLAF y la Fiscalía Europea;

c)sin perjuicio de las responsabilidades del director ejecutivo establecidas en el artículo 32, le asistirá y asesorará en la aplicación de las decisiones del Consejo de Administración, con el fin de reforzar la supervisión de la gestión administrativa y presupuestaria.

3.El Comité Ejecutivo estará formado por el presidente del Consejo de Administración, un representante de la Comisión ante el Consejo de Administración y otros tres miembros designados por el Consejo de Administración de entre sus miembros con derecho de voto. El presidente del Consejo de Administración ocupará también la presidencia del Comité Ejecutivo. Los nombramientos de los miembros del Comité Ejecutivo tratarán de alcanzar una representación de género equilibrada en el Comité Ejecutivo. El director ejecutivo participará en las reuniones del Comité Ejecutivo, pero sin derecho de voto.

4.La duración del mandato de los miembros del Comité Ejecutivo será de cuatro años. Este mandato será renovable. El mandato de los miembros del Comité Ejecutivo finalizará cuando pierdan su condición de miembros del Consejo de Administración.

5.El Comité Ejecutivo celebrará al menos una reunión ordinaria cada tres meses. Además, se reunirá por iniciativa de su presidente o a petición de sus miembros.

6.El Consejo de Administración establecerá el reglamento interno del Comité Ejecutivo.

7.Cuando sea necesario, por motivos de urgencia, el Comité Ejecutivo podrá adoptar determinadas decisiones provisionales en nombre del Consejo de Administración, en particular en materia de gestión administrativa, incluida la suspensión de la delegación de las competencias atribuidas a la autoridad facultada para proceder a los nombramientos, y para cuestiones presupuestarias. Tales decisiones provisionales se notificarán al Consejo de Administración sin demora indebida. El Consejo de Administración decidirá si aprueba o rechaza una decisión provisional a más tardar tres meses después de que se haya tomado la decisión. El Comité Ejecutivo no tomará una decisión en nombre del Consejo de Administración que deba ser aprobada por una mayoría de dos tercios del Consejo de Administración con derecho de voto.

Sección 3 
Director ejecutivo

Artículo 31
Nombramiento, cese y prórroga del mandato

1.El director ejecutivo será designado por el Consejo de Administración, sobre la base de sus méritos y competencias, a partir de una lista de candidatos propuesta por la Comisión, tras un procedimiento de selección abierto y transparente.

2.Antes del nombramiento, se invitará al candidato seleccionado por el Consejo de Administración a hacer una declaración ante la comisión pertinente del Parlamento Europeo y a responder a las preguntas formuladas por los diputados.

3.El director ejecutivo será contratado como agente temporal de ENISA con arreglo a lo dispuesto en el artículo 2 bis del régimen aplicable a los otros agentes.

4.A efectos de la celebración del contrato con el director ejecutivo, ENISA estará representada por el presidente del Consejo de Administración.

5.El mandato del director ejecutivo tendrá una duración de cinco años. A su debido tiempo antes del final de ese período, la Comisión realizará una evaluación en la que se analizarán el desempeño del director ejecutivo y las funciones y los retos futuros de ENISA.

6.El Consejo de Administración, a propuesta de la Comisión, que tendrá en cuenta el análisis mencionado en el apartado 5, podrá prorrogar el mandato del director ejecutivo una sola vez por un máximo de cinco años.

7.El director ejecutivo cuyo mandato haya sido prorrogado no podrá, al término de dicha prórroga, participar en otro procedimiento de selección para el mismo puesto.

8.El Consejo de Administración informará al Parlamento Europeo acerca de su intención de prorrogar el mandato del director ejecutivo, de conformidad con el apartado 6. En los tres meses que precedan a la prórroga de su mandato, el director ejecutivo hará, si se le invita a ello, una declaración ante la comisión pertinente del Parlamento Europeo y responderá a las preguntas formuladas por los parlamentarios.

9.El director ejecutivo solo podrá ser destituido mediante decisión del Consejo de Administración a propuesta de la Comisión.

Artículo 32
Tareas y responsabilidades del director ejecutivo

1.El director ejecutivo gestionará ENISA y rendirá cuentas de su gestión ante el Consejo de Administración.

2.El director ejecutivo gozará de independencia en el ejercicio de sus tareas y no solicitará ni aceptará instrucciones de ninguna Administración Pública u otro organismo.

3.El director ejecutivo informará al Parlamento Europeo sobre el desempeño de sus tareas cuando se le invite a hacerlo. El Consejo podrá convocar al director ejecutivo para que le informe del desempeño de sus tareas.

4.El director ejecutivo será el representante legal de la ENISA.

5.El director ejecutivo será responsable de la ejecución de las tareas asignadas a ENISA por el presente Reglamento. en particular, el director ejecutivo:

a)garantizará la administración ordinaria de ENISA;

b)ejecutará las decisiones adoptadas por el Consejo de Administración;

c)garantizará el cumplimiento de las normas financieras de ENISA;

d)preparará el proyecto de documento único de programación y lo presentará al Consejo de Administración para su aprobación antes de su presentación a la Comisión;

e)ejecutará el documento único de programación e informará al Consejo de Administración sobre su ejecución;

f)preparará el informe anual consolidado sobre las actividades de ENISA, en particular la aplicación del programa de trabajo anual, y lo presentará al Consejo de Administración para su evaluación y aprobación;

g)elaborará un plan de acción para el seguimiento de las conclusiones de las evaluaciones retrospectivas de ENISA a que se refiere el artículo 121, e informará cada dos años a la Comisión sobre los avances al respecto;

h)elaborará un plan de acción sobre la base de las conclusiones de las auditorías y evaluaciones, tanto internas como externas, así como de las investigaciones llevadas a cabo por la OLAF y la Fiscalía Europea, e informará a la Comisión dos veces al año y al Consejo de Administración periódicamente sobre los avances al respecto;

i)preparará el proyecto de normas financieras aplicables a ENISA a que se refiere el artículo 50;

j)preparará el proyecto de estado de previsiones de ingresos y gastos de ENISA y ejecutar su presupuesto;

k)protegerá los intereses financieros de la Unión mediante la aplicación de medidas preventivas contra el fraude, la corrupción y cualquier otra actividad ilegal, sin perjuicio de las competencias de investigación de la OLAF y de la Fiscalía Europea, mediante la realización de controles efectivos y, si se detectan irregularidades, mediante la recuperación de los importes indebidamente abonados y, en su caso, la imposición de sanciones administrativas y económicas efectivas, proporcionadas y disuasorias;

l)elaborará una estrategia de lucha contra el fraude, una estrategia de mejora de la eficiencia y sinergias, una estrategia de cooperación con terceros países u organizaciones internacionales y una estrategia para la gestión organizativa y los sistemas de control interno para ENISA, y las presentará al Consejo de Administración para su aprobación;

m)creará y mantendrá contactos con la comunidad empresarial y las organizaciones de consumidores para garantizar un diálogo continuado con las partes interesadas pertinentes;

n)intercambiará periódicamente puntos de vista e información con las entidades pertinentes de la Unión en relación con sus actividades en materia de ciberseguridad para garantizar la coherencia en la aplicación de la política de la Unión en ese ámbito;

o)promoverá la diversidad y el equilibrio de género en la contratación del personal de ENISA;

p)adoptará esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad, tal como se contempla en el artículo 20, apartado 1;

q)adoptará decisiones con respecto a los solicitantes que desean convertirse en prestadores de declaraciones autorizados o renovar su autorización, tal como se contempla en el artículo 22, apartado 3;

r)desempeñará otras tareas que el presente Reglamento le asigne.

6.Siempre que sea necesario y esté dentro del mandato de ENISA, y de conformidad con sus objetivos y tareas, el director ejecutivo podrá crear grupos de trabajo ad hoc integrados por expertos, incluidos expertos procedentes de las autoridades competentes de los Estados miembros. El director ejecutivo informará de ello anticipadamente al Consejo de Administración. Los procedimientos, en particular en lo que se refiere a la composición de los grupos de trabajo, el nombramiento de los expertos de dichos grupos por el director ejecutivo y el funcionamiento de los grupos de trabajo, se especificarán en el reglamento operativo interno de ENISA.

7.Cuando sea necesario, con el fin de desempeñar las funciones de ENISA de manera eficiente y eficaz y sobre la base de un análisis adecuado de los costes y los beneficios, el director ejecutivo podrá decidir establecer una o más oficinas locales en uno o más Estados miembros. Antes de tomar la decisión de establecer una oficina local, el director ejecutivo pedirá la opinión del Estado o Estados miembros afectados, en particular del Estado miembro donde se encuentra la sede de ENISA, y habrá de obtener el consentimiento previo de la Comisión y del Consejo de Administración. En caso de desacuerdo durante el proceso de consulta entre el director ejecutivo y los Estados miembros afectados, el asunto será debatido en el Consejo. El número agregado de efectivos en todas las oficinas locales se mantendrá en un mínimo y no superará el 40 % del total del personal de ENISA ubicado en el Estado miembro donde se encuentra la sede de ENISA. El número de efectivos en cada oficina local no superará el 10 % del total del personal de ENISA ubicado en el Estado miembro donde se encuentra la sede de ENISA.

8.Esta decisión especificará el alcance de las actividades que se llevarán a cabo en la oficina local, evitándose costes innecesarios y la duplicación de funciones administrativas de ENISA.

Sección 4 
Director ejecutivo adjunto

Artículo 33
Director ejecutivo adjunto

1.El Consejo de Administración podrá decidir crear un puesto de director ejecutivo adjunto para asistir al director ejecutivo.

2.En los casos en que el Consejo de Administración decida crear un puesto de director ejecutivo adjunto, las disposiciones del artículo 31 se aplicarán al director ejecutivo adjunto en consecuencia.

Artículo 34
Funciones y responsabilidades del director ejecutivo adjunto

El director ejecutivo adjunto asistirá al director ejecutivo en la gestión de ENISA y en el desempeño de las tareas a que se refiere el artículo 32. En caso de ausencia o impedimento del director ejecutivo, o si el puesto estuviera vacante, el director ejecutivo adjunto sustituirá al director ejecutivo en el período de ausencia o hasta que se cubra el puesto.

Sección 5 
Grupo consultivo de ENISA

Artículo 35
Grupo consultivo de ENISA

1.El Consejo de Administración, a propuesta del director ejecutivo, creará de manera transparente el Grupo Consultivo de ENISA. El Grupo Consultivo de ENISA estará compuesto por expertos reconocidos que representen a las partes interesadas pertinentes, como la industria de la ciberseguridad, la industria de las TIC, pymes, entidades que operan en los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555, fabricantes de productos con elementos digitales y administradores de comunidad de programas informáticos de código abierto en el sentido del Reglamento (UE) 2024/2847, organismos de evaluación de la conformidad notificados con arreglo al marco europeo de certificación de la ciberseguridad a que se refieren el artículo 93 y el Reglamento (UE) 2024/2847, entidades que operan en el ámbito de los medios de identificación electrónica, grupos de consumidores, expertos académicos en el ámbito de la ciberseguridad, organizaciones europeas de normalización y autoridades policiales y de supervisión de la protección de datos. Dichos expertos reconocidos serán nacionales de los Estados miembros. El Consejo de Administración velará por que haya una participación equilibrada entre hombres y mujeres y un equilibrio geográfico, así como un equilibrio entre los distintos grupos de partes interesadas.

2.Los procedimientos del Grupo Consultivo de ENISA, en particular con respecto a su composición, la propuesta por el director ejecutivo a que se refiere el apartado 1, el número y nombramiento de sus miembros y el funcionamiento del Grupo Consultivo ENISA, se especificarán en el reglamento operativo interno de ENISA y se harán públicos.

3.El Grupo Consultivo de ENISA estará presidido por el director ejecutivo o por cualquier otra persona que este designe en cada caso.

4.El mandato de los miembros del Grupo Consultivo de ENISA tendrá una duración de dos años y medio, y podrá renovarse una vez. Los miembros del Consejo de Administración no podrán ser miembros del Grupo Consultivo de ENISA. Los expertos de la Comisión y de los Estados miembros podrán asistir a las reuniones del Grupo Consultivo de ENISA y participar en sus trabajos. El director ejecutivo podrá invitar a representantes de otros organismos que no sean miembros del Grupo Consultivo de ENISA a asistir a las reuniones del Grupo y a participar en sus trabajos.

5.El Grupo Consultivo de ENISA asesorará a ENISA en lo relativo al desempeño de sus actividades, a excepción de la aplicación de las disposiciones de los títulos III, IV y V del presente Reglamento. En particular, asesorará al director ejecutivo en la elaboración de una propuesta de programa de trabajo anual de ENISA y en el mantenimiento de la comunicación con las partes interesadas pertinentes sobre los aspectos relativos al programa de trabajo.

6.El Grupo Consultivo de ENISA informará periódicamente al Consejo de Administración de sus actividades.

7.ENISA proporcionará el apoyo logístico necesario al Grupo Consultivo de ENISA y pondrá a su disposición una secretaría para sus reuniones.

Sección 6 
Sala de Recurso

Artículo 36
Creación y composición de la Sala de Recurso

1.ENISA creará una Sala de Recurso mediante decisión del Consejo de Administración.

2.La Sala de Recurso estará compuesta por un presidente y otros tres miembros. Cada miembro de la Sala de Recurso tendrá un suplente. Dicho suplente representará al miembro titular en ausencia de este.

3.El Consejo de Administración nombrará al presidente, a los demás miembros y a sus suplentes a partir de una lista de candidatos cualificados elaborada por la Comisión. La lista de candidatos cualificados será válida durante cuatro años. El Consejo de Administración podrá prorrogar la validez de esta lista por períodos adicionales de cuatro años, a propuesta de la Comisión.

4.Cuando la Sala de Recurso considere que el carácter del recurso así lo exige, podrá pedir al Consejo de Administración que designe dos miembros adicionales, con sus respectivos suplentes, a partir de la lista citada en el apartado 3.

5.La Sala de Recurso adoptará y publicará su reglamento interno.

Artículo 37
Miembros de la Sala de Recurso

1.El mandato de los miembros y los suplentes de la Sala de Recurso será de cuatro años. El Consejo de Administración podrá renovar su mandato por períodos adicionales de cuatro años, a propuesta de la Comisión.

2.Los miembros de la Sala de Recurso serán independientes y no ejercerán otras funciones en ENISA. Para tomar sus decisiones, no solicitarán ni aceptarán instrucciones de ninguna Administración Pública ni de ningún otro organismo o entidad privada.

3.Los miembros de la Sala de Recurso no podrán ser cesados ni excluidos de la lista de candidatos cualificados durante sus respectivos mandatos, a menos que existan motivos fundados para ello y el Consejo de Administración adopte una decisión en ese sentido, a propuesta de la Comisión.

Artículo 38
Abstención y recusación

1.Los miembros de la Sala de Recurso no intervendrán en un recurso cuando tengan algún interés personal en el procedimiento, cuando hayan participado anteriormente como representantes de una de las partes del procedimiento o cuando hayan participado en la adopción de la decisión recurrida.

2.Si, por uno de los motivos enumerados en el apartado 1 o por cualquier otro, un miembro de la Sala de Recurso considerara que no debe participar en algún procedimiento de recurso, informará de ello a la Sala.

3.Las partes en el procedimiento de recurso podrán recusar a cualquier miembro de la Sala de Recurso por cualquiera de los motivos enumerados en el apartado 1, o si la parcialidad del miembro está bajo sospecha. No se admitirá tal objeción si, conociendo ya motivos de recusación, la parte en el recurso hubiera iniciado un trámite procesal. Ninguna recusación podrá fundarse en la nacionalidad de los miembros de la Sala de Recurso.

4.En los casos especificados en los apartados 2 y 3, la Sala de Recurso decidirá qué actuaciones deberán llevarse a cabo sin la participación del miembro afectado. A efectos de esta toma de decisión, dicho miembro será reemplazado en la Sala de Recurso por su suplente.

Artículo 39
Recursos contra decisiones y por omisiones

1.Podrá interponerse recurso ante la Sala de Recurso contra:

a)decisiones adoptadas por ENISA en virtud del artículo 22, apartado 3;

b)la inacción por parte de ENISA dentro de los plazos aplicables establecidos en el artículo 22, apartado 4.

2.Los recursos interpuestos con arreglo al apartado 1 estarán sujetos a revisión prejudicial de conformidad con el artículo 41 antes de ser sometidos a la Sala de Recurso para su examen.

3.Un recurso interpuesto de conformidad con el apartado 1 no tendrá efecto suspensivo.

Artículo 40
Personas habilitadas para interponer recurso, plazos y forma

1.Los solicitantes en el sentido del artículo 21, apartado 3, podrán interponer recurso contra:

a)una decisión de ENISA dirigida a ellos, de conformidad con el artículo 22, apartado 3;

b)la inacción por parte de ENISA en relación con una solicitud presentada a ENISA dentro de los plazos aplicables establecidos en el artículo 22, apartado 4.

2.En el caso a que se refiere el apartado 1, letra a), el recurso, junto con su motivación, deberán presentarse por escrito de acuerdo con el reglamento interno a que se refiere el artículo 36, apartado 5, en el plazo de dos meses a partir de la fecha de notificación de la decisión al solicitante de que se trate o, a falta de esta, del día en que dicha decisión haya llegado a conocimiento del solicitante.

3.En el caso a que se refiere el apartado 1, letra b), el recurso se interpondrá por escrito ante ENISA de conformidad con el reglamento interno a que se refiere el artículo 36, apartado 5, en un plazo de dos meses a partir de la fecha de expiración del plazo establecido en el artículo 22, apartado 4.

Artículo 41
Revisión prejudicial

1.Si ENISA considera que el recurso es admisible y bien fundado, rectificará la decisión o la inacción a que se refiere el artículo 40, apartado 1.

2.Si ENISA no rectifica la decisión en el plazo de un mes a partir de la recepción del recurso, decidirá inmediatamente si suspende la aplicación de su decisión y remitirá el recurso a la Sala de Recurso.

Artículo 42
Examen de las decisiones sobre los recursos

1.En un plazo de tres meses a partir de la fecha de presentación del recurso, la Sala de Recurso decidirá aceptar o rechazar el recurso. Durante el examen del recurso, la Sala de Recurso actuará dentro de los plazos fijados en sus normas de procedimiento. Invitará a las partes, cuantas veces sea necesario, a que presenten, dentro de los plazos señalados observaciones sobre las notificaciones de la Sala o sobre comunicaciones de terceras partes en el recurso. Las partes en los procedimientos de recurso tendrán derecho a formular sus alegaciones oralmente.

2.Cuando la Sala de Recurso considere que los motivos de recurso están fundados, remitirá el asunto a ENISA. ENISA adoptará su decisión definitiva ateniéndose a las conclusiones de la Sala de Recurso y formulará una exposición de motivos al respecto. ENISA informará a las partes del recurso en consecuencia.

Artículo 43
Recursos ante el Tribunal de Justicia de la Unión Europea

1.Los recursos de anulación de las decisiones de ENISA adoptadas con arreglo al artículo 22, apartado 3, o los recursos por inacción dentro de los plazos aplicables con arreglo al artículo 22, apartado 4, podrán interponerse ante el Tribunal de Justicia de la Unión Europea (TJUE), una vez agotado el procedimiento de recurso ante ENISA establecido en los artículos 39 a 42 o, en caso de inacción, dentro del plazo aplicable con arreglo al artículo 41, apartado 2.

2.ENISA tomará todas las medidas necesarias para dar cumplimiento a la sentencia del TJUE.

Sección 7 
Operaciones

Artículo 44
Documento único de programación

1.ENISA llevará a cabo sus operaciones de conformidad con un documento único de programación que contendrá su programa anual y plurianual, y que incluirá la totalidad de sus actividades previstas.

2.Cada año, el director ejecutivo elaborará un proyecto de documento único de programación, tal como se indica en el apartado 1, con la planificación de los recursos humanos y financieros correspondientes, de conformidad con el artículo 32 del Reglamento Delegado (UE) 2019/715 de la Comisión 74 y habida cuenta de las directrices establecidas por la Comisión.

3.A más tardar el 30 de noviembre de cada año, el Consejo de Administración adoptará el documento único de programación a que se refiere el apartado 1, teniendo en cuenta el dictamen de la Comisión a que se refiere el artículo 32, apartado 7, del Reglamento Delegado (UE) 2019/715. Si el Consejo de Administración decide no tener en cuenta ningún elemento del dictamen de la Comisión, deberá proporcionar una justificación exhaustiva de dicha decisión. A más tardar el 31 de enero del año siguiente, el Consejo de Administración enviará el documento único de programación al Parlamento Europeo, al Consejo y a la Comisión, junto con cualquier versión posterior actualizada de dicho documento.

4.El documento único de programación será final tras la adopción definitiva del presupuesto general de la Unión y, en caso necesario, se adaptará en consecuencia.

5.El programa de trabajo anual comprenderá los objetivos detallados y los resultados previstos, incluidos los indicadores de rendimiento. Contendrá asimismo una descripción de las acciones que vayan a financiarse y una indicación de los recursos humanos y financieros asignados a cada acción, de conformidad con los principios de presupuestación y de gestión por actividades. El programa de trabajo anual será coherente con el programa de trabajo plurianual a que se refiere el apartado 7. Indicará claramente qué tareas se han añadido, modificado o suprimido respecto al ejercicio presupuestario anterior.

6.El Consejo de Administración modificará el programa de trabajo anual adoptado cuando se encomiende una nueva tarea a ENISA. Cualquier modificación sustancial del programa de trabajo anual se adoptará con arreglo al mismo procedimiento que el programa de trabajo anual inicial. El Consejo de Administración podrá delegar en el director ejecutivo la competencia de efectuar modificaciones no sustanciales del programa de trabajo anual.

7.El programa de trabajo plurianual fijará la programación estratégica general, incluidos los objetivos, los resultados esperados y los indicadores de rendimiento. Establecerá también la programación de los recursos, incluidas las necesidades plurianuales en materia de presupuesto y personal.

8.La programación de los recursos se actualizará todos los años. La programación estratégica se actualizará cuando proceda, y en particular cuando resulte necesario a la luz de los resultados de la evaluación a que se refiere el artículo 120.

CAPÍTULO IV 
Establecimiento y estructura del presupuesto de ENISA

Artículo 45
Establecimiento del presupuesto de ENISA

1.Cada año, el director ejecutivo elaborará un proyecto provisional de previsiones de ingresos y gastos de ENISA para el ejercicio presupuestario siguiente, que incluirá la plantilla, y lo remitirá al Consejo de Administración.

2.El proyecto provisional de previsiones se basará en los objetivos y los resultados esperados del programa anual de trabajo, y tendrá en cuenta los recursos financieros necesarios para lograr esos objetivos y resultados esperados, de conformidad con el principio de buena gestión financiera y rendimiento.

3.Sobre la base del proyecto provisional de previsiones, el Consejo de Administración adoptará un proyecto de previsiones de ingresos y gastos de ENISA para el siguiente ejercicio presupuestario, y lo remitirá a la Comisión a más tardar el 31 de enero de cada año.

4.La Comisión remitirá el proyecto de previsiones a la Autoridad Presupuestaria junto con el proyecto de presupuesto general de la Unión Europea. El proyecto de previsiones también se pondrá a disposición de ENISA.

5.Sobre la base del proyecto de previsiones, la Comisión introducirá en el proyecto de presupuesto general de la Unión las previsiones que considere necesarias para la plantilla así como el importe de la contribución a cargo del presupuesto general de la Unión, y las remitirá a la autoridad presupuestaria conforme a los artículos 313 y 314 del TFUE.

6.La autoridad presupuestaria autorizará los créditos necesarios para la contribución del presupuesto general de la Unión destinada a ENISA.

7.La autoridad presupuestaria aprobará la plantilla de ENISA.

8.El Consejo de Administración adoptará el presupuesto de ENISA. Este adquirirá carácter definitivo tras la aprobación definitiva del presupuesto general de la Unión y, si fuese necesario, se adaptará en consecuencia.

9.En cualquier proyecto inmobiliario que pueda tener repercusiones significativas en el presupuesto de ENISA, será de aplicación el Reglamento Delegado (UE) 2019/715.

Artículo 46
Estructura del presupuesto de ENISA

1.Se prepararán previsiones de todos los ingresos y gastos de ENISA para cada ejercicio presupuestario, que se consignarán en el presupuesto de ENISA. El ejercicio presupuestario coincidirá con el año civil.

2.El presupuesto de ENISA deberá estar equilibrado en términos de ingresos y gastos.

3.Sin perjuicio de otros recursos, los ingresos de ENISA consistirán en:

a)una contribución de la Unión consignada en el presupuesto general de la Unión;

b)ingresos asignados a partidas de gastos específicas de conformidad con las normas financieras mencionadas en el artículo 50;

c)financiación de la Unión en forma de convenios de contribución o subvenciones ad hoc de conformidad con las normas financieras de ENISA contempladas en el artículo 50 y con las disposiciones de los instrumentos pertinentes en que se apoyan las políticas de la Unión;

d)las tasas que se cobren a los solicitantes por las actividades relacionadas con los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad a que se refiere el artículo 22, apartado 1;

e)las tasas que se cobren a los organismos de evaluación de la conformidad (OEC) por la participación en los certificados europeos de ciberseguridad y su expedición en el marco de un esquema europeo de certificación de la ciberseguridad a que se refiere el artículo 47, apartado 2;

f)las tasas que se cobren a las autoridades públicas o a organismos privados por las herramientas de realización de pruebas a que se refiere el artículo 47, apartado 3;

g)cualquier posible contribución de terceros países que participen en los trabajos de ENISA, tal como prevé el artículo 70, apartado 4;

h)eventuales contribuciones voluntarias, dinerarias o en especie, de los Estados miembros.

4.Los Estados miembros que aporten contribuciones voluntarias, tal como se indica en el apartado 3, letra g), no podrán reclamar ningún derecho o servicio específico como consecuencia de su contribución.

5.Los gastos de ENISA comprenderán los gastos de retribución del personal, los gastos administrativos y de infraestructura, así como los gastos de funcionamiento.

Artículo 47
Tasas

1.En relación con cada actividad del sistema europeo de declaración a que se refiere el artículo 22, apartado 1, se cobrarán las siguientes tasas a los solicitantes en el sentido del artículo 21, apartado 3, o a los prestadores de declaraciones autorizados con el fin de contribuir a cubrir la totalidad de los costes de las actividades realizadas por ENISA:

a)expedición de autorizaciones tras el examen de los requisitos establecidos en el artículo 21, apartados 3 y 4, incluida la realización de evaluaciones;

b)mantenimiento anual de la autorización;

c)renovación de las autorizaciones para los prestadores de declaraciones europeas individuales de las capacidades en materia de ciberseguridad, incluida la realización de evaluaciones.

2.En relación con la certificación, se cobrarán las siguientes tasas a los organismos de evaluación de la conformidad por el mantenimiento de los esquemas europeos de certificación de la ciberseguridad en virtud de los cuales se expidan los certificados europeos de ciberseguridad, en particular:

a)una tasa anual por la participación en un esquema europeo de certificación de la ciberseguridad;

b)una tasa por la expedición de certificados europeos de ciberseguridad en el marco de los esquemas europeos de certificación de la ciberseguridad.

Las tasas a que se refiere la letra b) se cobrarán cuando el organismo de evaluación de la conformidad presente certificados europeos de ciberseguridad a ENISA para su publicación en su sitio web con arreglo al artículo 79.

3.En relación con las herramientas de realización de pruebas a que se refiere el artículo 15, apartado 1, se cobrará una tasa a cualquier autoridad pública u organismo privado por su uso.

4.Las tasas se expresarán y pagarán en euros.

5.La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas relativas a la determinación de las tasas que deberá percibir ENISA, especificando en particular los costes estimados atribuibles a cada uno de los conceptos por los que se cobran tasas con arreglo a los apartados 1, 2 y 3, así como los importes individuales de las tasas aplicables y las modalidades y condiciones en las que deben abonarse. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2. La Comisión consultará a ENISA a la hora de elaborar dichos proyectos de actos de ejecución.

6.Las tasas determinadas por los actos de ejecución a que se refiere el apartado 5 se fijarán por adelantado de forma que sean proporcionales a los costes estimados de las actividades realizadas o de los servicios prestados, determinados de manera eficiente en términos de costes, y serán suficientes para cubrir dichos costes. Todos los gastos de ENISA atribuidos al personal que participe en las actividades a que se refieren los apartados 1, 2 y 3 se reflejarán en los costes que deben cubrirse. Las tasas se fijarán en un nivel que evite el déficit o una acumulación significativa de superávit en el presupuesto de ENISA. Los superávits presupuestarios generados por las tasas se prorrogarán para financiar las actividades de ENISA, en particular actividades futuras relacionadas con las tasas, o para compensar las pérdidas sufridas. Si se produce de manera recurrente un saldo positivo significativo en el presupuesto derivado de las actividades cubiertas por las tasas, o si resulta un saldo negativo significativo de la prestación de los servicios cubiertos por las tasas, la Comisión modificará los actos de ejecución a que se refiere el apartado 5 para revisar el método de cálculo de las tasas de conformidad con el artículo 118, apartado 2.

El importe de las tasas por las tareas a que se refiere el apartado 1 se fijará a un nivel que garantice que los ingresos correspondientes contribuyan de manera suficiente a cubrir los costes de las actividades relacionadas con el desarrollo y el mantenimiento de los sistemas europeos individuales de declaración, la tramitación de solicitudes y la expedición y renovación de autorizaciones, así como los costes necesarios para las actividades de supervisión llevadas a cabo por ENISA.

El importe de las tasas por las tareas a que se refiere el apartado 2 se fijará a un nivel que garantice que los ingresos correspondientes contribuyan de manera suficiente a cubrir la totalidad de los costes de las actividades relacionadas con el mantenimiento de los esquemas europeos de certificación de la ciberseguridad establecidos en el artículo 75.

El importe de las tasas por las tareas a que se refiere el apartado 3 se fijará a un nivel que garantice que los ingresos correspondientes contribuyan de manera suficiente a cubrir los costes de las actividades relacionadas con el suministro de herramientas de realización de pruebas, tal como se establece en el artículo 15, apartado 1.

7.ENISA presentará un informe sobre las tasas percibidas y sus repercusiones en su presupuesto como parte del procedimiento de presentación de las cuentas establecido en el artículo 50.

8.ENISA establecerá un conjunto de indicadores para medir la carga de trabajo, la eficacia y la eficiencia en relación con las actividades que se financien mediante tasas. ENISA adaptará en consecuencia su plan de personal y gestión de recursos relacionados con tasas para poder responder adecuadamente a dicha demanda y a cualquier fluctuación en los ingresos procedentes de las tasas. ENISA compartirá el informe con la Comisión, que esta podrá utilizar a efectos de la evaluación a que se refiere el artículo 120, apartado 1.

Artículo 48
Ejecución del presupuesto de ENISA

1.El director ejecutivo será responsable de la ejecución del presupuesto de ENISA y actuará como ordenador de pagos.

2.El auditor interno de la Comisión ejercerá, con respecto a ENISA, las mismas facultades que tiene atribuidas en relación con los servicios de la Comisión.

3.El director ejecutivo remitirá anualmente a la autoridad presupuestaria toda la información pertinente sobre las conclusiones de los procedimientos de evaluación.

Artículo 49
Presentación de las cuentas y aprobación de la gestión

1.El contable de ENISA remitirá las cuentas provisionales del ejercicio financiero (ejercicio N) al contable de la Comisión y al Tribunal de Cuentas a más tardar el 1 de marzo del ejercicio financiero siguiente (ejercicio N+1).

2.El contable de ENISA deberá presentar también la información requerida a efectos de consolidación al contable de la Comisión, de la manera y en el formato exigido por este último, a más tardar el 1 de marzo del ejercicio N+1.

3.ENISA remitirá un informe sobre la gestión presupuestaria y financiera del ejercicio N al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas a más tardar el 31 de marzo del ejercicio N+1.

4.Una vez recibidas las observaciones del Tribunal de Cuentas sobre las cuentas provisionales de ENISA para el ejercicio N, el contable de ENISA elaborará las cuentas definitivas de ENISA bajo su propia responsabilidad. El director ejecutivo las presentará al Consejo de Administración para que este emita un dictamen sobre ellas.

5.El Consejo de Administración emitirá un dictamen sobre las cuentas definitivas de ENISA para el año N.

6.El contable de ENISA remitirá al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas las cuentas definitivas del ejercicio N, juntamente con el dictamen del Consejo de Administración, a más tardar el 1 de julio del ejercicio N+1.

7.Se publicará un enlace a las páginas web que contengan las cuentas definitivas de ENISA en el Diario Oficial de la Unión Europea a más tardar el 15 de noviembre del ejercicio N+1.

8.El director ejecutivo, a más tardar el 30 de septiembre del ejercicio N + 1, remitirá al Tribunal de Cuentas una respuesta a las observaciones formuladas en su informe anual. El director ejecutivo enviará asimismo esta respuesta al Consejo de Administración y a la Comisión.

9.El director ejecutivo presentará al Parlamento Europeo, a instancias de este, de conformidad con el artículo 267, apartado 3, del Reglamento (UE, Euratom) 2024/2509 del Parlamento Europeo y del Consejo, cualquier información necesaria para el correcto desarrollo del procedimiento de aprobación de la gestión del ejercicio N.

10.El Parlamento Europeo, previa recomendación del Consejo por mayoría cualificada, aprobará, antes del 15 de mayo del ejercicio N + 2, la gestión del director ejecutivo con respecto a la ejecución del presupuesto del ejercicio N.

Artículo 50
Normas financieras

1.El Consejo de Administración adoptará las normas financieras aplicables a ENISA, previa consulta a la Comisión. Dichas normas no podrán desviarse del Reglamento Delegado (UE) 2019/715, salvo si las exigencias específicas de funcionamiento de ENISA lo requieren y la Comisión lo autoriza previamente.

2.ENISA establecerá y ejecutará su presupuesto de conformidad con sus normas financieras y con el Reglamento (UE, Euratom) 2024/2509.

Artículo 51
Lucha contra el fraude

1.Para la lucha contra el fraude, la corrupción y cualesquiera otras prácticas ilícitas, se aplicarán sin restricciones las disposiciones del Reglamento (UE, Euratom) n.º 883/2013 del Parlamento Europeo y del Consejo 75 a las actividades de ENISA.

2.ENISA se adherirá al Acuerdo Interinstitucional, de 25 de mayo de 1999, entre el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión de las Comunidades Europeas relativo a las investigaciones internas efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) 76 en los seis meses siguientes al [OP, insértese la fecha exacta indicada en el artículo 127] y adoptará las disposiciones correspondientes aplicables a su personal mediante la utilización de la plantilla establecida en el anexo de dicho Acuerdo.

3.El Tribunal de Cuentas tendrá la facultad de auditar, a partir de documentos e información obtenida a raíz de controles in situ, a todos los beneficiarios de subvenciones, contratistas y subcontratistas que hayan recibido de ENISA fondos de la Unión.

4.La OLAF podrá realizar investigaciones, incluidos controles e inspecciones in situ, con el fin de establecer si ha habido fraude, corrupción o cualquier otra actividad ilegal que afecte a los intereses financieros de la Unión en el marco de una subvención o de un contrato financiados por ENISA, de conformidad con las disposiciones y procedimientos establecidos en el Reglamento (UE, Euratom) n.º 883/2013 y en el Reglamento (Euratom, CE) n.º 2185/96 del Consejo 77 .

5.Sin perjuicio de lo dispuesto en los apartados 1 a 4, los acuerdos de trabajo con terceros países y con organizaciones internacionales, así como los contratos y los convenios y decisiones de subvención de ENISA, contendrán disposiciones que establezcan expresamente la potestad del Tribunal de Cuentas y de la OLAF de llevar a cabo las auditorías y las investigaciones mencionadas, según sus respectivas competencias.

6.De conformidad con el Reglamento (UE) 2017/1939 del Consejo, la Fiscalía Europea puede investigar y perseguir el fraude y otras actividades ilegales que afecten a los intereses financieros de la Unión, tal como establece la Directiva (UE) 2017/1371 del Parlamento Europeo y del Consejo 78 .

Artículo 52
Declaración de intereses

1.Los miembros del Consejo de Administración, el director ejecutivo, el director ejecutivo adjunto y los funcionarios enviados en comisión de servicios por los Estados miembros con carácter temporal deberán efectuar cada uno de ellos una declaración de compromisos y una declaración en la que indiquen si tienen o no intereses directos o indirectos que pudieran considerarse perjudiciales para su independencia. Las declaraciones serán exactas y completas, se presentarán anualmente por escrito y se actualizarán siempre que sea necesario.

2.Los miembros del Consejo de Administración, el director ejecutivo, el director ejecutivo adjunto y los expertos externos que participen en los grupos de trabajo ad hoc deberán declarar cada uno de ellos de forma exacta y completa, a más tardar al comienzo de cada reunión, cualquier interés que pudiera considerarse perjudicial para su independencia en relación con los puntos del orden del día y deberán abstenerse de participar en los debates y en la votación sobre esos puntos.

3.ENISA establecerá en su reglamento operativo interno las medidas prácticas correspondientes a las normas sobre declaraciones de intereses a que se refieren los apartados 1 y 2.

Artículo 53
Transparencia

1.ENISA llevará a cabo sus actividades con un alto grado de transparencia y de conformidad con el artículo 55.

2.ENISA velará por que el público y las partes interesadas reciban información adecuada, objetiva, fiable y de fácil acceso, especialmente en lo que respecta a los resultados de su trabajo. Asimismo, deberá poner a disposición del público las declaraciones de intereses realizadas de conformidad con el artículo 52.

3.El Consejo de Administración, a propuesta del director ejecutivo, podrá autorizar a cualesquiera partes interesadas a participar en calidad de observadores en algunas de las actividades de ENISA.

4.ENISA establecerá en sus normas internas de funcionamiento, las medidas prácticas de aplicación de las normas de transparencia a que se refieren los apartados 1 y 2.

Artículo 54
Confidencialidad dentro de ENISA

1.Sin perjuicio de lo dispuesto en el artículo 55, ENISA no divulgará a terceros la información que trate o reciba para la que se haya presentado una solicitud motivada de tratamiento confidencial.

2.Los miembros del Consejo de Administración, el director ejecutivo, el director ejecutivo adjunto, los miembros del Grupo Consultivo de ENISA, los expertos externos que participen en los grupos de trabajo ad hoc y los miembros del personal de ENISA, incluidos los funcionarios enviados en comisión de servicios por los Estados miembros con carácter temporal, respetarán la obligación de confidencialidad prevista en el artículo 339 del TFUE, incluso después de haber cesado en sus funciones.

3.ENISA establecerá en sus normas internas de funcionamiento las medidas prácticas de aplicación de las normas de confidencialidad a que se refieren los apartados 1 y 2.

Artículo 55
Acceso a los documentos

1.El Reglamento (CE) n.º 1049/2001 se aplicará a los documentos en poder de ENISA.

2.El Consejo de Administración adoptará las disposiciones para la aplicación del Reglamento (CE) n.º 1049/2001.

3.Las decisiones adoptadas por ENISA en virtud del artículo 8 del Reglamento (CE) n.º 1049/2001 podrán ser objeto de una reclamación ante el Defensor del Pueblo Europeo en virtud del artículo 228 del TFUE o de un recurso ante el Tribunal de Justicia de la Unión Europea en virtud del artículo 263 del TFUE.

CAPÍTULO V 
Personal y funcionarios de enlace

Artículo 56
Disposiciones generales

1.El Estatuto de los funcionarios y el Régimen aplicable a los otros agentes, así como las normas adoptadas de común acuerdo entre las instituciones de la Unión con el fin de poner en práctica el Estatuto de los funcionarios y el Régimen aplicable a los otros agentes, se aplicarán al personal de ENISA.

2.El personal de ENISA, los funcionarios de enlace y los expertos nacionales enviados en comisión de servicios a ENISA se someterán a un procedimiento adecuado de habilitación de seguridad.

Artículo 57
Privilegios e inmunidades

El Protocolo n.º 7 sobre los privilegios y las inmunidades de la Unión Europea anexo al TFUE será aplicable a ENISA y a su personal.

Artículo 58
Funcionarios de enlace

1.Cada Estado miembro designará al menos dos funcionarios de enlace de una autoridad nacional competente designada de conformidad con el artículo 8, apartado 1, de la Directiva (UE) 2022/2555 como expertos nacionales enviados en comisión de servicios a ENISA para trabajar en su sede o en su oficina local, de conformidad con el artículo 59, apartado 2. La Comisión también podrá designar un funcionario de enlace.

2.Los funcionarios de enlace contribuirán a llevar a cabo las tareas de ENISA, en particular facilitando la cooperación operativa y el intercambio de información a que se refiere el artículo 11. Los funcionarios de enlace también ayudarán a ENISA a difundir información sobre sus actividades, conclusiones y recomendaciones a las partes interesadas pertinentes de toda la Unión. También actuarán como puntos de contacto nacionales para las preguntas planteadas por sus Estados miembros y en relación con sus Estados miembros, bien respondiendo a estas preguntas de manera directa o poniéndose en contacto con sus administraciones nacionales.

3.Los funcionarios de enlace designados por sus Estados miembros tendrán derecho a solicitar y recibir de sus Estados miembros toda la información pertinente, como prevé el presente Reglamento, respetando plenamente la legislación nacional y las prácticas de los Estados miembros, especialmente en lo relativo a la protección de datos y la confidencialidad.

Artículo 59
Expertos nacionales en comisión de servicios y otros agentes

1.ENISA podrá recurrir a expertos nacionales en comisión de servicios o a otro personal no contratado por ENISA, en cualquier ámbito de su trabajo. El Estatuto de los funcionarios y régimen aplicable no serán de aplicación a dicho personal.

2.El Consejo de Administración adoptará una decisión por la que se establezcan las normas aplicables a las comisiones de servicios de expertos nacionales, en particular los funcionarios de enlace, en ENISA.

CAPÍTULO VI 
DISPOSICIONES GENERALES RELATIVAS A ENISA

Artículo 60
Estatuto jurídico de ENISA

1.ENISA será un organismo de la Unión con personalidad jurídica.

2.En cada Estado miembro, ENISA disfrutará de la capacidad jurídica más amplia que se conceda a las personas jurídicas en el Derecho interno del Estado miembro de que se trate. En particular, podrá adquirir o enajenar bienes muebles e inmuebles, así como ser parte en acciones judiciales.

3.ENISA estará representada por su director ejecutivo.

Artículo 61
Sede

ENISA tendrá su sede en Atenas, Grecia.

Artículo 62
Acuerdo de sede y condiciones de funcionamiento

1.Las disposiciones necesarias relativas al alojamiento que debe proporcionarse a ENISA en el Estado miembro de acogida y las instalaciones que debe poner a disposición dicho Estado miembro, así como las normas específicas aplicables en el Estado miembro de acogida al Director Ejecutivo, los miembros del Consejo de Administración, el personal de ENISA y los miembros de sus familias se establecerán en un acuerdo de sede entre ENISA y el Estado miembro donde se encuentre la sede, celebrado previa aprobación del Consejo de Administración.

2.El Estado miembro que acoja a ENISA ofrecerá las mejores condiciones posibles para garantizar su buen funcionamiento, teniendo en cuenta la accesibilidad de su ubicación, la presencia de servicios educativos adecuados para los hijos de los miembros del personal y un acceso adecuado al mercado de trabajo, la seguridad social y la atención médica para hijos y cónyuges de los miembros del personal.

Artículo 63
Control administrativo

El funcionamiento de ENISA será supervisado por el Defensor del Pueblo Europeo de conformidad con el artículo 228 del TFUE.

Artículo 64
Responsabilidad de ENISA

1.La responsabilidad contractual de ENISA se regirá por la legislación aplicable al contrato de que se trate.

2.El Tribunal de Justicia de la Unión Europea será competente para pronunciarse en virtud de cualquier cláusula arbitral contenida en un contrato firmado por ENISA.

3.En materia de responsabilidad extracontractual, ENISA deberá reparar los daños causados por ella o sus agentes en el ejercicio de sus funciones, de conformidad con los principios generales comunes a las legislaciones de los Estados miembros.

4.El Tribunal de Justicia de la Unión Europea será competente para conocer de los litigios que pudieran surgir respecto a la indemnización por los daños y perjuicios a que se refiere el apartado 3.

5.La responsabilidad individual del personal de ENISA ante ENISA se regirá por las disposiciones del Estatuto de los funcionarios o del régimen aplicable a los otros agentes que les sean aplicables.

Artículo 65
Régimen lingüístico

1.El Reglamento n.º 1 79 del Consejo será aplicable a ENISA. Los Estados miembros y los demás organismos nombrados por los Estados miembros podrán dirigirse a ENISA y obtener respuesta en la lengua oficial de las instituciones de la Unión Europea que elijan.

2.Los servicios de traducción y los servicios lingüísticos de otra naturaleza que sean necesarios para el funcionamiento de ENISA, a excepción de la interpretación, serán prestados por el Centro de Traducción de los Órganos de la Unión Europea.

Artículo 66
Protección de datos personales

1.El tratamiento de los datos de carácter personal por parte de ENISA deberá ajustarse al Reglamento (UE) 2018/1725.

2.El Consejo de Administración adoptará las normas de ejecución a que se refiere el artículo 45, apartado 3, del Reglamento (UE) 2018/1725. El Consejo de Administración podrá adoptar otras medidas suplementarias necesarias para la aplicación del Reglamento (UE) 2018/1725 por parte de ENISA.

Artículo 67
Normas de seguridad aplicables a la protección de la información clasificada y de la información sensible no clasificada

De acuerdo con la Comisión, ENISA adoptará sus normas de seguridad aplicando los principios de seguridad contenidos en las normas de seguridad de la Comisión para la protección de la información sensible no clasificada y la ICUE, según lo dispuesto en las Decisiones (UE, Euratom) 2015/443 80 y 2015/444 81 . Dichas normas de seguridad incluirán, entre otras, disposiciones para el intercambio, el tratamiento y el almacenamiento de dicha información.

Artículo 68
Cooperación con las entidades de la Unión y las autoridades nacionales

1.Para garantizar la coherencia, crear sinergias y abordar cuestiones de interés común, ENISA cooperará en asuntos relacionados con la ciberseguridad con el Equipo de respuesta a emergencias informáticas de las instituciones, órganos y organismos de la Unión Europea (CERT-EU) y las entidades pertinentes de la Unión, incluidos Europol, el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad creado en virtud del Reglamento (UE) 2021/887 y el Comité Europeo de Protección de Datos creado en virtud del artículo 68, apartado 1, del Reglamento (UE) 2016/679.

2.La cooperación mencionada en el apartado 1 se garantizará mediante:

a)el intercambio de conocimientos técnicos y mejores prácticas;

b)la prestación de asesoramiento y la provisión de directrices sobre cuestiones de interés relacionadas con la ciberseguridad;

c)el establecimiento de disposiciones prácticas para la ejecución de tareas específicas previa consulta a la Comisión.

3.ENISA establecerá una colaboración estructurada con el CERT-EU, en particular en cuestiones relacionadas con la creación de capacidades, la cooperación operativa y los análisis estratégicos a largo plazo de las ciberamenazas.

4.ENISA cooperará e intercambiará información con las autoridades de vigilancia del mercado y de supervisión pertinentes designadas en virtud de la legislación de la Unión en el ámbito de la ciberseguridad, en particular el Reglamento (UE) 2024/2847.

Artículo 69
Cooperación con las partes interesadas

1.Cuando sea necesario para lograr los objetivos del presente Reglamento, ENISA cooperará con las partes interesadas pertinentes, como la industria de la ciberseguridad; la industria de las TIC; pymes; entidades que operan en los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555; fabricantes, importadores o distribuidores de productos con elementos digitales en el sentido del Reglamento (UE) 2024/2847; organismos de evaluación de la conformidad notificados con arreglo al marco europeo de certificación de la ciberseguridad y al Reglamento (UE) 2024/2847; entidades que operan en el ámbito de los medios de identificación electrónica; grupos de consumidores; y expertos académicos en el ámbito de la ciberseguridad. A tal fin, ENISA podrá establecer asociaciones público-privadas.

2.ENISA, en consulta con la Comisión, apoyará la cooperación entre los organismos de evaluación de la conformidad notificados con arreglo al artículo 93. En particular, podrá crear un grupo de organismos de evaluación de la conformidad notificados para el intercambio de mejores prácticas, creando sinergias con otra legislación pertinente de la Unión, en particular el Reglamento (UE) 2024/2847.

Artículo 70
Cooperación con terceros países y organizaciones internacionales

1.En la medida en que resulte necesario para los objetivos del presente Reglamento, ENISA podrá cooperar con las autoridades competentes de terceros países o con organizaciones internacionales o con ambas, en línea con las prioridades de la Unión. Para ello, ENISA podrá, previa aprobación de la Comisión, establecer acuerdos de trabajo con las autoridades de terceros países y organizaciones internacionales. Esos acuerdos de trabajo no impondrán obligaciones jurídicas que incumban a la Unión y sus Estados miembros.

2.El Consejo de Administración adoptará una estrategia para las relaciones con terceros países u organizaciones internacionales en asuntos en los que ENISA sea competente y en línea con las prioridades a que se refiere el apartado 1. La Comisión velará por que ENISA opere dentro de su mandato y del marco institucional existente mediante la celebración de un convenio de trabajo adecuado con el director ejecutivo.

3.Para apoyar la cooperación con terceros países, en particular con los países candidatos a la adhesión a la Unión, ENISA podrá aportar sus conocimientos especializados en materia de creación de capacidades, en particular en los siguientes ámbitos:

a)evaluación del nivel de madurez de las capacidades y los recursos en materia de ciberseguridad;

b)crecimiento y mejora de la mano de obra en el ámbito de la ciberseguridad, en particular mediante la promoción del ECSF y los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad, y mediante la provisión actividades de aprendizaje y formación;

c)apoyo a la planificación y ejecución de ejercicios de ciberseguridad.

4.ENISA estará abierta a la participación en sus trabajos de terceros países que hayan celebrado acuerdos con la Unión a tal efecto. Con arreglo a las disposiciones pertinentes de acuerdos celebrados entre la Unión y terceros países, se establecerán mecanismos de trabajo que precisen, en particular, previa aprobación de la Comisión, el carácter, el alcance y las modalidades de participación de cada uno de estos países en la labor de ENISA, incluidas disposiciones sobre la participación en las iniciativas emprendidas por ENISA, las contribuciones financieras y el personal. Por lo que se refiere al personal, dichos mecanismos de trabajo serán, en cualquier caso, conformes con el Estatuto de los funcionarios y el régimen aplicable a los otros agentes.

5.ENISA informará periódicamente al Consejo y a la Comisión acerca de la aplicación de los acuerdos de trabajo a que se refieren los apartados 1 y 4.

TÍTULO III

MARCO EUROPEO DE CERTIFICACIÓN DE LA CIBERSEGURIDAD

CAPÍTULO I 
Objetivos, ámbito y procedimientos

Artículo 71
Objetivos y ámbito de aplicación del marco europeo de certificación de la ciberseguridad

1.El marco europeo de certificación de la ciberseguridad se establecerá con vistas a crear un mercado único digital para los productos, servicios y procesos de TIC y los servicios y entidades de seguridad gestionados. Para ello, aumentará el nivel de ciberseguridad dentro de la Unión y permitirá un enfoque armonizado de los esquemas europeos de certificación de la ciberseguridad, así como aprovechar la certificación para facilitar el cumplimiento de la legislación de la Unión aplicable.

2.El marco europeo de certificación de la ciberseguridad establecerá un mecanismo para crear esquemas europeos de certificación de la ciberseguridad y atestar lo siguiente:

a)que los productos, servicios y procesos de TIC que hayan sido evaluados con arreglo a dichos esquemas cumplen los requisitos de seguridad especificados con el objetivo de proteger la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados o las funciones o servicios que ofrezcan, o a los que permitan acceder, dichos productos, servicios y procesos durante todo su ciclo de vida;

b)que los servicios de seguridad gestionados que hayan sido evaluados con arreglo a dichos esquemas cumplen los requisitos de seguridad especificados con el objetivo de proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos consultados, tratados, almacenados o transmitidos en relación con la prestación de tales servicios, y que tales servicios son prestados en todo momento con la competencia, pericia y experiencia necesarias por personal que posee un nivel suficiente y adecuado de los conocimientos técnicos pertinentes y de integridad profesional;

c)que la posición de una entidad en materia de ciberseguridad que haya sido evaluada de conformidad con dichos esquemas cumple los requisitos de ciberseguridad especificados.

3.El certificado europeo de ciberseguridad será voluntario, salvo que se disponga otra cosa en el Derecho de la Unión o nacional.

4.Los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE expedidos en virtud del marco europeo de certificación de la ciberseguridad serán reconocidos automáticamente en todos los Estados miembros.

Artículo 72
Información y consulta públicas

1.Al menos una vez al año, la Comisión organizará, con el apoyo de ENISA, una Asamblea Europea de Certificación de la Ciberseguridad, en la que invitará a los miembros del Grupo Europeo de Certificación de la Ciberseguridad (GECC) y a otros expertos pertinentes de los Estados miembros, a expertos pertinentes de las entidades de la Unión y a las partes interesadas pertinentes a debatir las prioridades estratégicas para la armonización en el ámbito de la certificación de la ciberseguridad.

2.La Comisión mantendrá y actualizará periódicamente un sitio web específico que ofrezca información sobre los siguientes aspectos:

a)los esquemas europeos de certificación de la ciberseguridad cuya elaboración se haya solicitado de conformidad con el artículo 73;

b)las prioridades estratégicas para la armonización de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados, la posición de las entidades en materia de ciberseguridad o los requisitos de seguridad de la legislación de la Unión, en particular los posibles ámbitos para los que podría solicitarse un esquema europeo de certificación de la ciberseguridad.

3.La Comisión pondrá a disposición del público en el sitio web a que se refiere el apartado 2 del presente artículo la información relativa a su solicitud a ENISA para que elabore una propuesta de esquema a que se refiere el artículo 73 y su decisión de aceptar, rechazar o interrumpir una propuesta de esquema transmitida por ENISA de conformidad con el artículo 74, apartado 7.

4.Durante la preparación de una propuesta de esquema por parte de ENISA en virtud del artículo 74, el Parlamento Europeo y el Consejo podrán solicitar a la Comisión, en su calidad de presidenta del GECC, y a ENISA que presenten trimestralmente información pertinente sobre una propuesta de esquema. A petición del Parlamento Europeo o del Consejo, ENISA, de acuerdo con la Comisión, y sin perjuicio de lo dispuesto en el artículo 54, podrá poner a disposición del Parlamento Europeo y del Consejo las partes pertinentes de una propuesta de esquema de un modo que se ajuste al nivel de confidencialidad requerido y, en su caso, de forma restringida.

5.El Parlamento Europeo y el Consejo podrán invitar a la Comisión y a ENISA a debatir cuestiones relativas a la aplicación de esquemas europeos de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad.

Artículo 73
Solicitudes de esquema europeo de certificación de la ciberseguridad

1.La Comisión podrá solicitar a ENISA que prepare una propuesta de esquema europeo de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad.

2.En casos debidamente justificados, el GECC podrá proponer a la Comisión que presente la solicitud a que se refiere el apartado 1.

3.La solicitud a que se refiere el apartado 1 detallará la finalidad, el alcance y las modalidades para cumplir los objetivos y elementos de seguridad pertinentes que se establecen en los artículos 80 y 81. La solicitud también especificará el plan de desarrollo de la propuesta de esquema europeo de certificación de la ciberseguridad y las especificaciones técnicas pertinentes a las que debe hacerse referencia o deben definirse en el régimen.

4.Al preparar la solicitud a que se refiere el apartado 1, la Comisión consultará debidamente a ENISA y al GECC, y tendrá en cuenta los puntos de vista de todas las partes interesadas pertinentes y otras entidades de la Unión, incluidas, cuando proceda, las que sean pertinentes en virtud de la legislación de la Unión con arreglo a la cual un esquema europeo de certificación de la ciberseguridad demuestre el cumplimiento y confiera una presunción de conformidad.

Artículo 74
Preparación y adopción de esquemas europeos de certificación de la ciberseguridad

1.A más tardar doce meses después de recibir una solicitud de la Comisión de conformidad con el artículo 73, salvo que se especifique otra cosa en la solicitud, ENISA elaborará una propuesta de esquema europeo de certificación de la ciberseguridad que cumpla los requisitos establecidos en los artículos 80 y 81.

2.Para preparar cada propuesta de esquema, ENISA creará un grupo ad hoc con arreglo al artículo 32, apartado 6, con el objetivo de facilitar a ENISA asesoramiento especializado.

3.Al preparar la propuesta de esquema, ENISA cooperará estrechamente con el GECC. El GECC facilitará a ENISA la asistencia y el asesoramiento especializado en relación con la preparación de la propuesta de esquema y, cuando corresponda, de una especificación técnica de apoyo.

4.A la hora de preparar la propuesta de esquema, incluida, cuando corresponda, una especificación técnica de apoyo, ENISA consultará a las partes interesadas de manera oportuna mediante un proceso de consulta formal, abierto, transparente e inclusivo. ENISA también cooperará con las autoridades públicas pertinentes de los Estados miembros y con las entidades pertinentes de la Unión para recabar su asesoramiento especializado en relación con la elaboración de la propuesta de esquema y, cuando corresponda, de una especificación técnica de apoyo. Al transmitir la propuesta de esquema a la Comisión con arreglo al apartado 6, ENISA describirá la forma en que ha cumplido lo dispuesto en el presente apartado.

5.Antes de transmitir a la Comisión la propuesta de esquema y, cuando corresponda, una especificación técnica de apoyo, ENISA solicitará a los miembros del GECC que emitan dictámenes escritos sobre la propuesta. Los dictámenes se emitirán en un plazo máximo de treinta días a partir de la fecha de la solicitud. ENISA tendrá muy en cuenta los dictámenes de los miembros del GECC. La ausencia de dichos dictámenes no impedirá que ENISA transmita la propuesta de esquema a la Comisión.

6.ENISA transmitirá la propuesta de esquema a la Comisión en un plazo máximo de sesenta días a partir de la fecha de la solicitud a que se refiere el apartado 5.

7.Al recibir la propuesta de esquema, la Comisión evaluará si el esquema corresponde a la solicitud presentada de conformidad con el artículo 73. En un plazo de treinta días a partir de la fecha de transmisión de la propuesta de esquema, la Comisión adoptará una de las siguientes medidas:

a)aceptar la propuesta de esquema;

b)devolver la propuesta de esquema a ENISA para su revisión, junto con una justificación de dicha devolución y un plazo no superior a noventa días, en el que ENISA presentará una propuesta de esquema revisada;

c)interrumpir la propuesta de esquema.

8.Cuando la Comisión devuelva una propuesta de esquema a ENISA para su revisión de conformidad con el apartado 7, letra b), se aplicarán en consecuencia los apartados 4, 5 y 7.

9.La Comisión, a partir de la propuesta de esquema aceptada preparada por ENISA, está facultada adoptar actos de ejecución que establezcan esquemas europeos de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad que cumplan los requisitos que se establecen en los artículos 80 y 81. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

10.En los actos de ejecución a que se refiere el apartado 9 del presente artículo, la Comisión podrá hacer referencia a las especificaciones técnicas elaboradas por ENISA, de conformidad con los artículos 18 y 77.

11.La Comisión podrá especificar las condiciones para el reconocimiento internacional de los certificados europeos de ciberseguridad en los actos de ejecución a que se refiere el apartado 9 del presente artículo, de conformidad con el artículo 87.

Artículo 75
Mantenimiento de los esquemas europeos de certificación de la ciberseguridad

1.Cada esquema europeo de certificación de la ciberseguridad establecerá una estrategia de mantenimiento. Dicha estrategia de mantenimiento expondrá las expectativas con respecto a las actividades de mantenimiento, en particular las relacionadas con las normas o especificaciones técnicas a las que se hace referencia en el propio esquema y con la interacción con las partes interesadas pertinentes.

2.ENISA, en colaboración con la Comisión y con el apoyo del GECC y su subgrupo de mantenimiento pertinente, garantizará el mantenimiento de los esquemas europeos de certificación de la ciberseguridad, en particular con vistas a la posible revisión de dichos esquemas por parte de la Comisión. ENISA cooperará e intercambiará información con las entidades y grupos pertinentes de la Unión en relación con las actividades de mantenimiento.

3.ENISA podrá organizar la participación del sector privado para el mantenimiento de un esquema en forma de grupo de trabajo ad hoc de conformidad con la estrategia de mantenimiento a que se refiere el apartado 1.

4.Las actividades de mantenimiento de los esquemas europeos de certificación de la ciberseguridad incluirán lo siguiente:

a)preparar, actualizar y aprobar especificaciones técnicas y directrices para apoyar el funcionamiento armonizado y uniforme de los esquemas;

b)identificar normas o especificaciones técnicas que sean pertinentes para el esquema;

c)interactuar y, cuando proceda, establecer mecanismos de cooperación con las partes interesadas pertinentes, incluidas las organizaciones europeas o internacionales de normalización, en particular con el fin de realizar o recibir contribuciones técnicas;

d)formular recomendaciones a la Comisión sobre las mejoras y actualizaciones necesarias de los esquemas, en particular con vistas a una posible revisión de estos;

e)intercambiar información entre los Estados miembros sobre la aplicación práctica de los esquemas;

f)contribuir a mecanismos de revisión y evaluación interpares y análisis de los resultados de dichas evaluaciones para mejorar el funcionamiento de los esquemas y apoyar su posible revisión.

5.El GECC podrá emitir un dictamen sobre el mantenimiento de los esquemas europeos de certificación de la ciberseguridad.

Artículo 76
Evaluación, revisión y retirada de un esquema europeo de certificación de la ciberseguridad

1.Al menos cada cuatro años a partir de la entrada en vigor de un esquema europeo de certificación de la ciberseguridad, ENISA evaluará el impacto y la eficacia de dicho esquema, en colaboración con el subgrupo de mantenimiento pertinente del GECC y teniendo en cuenta las observaciones recibidas de las partes interesadas. ENISA llevará a cabo la evaluación realizando el análisis de mercado de conformidad con el artículo 8, apartado 1.

2.Tras la evaluación a que se refiere el apartado 1, la Comisión podrá revisar o retirar los actos de ejecución por los que se establezca un esquema europeo de certificación de la ciberseguridad con arreglo al artículo 74, apartado 9.

3.Al revisar o retirar esquemas europeos de certificación de la ciberseguridad, la Comisión consultará a ENISA, al GECC y a su subgrupo de mantenimiento pertinente, y también tendrá en cuenta las opiniones de las partes interesadas pertinentes y otras entidades de la Unión.

4.El GECC podrá emitir un dictamen sobre la revisión o la retirada de un esquema europeo de certificación de la ciberseguridad. La Comisión lo tendrá debidamente en cuenta a la hora de revisar o retirar dicho esquema europeo de certificación de la ciberseguridad.

Artículo 77
Especificaciones técnicas en los esquemas europeos de certificación de la ciberseguridad

1.ENISA podrá elaborar especificaciones técnicas con vistas a un futuro esquema europeo de certificación de la ciberseguridad o en apoyo del mantenimiento de un esquema europeo de certificación de la ciberseguridad.

2.Las especificaciones técnicas a que se refiere el apartado 1 del presente artículo se elaborarán de manera oportuna, con el apoyo del GECC y sus subgrupos de mantenimiento y, cuando corresponda, del correspondiente grupo de trabajo ad hoc a que se refiere el artículo 75, apartado 3. A tal fin, ENISA también recabará contribuciones de los grupos de partes interesadas pertinentes, teniendo en cuenta la estrategia de mantenimiento a que se refiere el artículo 75, apartado 1.

3.Cuando en un esquema europeo de certificación de la ciberseguridad contemplado en el artículo 74, apartado 10, se haga referencia a especificaciones técnicas, estas se publicarán en el sitio web a que se refiere el artículo 79.

4.En casos debidamente justificados, en particular cuando las especificaciones técnicas contengan información que pueda comprometer la seguridad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad que hayan sido certificados, se distribuirán únicamente a las partes interesadas afectadas por los requisitos del esquema. Dichas especificaciones técnicas no se mencionarán en el esquema europeo de certificación de la ciberseguridad a que se refiere el artículo 74, apartado 10.

Artículo 78 
Facilitar el cumplimiento de la legislación de la Unión

1.Cuando así lo disponga un acto jurídico específico de la Unión, un certificado expedido en el marco de un esquema europeo de certificación de la ciberseguridad demostrará el cumplimiento y conferirá una presunción de conformidad con los requisitos correspondientes establecidos en dicho acto jurídico.

2.Las actividades de evaluación en el marco de un esquema europeo de certificación de la ciberseguridad serán coherentes con el correspondiente acto jurídico de la Unión que establezca la demostración del cumplimiento y la presunción de conformidad. Cuando dichas actividades de evaluación no se especifiquen en el correspondiente acto jurídico de la Unión, el esquema las especificará. Un organismo tercero llevará a cabo una evaluación de la conformidad para la certificación que conceda la presunción de conformidad con los requisitos establecidos en la legislación de la Unión.

3.En ausencia de legislación armonizada de la Unión, el Derecho nacional podrá asimismo prever que un esquema europeo de certificación de la ciberseguridad pueda utilizarse para demostrar el cumplimiento y establecer la presunción de conformidad con requisitos jurídicos específicos establecidos en el Derecho nacional.

Artículo 79
Adopción de esquemas europeos de certificación de la ciberseguridad, sitio web de ENISA y publicación de certificados

1.ENISA organizará actividades para promover la adopción de los esquemas europeos de certificación de la ciberseguridad adoptados, en particular mediante el mantenimiento del sitio web a que se refiere el apartado 2 del presente artículo.

2.ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre lo siguiente:

a)esquemas europeos de certificación de la ciberseguridad;

b)las tasas asociadas al mantenimiento de cada esquema europeo de certificación de la ciberseguridad;

c)las especificaciones técnicas pertinentes de ENISA;

d)los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE, incluida la información relativa a dichos certificados y declaraciones que hayan dejado de ser válidos o que se hayan suspendido, retirado o hayan caducado;

e)la información complementaria pertinente sobre ciberseguridad facilitada de conformidad con el artículo 84;

f)los resúmenes de las revisiones por homólogos de conformidad con el artículo 89, apartado 7;

g)las especificaciones técnicas a que se hace referencia en un esquema europeo de certificación de la ciberseguridad, de conformidad con el artículo 74, apartado 10.

3.En su caso, el sitio web al que se refiere el apartado 2 indicará asimismo aquellos esquemas nacionales de certificación de la ciberseguridad que hayan sido sustituidos por un esquema europeo de certificación de la ciberseguridad.

CAPÍTULO II 
Contenido de los esquemas europeos de certificación de la ciberseguridad

Artículo 80
Objetivos de seguridad de los esquemas europeos de certificación de la ciberseguridad

1.Un esquema europeo de certificación de la ciberseguridad deberá perseguir, según proceda, los siguientes objetivos de seguridad:

a)garantizar que los productos, servicios y procesos de TIC y los servicios de seguridad gestionados sean seguros por defecto y desde el diseño;

b)proteger los datos almacenados, transmitidos o tratados de otro modo frente al almacenamiento, tratamiento, acceso o revelación accidentales o no autorizados usando medios técnicos adecuados, teniendo en cuenta todo el ciclo de vida de los productos, servicios y procesos de TIC;

c)proteger la integridad de los datos personales o de otro tipo almacenados, transmitidos o tratados de otro modo, los comandos, los programas y las configuraciones frente a toda manipulación o modificación no autorizada por el usuario, e informar sobre los casos de corrupción, teniendo en cuenta todo el ciclo de vida de los productos, servicios y procesos de TIC;

d)garantizar la protección contra el acceso no autorizado mediante mecanismos de control adecuados, incluidos, entre otros, sistemas de gestión de la autenticación, la identidad o el acceso, e informar de posibles accesos no autorizados;

e)identificar y documentar los componentes y vulnerabilidades, en particular, cuando proceda, mediante la elaboración de una nomenclatura de materiales de los programas informáticos que abarque al menos las dependencias de máximo nivel;

f)proporcionar información relacionada con la seguridad mediante el registro o el seguimiento de la actividad interna pertinente, incluidos el acceso a datos, servicios o funciones y la modificación de estos, cuando corresponda, con un mecanismo de exclusión voluntaria para el usuario;

g)verificar que los productos, servicios y procesos de TIC no contengan vulnerabilidades aprovechables conocidas;

h)proteger la disponibilidad de funciones esenciales y básicas, también tras un incidente, en particular mediante medidas de resiliencia frente a ataques de denegación de servicio y paliativas de sus efectos;

i)minimizar el impacto negativo en la disponibilidad de los servicios prestados por otras redes y dispositivos en caso de incidente físico o técnico;

j)garantizar que los productos, servicios y procesos de TIC se prueben periódicamente y se revise su seguridad;

k)garantizar que las vulnerabilidades se aborden y subsanen sin demora, en particular mediante actualizaciones de seguridad, y que la información sobre las vulnerabilidades subsanadas se comparta y divulgue públicamente, a menos que los riesgos de publicación superen los beneficios relacionados con la seguridad;

l)garantizar que exista una política de divulgación coordinada de vulnerabilidades;

m)facilitar el intercambio de información sobre posibles vulnerabilidades en productos, servicios y procesos de TIC;

n)garantizar que, cuando se disponga de actualizaciones de seguridad para abordar problemas de seguridad detectados, dichas actualizaciones de seguridad se difundan sin demora;

o)garantizar que los servicios de seguridad gestionados se presten con la competencia, pericia y experiencia necesarias, y, en particular, que el personal encargado de prestar dichos servicios posea un nivel suficiente y adecuado de competencia y conocimientos técnicos en el ámbito específico, así como una experiencia suficiente y adecuada, y actúe con el máximo nivel de integridad profesional;

p)garantizar que los productos, servicios y procesos de TIC que se implementen en el contexto de la prestación de los servicios de seguridad gestionados sean seguros desde el diseño y por defecto, y, cuando proceda, incluyan las últimas actualizaciones de seguridad y no contengan vulnerabilidades conocidas públicamente;

q)garantizar que la entidad certificada disponga de procedimientos internos adecuados para asegurar que los servicios se presten con un nivel de calidad suficiente y adecuado;

r)garantizar que la entidad certificada sea capaz de identificar incidentes, protegerse frente a ellos, detectarlos, responder a ellos y recuperarse de ellos;

s)garantizar que la entidad certificada sea capaz de gestionar los riesgos que afecten a la seguridad de las redes y los sistemas de información utilizados por la entidad para sus operaciones o en la prestación de sus servicios y prevenir o minimizar las repercusiones de los incidentes en los destinatarios de sus servicios y en otros servicios;

t)garantizar que la entidad sea capaz de construir, asegurar y revisar su integridad y fiabilidad operativas asegurando, directa o indirectamente mediante el uso de servicios prestados por prestadores terceros de servicios de TIC, que dispone de toda la gama de capacidades relacionadas con las TIC necesarias para preservar la seguridad de las redes y los sistemas de información que utiliza la entidad, y que sustentan la continuidad de la prestación de servicios y su calidad, incluso en caso de perturbaciones;

u)garantizar que la entidad certificada sea capaz de aplicar y mantener un sistema de gestión de la seguridad de la información; 

v)resistir cualquier acontecimiento que pueda comprometer la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados o de los servicios ofrecidos por el sistema de redes y de información utilizado por la entidad, o accesibles a través de este, y garantizar la continuidad de la prestación de servicios y su calidad, incluso en caso de perturbaciones;

w)asegurar que la entidad sea capaz de garantizar la seguridad del tratamiento de datos personales.

2.La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 119 a fin de modificar el apartado 1 del presente artículo añadiendo o modificando objetivos de seguridad para garantizar que reflejen los últimos avances tecnológicos y las nuevas amenazas conexas, así como la adopción de nueva legislación de la Unión que establezca la demostración del cumplimiento y la presunción de conformidad mediante la certificación europea de la ciberseguridad con los requisitos pertinentes de ciberseguridad establecidos en dicha legislación.

3.Un esquema europeo de certificación de la ciberseguridad que aborde los productos con elementos digitales, tal como se definen en el artículo 3, punto 1, del Reglamento (UE) 2024/2847, se diseñará en consonancia con los requisitos esenciales de ciberseguridad que se establecen en el anexo I de dicho Reglamento y tendrá en cuenta las normas armonizadas disponibles.

Artículo 81
Elementos de los esquemas europeos de certificación de la ciberseguridad

1.Un esquema europeo de certificación de la ciberseguridad incluirá al menos lo siguiente:

a)el objeto y el alcance del esquema de certificación, incluido el tipo o categoría de los productos, servicios y procesos de TIC o servicios de seguridad gestionados, o bien los activos, servicios y funciones de la entidad contemplados en el ámbito de la certificación;

b)una descripción clara de la finalidad del esquema y, en su caso, la identificación de la legislación de la Unión por la que se establezcan los requisitos respecto de los cuales los certificados europeos de ciberseguridad demuestren el cumplimiento y confieran una presunción de conformidad;

c)la estrategia de mantenimiento, especificando el enfoque de las actividades de mantenimiento contempladas en el artículo 75;

d)los requisitos específicos de ciberseguridad, los criterios de evaluación y los métodos que deben utilizarse para la evaluación de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad, así como referencias a las normas internacionales, europeas o nacionales aplicadas en la evaluación de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad o, cuando dichas normas no estén disponibles o no sean adecuadas, a las especificaciones técnicas elaboradas por ENISA de conformidad con el artículo 77 o, en los casos en que dichas especificaciones no están disponibles, a otras especificaciones técnicas;

e)el período máximo de validez de los certificados europeos de ciberseguridad expedidos en virtud del esquema.

2.Un esquema europeo de certificación de la ciberseguridad incluirá al menos normas y condiciones relativas a lo siguiente:

a)el seguimiento de la conformidad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad con los requisitos de los certificados europeos de ciberseguridad o de las declaraciones de conformidad de la UE, incluidos los mecanismos que permitan demostrar el cumplimiento permanente de los requisitos de ciberseguridad especificados;

b)la expedición, confirmación, retirada y renovación de los certificados europeos de ciberseguridad, la ampliación o reducción del alcance de la certificación y la nueva certificación;

c)las consecuencias para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o las entidades certificadas o para los que se haya expedido una declaración de conformidad de la UE, pero que no sean conformes con los requisitos del esquema;

d)la forma de notificar y abordar las vulnerabilidades de ciberseguridad previamente no detectadas en productos, servicios y procesos de TIC;

e)el contenido y formato de los certificados europeos de ciberseguridad y de la declaración de conformidad de la UE que van a expedirse;

f)el período de disponibilidad de la declaración de conformidad de la UE, la documentación técnica y cualquier otra información pertinente que deba facilitar el fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o bien la entidad cuya posición en materia de ciberseguridad está sujeta a certificación;

g)cualquier mecanismo de evaluación interpares establecido en virtud del esquema para las autoridades u organismos que expidan certificados europeos de ciberseguridad de conformidad con el artículo 85, apartado 4, que se entenderá sin perjuicio de la revisión por homólogos prevista en el artículo 90;

h)la confidencialidad de la información y los datos obtenidos por todas las partes en el desempeño de las tareas y actividades relacionadas con la aplicación de las disposiciones establecidas en el presente título;

i)el formato y los procedimientos que deben seguir los fabricantes y prestadores de productos, servicios o procesos de TIC para proporcionar y actualizar la información complementaria sobre ciberseguridad de conformidad con el artículo 84; y

j)la continuidad de las actividades de certificación durante situaciones de crisis extraordinarias, que sean inevitables y obstaculicen la posibilidad de aplicar las normas del esquema de certificación.

3.Un esquema europeo de certificación de la ciberseguridad, cuando proceda, incluirá también lo siguiente:

a)uno o varios niveles de garantía y los niveles de evaluación correspondientes;

b)perfiles de protección para especificar los requisitos de seguridad aplicables a una categoría determinada de productos, servicios o procesos de TIC o servicios de seguridad gestionados;

c)perfiles de ampliación destinados a establecer requisitos de seguridad adicionales, incluidos, cuando proceda, los requisitos de seguridad establecidos en disposiciones nacionales por las que se transpone el Derecho de la Unión;

d)aclaración sobre las actividades de evaluación de la conformidad (entre ellas la calibración, las pruebas, la certificación y la inspección) que, en el nivel de garantía «alto» o a efectos de demostrar el cumplimiento y otorgar la presunción de conformidad, estén permitidas fuera del Espacio Económico Europeo (EEE);

e)la identificación de los esquemas nacionales o internacionales de certificación de la ciberseguridad que cubran el mismo tipo o categoría de productos, servicios y procesos de TIC, servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad;

f)requisitos específicos o adicionales a los que están sujetos los organismos de evaluación de la conformidad a fin de garantizar su capacidad técnica para evaluar los requisitos en materia de ciberseguridad;

g)la información necesaria para la certificación que el solicitante deba proporcionar o poner de otro modo a disposición de los organismos de evaluación de la conformidad;

h)marcas o etiquetas y las condiciones en las que pueden utilizarse tales marcas o etiquetas;

i)las condiciones para el reconocimiento internacional de los certificados europeos de ciberseguridad de conformidad con el artículo 87.

4.Los requisitos especificados del esquema europeo de certificación de la ciberseguridad serán coherentes con los requisitos de la legislación de la Unión.

5.La Comisión estará facultada para adoptar actos de ejecución que establezcan principios comunes y disposiciones tipo para los elementos que se establecen en los apartados 1, 2 y 3 en todos los esquemas europeos de certificación de la ciberseguridad. Cuando proceda y estén disponibles, un esquema europeo de certificación de la ciberseguridad podrá incluir referencias a dichos principios y disposiciones tipo.

6.Los actos de ejecución a que se refiere el apartado 5 se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 118, apartado 2. Al desarrollar o revisar los principios comunes y las disposiciones tipo para los elementos de los esquemas europeos de certificación de la ciberseguridad, la Comisión consultará a ENISA y tendrá en cuenta, según proceda, las opiniones expresadas por el GECC, las partes interesadas pertinentes y otros organismos pertinentes.

Artículo 82
Niveles de garantía y evaluación de los esquemas europeos de certificación de la ciberseguridad

1.Los esquemas europeos de certificación de la ciberseguridad podrán especificar uno o varios de los niveles de garantía siguientes para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad: «básico», «sustancial» o «elevado». Dichos niveles de garantía serán proporcionales al nivel de riesgo asociado al uso previsto del producto, servicio o proceso de TIC o el servicio de seguridad gestionado, o a la naturaleza de las entidades cuya posición en materia de ciberseguridad esté sujeta a certificación, y a su entorno operativo, en términos de probabilidad e impacto de un incidente.

2.Los certificados europeos de ciberseguridad mencionarán el nivel de garantía especificado en el esquema europeo de certificación de la ciberseguridad con arreglo al cual se expidan dichos certificados. Las declaraciones de conformidad de la UE harán referencia al nivel de garantía «básico».

3.Los requisitos de seguridad correspondientes a cada nivel de garantía se precisarán en el esquema europeo de certificación de la ciberseguridad pertinente, incluidos los controles de seguridad correspondientes y la evaluación correspondiente a la que deba someterse el producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la posición de la entidad en materia de ciberseguridad.

4.El certificado europeo de ciberseguridad o la declaración de la conformidad de la UE harán referencia a especificaciones técnicas, normas y procedimientos conexos, incluidos los controles técnicos, cuyo objetivo es reducir el riesgo de incidentes de ciberseguridad o evitarlos.

5.Un certificado europeo de ciberseguridad o una declaración de conformidad de la UE que se refiere a un nivel de garantía «básico» ofrece garantías de que los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad para los que se expiden cumplen los correspondientes requisitos de seguridad, en particular los controles de seguridad, y de que se han evaluado hasta un nivel que pretende minimizar los riesgos básicos conocidos de incidentes y ciberataques. Las actividades de evaluación que deberán realizarse incluirán al menos una revisión de la documentación técnica. Cuando dicha revisión no sea apropiada, se emprenderán actividades de evaluación de la sustitución con efecto equivalente.

6.Un certificado europeo de ciberseguridad que se refiere a un nivel de garantía «sustancial» ofrecerá garantías de que los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad para los que se expide dicho certificado cumplen los requisitos de seguridad correspondientes, en particular los controles de seguridad, y de que se han evaluado hasta un nivel que pretende minimizar los riesgos conocidos de incidentes y ciberataques y el riesgo de ciberataques cometidos por agentes con competencias y recursos limitados. Las actividades de evaluación que deberán realizarse incluirán al menos una revisión para demostrar la ausencia de vulnerabilidades conocidas públicamente y la comprobación de que los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o las entidades aplican correctamente los controles de seguridad necesarios. Cuando dichas actividades de evaluación no sean adecuadas, se recurrirá a actividades de evaluación alternativas con efecto equivalente.

7.Un certificado europeo de ciberseguridad que se refiere a un nivel de garantía «elevado» ofrecerá garantías de que los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad para los que se expide dicho certificado cumplen los requisitos de seguridad correspondientes, en particular los controles de seguridad, y de que se han evaluado hasta un nivel que pretende minimizar el riesgo de incidentes y ciberataques de última generación cometidos por agentes con competencias y recursos significativos. Las actividades de evaluación a efectuar incluirán al menos:

a)una revisión destinada a demostrar la ausencia de vulnerabilidades conocidas públicamente;

b)pruebas para demostrar que los productos, procesos o servicios de TIC, los servicios de seguridad gestionados o las entidades aplican correctamente los controles de seguridad necesarios, con las tecnologías más avanzadas;

c)una evaluación de la resistencia de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o las entidades frente a atacantes con competencias avanzadas, utilizando, cuando proceda, pruebas de penetración.

Cuando dichas actividades de evaluación no sean apropiadas, se emprenderán actividades de evaluación de la sustitución con efecto equivalente. Todas las actividades de evaluación de la conformidad, entre ellas la calibración, las pruebas, la certificación y la inspección, para el nivel de garantía «elevado» se llevarán a cabo en el Espacio Económico Europeo, a menos que se disponga otra cosa en un esquema europeo de certificación de la ciberseguridad.

8.Cuando un esquema europeo de certificación de la ciberseguridad esté diseñado para demostrar el cumplimiento y otorgar una presunción de conformidad con un acto jurídico específico de la Unión, un certificado europeo de ciberseguridad proporcionará garantías de que los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad certificados cumplen los requisitos de ciberseguridad correspondientes de dicho acto jurídico. Todas las actividades de evaluación de la conformidad, entre ellas la calibración, las pruebas, la certificación y la inspección, realizadas a efectos de la presunción de conformidad se llevarán a cabo en el Espacio Económico Europeo, a menos que se disponga otra cosa en un esquema europeo de certificación de la ciberseguridad.

9.Un esquema europeo de certificación de la ciberseguridad podrá especificar varios niveles de evaluación para un determinado nivel de garantía. Cada uno de los niveles de evaluación corresponderá a uno de los niveles de garantía.

Artículo 83
Autoevaluación de la conformidad

1.Un esquema europeo de certificación de la ciberseguridad podrá permitir realizar una autoevaluación de la conformidad bajo la responsabilidad exclusiva del fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o de la entidad cuya posición en materia de ciberseguridad esté sujeta a certificación. La autoevaluación de la conformidad únicamente se autorizará en relación con los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad que presenten un riesgo bajo correspondiente al nivel de garantía «básico».

2.El fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o bien la entidad cuya posición en materia de ciberseguridad esté sujeta a certificación, podrá expedir una declaración de conformidad de la UE en la que se indique que ha quedado demostrado el cumplimiento de los requisitos establecidos en el esquema europeo de certificación de la ciberseguridad. Al expedir dicha declaración, el fabricante o proveedor o la entidad asumirá la responsabilidad de la conformidad del producto, servicio o proceso de TIC, servicio de seguridad gestionado o posición en materia de ciberseguridad con los requisitos que establezca dicho esquema.

3.El fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o la entidad cuya posición en materia de ciberseguridad esté sujeta a certificación, deberá poner a disposición de la autoridad nacional de certificación de la ciberseguridad designada en virtud del artículo 89, durante el plazo previsto en el esquema europeo de certificación de la ciberseguridad, la declaración de conformidad de la UE, la documentación técnica y toda otra información pertinente relativa a la conformidad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o la posición en materia de ciberseguridad con dicho esquema. Deberá presentarse a la autoridad nacional de certificación de la ciberseguridad y a ENISA una copia de la declaración de conformidad de la UE sin demora indebida.

Artículo 84
Información complementaria sobre ciberseguridad de productos, servicios y procesos de TIC certificados

1.El fabricante o proveedor de productos, servicios o procesos de TIC para los que se haya expedido una declaración de conformidad de la UE o un certificado europeo de ciberseguridad pondrá a disposición del usuario la siguiente información adicional sobre ciberseguridad:

a)la finalidad prevista del producto, servicio o proceso de TIC pertinente, incluido el entorno de seguridad proporcionado por el fabricante o proveedor;

b)orientaciones y recomendaciones para ayudar a los usuarios con la configuración, la instalación, la implantación, el funcionamiento y el mantenimiento seguros de los productos o servicios de TIC;

c)el tipo de apoyo técnico en materia de seguridad ofrecido por el fabricante o proveedor y la fecha de finalización del período de soporte durante el que está previsto que se gestionen las vulnerabilidades y que los usuarios puedan recibir actualizaciones de seguridad;

d)en caso de que el fabricante o proveedor decida poner a disposición del usuario la nomenclatura de materiales de un programa informático, información sobre dónde puede consultarse dicha nomenclatura.

2.El fabricante o proveedor de productos, servicios o procesos de TIC para los que se haya expedido una declaración de conformidad de la UE o un certificado europeo de ciberseguridad pondrá a disposición del público la siguiente información adicional sobre ciberseguridad:

a)el punto único de contacto en el que pueda notificarse y obtenerse información sobre vulnerabilidades, y el lugar en que puede encontrarse la política del fabricante respecto a las vulnerabilidades coordinadas;

b)información sobre las vulnerabilidades subsanadas, que incluya una descripción de las vulnerabilidades, en particular información que permita a los usuarios identificar el producto con elementos digitales afectado, las repercusiones de las vulnerabilidades, su gravedad e información clara y accesible que ayude a los usuarios a subsanar dichas vulnerabilidades; en casos debidamente justificados, en los que los fabricantes consideren que los riesgos para la seguridad de la publicación superan a los beneficios en materia de seguridad, podrán retrasar la puesta a disposición de información relativa a una vulnerabilidad subsanada hasta que los usuarios hayan tenido la posibilidad de aplicar el parche correspondiente.

3.La información a que se refieren los apartados 1 y 2 estará disponible en formato electrónico y permanecerá disponible, y se actualizará según sea necesario, durante el período de validez y, al menos, durante un período de cinco años tras la expiración o retirada del correspondiente certificado europeo de ciberseguridad o de la declaración de conformidad de la UE.

4.Las obligaciones establecidas en los apartados 1 y 2 no se aplicarán cuando la seguridad del producto, servicio o proceso de TIC pertinente pueda verse comprometida si la información se pone a disposición del público.

CAPÍTULO III 
Gobernanza para el marco europeo de certificación de la ciberseguridad

Sección 1 
Normas generales y gestión de los esquemas europeos de certificación de la ciberseguridad

Artículo 85
Expedición de certificados europeos de ciberseguridad

1.Los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la posición de las entidades en materia de ciberseguridad certificados en virtud de un esquema europeo de certificación de la ciberseguridad se considerarán conformes con los requisitos de dicho esquema.

2.Los organismos de evaluación de la conformidad a que se refiere el artículo 91 expedirán certificados europeos de ciberseguridad sobre la base de los criterios recogidos en el esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 74.

3.No obstante lo dispuesto en el apartado 2, un esquema europeo de certificación de la ciberseguridad podrá prever que solo uno de los siguientes organismos públicos pueda expedir certificados europeos de ciberseguridad resultantes de dicho esquema:

a)una autoridad nacional de certificación de la ciberseguridad a que se refiere el artículo 88, acreditada como organismo de evaluación de la conformidad de conformidad con el artículo 91, apartado 1;

b)un organismo público que esté acreditado como organismo de evaluación de la conformidad con arreglo al artículo 91, apartado 1.

4.Cuando un esquema europeo de certificación de la ciberseguridad adoptado con arreglo al artículo 74 establezca un nivel de garantía «elevado» o cuando dicho esquema especifique lo contrario, el certificado europeo de ciberseguridad en virtud de dicho esquema solo será expedido por una autoridad nacional de certificación de la ciberseguridad a que se refiere el artículo 88 que esté acreditada como organismo de evaluación de la conformidad en virtud del artículo 91, apartado 1, o en los siguientes casos:

a)por un organismo de evaluación de la conformidad sobre la base de un modelo de aprobación previa; o

b)por un organismo de evaluación de la conformidad sobre la base de un modelo de delegación general.

5.La Comisión estará facultada para adoptar actos de ejecución que especifiquen los procedimientos para la aprobación previa o los modelos de delegación general a que se refiere el apartado 4 del presente artículo. En el proceso de preparación de dichos actos de ejecución, la Comisión consultará al GECC. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

6.La persona física o jurídica que someta productos, servicios o procesos TIC o servicios de seguridad gestionados a certificación, o la entidad que solicite la certificación de su posición en materia de ciberseguridad, pondrá a disposición de la autoridad nacional de certificación de la ciberseguridad designada en virtud del artículo 89, cuando dicha autoridad sea el organismo que expide el certificado europeo de ciberseguridad, o del organismo de evaluación de la conformidad a que se refiere el artículo 91, toda la información necesaria para llevar a cabo el procedimiento de certificación.

7.Los organismos de evaluación de la conformidad y, cuando proceda, las autoridades nacionales de certificación de la ciberseguridad informarán a ENISA sin demora indebida de sus decisiones que afecten a la situación de los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE con arreglo al artículo 94.

8.El titular de un certificado europeo de ciberseguridad informará al organismo de evaluación de la conformidad y, cuando proceda, a la autoridad nacional de certificación de la ciberseguridad a que se refiere el apartado 7, acerca de cualquier vulnerabilidad o falta de conformidad detectada posteriormente en relación con el producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la posición de la entidad en materia de ciberseguridad certificados que puedan afectar a su conformidad con el certificado. El organismo transmitirá dicha información sin demora indebida a la autoridad nacional de certificación de la ciberseguridad de que se trate y evaluará las repercusiones en el certificado en consonancia con las condiciones del esquema a que se refiere el artículo 81, apartado 2, letra d).

9.Respecto de sus productos, servicios o procesos TIC o servicios de seguridad gestionados certificados que hayan sido identificados, en su totalidad o en parte, como activos clave con arreglo al artículo 102, los titulares de un certificado europeo de ciberseguridad no utilizarán, instalarán ni integrarán de otro modo componentes de TIC ni componentes que incluyan componentes de TIC de proveedores de alto riesgo en productos, servicios o procesos de TIC o servicios de seguridad gestionados certificados.

10.Los certificados europeos de ciberseguridad se expedirán por el período previsto en el esquema europeo de certificación de la ciberseguridad y podrán renovarse siempre y cuando sigan cumpliéndose los requisitos correspondientes.

11.La Comisión colaborará con los Estados miembros para garantizar la aplicación de las disposiciones relativas a la expedición de certificados europeos de ciberseguridad también con vistas a la aplicación del artículo 100, apartado 4, letra b). El organismo de evaluación de la conformidad y, cuando proceda, la autoridad nacional de certificación de la ciberseguridad facilitarán a la Comisión, previa solicitud y sin demora indebida, toda la información relativa a la expedición de los certificados europeos de ciberseguridad o las declaraciones de conformidad de la UE pertinentes.

Artículo 86
Esquemas nacionales de certificación de la ciberseguridad y certificados expedidos en su marco

1.Los esquemas nacionales de certificación de la ciberseguridad y los procedimientos conexos para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad comprendidos en el objeto y el alcance de un esquema europeo de certificación de la ciberseguridad dejarán de surtir efecto a partir de la fecha establecida en el acto de ejecución adoptado con arreglo al artículo 74, apartado 9. Los esquemas nacionales de certificación de la ciberseguridad y los procedimientos conexos para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad que no estén comprendidos en el objeto y el alcance de un esquema europeo de certificación de la ciberseguridad podrán seguir existiendo.

2.Los Estados miembros no introducirán nuevos esquemas nacionales de certificación de la ciberseguridad ni procedimientos conexos para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad ya comprendidos en el objeto y el alcance de un esquema europeo de certificación de la ciberseguridad.

3.Los certificados existentes expedidos de conformidad con esquemas nacionales de certificación de la ciberseguridad y comprendidos en el objeto y el alcance de un esquema europeo de certificación de la ciberseguridad seguirán siendo válidos hasta su fecha de expiración.

4.Los Estados miembros notificarán a la Comisión y al GECC antes de adoptar nuevos esquemas nacionales de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad.

5.La Comisión podrá proponer a un Estado miembro que retire un esquema nacional de certificación de la ciberseguridad relativo a productos, servicios y procesos de TIC, servicios de seguridad gestionados o a la posición de las entidades en materia de ciberseguridad, cuando ya se haya solicitado el desarrollo de un esquema nacional de certificación de la ciberseguridad que abarque dichos productos, servicios, procesos o posición en materia de ciberseguridad de conformidad con el artículo 73, teniendo en cuenta el plan de desarrollo de dicho esquema.

Artículo 87
Reconocimiento internacional de los certificados europeos de ciberseguridad

1.Los certificados de terceros países de productos, servicios y procesos de TIC, de servicios de seguridad gestionados y de la posición de las entidades en materia de ciberseguridad podrán reconocerse, mediante un acto de ejecución o mediante la celebración de un acuerdo entre la Unión y el tercer país en cuestión o una organización internacional, como equivalentes a los certificados europeos de ciberseguridad si los requisitos del esquema de un tercer país o de una organización internacional pertinente se consideran equivalentes a los de los esquemas europeos de certificación de la ciberseguridad. La Comisión estará facultada para adoptar tales actos de ejecución. Los actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

2.Los actos de ejecución y los acuerdos a que se refiere el apartado 1 se basarán en las condiciones para el reconocimiento internacional de los certificados europeos de ciberseguridad establecidas de conformidad con el artículo 74, apartado 11.

3.Los acuerdos sobre el reconocimiento de los certificados de terceros países o de los certificados de organizaciones internacionales a que se refiere el apartado 1 se celebrarán únicamente si también reconocen los certificados europeos de ciberseguridad como equivalentes a los certificados de terceros países.

Artículo 88 
Autoridades nacionales de certificación de la ciberseguridad

1.Cada Estado miembro designará a una o más autoridades nacionales de certificación de la ciberseguridad en su territorio o, de mutuo acuerdo con otro Estado miembro, a una o más autoridades nacionales de certificación de la ciberseguridad en ese otro Estado miembro para que se encarguen de las tareas de supervisión en el Estado miembro que efectúe la designación.

2.Cada Estado miembro informará a la Comisión de la identidad de las autoridades nacionales de certificación de la ciberseguridad designadas. Cuando un Estado miembro designe más de una autoridad, también informará a la Comisión de las tareas que se hayan encomendado a cada una de dichas autoridades.

3.Cada autoridad nacional de certificación de la ciberseguridad será independiente de las entidades que supervise en lo que respecta a su organización, sus decisiones de financiación, su estructura jurídica y su toma de decisiones.

4.Las actividades de la autoridad nacional de certificación de la ciberseguridad relacionadas con la expedición de certificados europeos de ciberseguridad en virtud del presente Reglamento se acogerán a una estricta separación de funciones y responsabilidades con respecto a las actividades de supervisión establecidas en el presente artículo y en el artículo 85, apartado 4, letras a) y b), y se llevarán a cabo de manera independiente entre sí.

5.Los Estados miembros velarán por que las autoridades nacionales de certificación de la ciberseguridad dispongan de los recursos adecuados para ejercer sus competencias y llevar a cabo, de manera eficaz y eficiente, las tareas que tienen encomendadas.

6.Las autoridades nacionales de certificación de la ciberseguridad tendrán las siguientes funciones:

a)participar en el GECC de conformidad con el artículo 90, apartado 2;

b)supervisar y hacer cumplir las normas incluidas en los esquemas europeos de certificación de la ciberseguridad con arreglo al artículo 81, apartado 2, letra a), para garantizar la conformidad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad con los requisitos de los certificados europeos de ciberseguridad que se hayan expedido en sus respectivos territorios, en cooperación con las autoridades de vigilancia del mercado o las autoridades de control pertinentes, en particular las autoridades competentes con arreglo a la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo 82 o al Reglamento (UE) 2024/2847;

c)supervisar, en colaboración con las autoridades de vigilancia del mercado pertinentes, el cumplimiento y la ejecución de las obligaciones de los fabricantes o prestadores de productos, servicios y procesos de TIC, servicios de seguridad gestionados o entidades cuya posición en materia de ciberseguridad esté certificada con arreglo al presente Reglamento, que estén establecidos en sus respectivos territorios y que lleven a cabo la autoevaluación de la conformidad en el correspondiente esquema europeo de certificación de la ciberseguridad;

d)sin perjuicio de lo dispuesto en el artículo 91, apartado 3, asistir y apoyar activamente a los organismos nacionales de acreditación u otras autoridades pertinentes en el control y la supervisión de las actividades de los organismos de evaluación de la conformidad a efectos de la aplicación del presente Reglamento;

e)cooperar con la Comisión cuando se impugne la competencia de un organismo de evaluación de la conformidad con arreglo al artículo 94;

f)controlarán y supervisarán las actividades de los organismos públicos mencionados en el artículo 85, apartado 3;

g)cuando proceda, autorizar a los organismos de evaluación de la conformidad con arreglo al artículo 93, supervisar el cumplimiento y hacer cumplir las obligaciones de los organismos de evaluación de la conformidad con los requisitos adicionales o específicos establecidos en los esquemas europeos de certificación de la ciberseguridad en virtud del artículo 81, apartado 3, letra f), y restringir, suspender o retirar la autorización existente cuando los organismos de evaluación de la conformidad no cumplan los requisitos del presente Reglamento;

h)tramitar las reclamaciones presentadas por personas físicas o jurídicas en relación con los certificados europeos de ciberseguridad expedidos por las autoridades nacionales de certificación de la ciberseguridad o los certificados europeos de ciberseguridad expedidos por los organismos de evaluación de la conformidad, de conformidad con el artículo 85, apartado 4, o en relación con las declaraciones de conformidad UE expedidas en virtud del artículo 83, investigar el asunto objeto de la reclamación en la medida que proceda e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable;

i)presentar un informe anual sobre sus principales actividades a la Comisión, ENISA y el GECC a más tardar el 31 de marzo [año de entrada en vigor + doce meses] de cada año, y poner estos informes a disposición del equipo de revisión por homólogos cuando la autoridad nacional de certificación de la ciberseguridad esté sujeta a revisión por homólogos de conformidad con el artículo 89;

j)cooperar con otras autoridades nacionales de certificación de la ciberseguridad, autoridades de vigilancia del mercado u otras autoridades públicas, en particular, mediante el intercambio de información sobre la posible falta de conformidad de productos, servicios y procesos de TIC, servicios de seguridad gestionados y de la posición de las entidades en materia de ciberseguridad con los requisitos del presente Reglamento o de esquemas europeos de certificación de la ciberseguridad específicos;

k)seguirán las novedades de interés en el ámbito de la certificación de la ciberseguridad.

7.Cada autoridad nacional de certificación de la ciberseguridad tendrá, como mínimo, las siguientes competencias:

a)solicitar a los organismos de evaluación de la conformidad, a los titulares de certificados europeos de ciberseguridad y a los responsables de expedir declaraciones de conformidad de la UE que faciliten cualquier información que requiera para el desempeño de sus cometidos;

b)llevar a cabo investigaciones, en forma de auditorías, de los organismos de evaluación de la conformidad, los titulares de certificados europeos de ciberseguridad y los responsables de expedir declaraciones de conformidad de la UE, a efectos de verificar su cumplimiento con los requisitos establecidos en el presente título;

c)adoptar las medidas adecuadas, de conformidad con el Derecho nacional, con el fin de garantizar que los organismos de evaluación de la conformidad, los titulares de certificados europeos de ciberseguridad y los responsables de expedir declaraciones de conformidad de la UE se ajustan al presente Reglamento o a un esquema europeo de certificación de la ciberseguridad;

d)obtener acceso a todos los locales de los organismos de evaluación de la conformidad y los titulares de certificados europeos de ciberseguridad para la realización de investigaciones con arreglo a la legislación de la Unión o al Derecho procesal nacional;

e)retirar, con arreglo al Derecho nacional, los certificados europeos de ciberseguridad expedidos por autoridades nacionales de certificación de la ciberseguridad o por organismos de evaluación de la conformidad, de conformidad con el artículo 85, apartado 4, que no se ajusten al presente Reglamento o a un esquema europeo de certificación de la ciberseguridad;

f)imponer sanciones conforme al Derecho nacional según lo establecido en el artículo 97, y solicitar el cese inmediato de la violación de las obligaciones establecidas en el presente Reglamento.

8.Las autoridades nacionales de certificación de la ciberseguridad cooperarán entre ellas y con la Comisión, y, en particular, intercambiarán información, experiencias y buenas prácticas en relación con la certificación de la ciberseguridad y las cuestiones técnicas relativas a la ciberseguridad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad.

9.A más tardar el [entrada en vigor + seis meses], ENISA elaborará un modelo para el informe a que se refiere el apartado 6, letra i), del presente artículo, en colaboración con la Comisión y el GECC.

Artículo 89
Evaluaciones por homólogos

1.Las autoridades nacionales de certificación de la ciberseguridad estarán sujetas a revisiones por homólogos.

2.La revisión interpares se llevará a cabo conforme a criterios y procedimientos de evaluación bien fundados y transparentes, en particular en lo relativo a los requisitos estructurales, de recursos humanos y de proceso, la confidencialidad y las reclamaciones.

3.La revisión interpares deberá evaluar:

a)cuando corresponda, si las actividades de la autoridad nacional de certificación de la ciberseguridad relacionadas con la expedición de certificados europeos de ciberseguridad a que se refiere el presente Reglamento se acogen a una estricta separación de funciones y responsabilidades con respecto a las actividades de supervisión de conformidad con el artículo 88 y si ambas actividades funcionan de manera independiente;

b)los procedimientos de supervisión y cumplimiento de las normas para controlar la conformidad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la posición de las entidades en materia de ciberseguridad con los certificados europeos de ciberseguridad con arreglo al artículo 88, apartado 7, letra a);

c)los procedimientos de control y cumplimiento de las obligaciones de los fabricantes o prestadores de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o de las entidades cuya posición en materia de ciberseguridad esté certificada, con arreglo al artículo 88, apartado 7, letra b);

d)los procedimientos de control, autorización y supervisión de las actividades de los organismos de evaluación de la conformidad.

4.La revisión por homólogos se llevará al cabo al menos una vez cada cinco años por, al menos, dos autoridades nacionales de certificación de la ciberseguridad de otros Estados miembros y por la Comisión. ENISA también participará en la revisión por homólogos como observador. El equipo de revisión por homólogos elaborará el informe final y el resumen de la revisión.

5.ENISA apoyará la organización del mecanismo de revisión por homólogos y las revisiones por homólogos, en particular mediante el desarrollo de documentos de orientación y modelos pertinentes, en cooperación con la Comisión y el GECC. 

6.La Comisión estará facultada para adoptar actos de ejecución mediante el establecimiento de un plan para las revisiones por homólogos que cubra un período de al menos cinco años y mediante la definición de los criterios relativos a la composición del equipo de revisión por homólogos, la metodología utilizada para la revisión, así como el calendario, la periodicidad y las demás tareas relativas a dicha revisión. La Comisión podrá consultar al GECC y a ENISA cuando prepare esos actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

7.El GECC examinará el informe final, que incluya las posibles directrices o recomendaciones, y el resumen de la revisión por homólogos, y refrendará el resumen para su publicación en el sitio web a que se refiere el artículo 79, apartado 2.

Artículo 90
Grupo Europeo de Certificación de la Ciberseguridad

1.Queda establecido el Grupo Europeo de Certificación de la Ciberseguridad (en lo sucesivo, «GECC»).

2.El GECC estará integrado por representantes de las autoridades nacionales de certificación de la ciberseguridad o por representantes de otras autoridades nacionales pertinentes. Los miembros del GECC no podrán representar a más de dos Estados miembros.

3.El GECC desempeñará las siguientes tareas:

a)asesorar y asistir a la Comisión en su labor de garantizar la ejecución y aplicación coherentes de las normas que se establecen en el presente título, las cuestiones de la política de certificación de la ciberseguridad y la coordinación de los enfoques estratégicos;

b)asesorar y asistir a la Comisión en la preparación de solicitudes de esquemas europeos de certificación de la ciberseguridad con arreglo al artículo 73;

c)asistir y asesorar a ENISA y cooperar con ella en relación con la preparación de una propuesta de esquema con arreglo al artículo 74 y de especificaciones técnicas con arreglo al artículo 77;

d)asistir y asesorar a ENISA y la Comisión y cooperar con ellas en relación con las actividades de mantenimiento, de conformidad con el artículo 75;

e)asistir y asesorar a la Comisión y cooperar con ella en relación con la revisión o la retirada de esquemas europeos de certificación de la ciberseguridad existentes, de conformidad con el artículo 76;

f)proponer que se presente a la Comisión una solicitud relativa a la preparación de una propuesta de esquema europeo de certificación de la ciberseguridad de conformidad con el artículo 73, apartado 2;

g)adoptar dictámenes dirigidos a la Comisión relativos al mantenimiento, la revisión y la retirada de esquemas europeos de certificación de la ciberseguridad existentes;

h)examinar los avances pertinentes en el ámbito de la certificación de la ciberseguridad, en particular a escala nacional de conformidad con el artículo 86, e intercambiar información y buenas prácticas sobre los esquemas de certificación de la ciberseguridad;

i)facilitar la cooperación entre las autoridades nacionales de certificación de la ciberseguridad con arreglo a las normas establecidas en el presente título mediante la creación de capacidades y el intercambio de información, en particular en relación con las cuestiones relativas a la certificación de la ciberseguridad;

j)proporcionar apoyo a la aplicación del mecanismo de evaluación por homólogos con arreglo al artículo 89 y de mecanismos de evaluación interpares según las normas establecidas en un esquema europeo de certificación de la ciberseguridad de conformidad con el artículo 81, apartado 2, letra g);

k)facilitar la coherencia de los esquemas europeos de certificación de la ciberseguridad con las normas internacionales reconocidas, en particular como parte del mantenimiento de los esquemas europeos de certificación de la ciberseguridad existentes y, cuando proceda, hacer recomendaciones a ENISA para que colabore con las organizaciones europeas o internacionales de normalización correspondientes al objeto de solucionar las deficiencias o lagunas en las normas vigentes reconocidas a nivel europeo o internacional.

4.Con la asistencia de ENISA, la Comisión presidirá el GECC y le proporcionará una secretaría.

5.La Comisión podrá crear subgrupos del GECC para cualquiera de los siguientes fines:

a)examinar cuestiones específicas sobre la base del mandato establecido por la Comisión;

b)mantener y revisar los esquemas europeos de certificación de conformidad con el presente Reglamento y sobre la base del mandato establecido por la Comisión.

6.Los subgrupos presentarán sus informes al GECC.

7.Los subgrupos estarán copresididos por la Comisión y ENISA, y la secretaría de los subgrupos correrá a cargo de ENISA.

8.El GECC y sus subgrupos adoptarán su reglamento interno por mayoría simple de sus miembros, sobre la base de una propuesta de la Comisión y de acuerdo con ella.

Sección 2 
Organismos de evaluación de la conformidad

Artículo 91
Competencia de los organismos de evaluación de la conformidad

1.Los organismos de evaluación de la conformidad estarán acreditados por el organismo nacional de acreditación designado con arreglo al Reglamento (CE) n.º 765/2008. Dicha acreditación se expedirá únicamente si se el organismo de evaluación de la conformidad cumple los requisitos establecidos en el anexo I del presente Reglamento.

2.Cuando una autoridad nacional de certificación de la ciberseguridad expida un certificado europeo de ciberseguridad de conformidad con el presente Reglamento, el organismo de certificación de la autoridad nacional de certificación de la ciberseguridad será acreditado como organismo de evaluación de la conformidad con arreglo al apartado 1.

3.La acreditación mencionada en el apartado 1 se expedirá a los organismos de evaluación de la conformidad por un período máximo de cinco años y podrá renovarse, siempre y cuando el organismo de evaluación de la conformidad cumpla los requisitos establecidos en el presente artículo. Los organismos nacionales de acreditación tomarán todas las medidas apropiadas dentro de un período razonable de tiempo para restringir, suspender o revocar la acreditación de un organismo de evaluación de la conformidad expedida en virtud del apartado 1 cuando las condiciones de la acreditación no se cumplan, o hayan dejado de cumplirse, o cuando el organismo de evaluación de la conformidad no cumpla lo dispuesto en el presente Reglamento.

4.Al establecer requisitos de acreditación adicionales o específicos para un esquema europeo de certificación de la ciberseguridad que abarque productos de TIC, de conformidad con el artículo 92, se buscarán sinergias, cuando corresponda, con los requisitos relativos a los organismos notificados en virtud del Reglamento (UE) 2024/2847 y los requisitos de acreditación en virtud de los esquemas de certificación de la ciberseguridad que ya se hayan adoptado.

5.Cuando un organismo de evaluación de la conformidad esté acreditado con arreglo al Reglamento (UE) 2024/2847, las autoridades pertinentes podrán reutilizar los resultados de procesos de acreditación anteriores en relación con cualquier requisito que se solape como prueba durante el proceso de acreditación en virtud del presente Reglamento.

Artículo 92
Armonización adicional de la competencia de los organismos de evaluación de la conformidad

1.Cuando un esquema europeo de certificación de la ciberseguridad establezca requisitos adicionales o específicos con arreglo al artículo 81, apartado 3, letra f), una autoridad nacional de certificación de la ciberseguridad designada con arreglo al artículo 88, apartado 1, autorizará a los organismos de evaluación de la conformidad para llevar a cabo tareas en el marco de dicho esquema. Dicha autorización solo se expedirá en los casos en que el organismo de evaluación de la conformidad haya sido acreditado y cumpla los requisitos adicionales o específicos establecidos en el esquema europeo de certificación de la ciberseguridad.

2.Cuando un organismo de evaluación de la conformidad solicite una autorización en virtud del presente artículo, la presentará ante la autoridad nacional de certificación de la ciberseguridad del Estado miembro en el que está establecido o ante la autoridad nacional de certificación de la ciberseguridad a la que dicho Estado miembro haya recurrido de conformidad con el artículo 88, apartado 1.

3.Un organismo de evaluación de la conformidad podrá solicitar la autorización de una autoridad nacional de certificación de la ciberseguridad distinta de las mencionadas en el apartado 2 en cualquiera de las situaciones siguientes:

a)cuando la autoridad nacional de certificación de la ciberseguridad a que se refiere el apartado 1 no lleve a cabo la autorización respecto de las actividades de evaluación de la conformidad para las que se solicite la autorización;

b)cuando la autoridad nacional de certificación de la ciberseguridad a que se refiere el apartado 1 no haya sido objeto de una revisión por homólogos de conformidad con el artículo 89 en relación con las actividades de evaluación de la conformidad para las que se solicite la autorización.

4.Cuando una autoridad nacional de certificación de la ciberseguridad reciba una solicitud conforme a lo dispuesto en el apartado 3, informará a la autoridad nacional de certificación de la ciberseguridad del Estado miembro en el que esté establecido el organismo de evaluación de la conformidad solicitante. En tales casos, la autoridad nacional de certificación de la ciberseguridad de dicho Estado miembro podrá participar en la autorización en calidad de observador.

5.Una autoridad nacional de certificación de la ciberseguridad podrá solicitar a otra autoridad nacional de certificación de la ciberseguridad que realice partes de la actividad de evaluación. En tal caso, el certificado de autorización deberá ser expedido por la autoridad solicitante.

6.La autorización a que se refiere el apartado 1 será válida durante un período no superior al período de validez de la acreditación, y podrá renovarse siempre que el organismo de evaluación de la conformidad cumpla los requisitos establecidos en el apartado 1 y su acreditación también se haya renovado.

7.Las autoridades nacionales de certificación de la ciberseguridad tomarán todas las medidas necesarias, dentro de un período razonable de tiempo, para restringir, suspender o revocar la autorización de un organismo de evaluación de la conformidad expedida en virtud del apartado 1 cuando las condiciones de la autorización no se cumplan, o hayan dejado de cumplirse, o cuando el organismo de evaluación de la conformidad no cumpla lo dispuesto en el presente Reglamento.

8.La Comisión estará facultada para adoptar actos de ejecución a fin de establecer los procedimientos, también en materia de cooperación transfronteriza, para la autorización de los organismos de evaluación de la conformidad. En el proceso de preparación de los actos de ejecución, la Comisión consultará a ENISA y al GECC. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

Artículo 93
Notificación de los organismos de evaluación de la conformidad

1.Para cada esquema europeo de certificación de la ciberseguridad, las autoridades nacionales de certificación de la ciberseguridad de un Estado miembro notificarán a la Comisión y a los demás Estados miembros los organismos de evaluación de la conformidad que se hayan acreditado y, cuando corresponda, que se hayan autorizado con arreglo al artículo 92.

2.Las autoridades nacionales de certificación de la ciberseguridad llevarán a cabo la notificación a que se refiere el apartado 1 utilizando la herramienta de notificación electrónica desarrollada y gestionada por la Comisión.

3.La Comisión estará facultada para adoptar actos de ejecución a fin de establecer las circunstancias, los formatos y los procedimientos para las notificaciones a que se refiere el apartado 1 del presente artículo, incluido el procedimiento de oposición de otros Estados miembros durante el proceso de notificación, la identificación única de los organismos de evaluación de la conformidad, así como las circunstancias para la restricción, suspensión o retirada de la notificación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

Artículo 94
Impugnaciones relativas a la competencia de los organismos de evaluación de la conformidad

1.La Comisión investigará cualquier caso en el que albergue dudas, o tenga conocimiento de dudas, acerca de la competencia de un organismo de evaluación de la conformidad para cumplir los requisitos y responsabilidades a los que esté sujeto, o acerca del mantenimiento del cumplimiento de dichos requisitos y responsabilidades por parte de dicho organismo.

2.La autoridad nacional de certificación de la ciberseguridad facilitará a la Comisión, cuando esta así lo solicite, toda la información en que se fundamente la notificación o el mantenimiento de la competencia del organismo notificado correspondiente.

3.La Comisión garantizará el tratamiento confidencial de toda la información sensible recabada en el transcurso de sus investigaciones.

4.Cuando la Comisión compruebe que un organismo de evaluación de la conformidad no cumple o ha dejado de cumplir los requisitos para su notificación, informará de ello a la autoridad nacional de certificación de la ciberseguridad y le pedirá que adopte las medidas correctoras necesarias, incluida, si es precisa, la anulación de la notificación.

5.Los Estados miembros garantizarán que exista un procedimiento de recurso frente a las decisiones del organismo notificado.

Artículo 95
Obligación de información y conservación de los organismos de evaluación de la conformidad

1.Los organismos de evaluación de la conformidad informarán a la autoridad nacional de certificación de la ciberseguridad de lo siguiente:

a)toda denegación, restricción, suspensión o retirada de un certificado;

b)toda circunstancia que afecte al alcance y a las condiciones de la notificación a que se refiere el artículo 93, apartado 1;

c)toda solicitud de información sobre las actividades de evaluación de la conformidad que hayan recibido de las autoridades de vigilancia del mercado;

d)previa solicitud, toda actividad de evaluación de la conformidad realizada dentro del ámbito de su notificación y cualquier otra actividad realizada, incluidas la subcontratación y las actividades transfronterizas.

2.Los organismos de evaluación de la conformidad también facilitarán a ENISA la información a que se refiere el apartado 1, letra a), con el fin de facilitar el desempeño de su cometido con arreglo al artículo 79.

3.Los organismos de evaluación de la conformidad facilitarán, sin demora indebida, a los demás organismos de evaluación de la conformidad en virtud del presente Reglamento, que lleven a cabo actividades de evaluación de la conformidad similares que abarquen los mismos productos, servicios y procesos de TIC, servicios de seguridad gestionados o entidades cuya posición en materia de ciberseguridad esté certificada, información pertinente sobre cuestiones relacionadas con resultados negativos y, previa solicitud, resultados positivos de la evaluación de la conformidad.

4.Los organismos de evaluación de la conformidad mantendrán un sistema de registro que contenga todos los documentos y pruebas presentados o recibidos en relación con cada evaluación y certificación que realicen. El registro se conservará de manera segura y accesible durante el período necesario a efectos de la certificación y, como mínimo, durante cinco años tras la expiración o retirada de un certificado europeo de ciberseguridad pertinente.

Sección 3 
Otras disposiciones

Artículo 96
Derecho a presentar una reclamación y derecho a la tutela judicial efectiva 

1.Las personas físicas o jurídicas tendrán derecho a presentar una reclamación ante el responsable de expedir un certificado europeo de ciberseguridad o, cuando la reclamación esté relacionada con un certificado europeo de ciberseguridad expedido por un organismo de evaluación de la conformidad que actúe con arreglo al artículo 85, apartado 4, ante la autoridad nacional de certificación de la ciberseguridad pertinente.

2.La autoridad u organismo ante el que se haya presentado la reclamación informará al reclamante sobre el curso del procedimiento, sobre la decisión tomada y sobre el derecho de recurso a la tutela judicial efectiva a que se refieren los apartados 3 y 4.

3.Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva en lo que respecta a:

a)las decisiones de la autoridad u organismo mencionado en el apartado 1, en particular y cuando corresponda en lo que respecta a la expedición, la no expedición o el reconocimiento de un certificado europeo de ciberseguridad del que sea titular dicha persona física o jurídica;

b)la inacción con respecto a una reclamación presentada ante la autoridad u organismo mencionado en el apartado 1.

4.Los recursos presentados en aplicación del presente artículo se dirimirán en los tribunales del Estado miembro donde se encuentre la autoridad u organismo ante el cual se plantea el procedimiento judicial.

Artículo 97
Sanciones

Los Estados miembros establecerán el régimen de sanciones aplicables a las infracciones del presente título y de los esquemas europeos de certificación de la ciberseguridad y adoptarán todas las medidas necesarias para garantizar su aplicación. Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, sin demora, y le notificarán toda modificación posterior.

TÍTULO IV 
SEGURIDAD DE LAS CADENAS DE SUMINISTRO DE TIC

CAPÍTULO I 
Marco de confianza de las cadenas de suministro de TIC

Artículo 98
Ámbito de aplicación del marco

1.El marco de confianza de las cadenas de suministro de TIC establecerá un mecanismo de seguridad a escala de la Unión para hacer frente a los riesgos no técnicos en sectores de alta criticidad y otros sectores críticos a que se refiere la Directiva (UE) 2022/2555. El mecanismo determinará los activos de TIC clave en las cadenas de suministro de TIC críticas y establecerá medidas de mitigación adecuadas y proporcionadas para las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555.

2.Las obligaciones que se establecen en el presente título se entenderán sin perjuicio de las obligaciones establecidas en el artículo 13 del Reglamento (UE) 2024/2847 y en las disposiciones nacionales que transponen el artículo 21 de la Directiva (UE) 2022/2555.

3.Las disposiciones que establece el presente capítulo no serán óbice para que los Estados miembros adopten o mantengan disposiciones que garanticen un nivel más elevado de ciberseguridad en las cadenas de suministro de TIC, siempre y cuando tales disposiciones sean compatibles con sus obligaciones establecidas en el Derecho de la Unión.

Artículo 99
Evaluaciones del riesgo para la seguridad

1.La Comisión o un grupo de al menos tres Estados miembros podrán solicitar al Grupo de Cooperación establecido por el artículo 14 de la Directiva (UE) 2022/2555 (en lo sucesivo, «Grupo de Cooperación SRI») que lleve a cabo evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión de conformidad con el artículo 22 de dicha Directiva. Cuando se realice una evaluación de los riesgos de seguridad a raíz de dicha solicitud, esta incluirá, en particular, la determinación propuesta de los activos de TIC clave de la cadena de suministro de TIC correspondiente, así como los principales agentes de riesgo, riesgos y vulnerabilidades que afecten a dichos activos. Las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión elaborarán escenarios de riesgo y propondrán medidas para mitigar los riesgos detectados.

2.Las evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión se completarán en un plazo de seis meses a partir de la solicitud a que se refiere el apartado 1. A petición de la Comisión, el Grupo de Cooperación SRI podrá acordar un período más breve. 

3.Cuando la Comisión tenga motivos suficientes para creer que existe una ciberamenaza significativa para la seguridad de la Unión en relación con una cadena de suministro de TIC y que es necesario actuar para preservar el correcto funcionamiento del mercado interior, la Comisión procederá sin demora a:

a)consultar a los Estados miembros sobre la necesidad de adoptar una o varias de las medidas de mitigación a que se refiere el artículo 103; y

b)realizar una evaluación de los riesgos de seguridad, teniendo en cuenta la consulta a los Estados miembros. La evaluación de los riesgos de seguridad incluirá la determinación propuesta de los activos de TIC clave, así como de los principales agentes de riesgo, riesgos y vulnerabilidades que afecten a dichos activos. La evaluación de los riesgos de seguridad elaborará escenarios de riesgo y propondrá medidas para mitigar los riesgos detectados.

Artículo 100
Designación de terceros países que plantean preocupaciones en materia de ciberseguridad

1.Cuando, como resultado de la evaluación del riesgo para la seguridad a que se refiere el artículo 99, o sobre la base de otras fuentes, como una declaración pública en nombre de la Unión o de un Estado miembro, se ponga de manifiesto que un tercer país plantea un riesgo grave y estructurales de carácter no técnico para las cadenas de suministro de TIC, la Comisión verificará el riesgo planteado por dicho país, teniendo en cuenta los siguientes elementos:

a)la existencia, en el tercer país, de leyes que obliguen a las entidades bajo su jurisdicción a notificar a las autoridades de dicho tercer país información sobre las vulnerabilidades de software o hardware antes de que se tenga conocimiento de que dichas vulnerabilidades se han aprovechado;

b)la existencia de prácticas existentes en el tercer país, demostradas por fuentes independientes, que obliguen a las entidades bajo su jurisdicción a notificar a las autoridades de dicho tercer país información sobre vulnerabilidades de software o hardware antes de que se tenga conocimiento de que dichas vulnerabilidades se han aprovechado;

c)la ausencia de recursos judiciales efectivos y de mecanismos de control independientes y democráticos que puedan corregir los problemas de seguridad detectados, en particular en relación con las prácticas existentes a que se refiere la letra b);

d)la existencia de información fundamentada sobre uno o varios incidentes en los que agentes de riesgo controlados desde ese país y que operen fueran del territorio de dicho país hayan llevado a cabo actividades o campañas cibernéticas malintencionadas, así como la falta de capacidad o de voluntad del tercer país para cooperar con la Comisión o los Estados miembros para hacer frente al riesgo derivado de la actuación de dichos agentes de riesgo;

e)información pertinente procedente de evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión o de informes de los Estados miembros o de organizaciones internacionales.

2.Cuando la Comisión, tras la verificación a que se refiere el apartado 1, llegue a la conclusión de que un tercer país plantea riesgos graves y estructurales de carácter no técnico para las cadenas de suministro de TIC, podrá, mediante un acto de ejecución, designar a dicho tercer país como país que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

3.La Comisión revisará periódicamente los actos de ejecución adoptados de conformidad con el apartado 2. 

4.Los proveedores de alto riesgo no tendrán derecho a:

a)participar en el desarrollo, la evaluación, la consulta o las decisiones relativas a las normas europeas y los documentos europeos de normalización a que se refiere el artículo 10, apartado 1, del Reglamento (UE) n.º 1025/2012 y las especificaciones comunes a que se refiere el artículo 27 del Reglamento (UE) 2024/2847 en el ámbito de la ciberseguridad;

b)solicitar o ser titulares de ningún certificado europeo de ciberseguridad con arreglo al título III;

c)convertirse en organismos de evaluación de la conformidad acreditados con arreglo al título III;

d)solicitar ser prestadores de declaraciones autorizados de ninguna declaración individual europea de las capacidades en materia de ciberseguridad con arreglo al título II, sección 4;

e)participar en procedimientos de contratación pública, organizados de conformidad con la legislación por la que se transpongan la Directiva 2014/24/UE y la Directiva 2014/25/UE en relación con el suministro de componentes de TIC o componentes que incluyan componentes de TIC para su uso en activos de TIC clave identificados de conformidad con el artículo 102;

f)participar en ninguna actividad en el marco de los programas e instrumentos de financiación de la Unión ejecutados en régimen de gestión directa e indirecta de conformidad con el artículo 136 del Reglamento (UE, Euratom) 2024/2509 y las normas sectoriales específicas de la Unión, así como en ninguna actividad de financiación de la Unión ejecutada en régimen de gestión compartida en relación con el suministro de componentes de TIC o componentes que incluyan componentes de TIC que vayan a utilizarse en activos de TIC clave identificados de conformidad con el artículo 102.

Las autoridades encargadas de los procedimientos a que se refieren las letras a) a f) llevarán a cabo las evaluaciones necesarias a efectos del presente apartado. Las autoridades también podrán basarse a tal efecto en la lista a que se refiere el artículo 104.

5.En los casos en que un proveedor de alto riesgo ya haya obtenido un certificado europeo de ciberseguridad de conformidad con el título III, la autoridad competente lo retirará sin demora indebida.

Artículo 101
Mecanismo general de seguridad de las cadenas de suministro de TIC

Cuando el Grupo de Cooperación SRI haya llevado a cabo una evaluación coordinada de los riesgos de seguridad a escala de la Unión con arreglo al artículo 99, apartado 1, del presente Reglamento, o una vez finalizado el procedimiento en caso de ciberamenaza significativa con arreglo al artículo 99, apartado 3, para una cadena de suministro de TIC, la Comisión podrá adoptar las medidas previstas en el artículo 102 y el artículo 103, apartados 1 y 2.

Artículo 102
Determinación de activos de TIC clave

1.Cuando la evaluación de riesgos realizada de conformidad con el artículo 99, apartados 1 o 3, indique riesgos de ciberseguridad significativos en relación con una cadena de suministro de TIC, la Comisión estará facultada para adoptar actos de ejecución que determinen los activos de TIC clave utilizados para la fabricación de productos o la prestación de servicios por parte de las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2, del presente Reglamento. 

2.Al determinar los activos de TIC clave a que se refiere el apartado 1, la Comisión tendrá en cuenta los siguientes elementos:

a)si dichos activos tienen funciones esenciales y sensibles para el funcionamiento de los productos fabricados o los servicios prestados por la entidad del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555;

b)si los incidentes, en particular los provocados por vulnerabilidades aprovechables relativas a dichos activos, pueden dar lugar a perturbaciones graves de las cadenas de suministro de TIC en todo el mercado interior o a la exfiltración de datos;

c)si existe una dependencia de un número limitado de proveedores de dichos activos; 

d)los resultados de la evaluación de riesgos a que se refiere el artículo 99.

Artículo 103
Medidas de mitigación en las cadenas de suministro de TIC

1.La Comisión estará facultada para adoptar actos de ejecución que establezca, cuando sea necesario para garantizar un elevado nivel de ciberseguridad, ciberresiliencia y confianza dentro de la Unión, que determinados tipos de entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 tengan prohibido utilizar, instalar o integrar de cualquier forma componentes de TIC o componentes que incluyan componentes de TIC de proveedores de alto riesgo identificados de conformidad con el artículo 104 en activos de TIC clave identificados de conformidad con el artículo 102. Dichos actos de ejecución establecerán períodos transitorios adecuados, durante los cuales la Comisión publicará la lista de proveedores de alto riesgo a que se refiere el artículo 104, así como períodos de tiempo adicionales para la eliminación progresiva de los pertinentes componentes de TIC y componentes que incluyan componentes de TIC. Estos actos de ejecución también podrán especificar estos componentes de TIC o componentes que incluyan componentes de TIC.

2.La Comisión estará facultada para adoptar actos de ejecución que establezcan, cuando sea necesario para garantizar un elevado nivel de ciberseguridad, ciberresiliencia y confianza dentro de la Unión, que determinados tipos de entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 estarán sujetas a una o varias de las siguientes medidas de mitigación en relación con su cadena de suministro de TIC y, en particular, con los activos de TIC clave identificados de conformidad con el artículo 102, con objeto de mitigar los riesgos detectados en las evaluaciones de los riesgos de seguridad realizadas con arreglo al artículo 99:

a)aplicación de los requisitos de transparencia relativos al suministro de información a la autoridad competente sobre los proveedores de las cadenas de suministro de TIC para los activos de TIC clave identificados de conformidad con el artículo 102;

b)prohibición relacionada con las transferencias de datos a terceros países y el tratamiento de datos a distancia desde un tercer país;

c)medidas técnicas que un tercero deberá auditar, entre ellas: 

i) el uso del tratamiento en el propio dispositivo;

ii) la segmentación específica de los sistemas de red;

iii) la inhabilitación de cualquier acceso remoto o físico a activos de TIC clave;

iv) la desactivación de funciones no esenciales;

v) el seguimiento operativo de la red;

vi) la realización de pruebas de hardware y software.

d)restricciones relacionadas con el control operativo, en particular la externalización de funciones organizativas a proveedores de servicios gestionados;

e)restricciones relacionadas con las relaciones contractuales de la entidad con sus proveedores;

f)el requisito de que el servicio sea explotado, gestionado, mantenido o apoyado por personal autorizado por las autoridades nacionales competentes pertinentes;

g)diversificación del suministro de componentes de TIC o componentes incluidos en componentes de TIC.

3.Al introducir las medidas a que se refiere el apartado 2, la Comisión podrá establecer requisitos técnicos y metodológicos para tales medidas.

4.Antes de adoptar los actos de ejecución a que se refieren los apartados 1 y 2, la Comisión evaluará los posibles riesgos y dependencias y, en particular:

a)cuando proceda, el nivel de riesgo asociado al uso, instalación o integración, en cualquier forma, de componentes de TIC o componentes que incluyan componentes de TIC de proveedores de alto riesgo en activos de TIC clave;

b)las posibles repercusiones económicas y sociales que la obligación puede tener en las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555;

c)la disponibilidad de proveedores alternativos a los proveedores de alto riesgo;

d)la posible perturbación de las actividades económicas y sociales transfronterizas causada por un incidente que afecte a la cadena de suministro de TIC de una entidad.

5.Los actos de ejecución a que se refieren los apartados 1 y 2 del presente artículo se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 118, apartado 2, y se revisarán al menos cada treinta y seis meses. 

6.En circunstancias excepcionales que justifiquen una intervención para preservar el correcto funcionamiento del mercado interior y cuando la Comisión tenga motivos suficientes para considerar que el uso, la instalación o la integración de componentes de TIC o de componentes que incluyan componentes de TIC de una entidad específica establecida o controlada por un tercer país o entidades de un tercer país, o un nacional de un tercer país, representan un riesgo de ciberseguridad significativo de naturaleza no técnica para las actividades económicas o sociales de al menos tres Estados miembros, la Comisión consultará sin demora a los Estados miembros acerca de la necesidad de adoptar medidas a escala de la Unión.

7.La Comisión estará facultada para adoptar actos de ejecución por los que se establezca que determinados tipos de entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 tengan prohibido utilizar, instalar o integrar componentes de TIC o componentes que incluyan componentes de TIC procedentes de una entidad contemplada en el apartado 6. Para ello, consultará a las entidades de los tipos contemplados en los anexos I y II de la Directiva (UE) 2022/2555 potencialmente afectadas por la prohibición. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2. Cuando proceda, incluirán períodos de tiempo adecuados para la eliminación progresiva de estos componentes de TIC o componentes que incluyan componentes de TIC. Dichos actos de ejecución también podrán especificar este componente o componentes de TIC que incluyan componentes de TIC sujetos a la prohibición. Esta prohibición también afectará a los componentes de TIC o componentes que incluyan componentes de TIC, de todas las entidades controladas por la entidad específica a que se refiere el apartado 6.

8.Los actos de ejecución a que se refieren los apartados 1, 2 y 7 también podrán especificar que las medidas de mitigación solo son aplicables a los tipos de entidades contempladas en los anexos I y II de la Directiva (UE) 2022/2555 que tengan un tamaño específico.

9.El artículo 100, apartado 4, se aplicará a la entidad específica establecida en un tercer país o controlada por un tercer país, o una entidad de un tercer país o un nacional de un tercer país a que se refiere el apartado 7. 

10.Los actos de ejecución adoptados de conformidad con los apartados 1, 2 y 7 que sean aplicables a los tipos de entidades a que se refiere el anexo I, punto 10, de la Directiva (UE) 2022/2555 se aplicarán mutatis mutandis a las instituciones, órganos y organismos europeos.

Artículo 104
Determinación de proveedores de alto riesgo

1.Mediante actos de ejecución, la Comisión establecerá listas de proveedores de alto riesgo pertinentes para las prohibiciones establecidas en los actos de ejecución adoptados de conformidad con el artículo 103, apartados 1 y 7, o la prohibición a que se refiere el artículo 111, apartado 1. 

2.A tal fin, la Comisión realizará un inventario de los proveedores que suministren componentes de TIC y componentes que incluyan componentes de TIC pertinentes para la prohibición a que se refiere el apartado 1.

Sobre esta base, la Comisión realizará una evaluación inicial para determinar cuáles de los proveedores incluidos en el inventario están potencialmente establecidos en un tercer país designado de conformidad con el artículo 100 o controlados por dicho tercer país, por una entidad establecida en dicho tercer país o por un nacional de dicho tercer país. La Comisión también realizará un inventario inicial de los proveedores potencialmente controlados por la entidad a que se refiere el artículo 103, apartado 6.

3.La Comisión evaluará el lugar de establecimiento, así como la estructura de titularidad y control de los proveedores identificados inicialmente de conformidad con el apartado 2, párrafo segundo.

4.A efectos de la evaluación a que se refiere el apartado 3, la Comisión estará facultada para solicitar la información necesaria a los proveedores. En caso de que el proveedor no facilite la información necesaria en el plazo establecido, la Comisión podrá concluir que el proveedor está establecido en un tercer país designado de conformidad con el artículo 100 o controlado por dicho tercer país, por entidades o por nacionales de dicho tercer país. Cuando la Comisión esté llevando a cabo una evaluación a efectos del artículo 103, apartado 7, y el proveedor no facilite la información necesaria en el plazo establecido, la Comisión podrá concluir que el proveedor está controlado por una entidad designada de conformidad con dicho artículo. Las autoridades competentes a que se refiere el artículo 112 también compartirán con la Comisión, previa solicitud, la información pertinente.

5.La Comisión comunicará al proveedor afectado las conclusiones preliminares relativas a la evaluación del establecimiento, la propiedad y el control. La Comisión dará al proveedor la oportunidad de ser oído sobre dichas conclusiones preliminares.

6.La Comisión podrá solicitar a una autoridad competente que lleve a cabo la evaluación inicial del establecimiento, la titularidad y el control de un proveedor, cuando esté justificado habida cuenta de las características del funcionamiento de dicho proveedor. Una autoridad competente podrá proponer que se lleve a cabo dicha evaluación inicial. La Comisión verificará estas conclusiones iniciales con vistas a decidir si el proveedor debe incluirse en la lista de proveedores de alto riesgo.

7.La Comisión actualizará periódicamente la lista de proveedores de alto riesgo con vistas a eliminar o añadir proveedores de alto riesgo. Los proveedores de alto riesgo incluidos en la lista podrán solicitar a la Comisión que vuelva a evaluar su establecimiento, control y estructura de propiedad previa aportación de pruebas de que se han producido cambios pertinentes. 

8.Cuando una autoridad competente tenga conocimiento, en particular sobre la base de la información facilitada por una entidad del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555, de que podría ser necesario incluir un proveedor en una lista de proveedores de alto riesgo, informará de ello a la Comisión sin demora indebida.

Artículo 105
Exención para las entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad

1.Una entidad establecida en un tercer país o controlada por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el artículo 100 podrá presentar a la Comisión una solicitud motivada de exención:

a)de la prohibición impuesta a las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 de utilizar, instalar o integrar de cualquier forma sus componentes de TIC o componentes que incluyan sus componentes de TIC en activos de TIC clave de dichas entidades, no obstante lo dispuesto en el artículo 111 o en los actos de ejecución adoptados en virtud del artículo 103, apartado 1;

b)de la prohibición de participar en procedimientos de contratación pública, organizados de conformidad con la legislación de transposición de la Directiva 2014/24/UE y la Directiva 2014/25/UE, en relación con el suministro de componentes de TIC o componentes que incluyan componentes de TIC para su uso en activos de TIC clave definidos de conformidad con el artículo 102, como excepción a lo dispuesto en el artículo 100, apartado 4.

2.En la solicitud a que se refiere el apartado 1:

a)se especificará el interés de la entidad establecida o controlada por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad designado de conformidad con el artículo 100 en que se le conceda la exención a que se refiere el apartado 1 del presente artículo; y

b)se demostrará con pruebas claras que se adoptarán medidas de mitigación eficaces para hacer frente a los riesgos de naturaleza no técnica y garantizar la ausencia de cualquier posible ejercicio de injerencia indebida por parte del tercer país designado con arreglo al artículo 100 en relación con el suministro de componentes de TIC o componentes que incluyan componentes de TIC para el uso, la instalación o la integración en activos de TIC clave de una entidad del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555.

3.La Comisión estará facultada para adoptar actos de ejecución a fin de especificar en mayor medida las condiciones a que se refiere el apartado 2, letra b), y establecer normas detalladas en relación con los procedimientos a que se refiere el presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

4.La Comisión evaluará la solicitud a que se refiere el apartado 1 mediante un proceso justo y transparente, que tenga en cuenta:

a)las circunstancias y los elementos adicionales a que se refieren el artículo 100, apartados 1 y 2, en relación con el país designado que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC en las que esté establecida la entidad o desde las que esté controlada;

b)la eficacia de las medidas de mitigación a que se refiere el apartado 2, letra b);

c)si la exención para la entidad establecida en un tercer país o controlada por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC no sería perjudicial para el interés de la Unión.

5.Cuando, tras la evaluación a que se refiere el apartado 3, la Comisión llegue a la conclusión de que está justificado conceder una exención, adoptará una decisión en tal sentido, que notificará al solicitante en un plazo de nueve meses a partir de la recepción de la solicitud.

6.Al adoptar la decisión a que se refiere el apartado 4, la Comisión podrá limitar la exención a un período de tiempo específico y podrá supeditarla a condiciones para la entidad, entre ellas:

a)unos plazos para aplicar las medidas de mitigación a que se refiere el apartado 2, letra b);

b)auditorías por terceros periódicas para garantizar la aplicación efectiva de las medidas de mitigación;

c)la obligación de informar en relación con el cumplimiento.

7.Cuando, tras la evaluación a que se refiere el apartado 3, la Comisión llegue a la conclusión de que no está justificado conceder una exención, adoptará una decisión en tal sentido y la notificará a los solicitantes en un plazo de nueve meses a partir de la recepción de la solicitud. 

8.La Comisión podrá, por propia iniciativa, revocar o modificar la decisión a que se refiere el apartado 4 en una o varias de las situaciones siguientes:

a)que se haya producido un cambio sustancial en los hechos en los que se basó la decisión;

b)que la entidad que ha solicitado la exención actúa en contra de sus compromisos;

c)que la exención se basara en información incompleta, incorrecta o engañosa facilitada por la entidad que presentó la solicitud.

Artículo 106
Derecho de defensa

La Comisión velará por que, antes de adoptar un acto de ejecución con arreglo al artículo 103, apartado 7, o antes de adoptar una decisión por la que se deniegue la concesión de una exención con arreglo al artículo 105, apartado 7, sobre la base de elementos no presentados por el solicitante, o antes de retirar una decisión con arreglo al artículo 105, apartado 8, se conceda a la entidad afectada la oportunidad de ser oída, teniendo en cuenta la necesidad, en algunos casos, de un procedimiento de urgencia.

Artículo 107
Registro

La Comisión llevará un registro de acceso público de sus decisiones a que se refiere el artículo 105, apartado 5. El registro indicará los nombres de las entidades que hayan sido objeto de tales decisiones. La Comisión actualizará el registro periódicamente.

Artículo 108
Confidencialidad

La información que la Comisión reciba de conformidad con los artículos 105 y 106 únicamente podrá destinarse al fin para el que fue obtenida.

Artículo 109
Tasas

1.La Comisión cobrará tasas por las solicitudes presentadas de conformidad con el artículo 105, apartado 1.

2.Las tasas se expresarán y pagarán en euros.

3.Las tasas serán proporcionales a los costes relacionados con la tramitación de las solicitudes a que se refiere el artículo 105, apartado 1, la evaluación de los criterios y la información a que se refiere el artículo 105, apartado 2, y la creación, el mantenimiento y el funcionamiento del registro a que se refiere el artículo 107. Todos los gastos de la Comisión atribuibles al personal que participe en esas actividades se incluirán en dichos costes.

4.La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas relativas a las tasas, que especifiquen su importe y las modalidades de pago. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.

CAPÍTULO II 
Cadenas de suministro de TIC en las redes de comunicaciones electrónicas

Artículo 110
Activos de TIC clave para las redes de comunicaciones electrónicas móviles, fijas y por satélite

1.Los activos de TIC clave para las redes de comunicaciones electrónicas móviles, fijas y por satélite serán los establecidos en el anexo II.

2.Los componentes de TIC o componentes que incluyan componentes de TIC proporcionados por proveedores de alto riesgo se eliminarán gradualmente de los activos de TIC clave de las redes de comunicaciones electrónicas móviles, fijas y por satélite.

3.El plazo para la eliminación progresiva de los componentes de TIC o componentes que incluyan componentes de TIC proporcionados por proveedores de alto riesgo con respecto a las redes de comunicaciones electrónicas móviles no excederá de treinta y seis meses a partir de la publicación de la lista de proveedores de alto riesgo a que se refiere el artículo 104 pertinente para las redes de comunicaciones electrónicas móviles.

4.La Comisión estará facultada para adoptar actos de ejecución de conformidad con el artículo 118, apartado 2, a fin de especificar los plazos para la eliminación progresiva de los componentes de TIC o componentes que incluyan componentes de TIC proporcionados por proveedores de alto riesgo en relación con las redes de comunicaciones electrónicas fijas y por satélite.

5.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 119 por los que se modifique el anexo II del presente Reglamento con el fin de adaptarlo a los avances tecnológicos, teniendo en cuenta los elementos a que se refiere el artículo 103, apartado 4.

Artículo 111
Prohibiciones aplicables a las redes de comunicaciones electrónicas móviles, fijas y por satélite

1.Los prestadores de redes de comunicaciones electrónicas móviles, fijas y por satélite no utilizarán, instalarán ni integrarán, de ninguna forma, componentes de TIC o componentes que incluyan componentes de TIC de proveedores de alto riesgo en el funcionamiento de activos de TIC clave a que se refiere el anexo II.

2.En los casos en que la autoridad competente designada con arreglo al presente Reglamento en un Estado miembro difiera de la autoridad competente con arreglo al Reglamento (UE) XX/XXXX [propuesta de Ley de Redes Digitales], la autoridad competente designada en virtud del presente Reglamento informará sin demora a la autoridad competente en virtud del Reglamento (UE) XX/XXXX [propuesta de Ley de Redes Digitales] acerca de las medidas impuestas a los prestadores de redes de comunicaciones electrónicas móviles, fijas y por satélite de conformidad con el artículo 114. Las autoridades garantizarán una estrecha cooperación a efectos de la supervisión y ejecución efectivas de dichas medidas.

CAPÍTULO III 
Autoridades competentes, supervisión y ejecución, jurisdicción y derechos de defensa

Artículo 112
Autoridades competentes

1.Cada Estado miembro designará a las autoridades competentes a que se refiere el artículo 8 de la Directiva (UE) 2022/2555 como autoridades responsables de adoptar las medidas de supervisión y control del cumplimiento a que se refiere el artículo 114. 

2.Las autoridades competentes serán plenamente imparciales desde el punto de vista estructural y funcional y estarán libres de cualquier influencia externa, ya sea directa o indirecta; en particular, no solicitarán ni aceptarán instrucciones de ninguna otra autoridad pública ni de ninguna parte privada.

3.Los Estados miembros velarán por dotar a sus autoridades competentes de las facultades adecuadas, de recursos humanos y técnicos suficientes y de los conocimientos especializados pertinentes para aplicar de manera eficaz las medidas de supervisión y control del cumplimiento a que se refiere el artículo 114.

4.Cada Estado miembro notificará sin demora indebida a la Comisión los nombres de las autoridades competentes designadas de conformidad con el apartado 1, así como las tareas respectivas de dichas autoridades y cualquier cambio posterior al respecto. Cada Estado miembro también hará públicos los nombres de las autoridades competentes designadas de conformidad con el apartado 1.

Artículo 113
Red de servicios de cooperación y apoyo de la Comisión

Con vistas a una supervisión eficaz, la Comisión creará una red de cooperación entre las autoridades competentes de los Estados miembros a que se refiere el artículo 112 y la Comisión que sirva de plataforma para la cooperación y el intercambio de información, en particular a efectos del establecimiento, el control y la evaluación de la propiedad a que se refiere el artículo 104. La Comisión proporcionará a la red apoyo administrativo.

Artículo 114
Medidas de supervisión y control del cumplimiento

1.Las autoridades competentes a que se refiere el artículo 112 estarán facultadas para adoptar las medidas de supervisión y control del cumplimiento respecto de las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. Los Estados miembros velarán por que las mencionadas medidas sean eficaces, proporcionadas y disuasorias, teniendo en cuenta las circunstancias de cada caso. Los Estados miembros notificarán a la Comisión las normas adoptadas a tal fin y sus modificaciones posteriores.

2.En el ejercicio de sus funciones de supervisión en relación con las entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555, las autoridades competentes estarán facultadas para someter a dichas entidades a: 

a)solicitudes de una lista detallada y actualizada de sus proveedores y prestadores de servicios pertinentes;

b)solicitudes de acceso a datos, documentos e información necesaria para verificar el cumplimiento del presente Reglamento;

c)inspecciones in situ y supervisión a distancia, incluidos controles aleatorios realizados por profesionales cualificados;

d)solicitudes relativas a la composición de los productos de hardware o software instalados o integrados de cualquier forma en la red o el sistema, incluidos sus componentes y dependencias transitivas, en un formato de uso común y legible por máquina.

3.Cuando ejerzan sus facultades de control del cumplimiento en relación con las entidades del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555, las autoridades competentes podrán:

a)emitir advertencias sobre las infracciones del presente Reglamento por parte de las entidades afectadas, exponiendo los hechos y las consideraciones jurídicas pertinentes;

b)adoptar decisiones por las que se exija a las entidades afectadas que subsanen la infracción del presente Reglamento o las deficiencias detectadas en la aplicación de medidas de mitigación;

c)ordenar a las entidades afectadas que pongan fin a las actividades que infrinjan el presente Reglamento y que se abstengan de repetirlas; e

d)imponer sanciones, de conformidad con las normas relativas al importe establecido en el artículo 115, o solicitar la imposición de dichas sanciones por parte de los órganos jurisdiccionales competentes, de conformidad con el Derecho nacional.

4.Al adoptar cualquiera de las medidas de ejecución a que se refiere el apartado anterior, las autoridades competentes valorarán las circunstancias de cada caso y tendrán debidamente en cuenta los siguientes factores:

a)la gravedad de la infracción y la importancia de las disposiciones infringidas;

b)la duración de la infracción;

c)el volumen de negocios de la entidad de que se trate;

d)toda infracción anterior pertinente cometida por la entidad afectada;

e)cuando corresponda, todo perjuicio material o inmaterial causado por la infracción, incluidas las pérdidas financieras o económicas, los efectos para otras entidades y el número de usuarios afectados;

f)cualquier intencionalidad o negligencia por parte de la entidad afectada;

g)cualesquiera medidas adoptadas por la entidad para prevenir o mitigar los perjuicios materiales o inmateriales;

h)el nivel de cooperación con las autoridades competentes de las personas físicas o jurídicas consideradas responsables.

A efectos del párrafo primero, letra a), constituirán infracción grave:

i)los incumplimientos reiterados;

j)la ausencia de notificación o subsanación de los incidentes significativos;

k)la ausencia de subsanación de deficiencias tras recibir instrucciones vinculantes de las autoridades competentes.

5.Las autoridades competentes notificarán a las entidades afectadas sus conclusiones preliminares antes de adoptar medidas de ejecución. Se concederá a las entidades afectadas un plazo razonable para presentar observaciones sobre las conclusiones preliminares. Las autoridades competentes argumentarán detalladamente sus medidas de ejecución.

6.Las autoridades competentes respetarán los principios de confidencialidad y de secreto profesional y comercial.

7.Las autoridades competentes cooperarán entre sí y con la Comisión a efectos de la supervisión y el control del cumplimiento en virtud del presente título, de conformidad con el artículo 116.

Artículo 115
Sanciones

1.Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su ejecución.

2.Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, y le notificarán sin demora toda modificación posterior.

3.Las sanciones se impondrán a título adicional con relación a cualquiera de las medidas contempladas en el artículo 114, apartado 3, letras a), b) y c).

4.A la hora de decidir si se impone o no una sanción, así como su cuantía en cada caso particular, se tendrán debidamente en cuenta, como mínimo, los factores a que se refiere el artículo 114, apartado 4, párrafo primero.

5.Las infracciones del artículo 103, apartado 2, letra a), estarán sujetas, de conformidad con el apartado 3 del presente artículo, a sanciones de un máximo del 1 % del volumen de negocios total anual mundial del ejercicio contable anterior de la empresa a la que pertenezca la entidad.

6.Las infracciones del artículo 103, apartado 2, letras b) a g), estarán sujetas, de conformidad con el apartado 3 del presente artículo, a sanciones de un máximo del 2 % del volumen de negocios total anual mundial del ejercicio contable anterior de la empresa a la que pertenezca la entidad.

7.Las infracciones del artículo 103, apartado 1, y del artículo 111 estarán sujetas, de conformidad con el apartado 3 del presente artículo, a sanciones de un máximo del 7 % del volumen de negocios total anual mundial del ejercicio contable anterior de la empresa a la que pertenezca la entidad.

Artículo 116
Asistencia mutua

1.Cuando una entidad del tipo a que se refieren los anexos I o II de la Directiva (UE) 2022/2555 preste servicios en más de un Estado miembro, o preste servicios en uno o varios Estados miembros y sus activos de TIC clave estén situados en uno o varios Estados miembros, las autoridades competentes de los Estados miembros de que se trate cooperarán entre sí y con la Comisión y se asistirán mutuamente y a la Comisión con vistas a garantizar la aplicación efectiva y eficiente del Reglamento. Para ello, se aplicarán, como mínimo, las normas siguientes:

a)las autoridades competentes que apliquen medidas de supervisión o control del cumplimiento en un Estado miembro informarán y consultarán a las autoridades competentes de los otros Estados miembros afectados sobre las medidas de supervisión y control del cumplimiento adoptadas;

b)una autoridad competente de una Estado miembro podrá solicitar a otra autoridad competente de otro Estado miembro que adopte medidas de supervisión o control del cumplimiento;

c)una autoridad competente en un Estado miembro, al recibir una solicitud motivada de otra autoridad competente de otro Estado miembro, prestará a esta última asistencia mutua, sobre la base de sus mejores esfuerzos, a fin de que las medidas de supervisión o control del cumplimiento puedan aplicarse de manera efectiva, eficiente y coherente.

2.La asistencia mutua contemplada en el apartado 1, letra c), podrá abarcar solicitudes de información y medidas de supervisión, incluidas las solicitudes para la realización de inspecciones in situ, supervisión a distancia o auditorías de seguridad específicas. La autoridad competente destinataria de una solicitud de asistencia no podrá negarse a ella a menos que se determine que la autoridad carece de competencias para prestar la asistencia requerida, o que dicha asistencia no se adecúa a las funciones de supervisión de la autoridad competente, o que la solicitud se refiere a información o implica actividades que, de revelarse o llevarse a cabo, resultaría contraría a intereses esenciales de la seguridad nacional, la seguridad pública o la defensa de dicho Estado miembro. Antes de denegar dicha solicitud, la autoridad competente consultará a las demás autoridades competentes afectadas, así como, a petición de uno de los Estados miembros afectados, a la Comisión.

3.Cuando proceda y de común acuerdo, las autoridades competentes de varios Estados miembros podrán emprender medidas conjuntas de supervisión.

4.Habida cuenta de la obligación de respetar los principios de confidencialidad y de secreto profesional y comercial a que se refiere el artículo 114, apartado 6, toda información intercambiada en el contexto de una solicitud de asistencia y facilitada en virtud del presente artículo se utilizará únicamente en relación con el asunto para el que se haya solicitado.

Artículo 117
Jurisdicción y territorialidad

1.Las entidades de uno de los tipos contemplados en los anexos I y II de la Directiva (UE) 2022/2555 comprendidas en el ámbito de aplicación del presente Reglamento se considerarán sometidas a la jurisdicción del Estado miembro en el que están establecidas, salvo en el caso de:

a)los prestadores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público, que se considerarán sometidos a la jurisdicción del Estado miembro en el que prestan sus servicios;

b)los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computación en nube, los proveedores de servicios de centro de datos, los proveedores de redes de distribución de contenidos, los proveedores de servicios gestionados y los proveedores de servicios de seguridad gestionados, así como los proveedores de mercados en línea, de motores de búsqueda en línea o de plataformas de servicios de redes sociales, que se considerarán sometidos a la jurisdicción del Estado miembro en el que se encuentre su establecimiento principal en la Unión con arreglo al apartado 2;

c)las entidades de la Administración Pública, que se considerarán sometidas a la jurisdicción del Estado miembro al que pertenezcan;

d)las compañías aéreas, que se considerarán sujetas a la jurisdicción del Estado miembro cuya autoridad competente para la concesión de licencias haya concedido la licencia de explotación a la entidad con arreglo al Reglamento (CE) n.º 1008/2008 del Parlamento Europeo y del Consejo 83 , o, cuando la licencia de explotación o equivalente no se haya concedido de conformidad con dicho Reglamento, se considerarán sujetas a la jurisdicción del Estado miembro en el que tengan su establecimiento principal en la Unión en virtud del apartado 2.

2.A los efectos del presente Reglamento, se considerará que una entidad de las contempladas en el apartado 1, letra b), tiene su establecimiento principal en la Unión en el Estado miembro en el que se adopten de forma predominante las decisiones relativas a las medidas para la gestión de riesgos de ciberseguridad. Si no puede determinarse dicho Estado miembro o si dichas decisiones no se toman en la Unión, se considerará que el establecimiento principal se encuentra en el Estado miembro en el que se lleven a cabo la mayoría de las operaciones de ciberseguridad. Si no puede determinarse dicho Estado miembro, se considerará que el establecimiento principal se encuentra en el Estado miembro en el que la entidad de que se trate tenga el establecimiento con mayor número de trabajadores en la Unión.

3.Si una entidad de uno de los tipos contemplados en los anexos I y II de la Directiva (UE) 2022/2555 no está establecida en la Unión, pero ofrece servicios dentro de esta, designará un representante en la Unión. El representante se establecerá en uno de aquellos Estados miembros en los que se ofrecen los servicios. Dicha entidad se considerará sometida a la jurisdicción del Estado miembro en el que se encuentre establecido su representante. Cuando dicha entidad sea una de las entidades a que se refiere el apartado 1, letra a), se considerará que está sujeta a la jurisdicción del Estado miembro en el que preste sus servicios. En ausencia de un representante dentro de la Unión designado con arreglo al presente apartado, cualquier Estado miembro en el que la entidad preste servicios podrá emprender acciones legales contra la entidad por incumplimiento del presente Reglamento.

4.La designación de un representante por una entidad de las contempladas en el apartado 1, letra b), se entenderá sin perjuicio de las acciones legales que pudieran emprenderse contra la propia entidad.

5.Los Estados miembros que hayan recibido una solicitud de asistencia mutua en relación con una entidad de las contempladas en el apartado 1, letra b), podrán, dentro de los límites de dicha solicitud, adoptar las medidas de supervisión y control del cumplimiento adecuadas en relación con la entidad en cuestión en los casos en que dicha entidad preste servicios o tenga un sistema de redes y de información en su territorio.

TÍTULO VI 
DISPOSICIONES FINALES

Artículo 118
Procedimiento de comité

1.La Comisión estará asistida por un comité. Dicho comité tendrá dos configuraciones. Por lo que respecta a los títulos II y III, la Comisión estará asistida por un comité en la primera configuración, mientras que por lo que respecta al título IV, la Comisión estará asistida por un comité en la segunda configuración. Dicho comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2.En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.º 182/2011.

Artículo 119
Ejercicio de la delegación

1.Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.Los poderes para adoptar actos delegados de conformidad con el artículo 80, apartado 2, y el artículo 110, apartado 5, se otorgan a la Comisión por un periodo de tiempo indefinido a partir de la fecha de entrada en vigor del presente Reglamento.

3.La delegación de poderes mencionada en el artículo 80, apartado 2, y el artículo 110, apartado 5, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor. 

4.Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.Los actos delegados adoptados en virtud del artículo 80, apartado 2, y del artículo 110, apartado 5, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo. 

Artículo 120
Evaluación y revisión

1.A más tardar el [DD/MM/AAAA], y posteriormente cada cinco años, la Comisión encargará una evaluación que se llevará a cabo de conformidad con las directrices de la Comisión.

2.La evaluación a que se refiere el apartado 1 incluirá lo siguiente:

a)el desempeño de ENISA en relación con sus objetivos, mandato, misión, funciones, gobernanza y ubicación;

b)la eficacia, la eficiencia y el valor añadido de la UE de los esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad establecidos en el título II, capítulo II, sección 4, del presente Reglamento;

c)las repercusiones, la eficacia y la eficiencia de las disposiciones del título III del presente Reglamento en relación con los objetivos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y las entidades en la Unión y de mejorar el funcionamiento del mercado interior;

d)las repercusiones, la eficacia y la eficiencia de las disposiciones del título IV del presente Reglamento con respecto a los objetivos del marco de confianza de las cadenas de suministro de TIC.

3.La evaluación a que se refiere el apartado 1, letra a), examinará, en particular, la posible necesidad de modificar el mandato de ENISA y las repercusiones financieras de cualquier modificación de dicha índole.

4.En una de cada dos evaluaciones a que se refiere el apartado 1, letra a), la Comisión evaluará los resultados obtenidos por ENISA a la luz de sus objetivos, mandato, misión, gobernanza y funciones, valorándose, en particular, si la continuidad de ENISA sigue estando justificada desde la óptica de dichos objetivos, mandato, misión, gobernanza y funciones.

5.La Comisión comunicará al Parlamento Europeo, al Consejo y al Consejo de Administración los resultados de la evaluación. Se publicarán las conclusiones de la evaluación.

Artículo 121
Derogación y continuación de las actividades

1.Queda derogado el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo con efectos a partir del DD/MM/AAAA.

2.Las referencias al Reglamento (UE) 2019/881, a ENISA y a los esquemas europeos de certificación de la ciberseguridad establecidos por dicho Reglamento se entenderán hechas al presente Reglamento y se leerán con arreglo a la tabla de correspondencias que figura en el anexo III del presente Reglamento.

3.ENISA, tal como se rige por el presente Reglamento, continuará las operaciones y actividades de ENISA según lo establecido por el Reglamento (UE) 2019/881 en todo lo relativo a propiedad, acuerdos, obligaciones legales, contratos de empleo, compromisos financieros y responsabilidades. Todas las decisiones del Consejo de Administración y del Comité Ejecutivo adoptadas de conformidad con el Reglamento (UE) 2019/881 seguirán siendo válidas, a condición de que cumplen con lo dispuesto en el presente Reglamento.

4.El director ejecutivo nombrado de conformidad con el artículo 15, apartado 1, letra n), del Reglamento (UE) 2019/881 permanecerá en el cargo y ejercerá las tareas y responsabilidades del director ejecutivo a que se refiere el artículo 32 del presente Reglamento para el resto del mandato del director ejecutivo. Las demás condiciones de su contrato no se modificarán.

5.Las propuestas de esquemas cuya preparación se haya solicitado de conformidad con el artículo 49 del Reglamento (UE) 2019/881 se considerarán solicitadas con arreglo a las disposiciones correspondientes del presente Reglamento. Las disposiciones del título III del presente Reglamento se aplicarán a dichas propuestas de esquema en consecuencia.

6.Los miembros del Consejo de Administración designados por la Comisión y los suplentes designados de conformidad con el artículo 14 del Reglamento (UE) 2019/881 permanecerán en el cargo y ejercerán las funciones del Consejo de Administración a que se refiere el artículo 27 del presente Reglamento para el resto de su mandato. Los miembros del Consejo de Administración designados por los Estados miembros de conformidad con el artículo 14 del Reglamento (UE) 2019/881 permanecerán en el cargo y ejercerán las funciones del Consejo de Administración a que se refiere el artículo 27 del presente Reglamento, siempre que desempeñen las funciones mencionadas en el artículo 24, apartado 3, del presente Reglamento.

Artículo 122
Entrada en vigor

El presente Reglamento entrará en vigor a los […] días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Estrasburgo, el

FICHA LEGISLATIVA DE FINANCIACIÓN Y DIGITAL

1.MARCO DE LA PROPUESTA/INICIATIVA3

1.1.Denominación de la propuesta/iniciativa3

1.2.Ámbito(s) afectado(s)3

1.3.Objetivo(s)3

1.3.1.Objetivo(s) general(es)3

1.3.2.Objetivo(s) específico(s)3

1.3.3.Resultado(s) e incidencia esperados3

1.3.4.Indicadores de rendimiento3

1.4.La propuesta/iniciativa se refiere a:4

1.5.Justificación de la propuesta/iniciativa4

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la ejecución de la iniciativa4

1.5.2.Valor añadido de la intervención de la UE (puede derivarse de distintos factores, como una mejor coordinación, seguridad jurídica, una mayor eficacia o complementariedades). A efectos de la presente sección, se entenderá por «valor añadido de la intervención de la UE» el valor resultante de una intervención de la UE que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.4

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores4

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados5

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de redistribución5

1.6.Duración de la propuesta/iniciativa y de su incidencia financiera6

1.7.Método(s) de ejecución presupuestaria previsto(s)6

2.MEDIDAS DE GESTIÓN8

2.1.Disposiciones en materia de seguimiento e informes8

2.2.Sistema(s) de gestión y de control8

2.2.1.Justificación del / de los método(s) de ejecución presupuestaria, del / de los mecanismo(s) de aplicación de la financiación, de las modalidades de pago y de la estrategia de control propuestos8

2.2.2.Información relativa a los riesgos detectados y al / a los sistema(s) de control interno establecidos para atenuarlos8

2.2.3.Estimación y justificación de la eficiencia en términos de costes de los controles (ratio entre los gastos de control y el valor de los correspondientes fondos gestionados), y evaluación del nivel esperado de riesgo de error (al pago y al cierre)8

2.3.Medidas de prevención del fraude y de las irregularidades9

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA10

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)10

3.2.Incidencia financiera estimada de la propuesta en los créditos12

3.2.1.Resumen de la incidencia estimada en los créditos operativos12

3.2.1.1.Créditos procedentes del presupuesto aprobado12

3.2.1.2.Créditos procedentes de ingresos afectados externos17

3.2.2.Resultados estimados financiados con créditos operativos22

3.2.3.Resumen de la incidencia estimada en los créditos administrativos24

3.2.3.1. Créditos procedentes del presupuesto aprobado24

3.2.3.2.Créditos procedentes de ingresos afectados externos24

3.2.3.3.Total de los créditos24

3.2.4.Necesidades estimadas de recursos humanos25

3.2.4.1.Financiadas con el presupuesto aprobado25

3.2.4.2.Financiadas con ingresos afectados externos26

3.2.4.3.Necesidades totales de recursos humanos26

3.2.5.Descripción de la incidencia estimada en las inversiones relacionadas con la tecnología digital28

3.2.6.Compatibilidad con el marco financiero plurianual vigente28

3.2.7.Contribución de terceros28

3.3.Incidencia estimada en los ingresos29

4.Dimensiones digitales29

4.1.Obligaciones con repercusión digital30

4.2.Datos30

4.3.Soluciones digitales31

4.4.Evaluación de la interoperabilidad31

4.5.Medidas de apoyo a la digitalización32

1.MARCO DE LA PROPUESTA/INICIATIVA 

1.1.Denominación de la propuesta/iniciativa

1.2.Ámbito(s) afectado(s) 

1.3.Objetivo(s)

1.3.1.Objetivo(s) general(es)

1.3.2.Objetivo(s) específico(s)

1.3.3.Resultado(s) e incidencia esperados

Especificar los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios/grupos destinatarios.

1.3.4.Indicadores de rendimiento

Especificar los indicadores para hacer un seguimiento de los avances y logros.

1.4.La propuesta/iniciativa se refiere a: 

 una acción nueva (título IV Cadena de suministro, título V Simplificación)

 una acción nueva a raíz de un proyecto piloto / una acción preparatoria 84  

 la ampliación de una acción existente (título II Mandato de ENISA, y título III Certificación)

 una fusión o reorientación de una o más acciones hacia otra / una nueva acción

1.5.Justificación de la propuesta/iniciativa 

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la ejecución de la iniciativa

1.5.2.Valor añadido de la intervención de la UE (puede derivarse de distintos factores, como una mejor coordinación, seguridad jurídica, una mayor eficacia o complementariedades). A efectos de la presente sección, se entenderá por «valor añadido de la intervención de la UE» el valor resultante de una intervención de la UE que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de redistribución

1.6.Duración de la propuesta/iniciativa y de su incidencia financiera

 Duración limitada

–    en vigor desde [el DD.MM.]AAAA hasta [el DD.MM.]AAAA

–    incidencia financiera desde AAAA hasta AAAA para los créditos de compromiso y desde AAAA hasta AAAA para los créditos de pago.

 Duración ilimitada

–Ejecución: fase de puesta en marcha desde AAAA hasta AAAA

–y pleno funcionamiento a partir de la última fecha.

1.7.Método(s) de ejecución presupuestaria previsto(s) 

 Gestión directa por la Comisión

– por sus servicios, incluido su personal en las Delegaciones de la Unión;

–    por las agencias ejecutivas.

 Gestión compartida con los Estados miembros

 Gestión indirecta mediante delegación de competencias de ejecución del presupuesto en:

– terceros países o los organismos que estos hayan designado;

– organizaciones internacionales y sus agencias (especificar);

– el Banco Europeo de Inversiones y el Fondo Europeo de Inversiones;

– los organismos a que se refieren los artículos 70 y 71 del Reglamento Financiero;

– organismos de Derecho público;

– organismos de Derecho privado investidos de una misión de servicio público, en la medida en que estén dotados de garantías financieras suficientes;

– organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que presenten garantías financieras suficientes;

– organismos o personas a los cuales se haya encomendado la ejecución de acciones específicas en el marco de la política exterior y de seguridad común, de conformidad con el título V del Tratado de la Unión Europea, y que estén identificados en el acto de base pertinente;

– organismos establecidos en un Estado miembro, que se rijan por el Derecho privado de un Estado miembro o el Derecho de la Unión y reúnan las condiciones para que se les encomiende, de conformidad con las normas sectoriales específicas, la ejecución de fondos de la Unión o garantías presupuestarias, en la medida en que estén controlados por organismos de Derecho público o por organismos de Derecho privado investidos de una misión de servicio público y estén dotados de unas garantías financieras suficientes, en forma de responsabilidad solidaria de los organismos controladores o garantías financieras equivalentes, que podrán limitarse, para cada acción, al importe máximo de la ayuda de la Unión.

Observaciones

2.MEDIDAS DE GESTIÓN 

2.1.Disposiciones en materia de seguimiento e informes 

2.2.Sistema(s) de gestión y de control 

2.2.1.Justificación del / de los método(s) de ejecución presupuestaria, del / de los mecanismo(s) de aplicación de la financiación, de las modalidades de pago y de la estrategia de control propuestos

2.2.2.Información relativa a los riesgos detectados y al / a los sistema(s) de control interno establecidos para atenuarlos

2.2.3.Estimación y justificación de la eficiencia en términos de costes de los controles (ratio entre los gastos de control y el valor de los correspondientes fondos gestionados), y evaluación del nivel esperado de riesgo de error (al pago y al cierre) 

2.3.Medidas de prevención del fraude y de las irregularidades 

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA 

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s) 

·Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

Rúbrica del marco financiero plurianual	Línea presupuestaria	Tipo de gasto	Contribución
	Número	CD/CND 99 .	de países de la AELC 100	de países candidatos y candidatos potenciales 101	de otros terceros países	otros ingresos afectados
	[XX.YY.YY.YY]	CND	SÍ	NO	NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO

·Nuevas líneas presupuestarias solicitadas

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

Rúbrica del marco financiero plurianual	Línea presupuestaria	Tipo de gasto	Contribución
	Número	CD/CND	de países de la AELC	de países candidatos y candidatos potenciales	de otros terceros países	otros ingresos afectados
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO
	[XX.YY.YY.YY]	CD/CND	SÍ/NO	SÍ/NO	SÍ/NO	SÍ/NO

3.2.Incidencia financiera estimada de la propuesta en los créditos 

3.2.1.Resumen de la incidencia estimada en los créditos operativos 

–    La propuesta/iniciativa no exige la utilización de créditos operativos.

–    La propuesta/iniciativa exige la utilización de créditos operativos, tal como se explica a continuación

3.2.1.1.Créditos procedentes del presupuesto aprobado

En millones EUR (al tercer decimal)

Agencia: ENISA	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034	Total MFP 2028-2034
Línea presupuestaria: <….> / Contribución adicional del presupuesto de la UE a la agencia	€20,900	€20,594	€25,338	€26,801	€26,801	€26,301	€26,301	173,006

Los créditos o la contribución del presupuesto de la UE a la agencia se compensarán con una reducción de la dotación del programa <….> / de la línea presupuestaria siguiente: <….> / en el año o años: <…….>.

						Año		Año			Año		Año			Año		Año	Año			Total MFP 2028-2034
						2028		2029			2030		2031			2032		2033	2034
TOTAL de los créditos operativos		Compromisos		(4)		€20,900		€20,594			€25,338		€26,801			€26,801		€26,301	€26,301			173,006
		Pagos		(5)		€20,900		€20,594			€25,338		€26,801			€26,801		€26,301	€26,301			173,006
TOTAL de los créditos de carácter administrativo financiados mediante la dotación de programas específicos				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
TOTAL de los créditos de la RÚBRICA 2		Compromisos				= 4 + 6		€22,265			€21,959		€26,808			€28,586		€28,901	€28,716			€28,926	186,161
del marco financiero plurianual		Pagos				= 5 + 6		€22,265			€20,890		€24,851			€26,254		€26,254	€25,754			€25,754	186,161
DG: DG CNECT									Año			Año		Año	Año		Año			Año	Año			Total MFP 2028-2034
									2028			2029		2030	2031		2032			2033	2034
 Recursos humanos									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Otros gastos administrativos									0			0		0	0		0			0	0			0
TOTAL para la DG CNECT	Créditos		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
TOTAL de los créditos de la RÚBRICA 4 del marco financiero plurianual					(Total de compromisos = Total de pagos)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

En millones EUR (al tercer decimal)

			Año		Año		Año		Año		Año		Año		Año		Total MFP 2028-2034
			2028		2029		2030		2031		2032		2033		2034
TOTAL de los créditos de las RÚBRICAS 1 a 4	Compromisos		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
del marco financiero plurianual		Pagos		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Resultados estimados financiados con créditos operativos

Créditos de compromiso en millones EUR (al tercer decimal)

Indicar los objetivos y los resultados 

Año 2028

Año 2029

Año 2030

Año 2031

Insertar tantos años como sea necesario para reflejar la duración de la incidencia (véase la sección 1.6)

TOTAL

RESULTADOS

Tipo 102

Coste medio

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

N.º

Coste

Número total

Coste total

OBJETIVO ESPECÍFICO N.º 1 103 …

— Resultado

— Resultado

— Resultado

Subtotal del objetivo específico n.º 1

OBJETIVO ESPECÍFICO N.º 2 …

— Resultado

Subtotal del objetivo específico n.º 2

TOTALES

3.2.3.Resumen de la incidencia estimada en los créditos administrativos 

–    La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo

–    La propuesta/iniciativa exige la utilización de créditos de carácter administrativo, tal como se explica a continuación

3.2.3.1. Créditos procedentes del presupuesto aprobado

(adicional)

CRÉDITOS APROBADOS	Año	Año	Año	Año	Año	Año	Año	TOTAL 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RÚBRICA 4
Recursos humanos	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Otros gastos administrativos	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal de la RÚBRICA 4	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Al margen de la RÚBRICA 4
Recursos humanos	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Otros gastos de carácter administrativo	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal al margen de la RÚBRICA 4	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
TOTAL	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Necesidades estimadas de recursos humanos (adicional)

–    La propuesta/iniciativa no exige la utilización de recursos humanos

–    La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación

3.2.4.1.Financiadas con el presupuesto aprobado

Estimación que debe expresarse en equivalentes a jornada completa (EJC) 104

CRÉDITOS APROBADOS		Año	Año	Año	Año	Año	Año	Año
		2028	2029	2030	2031	2032	2033	2034
 Empleos de plantilla (funcionarios y personal temporal)
20 01 02 01 (Sede y oficinas de representación de la Comisión)		12	12	16	18	20	22	25
20 01 02 03 (Delegaciones de la Unión)		0	0	0	0	0	0	0
(Investigación indirecta)		0	0	0	0	0	0	0
(Investigación directa)		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar)		0	0	0	0	0	0	0
• Personal externo (en EJC)
20 02 01 (AC, ENCS de la «dotación global»)		0	0	0	0	0	0	0
20 02 03 (AC, AL, ENCS y JPD en las Delegaciones de la Unión)		0	0	0	0	0	0	0
Línea de apoyo administrativo	— en la sede	0	0	0	0	0	0	0
[XX.01.YY.YY]	— en las Delegaciones de la Unión	0	0	0	0	0	0	0
(AC, ENCS: Investigación indirecta)		0	0	0	0	0	0	0
(AC, ENCS: Investigación directa)		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar) de la rúbrica 4		0	0	0	0	0	0	0
Otras líneas presupuestarias (especificar) al margen de la rúbrica 4		13	13	14	17	20	23	25
TOTAL		25	25	30	35	40	45	50

Personal necesario para dar efecto a la propuesta (en EJC):

	Procedente del personal actual disponible en los servicios de la Comisión	Personal adicional excepcional
		Financiado con cargo a la Rúbrica 7 o a Investigación	Financiado con cargo a la línea BA	Financiado con tasas
Empleos de plantilla		25
Personal externo (AC, ENCS, INT)			25

El impacto estimado en los gastos y la dotación de personal para 2028 y años posteriores tiene carácter indicativo y no prejuzga el próximo MFP. La fuente de financiación y el alcance de los compromisos financieros de la Unión en el período posterior a 2027 siguen estando sujetos al resultado de las negociaciones interinstitucionales sobre el MFP 2028-2034, así como al procedimiento presupuestario anual y al mecanismo de dirección.

Descripción de las tareas que debe llevar la dirección general competente en la Comisión:

Funcionarios y personal temporal

Coordinación de ENISA (1): Representar a la Comisión en el Consejo de Administración de la Agencia. Elaborar el dictamen de la Comisión sobre el documento único de programación de ENISA y supervisar su aplicación. Supervisar la preparación del presupuesto de la Agencia y controlar su ejecución. Asistir a la Agencia en el desarrollo de sus actividades en consonancia con las políticas de la Unión, en particular mediante la participación en las reuniones pertinentes. Programas de declaración de capacidades y competencias/Academia de Competencias (2): Se necesitará personal adicional en CNECT para elaborar actos de ejecución que establezcan las tasas que ENISA cobrará a los solicitantes por convertirse en prestadores autorizados; estos actos de ejecución serán al menos doce, uno por cada perfil del ECSF. Cadena de suministro (25): Apoyar la preparación de las evaluaciones de riesgos coordinadas de la Unión. Realizar análisis económicos para cada uno de los productos y servicios de TIC considerados. Redactar los correspondientes actos de ejecución sobre la identificación de activos clave, las medidas de mitigación propuestas y la designación de países que plantean riesgos estratégicos de ciberseguridad para activos clave específicos, determinación de proveedores de alto riesgo, verificación de las solicitudes de exención y elaboración de las decisiones de la Comisión. Apoyar la aplicación y supervisión de las medidas adoptadas. Marco europeo de certificación de la ciberseguridad, normalización y ejecución de actividades conexas, aplicación de la Directiva SRI 2 (17): aplicación del Reglamente sobre la Ciberseguridad, en particular la gobernanza de los organismos de evaluación de la conformidad (cuestiones relativas al reparto de responsabilidades); participación de las partes interesadas (y de la Asamblea); reconocimiento mutuo con terceros países; elaboración de actos de ejecución normalizados (solicitudes detalladas sujetas a consultas y elaboración de disposiciones modelo); mantenimiento del esquema, revisión jurídica y procedimiento de comité; coordinación con el Grupo de Cooperación NIS y mantenimiento de los esquemas aplicables a las entidades; actos de ejecución con arreglo a la Directiva SRI 2; armonización de los organismos de evaluación de la conformidad con el Reglamente sobre la Ciberseguridad, presunción de conformidad y normalización; coordinación entre la vigilancia del mercado y la autoridad nacional de certificación de la ciberseguridad; armonización técnica entre el Reglamento de Ciberresiliencia y los esquemas de certificación. Coordinación operativa y conciencia situacional (5): Conocimientos especializados sectoriales y de los agentes de riesgo destinados a contribuir a la conciencia situacional a escala de la Unión en relación con las amenazas a las infraestructuras críticas, en particular a través de tecnologías emergentes. Coordinación con ENISA y otras entidades y redes de la UE para prepararse ante incidentes de ciberseguridad significativos y a gran escala.

Personal externo

Ídem

Descripción de tareas adicionales que debe llevar a cabo ENISA:

Funcionarios y personal temporal

Gestión de la Reserva de Ciberseguridad de la UE (gestores nacionales y apoyo a la aplicación, mientras que los costes operativos efectivos de la Reserva se cubren conforme a lo previsto en el Reglamento de Cibersolidaridad) (10); gestión, en el marco del Reglamento de Ciberresiliencia, de la plataforma única de notificación (funcionamiento) (9); servicios de gestión de vulnerabilidades vinculados a la plataforma única de notificación (4); ampliación de la plataforma única de notificación al punto de entrada único (desarrollo y funcionamiento) (8); desarrollo de orientaciones técnicas, conocimientos especializados en materia de seguridad de los productos y análisis de mercado para apoyar la aplicación del Reglamento de Ciberresiliencia (7); normalización en apoyo de la aplicación del Reglamento de Ciberresiliencia / certificación / SRI 2 (4); apoyo a las actividades de vigilancia del mercado en el marco del Reglamento de Ciberresiliencia (4); apoyo a la realización de pruebas de la conformidad y a las evaluaciones de seguridad de los productos (4); apoyo a los Estados miembros en la asistencia mutua (3); prestación de servicios de gestión de vulnerabilidades, mantenimiento de la base de datos europea de vulnerabilidades y realización de funciones de asesoramiento y enriquecimiento en el marco de la divulgación coordinada de vulnerabilidades (15); cooperación operativa y conciencia situacional: plataformas de mitigación y apoyo como CNW/CyCLONe; apoyo a las tareas relacionadas con las notificaciones de alerta; apoyo a una mejor coordinación con otras entidades pertinentes para desarrollar repositorios de inteligencia verificada y fiable sobre ciberamenazas (artículo 11, apartado 1 bis, del Reglamente sobre la Ciberseguridad 2) (5); apoyo a la resiliencia de los sectores críticos (incluida la aplicación del plan de acción sobre la ciberseguridad de la asistencia sanitaria) (4); desarrollo de esquemas de declaración de capacidades y competencias (2); mantenimiento y supervisión de esquemas de declaración de capacidades y competencias (6); administración (contable para la gestión de tasas, recursos humanos y TI) (8); mantenimiento de esquemas de certificación (11); tareas horizontales: mayor participación de las partes interesadas, elaboración de especificaciones técnicas y participación en actividades de normalización en apoyo de los esquemas (1).

Personal externo

Ídem Dos expertos nacionales en comisión de servicios obligatorios por Estado miembro para apoyar las actividades de la Agencia y actuar como funcionarios de enlace nacionales, encargados principalmente de la cooperación operativa y la divulgación coordinada de las vulnerabilidades (13). Se prevé que los otros 27 expertos nacionales en comisión de servicio no generen costes y, por lo tanto, que no tengan repercusiones presupuestarias.

Costes operativos adicionales por año para ENISA 2028-2034:

Coste	Presupuesto	Calendario	Explicación
Sitio web sobre capacidades y competencias en ciberseguridad	750 000 EUR	50 % en 2029 50 % en 2030	Para garantizar la transparencia de los procedimientos, la propuesta exige a ENISA mantener un sitio web con perfiles del marco europeo de capacidades y competencias en ciberseguridad, esquemas de declaración, información sobre las tasas para cada esquema, tasas recomendadas para cada declaración y la lista de proveedores de declaraciones autorizados.
Divulgación coordinada de vulnerabilidades	1 millón EUR	A partir de 2028	La seguridad de los productos y servicios utilizados en nuestras infraestructuras críticas depende en gran medida del intercambio oportuno de información sobre las vulnerabilidades detectadas y sobre la manera en que estas pueden mitigarse.
Inteligencia sobre ciberamenazas	3 millón EUR	A partir de 2028	Para crear un mapa de conciencia situacional realizado en colaboración entre ENISA y la Comisión.
Punto de entrada único	8 millón EUR	6 millones EUR para el año 2028 500 000 EUR en 2029 500 000 EUR en 2030 500 000 EUR en 2031 500 000 EUR en 2032	Hacer efectiva la propuesta del paquete Ómnibus Digital de la Comisión para simplificar el cumplimiento de las obligaciones de notificación de incidentes de ciberseguridad y de violaciones de la seguridad de los datos mediante el desarrollo y mantenimiento de un punto de entrada único.
Mantenimiento de la plataforma única de notificación en el marco del Reglamento de Ciberresiliencia y otros	3 millón EUR	A partir de 2028	La plataforma única de notificación introducida por los colegisladores es el mayor sistema informático jamás desarrollado en la historia de ENISA y un pilar clave del Reglamento de Ciberresiliencia. La plataforma se financia actualmente a través de un convenio de contribución, pero su gestión cotidiana requerirá EJC (véase más arriba), así como costes operativos. ENISA desempeña un papel clave para garantizar el éxito del marco de seguridad de los productos de la Unión, en particular del Reglamento de Ciberresiliencia.
Comunicación segura y madurez en materia de ciberseguridad de ENISA	+ 2 millones EUR	Inversión de 1,1 millones EUR en 2028 (plataformas EU-CyCLONe/CSIRT + comunicaciones seguras) 1 millón EUR anuales para mantenimiento a partir de 2029 1,5 millones EUR para madurez en materia de ciberseguridad	Garantizar la ciberseguridad de la Agencia y las herramientas de comunicación.
Mantenimiento de la certificación de la ciberseguridad	1 400 000 millón EUR	2028 600 000 2029 1 000 000 2030 1 200 000 2031 1 400 000 2032 1 400 000 2033 1 400 000 2034 1 400 000	Cubierto por las tasas (íntegramente a partir de 2032)
Esquemas de declaraciones en materia de ciberseguridad	212920 EUR	A partir de 2030, al 50 % cubierto por el presupuesto de la UE	Totalmente cubierto por las tasas a partir de 2033

3.2.5.Descripción de la incidencia estimada en las inversiones relacionadas con la tecnología digital

Obligatorio: en el cuadro que figura a continuación debe anotarse la mejor estimación de las inversiones relacionadas con la tecnología digital que conlleva la propuesta/iniciativa.

Con carácter excepcional, cuando sea necesario para la ejecución de la propuesta/iniciativa, deben presentarse los créditos de la rúbrica 4 en la fila correspondiente.

Los créditos de las rúbricas 1 a 3 deben reflejarse como «Gasto informático en programas operativos». Este gasto se refiere al presupuesto operativo que se empleará para reutilizar, adquirir o desarrollar plataformas o herramientas informáticas directamente relacionadas con la ejecución de la iniciativa y las inversiones conexas (por ejemplo, licencias, estudios, almacenamiento de datos, etc.). La información que se facilite en este cuadro debe ser congruente con los datos consignados en el punto 4, «Ámbito digital».

TOTAL Créditos para fines digitales e informáticos	Año	Año	Año	Año	Año	Año	Año	TOTAL MFP 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RÚBRICA 4
Gasto informático (institucional)	0	0	0	0	0	0	0	0
Subtotal de la RÚBRICA 4	0	0	0	0	0	0	0	0
Al margen de la RÚBRICA 4
Gasto informático en programas operativos	0	0	0	0	0	0	0	0
Subtotal al margen de la RÚBRICA 4	0	0	0	0	0	0	0	0
TOTAL	0	0	0	0	0	0	0	0

3.2.6.Compatibilidad con el marco financiero plurianual vigente 

La propuesta/iniciativa:

–    puede ser financiada en su totalidad mediante una redistribución dentro de la rúbrica correspondiente del marco financiero plurianual (MFP).

–    requiere el uso de los márgenes no asignados con cargo a la rúbrica correspondiente del MFP o el uso de instrumentos especiales tal como se definen en el Reglamento del MFP.

–    requiere una revisión del MFP.

3.2.7.Contribución de terceros 

La propuesta/iniciativa:

–    no prevé la cofinanciación por terceros

–    prevé la cofinanciación por terceros que se estima a continuación:

Créditos en millones EUR (al tercer decimal)

	Año 2028	Año 2029	Año 2030	Año 2031	Total
Especificar el organismo de cofinanciación
TOTAL de los créditos cofinanciados

3.2.8.Recursos humanos estimados y uso de créditos necesario en la agencia descentralizada

Necesidades adicionales de personal (en equivalentes a jornada completa)

Agencia: ENISA	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034
Agentes temporales (grados AD)	5	11	17	19	19	19	19
Agentes temporales (grados AST)	4	7	11	12	12	12	12
Subtotal de agentes temporales (AD + AST)	9	18	28	31	31	31	31
Agentes contractuales	22	44	66	74	74	74	74
Expertos nacionales en comisión de servicios	4	8	11	13	13	13	13
Subtotal de agentes contractuales y expertos nacionales en comisión de servicios	26	52	77	87	87	87	87
Personal TOTAL	35	70	105	118	118	118	118

Créditos cubiertos con la contribución del presupuesto de la UE en millones EUR (al tercer decimal)

Agencia: ENISA	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034	TOTAL 2028-2034
Título 1: Gastos de personal	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Título 2: Gastos de funcionamiento y de infraestructura
Título 3: Gastos operativos	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
TOTAL de los créditos cubiertos con el presupuesto de la UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Créditos cubiertos con tasas, si procede, en millones EUR (al tercer decimal)

Agencia: ENISA	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034	TOTAL 2028-2034
Título 1: Gastos de personal		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Título 2: Gastos de funcionamiento y de infraestructura								0,000
Título 3: Gastos operativos								0,000
TOTAL de los créditos cubiertos con tasas	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Descripción/resumen de los recursos humanos y créditos (en millones EUR) necesarios para la propuesta/iniciativa en la agencia descentralizada

Agencia: ENISA	Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034	TOTAL 2028-2034
Agentes temporales (AD + AST)	9	18	28	31	31	31	31	31
Agentes contractuales	22	44	66	74	74	74	74	74
Expertos nacionales en comisión de servicios	4	8	11	13	13	13	13	13
Personal total	35	70	105	118	118	118	118	118
Créditos cubiertos con el presupuesto de la UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Créditos cubiertos con tasas (si procede)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Créditos cofinanciados (si procede)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
TOTAL de los créditos	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Incidencia estimada en los ingresos 

–    La propuesta/iniciativa no tiene incidencia financiera en los ingresos.

–    La propuesta/iniciativa tiene la incidencia financiera que se indica a continuación:

–    en los recursos propios

–    en otros ingresos

–    indicar si los ingresos se asignan a líneas de gasto

En millones EUR (al tercer decimal)

Línea presupuestaria de ingresos:	Créditos disponibles para el ejercicio presupuestario en curso	Incidencia de la propuesta/iniciativa 105
		Año 2028	Año 2029	Año 2030	Año 2031	Año 2032	Año 2033	Año 2034
Artículo ………….

En el caso de los ingresos afectados, especificar la línea o líneas presupuestarias de gasto en la(s) que repercutan.

Otras observaciones (por ejemplo, método o fórmula utilizada para calcular la incidencia en los ingresos o cualquier otra información).

4. Dimensiones digitales

4.1.Obligaciones con repercusión digital

Descripción general de las obligaciones con repercusión digital y de las categorías correspondientes (datos, digitalización y automatización de los procesos, soluciones digitales o servicios públicos digitales)

Referencia a la obligación  Descripción de la obligación  Agentes afectados por la obligación  Procesos generales  Categorías  Artículo 5, apartado 1, letra a) Apoyo a la aplicación del Derecho de la UE a)    asistir a los Estados miembros en la aplicación coherente de las políticas y la legislación de la Unión en materia de ciberseguridad, en particular mediante la publicación de orientaciones técnicas e informes, la prestación de asesoramiento y el intercambio de mejores prácticas, y la facilitación del intercambio de mejores prácticas entre las autoridades competentes a este respecto; - ENISA - Estados miembros - Tratamiento de datos con el fin de publicar orientaciones técnicas, informes, proporcionar asesoramiento y compartir mejores prácticas, y facilitar el intercambio de mejores prácticas entre las autoridades competentes; - facilitar el intercambio de mejores prácticas. Tratamiento de los datos Flujos de datos Artículo 5, apartado 1, letra b) Apoyo a la aplicación del Derecho de la UE b)    apoyar el intercambio de información dentro de los sectores y entre ellos, en particular los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555, y los productos con elementos digitales incluidos en el ámbito de aplicación del Reglamento (UE) 2024/2847, proporcionando mejores prácticas y orientaciones sobre las herramientas y procedimientos disponibles; - ENISA - sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 - partes interesadas afectadas por el Reglamento (UE) 2024/2847 Proporcionar mejores prácticas y orientaciones sobre las herramientas y procedimientos disponibles para el intercambio de información Tratamiento de los datos Flujos de datos Artículo 5, apartado 1, letra c) Apoyo a la aplicación del Derecho de la UE c)    a petición de la Comisión, asistir a los Estados miembros proporcionando apoyo, como orientaciones técnicas, en particular sobre medidas de gestión de riesgos de ciberseguridad, herramientas para la evaluación de la madurez de la ciberseguridad y manuales de respuesta a incidentes, adaptados a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555, con vistas a facilitar la mejora de su nivel de madurez en materia de ciberseguridad y el cumplimiento del Derecho de la Unión en lo relativo a la ciberseguridad; - Comisión Europea - ENISA - sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 Proporcionar orientaciones técnicas Tratamiento de los datos Flujos de datos Artículo 5, apartado 1, letra e) e) asistir a los Estados miembros y a las instituciones pertinentes de la Unión para que elaboren y promuevan políticas de ciberseguridad que apoyen la disponibilidad general y la integridad del núcleo público de la internet abierta;   ENISA Estados miembros Entidades de la UE Ayudar a elaborar y promover políticas de ciberseguridad Tratamiento de los datos Flujos de datos Artículo 5, apartado 1, letra f) Apoyo a la aplicación del Derecho de la UE f)    de conformidad con el Reglamento (UE) 2024/2847, proporcionar asesoramiento y apoyo técnicos sobre cuestiones relacionadas con la aplicación y el cumplimiento de dicho Reglamento; - ENISA - partes interesadas afectadas por el Reglamento (UE) 2024/2847 Prestar asesoramiento y apoyo técnicos requiere el tratamiento y el intercambio de información sobre requisitos reglamentarios, retos de aplicación y orientaciones en materia de cumplimiento. Tratamiento de los datos Flujos de datos Artículo 5, apartado 1, letra h) h) a petición del Comité Europeo de Protección de Datos, proporcionar asesoramiento sobre la aplicación de aspectos específicos de ciberseguridad de las políticas y del Derecho de la Unión en materia de protección de datos y privacidad. ENISA CEPD   Prestación de asesoramiento previa solicitud Tratamiento de los datos Flujos de datos Artículo 5, apartado 2 Contribución a las evaluaciones de riesgos para la ciberseguridad a escala de la Unión   ENISA contribuirá a la coordinación de las evaluaciones de riesgos para la ciberseguridad a escala de la Unión, entre ellas las que se realicen en virtud del artículo 22 de la Directiva (UE) 2022/2555.   ENISA Estados miembros Público general Contribuir a la coordinación de las evaluaciones de riesgos, lo que requiere el tratamiento y el flujo de datos Tratamiento de los datos Flujos de datos Artículo 5, apartado 3 ENISA emitirá directrices ENISA emitirá directrices relativas a la interoperabilidad de las redes y los sistemas de información utilizados para el intercambio de información, también en lo que respecta a los centros cibernéticos transfronterizos a que se refiere el artículo 6, apartado 3, del Reglamento (UE) 2025/38. ENISA Estados miembros ENISA emitirá directrices Tratamiento de los datos Flujos de datos Artículo 5, apartado 5 Apoyo a la Comisión A petición de la Comisión, ENISA proporcionará conocimientos especializados, asesoramiento técnico, información o análisis, o llevará a cabo trabajos preparatorios sobre cuestiones específicas de ciberseguridad con vistas a fundamentar la elaboración de políticas de la Comisión y el seguimiento de la aplicación de la legislación de la Unión. Comisión Europea ENISA Preparar y enviar información a la Comisión Tratamiento de los datos Flujos de datos Artículo 6 Creación de capacidades ENISA prestará asistencia aportando conocimientos especializados, experiencia y mejores prácticas, entre otros. ENISA Estados miembros Entidades de la UE Partes interesadas públicas y privadas Autoridades de vigilancia del mercado Miembros del GECC Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad Aportar conocimientos especializados y experiencia Tratamiento de los datos Flujos de datos Artículo 7 Sensibilización y reserva de talento ENISA asistirá a los Estados miembros en sus esfuerzos por sensibilizar sobre las políticas y la legislación de la Unión en materia de ciberseguridad y promover su visibilidad mediante el desarrollo de herramientas y orientaciones ejecutables. ENISA apoyará iniciativas destinadas a aumentar la reserva europea de talento en materia de ciberseguridad, en particular mediante la coordinación de concursos públicos. ENISA Estados miembros Desarrollo de herramientas y orientaciones ejecutables Tratamiento de los datos Artículo 8, apartado 1: conocimiento y análisis del mercado ENISA llevará a cabo y difundirá análisis de las principales tendencias del mercado de la ciberseguridad, tanto desde el lado de la demanda como desde el de la oferta, en particular en relación con los ámbitos en los que existen o están previstos esquemas europeos de certificación de la ciberseguridad, los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y las categorías de productos contempladas por el Reglamento (UE) 2024/2847, en particular los anexos III y IV de dicho Reglamento. ENISA Sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 Categorías de productos contempladas por el Reglamento (UE) 2024/2847 Realizar y difundir análisis Tratamiento de los datos Flujos de datos Artículo 8, apartado 2: conocimiento y análisis del mercado ENISA llevará a cabo y difundirá análisis de las tendencias tecnológicas en materia de ciberseguridad, en particular en relación con las actividades y entidades incluidas en el ámbito de aplicación de la Directiva (UE) 2022/2555 y los productos con elementos digitales incluidos en el ámbito de aplicación del Reglamento (UE) 2024/2847. ENISA Público en general, partes interesadas en el sentido de la Directiva (UE) 2022/2555 y del Reglamento (UE) 2024/2847 Realizar y difundir análisis Tratamiento de los datos Flujos de datos Artículo 8, apartado 3: conocimiento del mercado y apoyo a los ecosistemas ENISA desarrollará conocimientos y difundirá asesoramiento técnico y análisis sobre herramientas, marcos, normas y mejores prácticas de vanguardia en materia de ciberseguridad. ENISA Público general Difundir asesoramiento técnico y análisis sobre herramientas, marcos, normas y mejores prácticas de vanguardia en materia de ciberseguridad. Tratamiento de los datos Flujos de datos Artículo 9 Cooperación internacional   ENISA contribuirá mediante el análisis y la presentación de informes al Consejo de Administración sobre los resultados de los ejercicios internacionales, facilitando el intercambio de mejores prácticas y proporcionando a la Comisión conocimientos especializados y asesoramiento. Público internacional ENISA Consejo de Administración de ENISA Comisión Europea Análisis y presentación de informes; proporcionar asesoramiento, etc.   Tratamiento de los datos Flujos de datos   Artículo 10, apartados 2 y3 Cooperación operativa 2.    ENISA será miembro de la red de CSIRT nacionales establecida de conformidad con el artículo 15, apartado 1, de la Directiva (UE) 2022/2555 y ejercerá las funciones de secretaría de la red de CSIRT de conformidad con el artículo 15, apartado 2, de la Directiva (UE) 2022/2555. 3.    ENISA se hará cargo de la secretaría de la red de organizaciones de enlace nacionales para la gestión de cibercrisis (EU-CyCLONe) de conformidad con el artículo 16, apartado 2, párrafo segundo, de la Directiva (UE) 2022/2555. ENISA  CSIRT [artículo 15, apartado 1, de la Directiva (UE) 2022/2555]  EU-CyCLONe [artículo 16, apartado 2, de la Directiva (UE) 2022/2555]  Facilitar el intercambio de información, asumiendo las funciones de secretaría de las redes Flujos de datos Solución digital Servicio público digital   Artículo 11, apartado 1, letra b) Conciencia situacional   Artículo 12 Alertas tempranas Emitir alertas tempranas de conformidad con el artículo apartado 12   Comisión Europea ENISA Europol EU-CyCLONe Red de CSIRT  CERT-UE Entidades enumeradas en los anexos I y II de la Directiva (UE) 2022/2555 Emisión de alertas tempranas Tratamiento de los datos Flujos de datos Servicio público digital Artículo 10, apartado 4, letra b) Cooperación operativa b)    a petición de uno o varios Estados miembros, proporcionar asesoramiento y evaluaciones en relación con incidentes o ciberamenazas específicos, potenciales o en curso, en particular proporcionando conocimientos especializados y facilitando la gestión técnica de dichos incidentes, así como apoyando el intercambio voluntario de información y soluciones técnicas pertinentes entre los Estados miembros; ENISA Estados miembros Proporcionar asesoramiento y evaluaciones en relación con incidentes o ciberamenazas específicos, potenciales o en curso; facilitar la gestión técnica de dichos incidentes; apoyar el intercambio voluntario de información pertinente y soluciones técnicas entre los Estados miembros Tratamiento de los datos Flujos de datos Servicios públicos digitales Artículo 10, apartado 4, letra c) Cooperación operativa c)    analizar las vulnerabilidades, amenazas e incidentes; ENISA Estados miembros Recogida de datos de fuentes públicas e intercambio de datos con los Estados miembros Tratamiento de los datos Flujos de datos Artículo 10, apartado 4, letra d) Cooperación operativa d) previa solicitud de uno o varios Estados miembros, prestar apoyo en las investigaciones técnicas ex post relativas a incidentes significativos en el sentido de la Directiva (UE) 2022/2555; ENISA Estados miembros Análisis y apoyo en respuesta a investigaciones técnicas sobre incidentes Tratamiento de los datos Flujos de datos Artículo 10, apartado 4, letra e) Cooperación operativa e)    apoyar la gestión coordinada de incidentes y crisis de ciberseguridad a gran escala a nivel operativo, en particular ayudando a EU-CyCLONe en la preparación de informes destinados al nivel político y facilitando el intercambio oportuno de información entre la red de CSIRT y la EU-CyCLONe;  ENISA EU-CyCLONe Red de CSIRT  Analizar datos para apoyar la preparación de informes; facilitar el intercambio oportuno de información entre redes Tratamiento de los datos Flujos de datos Servicio público digital Artículo 10, apartado 5 Cooperación operativa A petición de un Estado miembro o de una entidad de la Unión en cooperación con el CERT-EU, ENISA apoyará una comunicación pública coherente en relación con incidentes o ciberamenazas. ENISA Estados miembros Recepción de la solicitud y comunicación, en caso necesario Flujos de datos Artículo 10, apartado 6 Cooperación operativa ENISA apoyará la cooperación entre los Estados miembros y, a través del CERT-EU, entre las entidades de la Unión en lo que respecta a la implantación de herramientas de comunicación seguras. ENISA utilizará dentro de la red de CSIRT y de la EU-CyCLONe herramientas de comunicación seguras proporcionadas por entidades jurídicas que no están establecidas en terceros países ni controladas por ellos o por nacionales de terceros países. ENISA Comisión Europea Estados miembros Entidades de la UE Red de CSIRT EU-CyCLONe Apoyar la implantación de herramientas de comunicación seguras y utilizar dichas herramientas en la red de CSIRT y la EU-CyCLONe. Solución digital  Servicio público digital  Artículo 11, apartado 1, letra a) Conciencia situacional conjunta en materia de ciberseguridad a)    desarrollar, en colaboración con la EU-CyCLONe, la red de CSIRT, la Comisión, el CERT-EU, Europol y otras entidades pertinentes de la Unión, repositorios de inteligencia verificada y fiable sobre ciberamenazas, que incluya las tendencias en materia de incidentes, tácticas, técnicas y procedimientos. Comisión Europea ENISA EU-CyCLONe Red de CSIRT Europol Entidades de la UE CERT-UE Desarrollo de repositorios Flujos digitales Solución digital Servicio público digital Artículo 11, apartado 1, letras c) a g)  Conciencia situacional conjunta en materia de ciberseguridad Proporcionar análisis ad hoc oportunos (algunos a petición); proporcionar análisis y asesoramiento técnico; elaborar un informe técnico de situación en colaboración con otras entidades; hacer un seguimiento de las tendencias y compartirlas ENISA Estados miembros Comisión Europea Entidades de la UE EU-CyCLONe Red de CSIRT Análisis de datos, intercambio de información y presentación de informes (algunos previa solicitud) Tratamiento de los datos Flujos de datos Artículo 11, apartado 2, letra a) Conciencia situacional conjunta en materia de ciberseguridad ENISA llevará a cabo análisis de ciberamenazas, incidentes, tendencias, tecnologías emergentes y sus repercusiones, entre ellos, un análisis periódico que aborde los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555 y las categorías de productos pertinentes contempladas por el Reglamento (UE) 2024/2847; ENISA Público general Analizar datos para proporcionar información que repercuta en la ciberseguridad; informe periódico Tratamiento de los datos Flujos de datos Artículo 11, apartado 2, letra b) Conciencia situacional conjunta en materia de ciberseguridad ENISA proporcionará, en colaboración con la Comisión y, cuando proceda, con la red de CSIRT, asesoramiento, orientaciones y mejores prácticas para la seguridad de las redes y los sistemas de información, en particular para la seguridad de las infraestructuras de apoyo a los sectores enumerados en los anexos I y II de la Directiva (UE) 2022/2555;   Comisión Europea CERT-UE Red de CSIRT Público general Asesoramiento, orientación y mejores prácticas Tratamiento de los datos Flujos de datos Artículo 11, apartado 2, letra c) Conciencia situacional conjunta en materia de ciberseguridad ENISA llevará a cabo análisis estratégicos a largo plazo de ciberamenazas e incidentes con el fin de detectar las tendencias emergentes y ayudar a prevenir incidentes. ENISA Público general Análisis de datos e identificación de amenazas emergentes Tratamiento de los datos   Artículo 11, apartado 3 Conciencia situacional conjunta en materia de ciberseguridad ENISA podrá hacer públicos los análisis, el asesoramiento, las orientaciones, las mejores prácticas y los informes a que se refiere el apartado 2, de acuerdo con las entidades contribuyentes a que se refiere el apartado 2. ENISA Público general Puesta de la información a disposición del público Flujos de datos Servicio público digital Artículo 13, apartado 2 Apoyo en la respuesta a incidentes 2.    A petición de la Comisión o de la EU-CyCLONe, ENISA, con el apoyo de la red de CSIRT y con la aprobación del Estado miembro de que se trate, revisará y evaluará los incidentes de ciberseguridad significativos o a gran escala de conformidad con el artículo 21 del Reglamento (UE) 2025/38. Comisión Europea ENISA EU-CyCLONe Red de CSIRT Estados miembros Revisar y evaluar los incidentes de ciberseguridad significativos Tratamiento de los datos Artículo 14, apartado 2 Ejercicios de ciberseguridad a escala de la Unión 2.    ENISA mantendrá un repositorio de las lecciones extraídas de los ejercicios a que se refiere el apartado 1 y recomendará a los Estados miembros y, cuando proceda, a las entidades de la Unión cómo pueden aplicarse dichas lecciones de manera eficaz y eficiente. ENISA Estados miembros Entidades de la UE Mantener un repositorio Tratamiento de los datos Solución digital Servicio público digital Artículo 14 Ejercicios de ciberseguridad a escala de la Unión Al recibir solicitudes de la EU-CyCLONe, de la Comisión, de los Estados miembros o del CERT-EU, ENISA organizará o contribuirá a la organización de ejercicios de ciberseguridad. ENISA apoyará a la Comisión en la elaboración de un programa continuo de ejercicios de ciberseguridad de carácter anual a escala de la Unión. ENISA Comisión Estados miembros Entidades de la UE CERT-UE Recepción de peticiones para organizar o apoyar la organización de ejercicios Flujos de datos Tratamiento de los datos Artículo 15 Disposición sobre herramientas y plataformas   1.    ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, entre ellas plataformas relacionadas con la ciberseguridad a escala de la Unión, en particular la plataforma única de notificación de incidentes establecida con arreglo al artículo 16, apartado 1, del Reglamento (UE) 2024/2847 [y el punto de entrada único establecido con arreglo al artículo 23 bis de la Directiva (UE) 2022/2555], y herramientas de realización de pruebas para apoyar la aplicación de los procedimientos de evaluación de la conformidad con arreglo a la legislación pertinente de la Unión. 2.    Cuando proceda a efectos del apartado 1, ENISA cooperará e intercambiará información con la red de CSIRT y, cuando proceda, con las autoridades de vigilancia del mercado.  ENISA Red de CSIRT Público general Autoridades de vigilancia del mercado   ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, tales como plataformas Solución digital Servicio público digital Flujos de datos Artículo 16, apartado 2 Servicios de gestión de vulnerabilidades a)    mantener la base de datos europea de vulnerabilidades creada de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555; b)    prestar servicios de gestión de vulnerabilidades a las partes interesadas, utilizando como referencia la base de datos europea de vulnerabilidades y haciendo uso de la información pertinente a disposición de ENISA; c)    cuando corresponda, establecer una cooperación estructurada con organizaciones que proporcionen programas, registros o bases de datos similares a la base de datos europea de vulnerabilidades. d)    apoyar activamente a los CSIRT designados como coordinadores de conformidad con el artículo 12, apartado 1, de la Directiva (UE) 2022/2555 en lo que respecta a la gestión de la divulgación coordinada de vulnerabilidades que puedan tener repercusiones significativas para entidades de más de un Estado miembro; e) desarrollar y mantener metodologías y mecanismos de gobernanza para la determinación de vulnerabilidades y la divulgación coordinada, en cooperación con las autoridades nacionales competentes, los CSIRT, la industria y la comunidad investigadora. ENISA CSIRT nacionales Red de CSIRT Autoridades nacionales competentes Industria Comunidad de investigación Público general Agentes internacionales que proporcionan programas, registros o bases de datos Prestación de servicios de gestión de vulnerabilidades; establecer, cuando proceda, una cooperación estructurada; cooperación con las partes interesadas Solución digital Servicio público digital Flujos de datos   Artículo 17 Certificación de la ciberseguridad   Artículo 18 Normalización, especificaciones técnicas y orientaciones Artículo 17, apartado 1 a) Preparar propuestas de esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas») para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la postura de ciberseguridad de las entidades, así como las especificaciones técnicas conexas, de conformidad con el artículo 74; b) mantener los esquemas europeos de certificación de la ciberseguridad adoptados de conformidad con el artículo 75, en particular con vistas a una posible revisión de los esquemas adoptados de conformidad con el artículo 76; c) promover la adopción de los esquemas adoptados y mantener un sitio web específico que proporcione información sobre los esquemas europeos de certificación de la ciberseguridad, los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE y los publicite, de conformidad con el artículo 79; Artículo 17, apartado 2 e) preparar disposiciones modelo a las que se hará referencia en los esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas») para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la postura de ciberseguridad de las entidades, de conformidad con el artículo 81, apartado 5.   Artículo 18 1. ENISA elaborará especificaciones técnicas y orientaciones para apoyar la aplicación de la legislación de la Unión en el ámbito de la ciberseguridad. 2. ENISA supervisará, participará y dirigirá actividades de desarrollo de la normalización a escala de la Unión y, de conformidad con el artículo 9, a escala internacional. 3. ENISA apoyará el desarrollo y la evaluación de algoritmos criptográficos. Cuando un algoritmo criptográfico evaluado se evalúe de forma positiva, ENISA cooperará, de conformidad con el Reglamento (UE) n.º 1025/2012, con los organismos europeos de normalización para apoyar su normalización. 4. ENISA proporcionará conocimientos especializados técnicos a la Comisión y al GECC sobre las normas o especificaciones técnicas adecuadas en apoyo de las políticas de la Unión relacionadas con la ciberseguridad, en particular el Reglamento (UE) 2024/2847, incluida la legislación de armonización de la Unión en el ámbito de la ciberseguridad y los esquemas europeos de certificación de la ciberseguridad con arreglo al artículo 81, apartado 1, letra d). 5. ENISA asistirá a la Comisión en la evaluación de los proyectos de normas armonizadas para apoyar la aplicación de la legislación de armonización de la Unión en el ámbito de la ciberseguridad. ENISA Público general Analizar los datos e intercambiar flujos de datos con la Comisión y otras partes interesadas; elaborar propuestas de esquemas de certificación; mantener el sitio web de ENISA Tratamiento de los datos Flujos de datos Servicio público digital Artículo 19: marco europeo de capacidades y competencias en ciberseguridad               ENISA desarrollará y pondrá a disposición del público un Marco Europeo de Capacidades en Ciberseguridad (en lo sucesivo, «ECSF»). Antes de hacer público el ECSF o de actualizarlo con arreglo al apartado 4, ENISA consultará a la Comisión. El uso del ECSF será voluntario para las entidades públicas y privadas. ENISA podrá consultar a las partes interesadas en las fases de desarrollo y adopción del ECSF. ENISA Comisión Público general Estados miembros Entidades de la UE Partes interesadas públicas y privadas   Mantenimiento del ECSF; consulta a las partes interesadas; adopción del ECSF Tratamiento de los datos Flujos de datos Solución digital   Artículos 20 a 23 - esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad ENISA desarrollará, adoptará y mantendrá esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad. El uso de esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad será voluntario para los organismos públicos nacionales y las entidades privadas, salvo que la legislación nacional disponga lo contrario. Antes de iniciar un nuevo esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad, ENISA consultará a la Comisión. ENISA solo adoptará dicho esquema previo dictamen favorable de la Comisión. Al preparar un esquema europeo individual de declaraciones individuales de capacidades en materia de ciberseguridad, ENISA podrá consultar a las partes interesadas pertinentes. ENISA garantizará una estrecha cooperación con los Estados miembros durante las fases de preparación de los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad. Los proveedores de declaraciones autorizados evaluarán si las personas cumplen los requisitos de un esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad y, cuando se cumplan dichos requisitos, expedirán declaraciones europeas individuales de capacidades en materia de ciberseguridad. ENISA proporcionará orientación e impartirá formación obligatoria a los evaluadores en relación con los requisitos y los métodos de evaluación incluidos en el esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad a que se refiere el artículo 20, apartado 3, letra b). Las entidades que deseen convertirse en proveedores de declaraciones autorizados o renovar su autorización (en lo sucesivo, «solicitantes») presentarán una solicitud a ENISA. Los proveedores de declaraciones autorizados velarán por que, a petición de la persona, las declaraciones electrónicas de las declaraciones europeas individuales de capacidades en materia de ciberseguridad se expidan como declaraciones electrónicas de atributos en un formato que pueda almacenarse en las carteras europeas de identidad digital establecidas en el Reglamento (UE) n.º 910/2014. Los solicitantes y los proveedores de declaraciones autorizados permitirán a ENISA llevar a cabo evaluaciones como parte del proceso de solicitud inicial, el mantenimiento de la autorización o su renovación y compartir toda la información pertinente para garantizar que se cumplan o sigan cumpliéndose los requisitos establecidos en los apartados 3 y 4 y las obligaciones establecidas en el apartado 5, de conformidad con el artículo 22, apartado 2. Los proveedores de declaraciones autorizados informarán inmediatamente a ENISA en caso de que deje de cumplirse alguno de los requisitos enumerados en el apartado 3 o en caso de que surja cualquier duda de que no se cumplen dichos requisitos, en particular en lo que respecta a la independencia de los evaluadores. Los solicitantes pagarán una tasa a ENISA por la evaluación de su solicitud. Los proveedores de declaraciones autorizados pagarán una tasa a ENISA por mantener su autorización.  ENISA evaluará si los solicitantes y los proveedores de declaraciones autorizados cumplen o siguen cumpliendo los requisitos establecidos en el artículo 21, apartados 3 y 4, y las obligaciones establecidas en el artículo 21, apartado 5. Tras examinar una solicitud con arreglo a los requisitos establecidos en el artículo 21, apartados 3 y 4, ENISA podrá emitir una decisión. ENISA podrá modificar, suspender o revocar tales decisiones. ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre: a)el ECSF, incluido el marco y su calendario de actualización; b)los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad, su avance y los plazos para su desarrollo; c)las tasas asociadas a cada esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad adoptado en virtud del artículo 47 del presente Reglamento; d)el coste indicativo de una declaración europea individual de las capacidades en materia de ciberseguridad, de conformidad con el artículo 20, apartado 4; e)la lista de proveedores de declaraciones autorizados. ENISA Comisión Público general Estados miembros Entidades de la UE Partes interesadas públicas y privadas (que contribuyen al desarrollo de un esquema de declaraciones; solicitantes y proveedores autorizados de declaraciones europeas individuales de capacidades en materia de ciberseguridad, incluidos los evaluadores)   Desarrollo y mantenimiento de esquemas; consultas con las partes interesadas; tramitación de solicitudes; adopción de decisiones; mantenimiento de un sitio web Tratamiento de los datos Flujos de datos Solución digital Servicio público digital Artículo 25 Composición del Consejo de Administración Nombramiento de miembros del Consejo de Administración de ENISA. ENISA Comisión Europea Estados miembros Nombramiento de miembros Flujos de datos Tratamiento de los datos Artículo 28, apartado 1 Funciones del Consejo de Administración   Artículo 30 Comité Ejecutivo b.adoptará el proyecto de documento único de programación de ENISA a que se refiere el artículo 44 antes de someterlo al dictamen de la Comisión; f) evaluará y adoptará el informe anual consolidado sobre las actividades de ENISA, que incluirá las cuentas y describirá en qué medida ENISA ha cumplido sus indicadores de rendimiento y, a más tardar el 1 de julio del año siguiente, remitirá dicho informe, junto con su evaluación, al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas Europeo; hará público el informe anual; i) garantizará un adecuado seguimiento de las conclusiones y recomendaciones resultantes de las auditorías y evaluaciones, tanto internas como externas, así como de las investigaciones de la OLAF y de la Fiscalía Europea. ENISA Comisión Europea Parlamento Europeo Consejo de la UE Tribunal de Cuentas Estados miembros Público general Presentación del documento único de programación a la Comisión para dictamen; evaluará y adoptará el informe anual consolidado sobre las actividades de ENISA, que incluya las cuentas y una descripción de la manera en que ENISA ha alcanzado sus indicadores de rendimiento, y presentará tanto el informe anual como la evaluación; seguimiento de las constataciones Flujos de datos Tratamiento de los datos   Artículo 31, apartado 8 Nombramiento, cese y prórroga del mandato   El Consejo de Administración informará al Parlamento Europeo acerca de su intención de prorrogar el mandato del director ejecutivo, de conformidad con el apartado 6. En los tres meses que precedan a la prórroga de su mandato, el director ejecutivo hará, si se le invita a ello, una declaración ante la comisión pertinente del Parlamento Europeo y responderá a las preguntas formuladas por los diputados. ENISA Consejo de Administración de ENISA Parlamento Europeo El Consejo de Administración informará al Parlamento Europeo Flujos de datos Artículo 32, apartado 3 Tareas y responsabilidades del director ejecutivo     Artículo 32, apartado 5 3. El director ejecutivo informará al Parlamento Europeo sobre el desempeño de sus tareas cuando se le invite a hacerlo. El Consejo podrá convocar al director ejecutivo para que le informe del desempeño de sus tareas. Preparación de las estrategias de los proyectos de planes presupuestarios y documentos estratégicos. Director ejecutivo de ENISA Parlamento Europeo Presentación de informes sobre el desempeño Flujos de datos Tratamiento de los datos Artículo 35, apartados 5 y 6 Grupo consultivo de ENISA 5. El Grupo Consultivo de ENISA asesorará a ENISA en lo relativo al desempeño de sus actividades, a excepción de la aplicación de las disposiciones de los títulos III, IV y V del presente Reglamento. En particular, asesorará al director ejecutivo en la elaboración de una propuesta de programa de trabajo anual de ENISA y en el mantenimiento de la comunicación con las partes interesadas pertinentes sobre los aspectos relativos al programa de trabajo. 6.    El Grupo Consultivo de ENISA informará periódicamente al Consejo de Administración de sus actividades. ENISA Miembros del Grupo Consultivo de ENISA Consejo de Administración de ENISA Director ejecutivo de ENISA Asesorar e informar sobre sus actividades Tratamiento de los datos Flujos de datos Artículos 36 a 43 Sala de Recurso ENISA creará una Sala de Recurso mediante decisión del Consejo de Administración. La Sala de Recurso estará compuesta por un presidente y otros tres miembros. Cada miembro de la Sala de Recurso tendrá un suplente. El suplente representará al miembro titular en ausencia de este. El Consejo de Administración nombrará al presidente, a los demás miembros y a sus suplentes a partir de una lista de candidatos cualificados elaborada por la Comisión. La lista de candidatos cualificados será válida durante cuatro años. El Consejo de Administración podrá prorrogar la validez de esta lista por períodos adicionales de cuatro años, a propuesta de la Comisión. Cuando una Sala de Recurso considere que el carácter del recurso así lo exige, podrá pedir al Consejo de Administración que designe dos miembros adicionales con sus suplentes a partir de la lista indicada en el apartado 3. La Sala de Recurso adoptará y publicará su reglamento interno. Si, por uno de los motivos enumerados en el apartado 1 o por cualquier otro, un miembro de la Sala de Recurso considerara que no debe participar en algún procedimiento de recurso, informará de ello a la Sala. En los casos especificados en los apartados 2 y 3, la Sala de Recurso decidirá qué actuaciones deberán llevarse a cabo sin la participación del miembro afectado. A efectos de esta toma de decisión, dicho miembro será reemplazado en la Sala de Recurso por su suplente. Los recursos interpuestos con arreglo al apartado 1 estarán sujetos a revisión prejudicial de conformidad con el artículo 41 antes de ser sometidos a la Sala de Recurso para su examen. Los solicitantes en el sentido del artículo 21, apartado 3, podrán interponer recurso contra: una decisión de ENISA dirigida a ellos, de conformidad con el artículo 22, apartado 3; la inacción por parte de ENISA en relación con una solicitud presentada por ellos a ENISA dentro de los plazos aplicables establecidos en el artículo 22, apartado 4. En el caso a que se refiere el apartado 1, letra a), el recurso, junto con su motivación, deberán presentarse por escrito de acuerdo con el reglamento interno a que se refiere el artículo 36, apartado 5, en el plazo de dos meses a partir de la fecha de notificación de la decisión al solicitante de que se trate o, a falta de esta, del día en que dicha decisión haya llegado a conocimiento del solicitante. En el caso a que se refiere el apartado 1, letra b), el recurso se interpondrá por escrito ante ENISA de conformidad con el reglamento interno a que se refiere el artículo 36, apartado 5, en un plazo de dos meses a partir de la fecha de expiración del plazo establecido en el artículo 22, apartado 4. Si ENISA considera que el recurso es admisible y bien fundado, rectificará la decisión o la inacción a que se refiere el artículo 40, apartado 1. Si ENISA no rectifica la decisión en el plazo de un mes a partir de la recepción del recurso, decidirá inmediatamente si suspende la aplicación de su decisión y remitirá el recurso a la Sala de Recurso. En un plazo de tres meses a partir de la fecha de presentación del recurso, la Sala de Recurso decidirá aceptar o rechazar el recurso. Al examinar un recurso, la Sala de Recurso actuará dentro de los plazos fijados en su reglamento interno. Invitará a las partes, cuantas veces sea necesario, a que presenten, dentro de los plazos señalados observaciones sobre las notificaciones de la Sala o sobre comunicaciones de terceras partes en el recurso. Las partes en los procedimientos de recurso tendrán derecho a formular sus alegaciones oralmente. Cuando la Sala de Recurso considere que los motivos de recurso están fundados, remitirá el asunto a ENISA. ENISA adoptará su decisión definitiva ateniéndose a las conclusiones de la Sala de Recurso y formulará una exposición de motivos al respecto. ENISA informará a las partes del recurso en consecuencia. Los recursos de anulación de las decisiones de ENISA adoptadas con arreglo al artículo 22, apartado 3, o los recursos por inacción dentro de los plazos aplicables con arreglo al artículo 22, apartado 4, podrán interponerse ante el Tribunal de Justicia de la Unión Europea, una vez agotado el procedimiento de recurso ante ENISA establecido en los artículos 39 a 42 o, en caso de inacción, dentro del plazo aplicable con arreglo al artículo 41, apartado 2. ENISA tomará todas las medidas necesarias para dar cumplimiento a la sentencia del TJUE. ENISA Consejo de Administración de ENISA Comisión Sala de Recurso en el sentido del artículo 36 de la propuesta de Reglamente sobre la Ciberseguridad 2 Solicitantes (entidades jurídicas que deseen convertirse en proveedores de declaraciones autorizados, o mantener o renovar su autorización) Dictar resoluciones basadas en recursos Tramitación de recursos Elaboración y publicación del reglamento interno Flujos de información Tratamiento de los datos Flujos de datos Servicio público digital Artículo 44 Documento único de programación 2. Cada año, el director ejecutivo elaborará un proyecto de documento único de programación, tal como se indica en el apartado 1, con la planificación de los recursos humanos y financieros correspondientes, de conformidad con el artículo 32 del Reglamento Delegado (UE) 2019/715 de la Comisión y habida cuenta de las directrices establecidas por la Comisión. 3. A más tardar el 30 de noviembre de cada año, el Consejo de Administración adoptará el documento único de programación a que se refiere el apartado 1, teniendo en cuenta el dictamen de la Comisión a que se refiere el artículo 32, apartado 7, del Reglamento Delegado (UE) 2019/715. Si el Consejo de Administración decide no tener en cuenta ningún elemento del dictamen de la Comisión, deberá proporcionar una justificación exhaustiva de dicha decisión. A más tardar el 31 de enero del año siguiente, el Consejo de Administración transmitirá el documento único de programación al Parlamento Europeo, al Consejo y a la Comisión, junto con cualquier versión posterior actualizada de dicho documento.   Director ejecutivo de ENISA Consejo de Administración de ENISA Comisión Europea Parlamento Europeo Consejo Elaborar, adoptar y transmitir cada año un único documento de programación Flujos de datos Artículo 45 Establecimiento del presupuesto de ENISA 4.    La Comisión remitirá el proyecto de previsiones a la autoridad presupuestaria junto con el proyecto de presupuesto general de la Unión Europea. El proyecto de previsiones también se pondrá a disposición de ENISA. ENISA Comisión Europea Intercambiar información Flujos de datos Artículo 47 Tasas En relación con las actividades de los esquemas europeos individuales de declaración que se establecen en el artículo 22, apartado 1, se cobrarán las siguientes tasas a los solicitantes en el sentido del artículo 21, apartado 3, o a los proveedores de declaraciones autorizados con el fin de contribuir a cubrir la totalidad de los costes de las actividades realizadas por ENISA: a.expedición de autorizaciones tras el examen de los requisitos establecidos en el artículo 21, apartados 3 y 4, incluida la realización de evaluaciones; b.mantenimiento anual de la autorización; c.renovación de las autorizaciones para los prestadores de declaraciones europeas individuales de capacidades en materia de ciberseguridad, incluida la realización de evaluaciones. En relación con la certificación, se cobrarán las siguientes tasas a los organismos de evaluación de la conformidad por el mantenimiento de los esquemas europeos de certificación de la ciberseguridad en virtud de los cuales se expidan los certificados europeos de ciberseguridad, en particular: una tasa anual por la participación en un esquema europeo de certificación de la ciberseguridad; una tasa por la expedición de certificados europeos de ciberseguridad en el marco de los esquemas europeos de certificación de la ciberseguridad. Las tasas a que se refiere la letra b) se cobrarán cuando el organismo de evaluación de la conformidad presente certificados europeos de ciberseguridad a ENISA para su publicación en su sitio web con arreglo al artículo 79. La Comisión adoptará actos de ejecución por los que se establezcan normas detalladas relativas a las tasas percibidas por ENISA. ENISA incluirá un informe sobre las tasas percibidas y sus repercusiones en el presupuesto de la Agencia como parte del procedimiento de presentación de las cuentas. Comisión ENISA Proveedores de declaraciones Organismos de evaluación de la conformidad Tratamiento de la información: pago de tarifas; información sobre las tasas Tratamiento de los datos Flujos de datos   Artículo 48 Artículo 49 Repercusiones presupuestarias   Artículo 48 3.    El director ejecutivo remitirá anualmente a la autoridad presupuestaria toda la información pertinente sobre las conclusiones de los procedimientos de evaluación. Artículo 49 1.    El contable de ENISA remitirá las cuentas provisionales del ejercicio financiero (ejercicio N) al contable de la Comisión y al Tribunal de Cuentas a más tardar el 1 de marzo del ejercicio financiero siguiente (ejercicio N+1). 2.    El contable de ENISA deberá presentar también la información requerida a efectos de consolidación al contable de la Comisión, de la manera y en el formato exigido por este último, a más tardar el 1 de marzo del ejercicio N+1. 3.    ENISA remitirá un informe sobre la gestión presupuestaria y financiera del ejercicio N al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas a más tardar el 31 de marzo del ejercicio N+1. 4.    Una vez recibidas las observaciones del Tribunal de Cuentas sobre las cuentas provisionales de ENISA para el ejercicio N, el contable de la Agencia elaborará las cuentas definitivas de ENISA. 5. El Consejo de Administración emitirá un dictamen sobre las cuentas definitivas de ENISA para el año N. El contable de la Agencia elaborará las cuentas definitivas de ENISA bajo su propia responsabilidad. El director ejecutivo las presentará al Consejo de Administración para que este emita un dictamen sobre ellas.  ENISA Consejo de Administración de ENISA Comisión Europea Consejo Parlamento Europeo Tratamiento e intercambio de información relativa al presupuesto de ENISA. Tratamiento de los datos Flujos de datos   Artículo 52 Declaración de intereses   Las Partes harán una declaración de compromiso y una declaración en la que indiquen la ausencia o presencia de cualquier interés directo o indirecto que pudiera considerarse perjudicial para su independencia. Gestión de ENISA (director ejecutivo, director ejecutivo adjunto); Consejo de Administración, Expertos nacionales en comisión de servicios Tratamiento e intercambio de datos sobre la declaración de intereses Tratamiento de los datos Flujos de datos Artículo 58 Funcionarios de enlace 1. Cada Estado miembro designará al menos dos funcionarios de enlace (de su autoridad nacional de ciberseguridad) como expertos nacionales enviados en comisión de servicios en ENISA para trabajar en su sede o en su oficina local, de conformidad con el artículo 59, apartado 2. La Comisión también podrá designar un funcionario de enlace. 2. Los funcionarios de enlace designados por sus Estados miembros tendrán derecho a solicitar y recibir de sus Estados miembros toda la información pertinente, como prevé el presente Reglamento, respetando plenamente la legislación nacional o las prácticas de sus Estados miembros, especialmente en lo relativo a la protección de datos y las normas sobre confidencialidad. ENISA Estados miembros Designación de funcionarios de enlace e intercambio de información Tratamiento de los datos Flujos de datos  Artículo 67 Manejo de información clasificada   Previa consulta a la Comisión, ENISA adoptará sus normas de seguridad aplicando los principios de seguridad contenidos en las normas de seguridad de la Comisión para la protección de la información sensible no clasificada y la ICUE, según lo dispuesto en las Decisiones (UE, Euratom) 2015/443 y 2015/444. Las normas de seguridad de ENISA incluirán disposiciones para el intercambio, tratamiento y almacenamiento de este tipo de información. ENISA Consejo de Administración Comisión Manejo de información clasificada Tratamiento de los datos Flujos de datos Artículos 68, 69 y 70 Cooperación con las entidades de la Unión y las autoridades nacionales Cooperación con las partes interesadas Cooperación con terceros países ENISA cooperará e intercambiará información sobre cuestiones relacionadas con la ciberseguridad con las entidades pertinentes de la Unión, las autoridades de vigilancia del mercado y las autoridades de supervisión; partes interesadas pertinentes; autoridades competentes de terceros países u organizaciones internacionales ENISA Europol Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad Comité Europeo de Protección de Datos Público general Consejo Intercambiar información Flujos de datos Artículo 72 - Información y consultas públicas sobre los esquemas europeos de certificación de la ciberseguridad 2.    La Comisión mantendrá y actualizará periódicamente un sitio web específico que proporcione información sobre los siguientes aspectos: a)    los esquemas europeos de certificación de la ciberseguridad solicitados para su desarrollo; b)    las prioridades estratégicas para la armonización de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o los requisitos de seguridad de la legislación de la Unión, en particular los posibles ámbitos para los que podría solicitarse un esquema europeo de certificación de la ciberseguridad. 3.    La Comisión pondrá a disposición del público en el sitio web a que se refiere el apartado 2 del presente artículo la información relativa a su solicitud a ENISA para que elabore una propuesta de esquema a que se refiere el artículo 73 y su decisión de aceptar, rechazar o interrumpir una propuesta de esquema transmitida por ENISA de conformidad con el artículo 74, apartado 7. Comisión Europea Público general ENISA   Mantenimiento de un sitio web informativo Esto obliga a la Comisión a proporcionar información en un sitio web de acceso público y a llevar a cabo de forma continua actividades conexas de gestión de datos. Servicio público digital  Solución digital  Artículo 72 - Información y consultas públicas sobre los esquemas europeos de certificación de la ciberseguridad   Durante la preparación de una propuesta de esquema por parte de ENISA en virtud del artículo 74, el Parlamento Europeo y el Consejo podrán solicitar a la Comisión, en su calidad de presidenta del GECC, y a ENISA que presenten trimestralmente información pertinente sobre el proyecto de propuesta de esquema. A petición del Parlamento Europeo o del Consejo, ENISA, de acuerdo con la Comisión, y sin perjuicio de lo dispuesto en el artículo 54, podrá poner a disposición del Parlamento Europeo y del Consejo las partes pertinentes de un proyecto de propuesta de esquema de un modo que se ajuste al nivel de confidencialidad requerido y, en su caso, de forma restringida. El Parlamento Europeo y el Consejo podrán invitar a la Comisión y a ENISA a debatir cuestiones relativas a la aplicación de esquemas europeos de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades. ENISA Consejo de la UE Parlamento Europeo Solicitud y envío de información sobre un proyecto de propuesta de esquema elaborado por ENISA Flujos de datos Artículo 73 Solicitud de un esquema europeo de certificación de la ciberseguridad Artículo 74 Preparación y adopción de un esquema europeo de certificación de la ciberseguridad (contemplado en el artículo 17)  Artículo 73 1. La Comisión podrá solicitar a ENISA que prepare una propuesta de esquema europeo de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades. En casos debidamente justificados, el GECC podrá proponer a la Comisión que presente la solicitud a que se refiere el apartado 1. 4. Al preparar la solicitud a que se refiere el apartado 1, la Comisión consultará debidamente a ENISA y al GECC, y tendrá en cuenta los puntos de vista de todas las partes interesadas pertinentes y otras entidades de la Unión, incluidas, cuando proceda, las que sean pertinentes en virtud de la legislación de la Unión con arreglo a la cual un esquema europeo de certificación de la ciberseguridad demuestre el cumplimiento y confiera una presunción de conformidad. Artículo 74 3. Al preparar la propuesta de esquema, ENISA cooperará estrechamente con el GECC. El GECC facilitará a ENISA la asistencia y el asesoramiento especializado en relación con la preparación de la propuesta de esquema y, cuando corresponda, de una especificación técnica de apoyo. ENISA solicitará a los miembros del GECC que emitan un dictamen por escrito sobre la propuesta de esquema.  4. ENISA consultará a todas las partes interesadas de manera oportuna mediante un proceso de consulta formal, abierto, transparente e inclusivo.  ENISA también cooperará con las autoridades públicas pertinentes de los Estados miembros y con las entidades pertinentes de la Unión para recabar su asesoramiento especializado en relación con la elaboración de la propuesta de esquema y, cuando corresponda, de una especificación técnica de apoyo. 6. ENISA transmitirá la propuesta de esquema a la Comisión en un plazo máximo de sesenta días a partir de la fecha de la solicitud a que se refiere el apartado 5. 7. Al recibir la propuesta de esquema, la Comisión evaluará si el esquema corresponde a la solicitud presentada de conformidad con el artículo 73.  8.    Cuando la Comisión devuelva una propuesta de esquema a ENISA para su revisión de conformidad con el apartado 7, letra b), se aplicarán en consecuencia los apartados 4, 5 y 7 de este artículo.   Comisión Europea ENISA GECC Partes interesadas expertas Preparación de un esquema de solicitud y certificación y consulta conexa a las partes interesadas Tratamiento de los datos Flujos de datos Servicio público digital (contemplado en el artículo 17) Artículo 75 Mantenimiento de un esquema europeo de certificación de la ciberseguridad 2. ENISA, en cooperación con la Comisión y con el apoyo del GECC y su subgrupo de mantenimiento pertinente, garantizará el mantenimiento de los esquemas europeos de certificación de la ciberseguridad, especialmente con vistas a la posible revisión de dichos esquemas por parte de la Comisión. ENISA cooperará e intercambiará información con las entidades y grupos pertinentes de la Unión en relación con las actividades de mantenimiento. 5. El GECC podrá emitir un dictamen sobre el mantenimiento de los esquemas europeos de certificación de la ciberseguridad. Comisión Europea ENISA GECC Organismos de evaluación de la conformidad   ENISA garantizará el mantenimiento. Esto incluye reuniones periódicas híbridas o en línea, la recopilación de información, el análisis y el intercambio (en relación con un esquema europeo de certificación de la ciberseguridad) Tratamiento de los datos Flujos de datos Artículo 76 Evaluación, revisión y revocación de esquemas europeos de certificación de la ciberseguridad 1. Al menos cada cuatro años a partir de la entrada en vigor de un esquema europeo de certificación de la ciberseguridad, ENISA evaluará el impacto y la eficacia de dicho esquema, en colaboración con el subgrupo de mantenimiento pertinente del GECC y teniendo en cuenta las observaciones recibidas de las partes interesadas. ENISA llevará a cabo la evaluación realizando el análisis de mercado necesario de conformidad con el artículo 8, apartado 1. 3. Al revisar o revocar esquemas europeos de certificación de la ciberseguridad, la Comisión consultará a ENISA, al GECC y a su subgrupo de mantenimiento pertinente, y también tendrá en cuenta las opiniones de las partes interesadas pertinentes y otras entidades de la Unión. 4. El GECC podrá emitir un dictamen sobre la revisión o la revocación de un esquema europeo de certificación de la ciberseguridad. La Comisión lo tendrá debidamente en cuenta a la hora de revisar o revocar dicho esquema europeo de certificación de la ciberseguridad.   Comisión Europea ENISA GECC La Comisión revisará los esquemas previa consulta a las partes interesadas pertinentes. Tratamiento de los datos Flujos de datos Artículo 77 Especificaciones técnicas de los esquemas europeos de certificación de la ciberseguridad 3.    Cuando en un esquema europeo de certificación de la ciberseguridad tal como se contempla en el artículo 74, apartado 10, se haga referencia a especificaciones técnicas, estas se publicarán en el sitio web a que se refiere el artículo 79. 4. En casos debidamente justificados, en particular cuando las especificaciones técnicas contengan información que pueda comprometer la seguridad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades que hayan sido certificados, se distribuirán únicamente a las partes interesadas afectadas por los requisitos del esquema. El esquema no se mencionará en el esquema europeo de certificación de la ciberseguridad a que se refiere el artículo 74, apartado 10. ENISA Estados miembros Organismos de evaluación de la conformidad   Puesta a disposición de la información en el sitio web de certificación de ENISA Flujos de datos Servicio público digital   Artículo 79 Sitio web de los esquemas europeos de certificación de la ciberseguridad 1. ENISA organizará actividades para promover la aplicación de los esquemas europeos de certificación de la ciberseguridad adoptados, en particular mediante el mantenimiento del sitio web a que se refiere el apartado 2 del presente artículo. 2. ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre: a)    esquemas europeos de certificación de la ciberseguridad; b)    las tasas asociadas al mantenimiento de cada esquema europeo de certificación de la ciberseguridad; c) las especificaciones técnicas pertinentes de ENISA; d)    los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE, incluida la información relativa a dichos certificados y declaraciones que hayan dejado de ser válidos o que se hayan suspendido, revocado o hayan caducado; e)    la información complementaria pertinente sobre ciberseguridad facilitada de conformidad con el artículo 84, apartado 2; f)    los resúmenes de las revisiones interpares de conformidad con el artículo 89, apartado 7; g)    especificaciones técnicas a las que haga referencia un esquema europeo de certificación de la ciberseguridad, en virtud del artículo 74, apartado 10. 3. En su caso, el sitio web al que se refiere el apartado 2 indicará asimismo aquellos esquemas nacionales de certificación de la ciberseguridad que hayan sido sustituidos por un esquema europeo de certificación de la ciberseguridad. ENISA Estados miembros Organismos de evaluación de la conformidad El mantenimiento del sitio web informativo encomienda a ENISA la recogida, el tratamiento y el mantenimiento de bases de datos exhaustivas de información sobre certificación, lo que requiere actividades de gestión de datos en curso. Servicio público digital Solución digital Tratamiento de los datos Flujos de datos   Artículo 81 Elementos de los esquemas europeos de certificación de la ciberseguridad 5. La Comisión estará facultada para adoptar actos de ejecución que establezcan principios comunes y disposiciones modelo para los elementos establecidos en los apartados 1, 2 y 3 en todos los esquemas europeos de certificación de la ciberseguridad. Cuando proceda y estén disponibles, un esquema europeo de certificación de la ciberseguridad podrá incluir referencias a dichos principios y disposiciones modelo. Los actos de ejecución a que se refiere el apartado 5 se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 118, apartado 2. Al desarrollar o revisar los principios comunes y las disposiciones modelo con respecto a los elementos de los esquemas europeos de certificación de la ciberseguridad, la Comisión consultará a ENISA y tendrá en cuenta, según proceda, las opiniones expresadas por el GECC, las partes interesadas pertinentes y otros organismos pertinentes. ENISA Público general Autoridades de los Estados miembros Consulta de las partes interesadas pertinentes que requieren flujos y tratamiento de datos Flujos de datos Tratamiento de los datos Artículo 83 Autoevaluación de la conformidad 3. El fabricante o proveedor de productos, servicios o procesos de TIC o servicios de seguridad gestionados, o la entidad cuya posición en materia de ciberseguridad esté sujeta a certificación, deberá poner a disposición de la autoridad nacional de certificación de la ciberseguridad designada en virtud del artículo 89, durante el plazo previsto en el esquema europeo de certificación de la ciberseguridad, la declaración de conformidad de la UE, la documentación técnica y toda otra información pertinente relativa a la conformidad de los productos, servicios o procesos de TIC, los servicios de seguridad gestionados o las posturas de ciberseguridad con dicho esquema. Deberá presentarse a la autoridad nacional de certificación de la ciberseguridad y a ENISA, sin demora indebida, una copia de la declaración de conformidad de la UE. ENISA Público general Autoridades de los Estados miembros Disponibilidad de la información; intercambio de datos Los datos compartidos requieren tratamiento por parte de ENISA y las autoridades de los Estados miembros Flujos de datos Tratamiento de los datos Artículo 84 Información complementaria sobre ciberseguridad de productos, servicios y procesos de TIC certificados 1. El fabricante o proveedor de productos, servicios o procesos de TIC para los que se haya expedido una declaración de conformidad de la UE o un certificado europeo de ciberseguridad pondrá a disposición del público la siguiente información adicional sobre ciberseguridad. Fabricante o proveedor de productos, servicios o procesos de TIC Público general Organismos de evaluación de la conformidad Poner la información a disposición del público en formato electrónico. Flujos de datos Artículo 85 Expedición de certificados europeos de ciberseguridad 2. Los organismos de evaluación de la conformidad a que se refiere el artículo 91 expedirán certificados europeos de ciberseguridad sobre la base de los criterios recogidos en el esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 74. 6. La persona física o jurídica que someta productos, servicios o procesos TIC o servicios de seguridad gestionados a certificación, o la entidad que solicite la certificación de su postura de ciberseguridad, pondrá a disposición de la autoridad nacional de certificación de la ciberseguridad designada en virtud del artículo 89, cuando dicha autoridad sea el organismo que expide el certificado europeo de ciberseguridad, o del organismo de evaluación de la conformidad a que se refiere el artículo 91, toda la información necesaria para llevar a cabo el procedimiento de certificación. 7. Los organismos de evaluación de la conformidad y, cuando proceda, las autoridades nacionales de certificación de la ciberseguridad informarán a ENISA sin demora indebida de sus decisiones que afecten a la situación de los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE con arreglo al artículo 94. 8. El titular de un certificado europeo de ciberseguridad informará al organismo de evaluación de la conformidad y, cuando proceda, a la autoridad nacional de certificación de la ciberseguridad a que se refiere el apartado 7, acerca de cualquier vulnerabilidad o falta de conformidad detectada posteriormente en relación con el producto, servicio o proceso de TIC, el servicio de seguridad gestionado o la postura de ciberseguridad certificados que puedan afectar a su conformidad con el certificado. El organismo transmitirá dicha información sin demora indebida a la autoridad nacional de certificación de la ciberseguridad de que se trate y evaluará las repercusiones en el certificado en consonancia con las condiciones del esquema a que se refiere el artículo 81, letra f). ENISA Público general Autoridades de los Estados miembros Organismos de evaluación de la conformidad Intercambio de información pertinente para los procesos de certificación Flujos de datos Tratamiento de los datos Artículo 86 Esquemas nacionales de certificación de la ciberseguridad 4. Los Estados miembros notificarán a la Comisión y al GECC antes de adoptar nuevos esquemas nacionales de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la postura de ciberseguridad de las entidades. ENISA Estados miembros Comisión Europea Intercambio de información Flujos de datos Artículo 88 Autoridades nacionales de certificación de la ciberseguridad 2. Cada Estado miembro informará a la Comisión de la identidad de las autoridades nacionales de certificación de la ciberseguridad designadas. Cuando un Estado miembro designe más de una autoridad, también informará a la Comisión de las tareas que se hayan encomendado a cada una de dichas autoridades. 6. Las autoridades nacionales de certificación de la ciberseguridad: c) supervisarán, en colaboración con las autoridades de vigilancia del mercado pertinentes, el cumplimiento y la ejecución de las obligaciones de los fabricantes o proveedores de productos, servicios y procesos de TIC, servicios de seguridad gestionados o entidades cuya postura de ciberseguridad esté certificada con arreglo al presente Reglamento, que estén establecidos en sus respectivos territorios y que lleven a cabo la autoevaluación de la conformidad y en el correspondiente esquema europeo de certificación de la ciberseguridad; d)    sin perjuicio de lo dispuesto en el artículo 91, apartado 3, asistirán y apoyarán activamente a los organismos nacionales de acreditación u otras autoridades pertinentes en el control y la supervisión de las actividades de los organismos de evaluación de la conformidad a efectos de la aplicación del presente Reglamento; e)    cooperarán con la Comisión Europea cuando se impugne la competencia de un organismo de evaluación de la conformidad con arreglo al artículo 94;  f)    controlarán y supervisarán las actividades de los organismos públicos mencionados en el artículo 85, apartado 3; g)    cuando proceda, autorizarán a los organismos de evaluación de la conformidad con arreglo al artículo 93, supervisarán el cumplimiento y harán cumplir las obligaciones de los organismos de evaluación de la conformidad con los requisitos específicos o adicionales establecidos en los esquemas europeos de certificación de la ciberseguridad en virtud del artículo 81, apartado 3, letra f), y restringir, suspender o revocar la autorización existente cuando los organismos de evaluación de la conformidad no cumplan los requisitos del presente Reglamento; h)    tramitarán las reclamaciones presentadas por personas físicas o jurídicas en relación con los certificados europeos de ciberseguridad expedidos por las autoridades nacionales de certificación de la ciberseguridad o los certificados europeos de ciberseguridad expedidos por los organismos de evaluación de la conformidad, de conformidad con el artículo 85, apartado 4, o en relación con las declaraciones de conformidad UE expedidas en virtud del artículo 83, investigar el asunto objeto de la reclamación en la medida que proceda e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable; i)    presentarán un informe anual sobre sus principales actividades a la Comisión, ENISA y el GECC a más tardar el 31 de marzo [año de entrada en vigor + doce meses] de cada año, y poner estos informes a disposición del equipo de revisión interpares cuando la autoridad nacional de certificación de la ciberseguridad esté sujeta a revisión por homólogos de conformidad con el artículo 89;  j)    cooperarán con otras autoridades nacionales de certificación de la ciberseguridad, autoridades de vigilancia del mercado u otras autoridades públicas, en particular, mediante el intercambio de información sobre la posible falta de conformidad de productos, servicios y procesos de TIC, servicios de seguridad gestionados y de la postura de ciberseguridad de las entidades con los requisitos del presente Reglamento o de esquemas europeos de certificación de la ciberseguridad específicos; k)    seguirán las novedades de interés en el ámbito de la certificación de la ciberseguridad.   8. Las autoridades nacionales de certificación de la ciberseguridad cooperarán entre ellas y con la Comisión, y, en particular, intercambiarán información, experiencias y buenas prácticas en relación con la certificación de la ciberseguridad y las cuestiones técnicas relativas a la ciberseguridad de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados y la postura de ciberseguridad de las entidades. 9.    A más tardar el [entrada en vigor + seis meses], ENISA elaborará un modelo para el informe a que se refiere el apartado 6, letra i), del presente artículo, en colaboración con la Comisión y el GECC. ENISA Autoridades de los Estados miembros Comisión Europea Público general Organismos de evaluación de la conformidad Los Estados miembros informarán a la Comisión acerca de sus autoridades nacionales de certificación de la ciberseguridad Las autoridades de los Estados miembros llevarán a cabo diversas tareas de seguimiento, supervisión y cooperación que requieren flujos de datos y tratamiento de los datos Flujos de datos Tratamiento de los datos Artículo 89 Revisiones interpares 5. ENISA apoyará la organización del mecanismo de revisión interpares y las revisiones interpares, en particular mediante el desarrollo de documentos de orientación y modelos pertinentes, en cooperación con la Comisión y el GECC. 7. El GECC examinará el informe final, que incluya las posibles directrices o recomendaciones, y el resumen de la revisión interpares, y refrendará el resumen para la publicación a la que se hace referencia en el artículo 79, apartado 2. UE ENISA GECC Puesta a disposición de los datos en línea Flujos de datos Tratamiento de los datos   Artículo 90 Grupo Europeo de Certificación de la Ciberseguridad (GECC) 3. El GECC desempeñará las siguientes tareas: [referencia a otros artículos] h)    examinar los avances pertinentes en el ámbito de la certificación de la ciberseguridad, en particular a escala nacional de conformidad con el artículo 86, e intercambiar información y buenas prácticas sobre los esquemas de certificación de la ciberseguridad; i)facilitar la cooperación entre las autoridades nacionales de certificación de la ciberseguridad con arreglo a las normas establecidas en el presente título mediante la creación de capacidades y el intercambio de información, en particular en relación con las cuestiones relativas a la certificación de la ciberseguridad; [referencia a otros artículos] k)    facilitar la coherencia de los esquemas europeos de certificación de la ciberseguridad con las normas internacionales reconocidas, en particular como parte del mantenimiento de los esquemas europeos de certificación de la ciberseguridad existentes y, cuando proceda, hacer recomendaciones a ENISA para que colabore con las organizaciones europeas o internacionales de normalización correspondientes al objeto de solucionar las deficiencias o lagunas en las normas vigentes reconocidas a nivel europeo o internacional. Estados miembros ENISA Comisión Europea Análisis, intercambio de información y cooperación entre las autoridades de los Estados miembros y las organizaciones internacionales en relación con la certificación europea de ciberseguridad Tratamiento de los datos Flujos de datos Artículo 92 Armonización adicional de la competencia de los organismos de evaluación de la conformidad 4. Cuando una autoridad nacional de certificación de la ciberseguridad reciba una solicitud conforme a lo dispuesto en el apartado 3, informará a la autoridad nacional de certificación de la ciberseguridad del Estado miembro en el que esté establecido el organismo de evaluación de la conformidad solicitante. En tales casos, la autoridad nacional de certificación de la ciberseguridad de dicho Estado miembro podrá participar en la autorización en calidad de observadora. Autoridades de los Estados miembros Organismos de evaluación de la conformidad Intercambio y conservación de la información Flujos de datos Tratamiento de los datos Artículo 93 Notificaciones de los organismos de evaluación de la conformidad 1. Para cada esquema europeo de certificación de la ciberseguridad, las autoridades nacionales de certificación de la ciberseguridad de un Estado miembro notificarán a la Comisión y a los demás Estados miembros los organismos de evaluación de la conformidad que se hayan acreditado y, cuando corresponda, que se hayan autorizado con arreglo al artículo 92. 2. Las autoridades nacionales de certificación de la ciberseguridad llevarán a cabo la notificación a que se refiere el apartado 1 utilizando la herramienta de notificación electrónica desarrollada y gestionada por la Comisión. ENISA Estados miembros Comisión Europea Organismos de evaluación de la conformidad Notificaciones de organismos de evaluación de la conformidad acreditados y autorizados Flujos de datos Tratamiento de los datos Artículo 94 Impugnación de la competencia de los organismos de evaluación de la conformidad 1.1. La Comisión investigará cualquier caso en el que albergue dudas, o tenga conocimiento de dudas, acerca de la competencia de un organismo de evaluación de la conformidad para cumplir los requisitos y responsabilidades a los que esté sujeto, o acerca del mantenimiento del cumplimiento de dichos requisitos y responsabilidades por parte de dicho organismo. 2. La autoridad nacional de certificación de la ciberseguridad facilitará a la Comisión, cuando esta así lo solicite, toda la información en que se fundamente la notificación o el mantenimiento de la competencia del organismo notificado correspondiente. 3. La Comisión garantizará el trato confidencial de toda la información delicada recabada en el transcurso de sus investigaciones.  4. Cuando la Comisión compruebe que un organismo de evaluación de la conformidad no cumple o ha dejado de cumplir los requisitos para su notificación, informará de ello a la autoridad nacional de certificación de la ciberseguridad y le pedirá que adopte las medidas correctoras necesarias, incluida, si es precisa, la retirada de la notificación. Comisión Estados miembros ENISA Impugnación de la competencia de los organismos de evaluación de la conformidad Flujos de datos Tratamiento de datos Servicio público digital Artículo 95 Obligación de información y conservación de los organismos de evaluación de la conformidad 1. Los organismos de evaluación de la conformidad informarán a la autoridad nacional de certificación de la ciberseguridad de lo siguiente: a)    toda denegación, restricción, suspensión o revocación de un certificado; b)    toda circunstancia que afecte al alcance y a las condiciones de la notificación a que se refiere el artículo 93, apartado 1;  c)    toda solicitud de información sobre las actividades de evaluación de la conformidad que hayan recibido de las autoridades de vigilancia del mercado; d)    previa solicitud, toda actividad de evaluación de la conformidad realizada dentro del ámbito de su notificación y cualquier otra actividad realizada, incluidas la subcontratación y las actividades transfronterizas. 2. Los organismos de evaluación de la conformidad también facilitarán a ENISA la información a que se refiere el apartado 1, letra a), con el fin de facilitar el desempeño de su cometido con arreglo al artículo 79. 3. Los organismos de evaluación de la conformidad facilitarán, sin demora indebida, a los demás organismos de evaluación de la conformidad en virtud del presente Reglamento, que lleven a cabo actividades de evaluación de la conformidad similares que abarquen los mismos productos, servicios y procesos de TIC, servicios de seguridad gestionados o entidades cuya postura de ciberseguridad esté certificada, información pertinente sobre cuestiones relacionadas con resultados negativos y, previa solicitud, resultados positivos de la evaluación de la conformidad. 4. Los organismos de evaluación de la conformidad mantendrán un sistema de registro que contenga todos los documentos y pruebas presentados o recibidos en relación con cada evaluación y certificación que realicen. El registro se conservará de manera segura y accesible durante el período necesario a efectos de la certificación y durante al menos cinco años tras la caducidad o revocación del certificado europeo de ciberseguridad pertinente. Autoridades de los Estados miembros Organismos de evaluación de la conformidad Intercambio de información de los organismos de evaluación de la conformidad Flujos de datos Tratamiento de los datos Artículo 96 Derecho a presentar una reclamación y derecho a la tutela judicial efectiva  2. La autoridad u organismo ante el que se haya presentado la reclamación informará al reclamante sobre el curso del procedimiento, sobre la decisión tomada y sobre el derecho de recurso a la tutela judicial efectiva a que se refieren los apartados 3 y 4. 4. Los recursos presentados en aplicación del presente artículo se dirimirán en los tribunales del Estado miembro donde se encuentre la autoridad u organismo ante el cual se plantea el procedimiento judicial. Autoridades de los Estados miembros Comisión Europea Público general Titulares de certificados Flujo de información entre las autoridades y el público en general en relación con las reclamaciones Procedimientos ante los órganos jurisdiccionales del Estado miembro Flujos de datos Artículo 97 Sanciones  Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, sin demora, y le notificarán toda modificación posterior. Autoridades de los Estados miembros Comisión Europea Flujo de información relacionado con la notificación de los Estados miembros a la Comisión en relación con las sanciones. Flujos de datos Artículo 99 Evaluaciones del riesgo para la seguridad La Comisión o al menos tres Estados miembros podrán solicitar al Grupo de Coordinación SRI que lleve a cabo evaluaciones de riesgos coordinadas en un plazo de 6 meses. La Comisión podrá solicitar plazos más cortos. Las evaluaciones de riesgos desarrollarán escenarios de riesgo y se fundamentarán en el análisis de datos. Preparación de las evaluaciones coordinadas de los riesgos de seguridad. En los casos que justifiquen una intervención inmediata, la Comisión consultará sin demora a los Estados miembros y llevará a cabo una evaluación de riesgos. Decisiones para la realización de evaluaciones de riesgos (tratamiento/análisis de datos). Comisión Europea Estados miembros de la UE Grupo de cooperación RSI ENISA Solicitar y recibir información; análisis de datos a efectos de las evaluaciones coordinadas de riesgos; consulta con los Estados miembros y realización de una evaluación de riesgos Tratamiento de los datos Flujos de datos Artículo 100, apartados 1 y 2 Designación de terceros países que plantean preocupaciones en materia de ciberseguridad 1. Cuando, como resultado de la evaluación del riesgo para la seguridad a que se refiere el artículo 99, o sobre la base de otras fuentes, como una declaración pública en nombre de la Unión o de un Estado miembro, se ponga de manifiesto que un tercer país plantea riesgos graves y estructurales de carácter no técnico para las cadenas de suministro de TIC, la Comisión verificará la amenaza que plantea dicho país, teniendo en cuenta una serie de elementos, lo que dará lugar al tratamiento y análisis de datos. 2. Cuando la Comisión, tras la verificación a que se refiere el apartado 1, llegue a la conclusión de que un tercer país plantea riesgos graves y estructurales de carácter no técnico para las cadenas de suministro de TIC, podrá decidir, mediante un acto de ejecución, designar a dicho tercer país como país que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC, lo que dará lugar al tratamiento y análisis de datos y a flujos de datos. Estados miembros de la UE Comisión Europea Recepción, análisis e intercambio de información. Flujos de datos Tratamiento de los datos Artículo 101 Mecanismo general de la cadena de suministro de TIC Artículo 102 Determinación de activos de TIC clave Artículo 103 Medidas de mitigación en las cadenas de suministro de TIC 1. Cuando el Grupo de Cooperación SRI haya llevado a cabo una evaluación coordinada de los riesgos de seguridad a escala de la Unión con arreglo al artículo 99, apartados 1 y 2, del presente Reglamento, o una vez finalizado el procedimiento en caso de ciberamenaza significativa con arreglo al artículo 99, apartado 3, la Comisión podrá adoptar las medidas previstas en los artículos 102 y 103. La Comisión está facultada para adoptar actos de ejecución que definan los activos de TIC clave y las medidas de mitigación, incluidas las restricciones y prohibiciones de las cadenas de suministro de TIC (que se detallan en la sección 4.5). Para preparar este proceso, la Comisión tendrá en cuenta diversos aspectos que implican el tratamiento y análisis de datos y, en determinados casos, flujos de datos: Artículo 102, letras a) a f) Artículo 103, apartado 4, letras a) a d) Artículo 103, apartado 6 Comisión Europea Grupo de cooperación RSI Partes interesadas pertinentes Análisis de datos/tratamiento de datos; consulta a las partes interesadas Tratamiento de los datos Flujos de datos Artículo 104 Determinación de proveedores de alto riesgo Mediante actos de ejecución, la Comisión establecerá listas de proveedores de alto riesgo pertinentes para las prohibiciones establecidas en los actos de ejecución adoptados de conformidad con el artículo 103, apartado 1, o la prohibición a que se refiere el artículo 111, apartado 1. La Comisión realizará un inventario de los proveedores que suministran componentes de TIC y componentes que incluyan componentes de TIC, y realizará una evaluación inicial para determinar qué proveedores están potencialmente establecidos en terceros países, o bajo el control de estos, designados de conformidad con el artículo 100. La Comisión evaluará el lugar de establecimiento, así como la estructura de titularidad y control. La Comisión estará facultada para solicitar la información necesaria a los proveedores y compartirá las conclusiones preliminares relativas a la evaluación del establecimiento, la titularidad y el control con el proveedor de que se trate, y le dará audiencia. La Comisión podrá solicitar a una autoridad competente que lleve a cabo la evaluación inicial del establecimiento, la propiedad y el control de un proveedor, cuando esté justificado a la vista de las características del funcionamiento de dicho proveedor. Una autoridad competente podrá proponer que se lleve a cabo dicha evaluación inicial. La Comisión verificará estas conclusiones iniciales con vistas a decidir si el proveedor debe incluirse en la lista de proveedores de alto riesgo. La Comisión actualizará periódicamente las listas de proveedores de alto riesgo con vistas a eliminar o añadir proveedores de alto riesgo. Los proveedores de alto riesgo incluidos en esta lista podrán solicitar a la Comisión que vuelva a evaluar su establecimiento, control y estructura de propiedad previa presentación de pruebas de que se han producido cambios pertinentes. Comisión Europea Autoridades competentes Proveedores Análisis de datos/tratamiento de datos; consulta a las autoridades competentes, consulta a los proveedores Tratamiento de los datos Flujos de datos Artículo 105 Exención de las entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad Artículo 108 Confidencialidad 1) Una entidad establecida en un tercer país designado, o controlada desde él, que plantea problemas de ciberseguridad podrá presentar una solicitud motivada a la Comisión. 3) La Comisión evaluará y adoptará una decisión teniendo en cuenta varios aspectos que conduzcan al análisis de los datos (artículo 105, apartados 3 y 4). La información que la Comisión reciba solo podrá utilizarse con el fin para el que fue solicitada. Comisión Europea Entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad La Comisión recibe la solicitud; análisis de datos. Flujos de datos Tratamiento de los datos Artículo 107 Registro La Comisión mantendrá un registro de acceso público de sus decisiones a que se refiere el artículo 105. El registro indicará los nombres de las entidades que hayan sido objeto de dichas decisiones. Comisión Europea Entidades establecidas en un tercer país o controladas desde un tercer país que plantea preocupaciones en materia de ciberseguridad La Comisión mantiene un registro de acceso público. Solución digital Artículo 111 Prohibiciones aplicables a las redes de comunicaciones electrónicas móviles, fijas y por satélite La autoridad competente designada en virtud del presente Reglamento informará sin demora a la autoridad competente con arreglo al Reglamento (UE) XX/XXXX [propuesta de Ley de Redes Digitales] acerca de las medidas impuestas a los prestadores de redes de comunicaciones electrónicas móviles, fijas y por satélite. Autoridad competente en el sentido del artículo 9 o 20 del Reglamento (UE) XX/XXXX [propuesta de Ley de Redes Digitales] Proveedores de redes de comunicaciones electrónicas móviles, fijas y por satélite Flujo de información de la autoridad competente a las entidades en relación con las autorizaciones. Flujos de datos Artículo 112, apartados 1 y 4 Autoridades competentes 1) Cada Estado miembro designará una o varias autoridades competentes responsables de las tareas de supervisión y control del cumplimiento a que se refiere el artículo 114. 4) Cada Estado miembro notificará sin demora indebida a la Comisión los nombres de las autoridades competentes designadas de conformidad con el apartado 1, así como las tareas respectivas de dichas autoridades y cualquier cambio posterior al respecto. Cada Estado miembro también hará públicos los nombres de las autoridades competentes designadas de conformidad con el apartado 1.   Estados miembros de la UE Comisión Europea Público general Los Estados miembros designan a las autoridades competentes y notifican a la Comisión. Flujos de datos Artículo 113 Red de servicios de cooperación y apoyo de la Comisión 1. La Comisión creará una red de cooperación entre las autoridades competentes de los Estados miembros y la Comisión que servirá como plataforma para la cooperación y el intercambio de información. La Comisión proporcionará a la red apoyo administrativo. 2. Para apoyar a los Estados miembros en sus tareas de supervisión, la Comisión evaluará si los proveedores que puedan verse afectados por prohibiciones específicas están establecidos en terceros países que plantean preocupaciones en materia de ciberseguridad, o controlados desde ellos, designados de conformidad con el artículo 100. A tal fin, la autoridad competente compartirá la información pertinente con la Comisión. 3. A efectos de la evaluación, la Comisión tendrá derecho a solicitar la información necesaria a los proveedores que puedan verse afectados por prohibiciones específicas que estén establecidos en terceros países, o controlados desde ellos, designados con arreglo al artículo 100. 4. Una vez finalizada la evaluación, la Comisión compartirá las conclusiones con las autoridades competentes dentro de la red creada con arreglo al apartado 1. Las autoridades competentes informarán oportunamente de las conclusiones a las entidades afectadas del tipo a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. 5. Cuando una autoridad competente tenga conocimiento de que un proveedor que pueda verse afectado por prohibiciones específicas está establecido en terceros países que plantean preocupaciones en materia de ciberseguridad, o controlado desde ellos, y no ha sido objeto de una evaluación, informará sin demora indebida a la Comisión. Comisión Autoridades competentes Entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 Evaluación por parte de la Comisión de los proveedores y comunicación del resultado a las autoridades competentes que, a su vez, lo comunicarán a las entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555. La Comisión solicita información a los proveedores. Las autoridades competentes informan a la Comisión. Tratamiento de datos Flujos de datos Artículo 114 Medidas de supervisión y ejecución Requisitos para los Estados miembros que garantizarán el flujo de información con las entidades contempladas en los anexos I y II de la Directiva (UE) 2022/2555. Autoridades competentes. Antes de adoptar medidas, las autoridades competentes notificarán a las entidades afectadas sus constataciones preliminares. Las autoridades competentes cooperarán entre sí y con la Comisión. Estados miembros de la UE Comisión Europea Entidades en el contexto de los anexos I y II de la Directiva (UE) 2022/2555 Requisitos que garanticen el flujo de información Flujos de datos Tratamiento de los datos Artículo 115 Sanciones Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, y le notificarán sin demora toda modificación posterior. Comisión Europea Estados miembros de la UE Los Estados miembros notifican a la Comisión Flujos de datos Artículo 116 Asistencia mutua Cuando una entidad contemplada en los anexos I o II de la Directiva (UE) 2022/2555 preste servicios en más de un Estado miembro, o preste servicios en uno o varios Estados miembros y sus activos clave estén situados en uno u varios Estados miembros, las autoridades competentes de los Estados miembros de que se trate cooperarán entre sí y se asistirán mutuamente cuando sea necesario. La asistencia mutua contemplada en el párrafo primero, letra c), podrá abarcar solicitudes de información y medidas de supervisión, incluidas las solicitudes para la realización de inspecciones in situ, supervisión a distancia o auditorías de seguridad específicas. La autoridad competente destinataria de una solicitud de asistencia no podrá negarse a ella a menos que se determine que la autoridad carece de competencias para prestar la asistencia requerida, o que dicha asistencia no se adecúa a las funciones de supervisión de la autoridad competente, o que la solicitud se refiere a información o implica actividades que, de revelarse o llevarse a cabo, resultaría contraría a intereses esenciales de la seguridad nacional, la seguridad pública o la defensa de dicho Estado miembro. Antes de denegar dicha solicitud, la autoridad competente consultará a las demás autoridades competentes afectadas, así como, a petición de uno de los Estados miembros afectados, a la Comisión. Cuando proceda y de común acuerdo, las autoridades competentes de varios Estados miembros podrán emprender medidas conjuntas de supervisión. Estados miembros de la UE Asistencia mutua en acciones de supervisión. Flujos de datos Tratamiento de los datos Artículo 1, punto 8, Directiva Notificación de ataques con programas de secuestro de archivos (artículo 27, apartado 13, SRI 2) En el artículo 23, se añaden los apartados 12 y 13 siguientes:  «13. Los Estados miembros velarán por que, en caso de incidente significativo causado por un ataque con programas de secuestro de archivos, las entidades afectadas informen, a petición del CSIRT o, cuando proceda, de la autoridad competente, a través de un canal de comunicación facilitado por el CSIRT o, cuando proceda, por la autoridad competente: si la entidad ha recibido una solicitud de rescate y, en su caso, de quién; si se ha pagado un rescate y, en caso afirmativo, cuál fue el importe, por qué medio de pago y a qué destinatario o beneficiario final, incluidos, cuando proceda, el criptoactivo y el prestador de servicios de criptoactivos correspondientes». Estados miembros de la UE Entidades esenciales e importantes Elaboración de informes Flujos de datos Artículo 1, punto 10, Directiva  Lista de entidades y registro (artículo 27, apartado 1, SRI 2) ENISA creará y mantendrá un registro de entidades esenciales e importantes, así como de entidades que presten servicios de registro de nombres de dominio, sobre la base de la información recibida de los puntos de contacto únicos de conformidad con el apartado 2.  ENISA Estados miembros de la UE (entidades esenciales e importantes con arreglo a la SRI 2, entidades que prestan servicios de registro de nombres de dominio) ENISA creará y mantendrá un registro Solución digital Servicio público digital   Artículo 1, punto 11, Directiva  Lista de entidades y registro (artículo 27, apartado 4, SRI 2) «4. Una vez recibida la información a que se refiere el artículo 3, apartado 4, el punto de contacto único del Estado miembro de que se trate la transmitirá, sin demora indebida, a ENISA».  ENISA Estados miembros de la UE Los Estados miembros comparten información con ENISA Flujos de datos Artículo 1, punto 12, Directiva Asistencia mutua  (artículo 37 bis, apartados 1, 2 y 3, SRI 2)  1. ENISA asistirá a los Estados miembros en la prestación de asistencia mutua en el sentido del artículo 37 y ayudará a facilitar dichos procesos de colaboración para las entidades esenciales e importantes (...). 2. ENISA llevará a cabo un análisis exhaustivo (...). ENISA, en colaboración con la Comisión y el Grupo de Cooperación, desarrollará una metodología. El informe se actualizará anualmente. 3. ENISA recomendará, cuando proceda: la elaboración de directrices; asistencia (...).  ENISA Estados miembros de la UE Entidades importantes y esenciales en el sentido de la Directiva SRI 2 Comisión Europea ENISA asistirá a los Estados miembros y ayudará a facilitar el proceso de colaboración. Realización de análisis, directrices, metodología e informes. Tratamiento de los datos Flujos de datos Artículo 1, punto 12, Directiva Asistencia mutua  (artículo 37 bis, apartado 4, SRI 2)  4. A efectos del apartado 4, letra e), del presente artículo, las autoridades competentes de los Estados miembros de que se trate facilitarán a ENISA lo siguiente, cuando estén disponibles (….). 5. Cuando un Estado miembro reciba asistencia mutua con arreglo al artículo 37, apartado 1, párrafo primero, letra c), el punto de contacto único informará a ENISA de que se ha prestado asistencia mutua. ENISA Estados miembros de la UE   Intercambio de información Flujos de datos Artículo 119 Ejercicio de la delegación 3.    Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo. Comisión Europea Parlamento Europeo Consejo Información enviada al PE y al Consejo Flujos de datos Artículo 120 Evaluación y revisión 1.    A más tardar el [DD MM AAAA], y, a partir de entonces, cada cinco años, la Comisión encargará una evaluación del desempeño de ENISA en relación con sus objetivos, mandato, misión, tareas, gobernanza y localización, de acuerdo con las directrices de la Comisión. 5.    La Comisión comunicará al Parlamento Europeo, al Consejo y al Consejo de Administración los resultados de la evaluación. Se publicarán las conclusiones de la evaluación. ENISA Comisión Público general Recopilación y análisis de datos; puesta a disposición del público de la información Tratamiento de los datos Flujos de datos

4.2.Datos

Descripción detallada del alcance de los datos y de todas las normas y especificaciones relacionadas 

Tipo de datos	Referencia a las obligaciones	Norma o especificación (si procede)
Datos relacionados con análisis o informes pertinentes para la resiliencia en materia de ciberseguridad y para la sociedad	Artículo 5, apartado 1, letras a), b), c), e), f) y h)  Artículo 5, apartados 2, 3 y 4  Artículo 6  Artículo 7  Artículo 8  Artículo 9  Artículo 10  Artículo 11, apartado 2, letras b) y c)  Artículo 12, apartado 4  Artículo 15  Artículo 1, punto 7, Directiva	Al llevar a cabo las actividades enumeradas en el artículo 11, apartado 1, letras a) a e), y apartado 2, ENISA utilizará sus propios análisis y, según proceda, la información recibida en el desempeño de sus funciones, en particular: a) información procedente de fuentes de acceso público, en particular las vulnerabilidades de conocimiento público en productos o servicios de TIC disponibles en la base de datos europea de vulnerabilidades establecida de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555; b) información compartida por los Estados miembros, las entidades de la Unión, el CERT-EU, socios del sector privado o no gubernamentales, así como por terceros países y organizaciones internacionales, sujeta a cualquier limitación mediante un marcado visible de la distribución ulterior de dicha información. ENISA emitirá directrices relativas a la interoperabilidad de los sistemas de información de redes utilizados para el intercambio de información, también en lo que respecta a los centros cibernéticos transfronterizos a que se refiere el artículo 6, apartado 3, del Reglamento (UE) 2025/38.
Datos pertinentes para la cooperación operativa y la conciencia situacional	Artículo 10, apartado 4, letras a) a g)  Artículo 10, apartado 6  Artículo 11, apartado 1, letras a) a g)  Artículo 11, apartado 2, letras a), b) y c)  Artículo 11, apartado 3  Artículo 11, apartado 4  Artículo 13, apartado 2  Artículo 15  Artículo 16, apartado 2, letra e)	Normas sobre confidencialidad y tratamiento de información sensible  Al llevar a cabo las actividades enumeradas en el artículo 11, apartado 1, letras a) a e), y apartado 2, ENISA utilizará sus propios análisis y, según proceda, la información recibida en el desempeño de sus funciones, en particular: a) información procedente de fuentes de acceso público, en particular las vulnerabilidades de conocimiento público en productos o servicios de TIC disponibles en la base de datos europea de vulnerabilidades establecida de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555; b) información compartida por los Estados miembros, las entidades de la Unión, el CERT-EU, socios del sector privado o no gubernamentales, así como por terceros países y organizaciones internacionales, sujeta a cualquier limitación mediante un marcado visible de la distribución ulterior de dicha información.
Datos pertinentes para los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad y la autorización de los proveedores  Datos pertinentes para los objetivos, la finalidad y el contenido de los esquemas europeos de certificación de la ciberseguridad	Artículo 17  Artículo 18  Artículos 19 a 23  Artículos 72, 73, 74, 75, 76, 77, 79, 81, 83 y 84	Un esquema europeo individual de declaraciones individuales de capacidades en materia de ciberseguridad incluirá (...): normas relativas a la conservación de registros por parte de los proveedores de declaraciones autorizados Los prestadores autorizados velarán por que, a petición de la persona, las versiones electrónicas de las declaraciones europeas individuales de capacidades en materia de ciberseguridad se expidan como declaraciones electrónicas de atributos en un formato que pueda almacenarse en las carteras europeas de identidad digital establecidas en el Reglamento (UE) n.º 910/2014. .  La Comisión y ENISA deben seguir las disposiciones pertinentes de la legislación de la Unión a la hora de establecer un esquema europeo de certificación de la ciberseguridad en lo que respecta a los datos.
Datos relacionados con la gobernanza del marco europeo de certificación de la ciberseguridad	Artículos 85, 86, 88, 89, 90, 92, 93, 94, 95, 96 y 97	ENISA, los organismos de evaluación de la conformidad y las autoridades nacionales de certificación de la ciberseguridad deben garantizar la confidencialidad de los datos y seguir las disposiciones de un esquema pertinente que haga referencia a normas internacionales que especifiquen los requisitos.
Datos pertinentes para las funciones internas de ENISA (presupuesto, documento único de programación y estrategias internas)	Artículo 25  Artículo 28, apartado 1  Artículo 30  Artículo 31, apartado 8  Artículo 32, apartados 3 y 5  Artículo 35, apartados 5 y 6  Artículos 36 a 43  Artículo 44  Artículo 45  Artículo 47, apartado 10  Artículos 48 y 49  Artículos 52 y 58	Modelos y directrices de regulación financiera; directrices internas
Datos personales	Artículo 22  Título II, capítulo III, sección 6, Sala de Recurso  Artículo 66  Artículo 80, apartado 1, letras c) y x)  Artículo 81, apartado 2 Artículo 88, apartado 6, letra h)  Artículo 95  Artículo 96	Reglamento (UE) 2018/1725  Reglamento (UE) 2016/679
Datos recopilados y analizados en el contexto de la realización de evaluaciones de riesgos coordinadas, desarrollo de escenarios de riesgo y determinación de activos de TIC clave	Artículo 98 Artículo 99 Artículo 102 Artículo 103 Artículo 105	Sin perjuicio de lo dispuesto en el artículo 13 del Reglamento (UE) 2024/2847 y en el artículo 21 de la Directiva (UE) 2022/2555
Datos relativos a terceros países / entidades de terceros países	Artículo 100, apartados 1, 3 y 4 Artículo 104 Artículo 105 Artículo 107 Artículo 113	No procede
Datos relativos a las autoridades nacionales	Artículo 112 Artículo 114 Artículo 116	No procede
Datos pertinentes para las evaluaciones de riesgos	Artículo 5, apartado 2	Normas sobre confidencialidad y tratamiento de información sensible
Asistencia mutua entre Estados miembros	Artículo 5, apartado 1, letra g), del Reglamento y artículo 1, punto 12, de la Directiva	/

Armonización con la Estrategia Europea de Datos

Explíquese cómo se armonizan las obligaciones con la Estrategia Europea de Datos

Los requisitos de la propuesta de Reglamento sobre la Ciberseguridad 2 se ajustan a la Estrategia Europea de Datos y no tienen un impacto específico en ella.

Armonización con el principio de «solo una vez»     

Explíquese cómo se ha tomado en consideración el principio de «solo una vez» y cómo se ha estudiado la posibilidad de reutilizar los datos existentes 

Uno de los objetivos de la propuesta es maximizar los esfuerzos de simplificación de la Comisión y reducir la carga administrativa para los Estados miembros y las partes interesadas. En los últimos años, ENISA se ha convertido en un centro de información procedente de diversas fuentes. En este sentido, muchas de las tareas de ENISA están asociadas a la reutilización y el reciclado de información a efectos de diversos análisis. Por ejemplo: para determinados fines, la reutilización de la información notificada con arreglo a los artículos 23 y 30 de la Directiva (UE) 2022/2555; la información notificada, compartida o analizada con arreglo al artículo 14, apartados 1 a 3, al artículo 15 y al artículo 17, apartados 1 y 3, del Reglamento (UE) 2024/2847. Las disposiciones del marco de la cadena de suministro parten de la premisa de que su aplicación está respaldada por los datos recibidos en virtud del artículo 22 de la Directiva (UE) 2022/2555, lo que pone de manifiesto la reutilización de información y la coordinación.

Explíquese en qué medida los datos de nueva creación son localizables, accesibles, interoperables y reutilizables, y cumplen normas de alta calidad

La propuesta legislativa indica explícitamente cuándo deben ponerse a disposición del público los datos. La propuesta está considerando la naturaleza de las disposiciones con aspectos estrictamente de seguridad y confidencialidad y, por lo tanto, no todos los datos creados en el marco de la revisión del Reglamente sobre la Ciberseguridad se destinarán al acceso público. Para las disposiciones necesarias, se ha garantizado la armonización con la cartera europea de identidad digital. Se encomienda a ENISA la prestación de un servicio de alertas tempranas en un formato legible por máquina.

Flujos de datos

Descripción detallada del alcance de los datos y de todas las normas y especificaciones relacionadas

Tipo de datos	Explicar el flujo de datos		Referencias
ENISA proporciona informes y análisis, orientaciones técnicas y mejores prácticas.	Se trata de un flujo de datos dirigido a las partes interesadas de ENISA, que apoya la aplicación de la política y la legislación de la UE. En estos flujos de datos, ENISA está recopilando información, la mayor parte del tiempo a través de fuentes públicas, realizando análisis y compartiendo los resultados con sus partes interesadas. ENISA también está llevando a cabo determinadas tareas cuando así lo solicita la Comisión.		Artículo 5, apartado 1, letras a), b), c), e), f) y h) Artículo 5, apartado 2; artículo 5, apartado 3; artículo 5, apartado 5 Artículo 6 Artículo 7 Artículo 8 Artículo 9 Artículo 10 Artículo 11, apartado 2 Artículo 11, apartado 4 Artículo 14
Flujos de datos entre la Comisión, ENISA, los Estados miembros y otros agentes pertinentes dentro del ecosistema de ciberseguridad de la UE, en el marco de la cooperación operativa.	Este tipo de flujos de datos se establece a efectos de cooperación operativa y conciencia situacional. El intercambio de información es de carácter bidireccional. Dicho intercambio se refiere a datos operativos.		Artículo 10, apartado 4, letras a) a g) Artículo 11, apartado 1, letras b) a g) Artículo 11, apartado 2, letras a) y b) Artículo 11, apartado 3 Artículo 15 Artículo 16, apartado 2, letra e)
Flujos de datos establecidos para apoyar el ECSF y esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad y su aplicación	Estos flujos de datos apoyan los intercambios de entrada y salida para: - el mantenimiento y la adopción del ECSF, con flujos entre ENISA y los miembros de su grupo de trabajo ad hoc, y entre ENISA y la Comisión; - el desarrollo y el mantenimiento de esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad con flujos entre ENISA y los miembros de su grupo de trabajo ad hoc, y entre ENISA, la Comisión y los Estados miembros; - la aplicación de esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad con flujos de datos entre los solicitantes y ENISA; - flujos de datos entre la Sala de Recurso, ENISA, la Comisión y los solicitantes.		Artículos 19 a 23 Artículos 36 a 43
Datos pertinentes para los objetivos, la finalidad y el contenido de los esquemas europeos de certificación de la ciberseguridad	Este tipo de flujos de datos es pertinente para la planificación, la solicitud, el desarrollo, la adopción y el mantenimiento (incluida la posible revisión) de los esquemas europeos de certificación de la ciberseguridad. Están relacionados, en particular, con la participación y el asesoramiento especializado de las partes interesadas, ENISA y las autoridades de los Estados miembros a través del GECC en diversas fases del procedimiento. Además, los flujos de datos adicionales están relacionados con el suministro de información pertinente al público en general a través de sitios web específicos de la Comisión y de ENISA. Por último, el marco prevé la puesta a disposición del público de información complementaria sobre ciberseguridad por parte de los fabricantes o prestadores de productos, servicios o procesos de TIC para los que se haya expedido, por sus propios medios, una declaración de conformidad de la UE o un certificado europeo de ciberseguridad.	Artículo 18 Artículo 19 Artículos 72, 73, 74, 75, 76, 77, 79, 81, 83 y 84
Datos relacionados con la gobernanza del marco europeo de certificación de la ciberseguridad	Estos flujos de datos apoyan los intercambios de entrada y salida para: - la coordinación y gestión de los esquemas europeos de certificación de la ciberseguridad; - la acreditación y autorización de los organismos de evaluación de la conformidad, así como su posterior notificación a través de la plataforma pertinente y los procedimientos conexos; - los procedimientos de recurso, como el derecho a presentar una reclamación, a interponer un recurso judicial o a formular un recurso de apelación, así como procedimientos de modificación.	Artículos 85, 86, 88, 89, 90, 92, 93, 94, 95 y 96
Flujos de datos en relación con las actividades administrativas de la Agencia	Flujos entre ENISA, el Consejo de Administración, los Estados miembros y la Comisión. La información se refiere a las actividades administrativas de la Agencia, en ambos sentidos. También se envía información al Parlamento Europeo en algunos casos (a continuación se presenta el flujo de datos a este respecto).		Artículo 25 Artículo 28, apartado 1 Artículo 30 Artículo 31, apartado 8 Artículo 32, apartados 3 y 5 Artículo 35, apartados 5 y 6 Artículos 36 a 43 Artículo 44 Artículo 45
Datos enviados al Parlamento Europeo	Flujos hacia el Parlamento Europeo en relación con las actividades de ENISA y el desempeño de las tareas; gestión presupuestaria y financiera, cooperación con terceros países y organizaciones internacionales, audiencia del candidato a director ejecutivo; cuestiones relacionadas con la certificación europea de la ciberseguridad.		Artículo 28, apartado 1, letra f); artículo 31, apartado 8; artículo 32, apartado 3; artículo 44, apartado 3; artículo 49, apartado 6; artículo 49, apartado 9; artículo 70, apartado 5; artículo 72, apartados 4 y 5; artículo 119, apartado 3 «Ejercicio de delegación»; artículo 120 «Evaluación y revisión».
Datos enviados al Consejo de la UE	Flujos hacia el Parlamento Europeo en relación con las actividades de ENISA y el desempeño de las tareas; gestión presupuestaria y financiera, cooperación con terceros países y organizaciones internacionales, audiencia del candidato a director ejecutivo; propuestas de esquemas en fase de desarrollo con arreglo al marco europeo de certificación de la ciberseguridad.		Artículo 28, apartado 1, letra f); artículo 31, apartado 8; artículo 32, apartado 3; y artículo 32, apartado 7, artículo 49, apartado 6; artículo 49, apartado 9; artículo 70, apartado 5; artículo 72, apartados 4 y 5; artículo 119, apartado 3 «Ejercicio de delegación»; artículo 120 «Evaluación y revisión».
Flujos de datos relacionados con la presentación de una reclamación	Tramitar las reclamaciones presentadas por personas físicas o jurídicas en relación con los certificados europeos de ciberseguridad expedidos por las autoridades nacionales de certificación de la ciberseguridad o con los certificados europeos de ciberseguridad expedidos por organismos de evaluación de la conformidad con arreglo al artículo 84, apartado 4, o en relación con las declaraciones de conformidad de la UE. Las personas físicas o jurídicas tendrán derecho a presentar una reclamación ante el responsable de expedir un certificado europeo de ciberseguridad, también en los casos en que la reclamación esté relacionada con un certificado europeo de ciberseguridad expedido por un organismo de evaluación de la conformidad.		Artículo 55, apartado 3; artículo 88, apartado 7, letra f); artículo 96
Flujos de datos relativos a los ataques con programas de secuestro de archivos	Notificación de determinada información en caso de ataques con programas de secuestro de archivos		Artículo 1, punto 8, Directiva

   

Tipo de datos	Referencia a las obligaciones	Agentes que proporcionan los datos	Agentes que reciben los datos	Desencadenante del intercambio de datos	Frecuencia (si procede)
Flujos de datos entre la Comisión y los Estados miembros en el contexto de la realización de evaluaciones coordinadas de los riesgos de seguridad a escala de la Unión.	Artículo 99 Evaluaciones del riesgo para la seguridad	Comisión y Estados miembros	Estados miembros (Grupo de Cooperación SRI)	Artículo 99 Evaluaciones del riesgo para la seguridad	No procede
Flujos de datos entre la Comisión y el Consejo en relación con la designación de terceros países que plantean preocupaciones en materia de ciberseguridad	Artículo 100 Designación de terceros países que plantean preocupaciones en materia de ciberseguridad	Comisión	Consejo	Artículo 100 Verificación por parte de la Comisión de la amenaza que plantea un tercer país
Flujos de datos entre la Comisión y los Estados miembros en relación con las medidas de mitigación en caso de circunstancias excepcionales	Artículo 103, apartado 6 Medidas de mitigación en las cadenas de suministro de TIC	Comisión	Estados miembros	Circunstancias excepcionales	No procede
Flujos de datos entre la Comisión y los proveedores y entre la Comisión y las autoridades competentes en relación con la evaluación del establecimiento y la titularidad y el control de los proveedores	Artículo 104, apartados 4, 5 y 6 Determinación de proveedores de alto riesgo	Proveedores Comisión Autoridades competentes	Autoridades competentes Proveedores Comisión	Actos de ejecución adoptados de conformidad con el artículo 103, apartado 1, y en relación con la prohibición establecida en el artículo 111, apartado 1	No procede
Flujo de datos entre la Comisión y los Estados miembros en relación con las competencias de supervisión vinculadas a la aplicación del marco de confianza para la seguridad de las cadenas de suministro de TIC.	Artículo 112, apartados 1 y 4 Autoridades competentes Artículo 114 Medidas de supervisión y ejecución	Estados miembros	Comisión	Artículo 112, apartados 1 y 4 Autoridades competentes Artículo 114 Medidas de supervisión y control del cumplimiento (la Comisión, en colaboración con los Estados miembros, publicará una lista de entidades afiliadas a proveedores de alto riesgo).	No procede
Flujo de datos entre la Comisión y terceros en relación con exenciones	Artículo 105 Exención de las entidades establecidas en un tercer país o controladas desde un tercer país que plantea preocupaciones en materia de ciberseguridad	Terceros [entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad (en el sentido del artículo 100) (al presentar una solicitud de exención)] Comisión Europea (cuando adopte decisiones)	Comisión (cuando reciba la solicitud de exención) Terceros [entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad (en el sentido del artículo 100) (cuando reciban la decisión de la Comisión)]	Decisión en virtud del artículo 100 «Designación de terceros países que plantean preocupaciones en materia de ciberseguridad»	No procede
Flujo de datos entre los Estados miembros y terceros en relación con prohibiciones en las redes de comunicaciones electrónicas	Artículo 111 Prohibiciones relativas a las redes de comunicaciones electrónicas móviles, fijas y por satélite	Estados miembros (autoridades competentes)	Terceros (prestadores redes de comunicaciones electrónicas móviles, fijas y por satélite)	La autoridad competente designada en virtud del presente Reglamento informará sin demora a la autoridad competente con arreglo al Reglamento (UE) XX/XXXX [propuesta de Ley de Redes Digitales] acerca de las medidas impuestas a los prestadores de redes de comunicaciones electrónicas móviles, fijas y por satélite.	No procede
Flujo de datos entre la Comisión y los Estados miembros en el contexto de la red de servicios de cooperación y apoyo	Artículo 113 Red de servicios de cooperación y apoyo de la Comisión	Comisión Estados miembros (autoridades competentes)	Comisión Estados miembros (autoridades competentes)	Designación de terceros países que plantean preocupaciones en materia de ciberseguridad
Flujo de datos entre los Estados miembros y terceros en relación con medidas de supervisión y control del cumplimiento	Artículo 114 Medidas de supervisión y ejecución	Terceros [entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555]	Estados miembros (autoridades competentes)	Aplicación de las medidas previstas en el título IV
Flujo de datos entre los Estados miembros para asistencia mutua	Artículo 116 Asistencia mutua	Estados miembros	Estados miembros	Cuando una entidad contemplada en los anexos I o II de la Directiva (UE) 2022/2555 preste servicios en más de un Estado miembro, o preste servicios en uno o varios Estados miembros y sus activos de TIC clave estén situados en uno u varios Estados miembros, las autoridades competentes de los Estados miembros de que se trate cooperarán entre sí y se asistirán mutuamente cuando sea necesario.	No procede

4.3.Soluciones digitales

Descripción general de las soluciones digitales 

Explíquese en qué medida se ajusta cada solución digital a las políticas digitales y los textos legislativos aplicables 

Solución digital	Referencia a las obligaciones	Principales funcionalidades asignadas	Organismo responsable	¿Cómo se garantiza la accesibilidad?	¿Cómo se tiene en cuenta la reusabilidad?	Uso de tecnologías de IA (si procede)
ENISA en su calidad de secretaría de la red de CSIRT y de la EU-CyCLONe, implementará dentro de la red de CSIRT y de la EU-CyCLONe herramientas de comunicación seguras proporcionadas por entidades jurídicas que no están establecidas en terceros países ni controladas por ellos o por nacionales de terceros países.	Artículo 10, apartados 2, 3 y 5	Información reservada	ENISA	Información reservada	Información reservada	Información reservada
Desarrollar, en colaboración con la EU-CyCLONe, la red de CSIRT, la Comisión, Europol, el CERT-EU y las entidades pertinentes de la Unión, repositorios de inteligencia verificada y fiable sobre ciberamenazas, que incluya las tendencias en materia de incidentes, tácticas, técnicas y procedimientos.	Artículo 11, apartado 1, letra a)	Inteligencia verificada y fiable sobre ciberamenazas, que incluya las tendencias en materia de incidentes, tácticas, técnicas y procedimientos	ENISA La EU-CyCLONe, la red de CSIRT, la Comisión, Europol y CERT-EU y las entidades pertinentes de la Unión	No procede	No procede	No procede
ENISA mantendrá un repositorio de las lecciones extraídas.	Artículo 14, apartado 2	ENISA mantendrá un repositorio de las lecciones extraídas de los ejercicios y recomendará a los Estados miembros y, cuando proceda, a las entidades de la Unión cómo pueden aplicarse dichas lecciones de manera eficaz y eficiente.	ENISA	No procede	No procede	No procede
ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, como plataformas relacionadas con la ciberseguridad a escala de la Unión, en particular la plataforma única de notificación establecida con arreglo al artículo 16, apartado 1, del Reglamento (UE) 2024/2847 [y el punto de entrada único para la notificación de incidentes establecido con arreglo al artículo 23 bis de la Directiva (UE) 2022/2555], o herramientas de realización de pruebas para apoyar la aplicación de los procedimientos de evaluación de la conformidad con arreglo a la legislación pertinente de la Unión.	Artículo 15	Plataforma única de notificación   Artículo 16, apartado 1, del Reglamento (UE) 2024/2847   [Punto de entrada único,   artículo 23 bis de la Directiva (UE) 2022/2555]	ENISA	No procede	No procede	No procede
Mantener la base de datos europea de vulnerabilidades creada de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555 y prestar servicios de gestión de vulnerabilidades	Artículo 16, apartado 2	Artículo 12, apartado 2, de la Directiva (UE) 2022/2555   Mantener la base de datos y prestar servicios de gestión de vulnerabilidades	ENISA	No procede	No procede	No procede
ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública	Artículos 19 a 23	Mantener y actualizar periódicamente un sitio web específico que proporcione información pública sobre el ECSF, en particular sobre el marco y su calendario de actualización; los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad, su avance y los plazos para su desarrollo; las tasas asociadas a cada esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad; el coste indicativo de una declaración europea individual de capacidades en materia de ciberseguridad; la lista de proveedores de declaraciones autorizados.	ENISA	No procede	No procede	No procede
La Comisión mantendrá y actualizará periódicamente un sitio web público específico	Artículo 72	Información siguiente: a)    esquemas europeos de certificación de la ciberseguridad solicitados para su desarrollo; b)    las prioridades estratégicas para la armonización de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o los requisitos de seguridad de la legislación de la Unión, en particular los posibles ámbitos para los que podría solicitarse un esquema europeo de certificación de la ciberseguridad.	Comisión Europea	Cumplimiento de las directrices	Cumplimiento de las directrices	No procede
ENISA mantendrá un sitio web específico dedicado a la certificación	Artículo 79	Suministro de información sobre: a) los esquemas europeos de certificación de la ciberseguridad; b) las tasas asociadas al mantenimiento de cada esquema europeo de certificación de la ciberseguridad; c) las especificaciones técnicas pertinentes de ENISA; d) los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE, incluida la información relativa a dichos certificados y declaraciones que hayan dejado de ser válidos o que se hayan suspendido, revocado o hayan caducado; e) la información complementaria pertinente sobre ciberseguridad facilitada de conformidad con el artículo 84, apartado 2; f)los resúmenes de las revisiones interpares de conformidad con el artículo 89, apartado 7; g)especificaciones técnicas a las que haga referencia un esquema europeo de certificación de la ciberseguridad, en virtud del artículo 74, apartado 10.	ENISA	Cumplimiento de las directrices	Cumplimiento de las directrices	No procede
Registro (de las exenciones para las entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad)	Artículo 107 Registro	La Comisión llevará un registro de acceso público de sus decisiones conforme al artículo 105, apartado 4. El registro indicará los nombres de las entidades que hayan sido objeto de dichas decisiones. La Comisión lo actualizará periódicamente.	Comisión	«La Comisión mantendrá un registro de acceso público»	No procede	No procede
Plataforma (para la cooperación y el intercambio de información entre la Comisión y las autoridades competentes)	Artículo 113	La Comisión creará una red de cooperación entre las autoridades competentes de los Estados miembros y la Comisión que servirá como plataforma para la cooperación y el intercambio de información. La Comisión proporcionará a la red apoyo administrativo.	Comisión	No pública, solo para las autoridades competentes	No procede	No procede
ENISA creará y mantendrá un registro de entidades esenciales e importantes, así como de entidades que prestan servicios de registro de nombres de dominio	Artículo 1, punto 11, Directiva	Registro de entidades esenciales e importantes, y de entidades que prestan servicios de registro de nombres de dominio	ENISA	No procede	Sobre la base de la información recibida de los puntos de contacto únicos, de conformidad con el apartado 2 (artículo 27 de la Directiva SRI 2).	No procede

Soluciones digitales incluidas en el cuadro anterior 

Política digital o sectorial (cuando proceda)	Explicación de cómo se armoniza con ella
Reglamento de Inteligencia Artificial	No procede
Marco de ciberseguridad de la UE	No procede
Reglamento eIDAS	No procede
Pasarela digital única e IMI	No procede
Otras	No procede

Descripción general de los servicios públicos digitales afectados por las obligaciones

Servicio público digital o categoría de servicios públicos digitales	Descripción	Referencia a las obligaciones	Solución(es) de la Europa Interoperable (NO PROCEDE)	Otras soluciones de interoperabilidad
ENISA, en su calidad de secretaría de redes e implantación de herramientas de comunicación seguras	ENISA ejercerá las funciones de secretaría de la red de CSIRT de conformidad con el artículo 15, apartado 2, de la Directiva (UE) 2022/2555. ENISA ejercerá las funciones de secretaría de la EU-CyCLONe de conformidad con el artículo 16, apartado 2, de la Directiva (UE) 2022/2555 [y el punto de entrada único para la notificación de incidentes establecido con arreglo al artículo 23 bis de la Directiva (UE) 2022/2555], y herramientas de realización de pruebas para apoyar la aplicación de los procedimientos de evaluación de la conformidad con arreglo a la legislación pertinente de la Unión. ENISA implementará dentro de la red de CSIRT y de la EU-CyCLONe herramientas de comunicación seguras proporcionadas por entidades jurídicas que no están establecidas en terceros países ni controladas por ellos o por nacionales de terceros países.	Artículo 11	//	No procede
Alertas tempranas	Emisión de alertas tempranas	Artículo 11 Artículo 12
Apoyo en relación con incidentes o ciberamenazas específicos, potenciales o en curso	A petición de uno o varios Estados miembros, proporcionar asesoramiento y evaluaciones en relación con incidentes o ciberamenazas específicos, potenciales o en curso, en particular proporcionando conocimientos especializados y facilitando la gestión técnica de dichos incidentes, así como apoyando el intercambio voluntario de información y soluciones técnicas pertinentes entre los Estados miembros.	Artículo 10
Apoya la gestión coordinada de crisis e incidentes de ciberseguridad a gran escala a nivel operativo.	Apoyar la gestión coordinada de incidentes y crisis de ciberseguridad a gran escala a nivel operativo, en particular ayudando a la EU-CyCLONe en la preparación de informes destinados al nivel político y facilitando el intercambio oportuno de información entre la red de CSIRT y la EU-CyCLONe.	Artículo 10
Repositorios de inteligencia verificada y fiable sobre ciberamenazas	Desarrollar, en colaboración con la EU-CyCLONe, la red de CSIRT, la Comisión, Europol, el CERT-EU y las entidades pertinentes de la Unión, repositorios de inteligencia verificada y fiable sobre ciberamenazas, que incluya las tendencias en materia de incidentes, tácticas, técnicas y procedimientos.	Artículo 11
Repositorio de lecciones extraídas	ENISA mantendrá un repositorio de las lecciones extraídas de los ejercicios y recomendará a los Estados miembros y, cuando proceda, a las entidades de la Unión cómo pueden aplicarse dichas lecciones de manera eficaz y eficiente.	Artículo 14
ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, tales como plataformas.	ENISA establecerá, proporcionará, operará, mantendrá y actualizará, según sea necesario, herramientas técnicas operativas, como plataformas relacionadas con la ciberseguridad a escala de la Unión, en particular la plataforma única de notificación establecida con arreglo al artículo 16, apartado 1, del Reglamento (UE) 2024/2847 [y el punto de entrada único para la notificación de incidentes establecido con arreglo al artículo 23 bis de la Directiva (UE) 2022/2555], y herramientas de realización de pruebas para apoyar la aplicación de los procedimientos de evaluación de la conformidad con arreglo a la legislación pertinente de la Unión.	Artículo 15
Mantener la base de datos europea de vulnerabilidades creada en virtud del artículo 12, apartado 2, de la Directiva (UE) 2022/2555	Mantener la base de datos europea de vulnerabilidades creada de conformidad con el artículo 12, apartado 2, de la Directiva (UE) 2022/2555. Prestar servicios de gestión de vulnerabilidades a las partes interesadas, utilizando como referencia la base de datos europea de vulnerabilidades y haciendo uso de la información pertinente a disposición de ENISA. Establecer una cooperación estructurada con organizaciones que proporcionen programas, registros o bases de datos similares a la base de datos europea de vulnerabilidades. Apoyar activamente a los CSIRT designados como coordinadores de conformidad con el artículo 12, apartado 1, de la Directiva (UE) 2022/2555 en lo que respecta a la gestión de la divulgación coordinada de vulnerabilidades que puedan tener repercusiones significativas para entidades de más de un Estado miembro. Desarrollar y mantener metodologías y mecanismos de gobernanza para la determinación de vulnerabilidades y la divulgación coordinada, en cooperación con las autoridades nacionales competentes, los CSIRT, la industria y la comunidad investigadora.	Artículo 16
Preparación de propuestas de esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas»)	Preparar propuestas de esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas») para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades, así como las especificaciones técnicas conexas, de conformidad con el artículo 74. Mantener los esquemas europeos de certificación de la ciberseguridad adoptados de conformidad con el artículo 75, en particular con vistas a una posible revisión de los esquemas adoptados de conformidad con el artículo 76.	Artículo 17
ENISA desarrollará y mantendrá esquemas europeos individuales de declaración de las capacidades en materia de ciberseguridad	ENISA desarrollará y mantendrá esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad. ENISA emitirá una decisión motivada por la que se conceda una autorización al solicitante para expedir declaraciones europeas individuales a efectos de la ejecución y el mantenimiento de los esquemas y de la propia autorización, por la que no se conceda la autorización o por la que se archive la solicitud debido a que el solicitante no ha facilitado la información necesaria, o a su inacción a raíz de una petición de información adicional.	Artículos 20 y 22
ENISA mantendrá y actualizará periódicamente un sitio web específico.	ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre: a)    el ECSF, incluido el marco y su calendario de actualización; b)    los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad, su avance y los plazos para su desarrollo; c)    las tasas asociadas a cada esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad adoptado en virtud del artículo 47 del presente Reglamento; d)    el coste indicativo de una declaración europea individual de las capacidades en materia de ciberseguridad, de conformidad con el artículo 20, apartado 4; e)    la lista de proveedores de declaraciones autorizados.	Artículo 23
La Comisión mantendrá y actualizará periódicamente un sitio web público específico	La Comisión mantendrá y actualizará periódicamente un sitio web específico que proporcione información sobre los siguientes aspectos: a) esquemas europeos de certificación de la ciberseguridad solicitados para su desarrollo; b) las prioridades estratégicas para la armonización de los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o los requisitos de seguridad de la legislación de la Unión, en particular los posibles ámbitos para los que podría solicitarse un esquema europeo de certificación de la ciberseguridad.	Artículo 72
ENISA mantendrá un sitio web específico dedicado a la certificación	ENISA mantendrá y actualizará periódicamente un sitio web específico que proporcione información pública sobre: a) los esquemas europeos de certificación de la ciberseguridad; b) las tasas asociadas al mantenimiento de cada esquema europeo de certificación de la ciberseguridad; c) las especificaciones técnicas pertinentes de ENISA; d) los certificados europeos de ciberseguridad y las declaraciones de conformidad de la UE, incluida la información relativa a dichos certificados y declaraciones que hayan dejado de ser válidos o que se hayan suspendido, revocado o hayan caducado; e) la información complementaria pertinente sobre ciberseguridad facilitada de conformidad con el artículo 84, apartado 2; f)    los resúmenes de las revisiones interpares de conformidad con el artículo 89, apartado 7; g)    especificaciones técnicas a las que haga referencia un esquema europeo de certificación de la ciberseguridad, en virtud del artículo 74, apartado 10.	Artículo 79
Investigaciones	La Comisión investigará todos los casos en los que tenga dudas, o le planteen dudas, acerca de la competencia de un organismo de evaluación de la conformidad para cumplir o seguir cumpliendo los requisitos y las responsabilidades a los que esté sujeto. La Comisión garantizará el tratamiento confidencial de toda la información sensible recabada en el transcurso de sus investigaciones.	Artículo 94
ENISA creará y mantendrá un registro de entidades esenciales e importantes, así como de entidades que prestan servicios de registro de nombres de dominio	Registro de entidades esenciales e importantes, y de entidades que prestan servicios de registro de nombres de dominio. ENISA permitirá a las autoridades competentes, previa solicitud, acceder a la información almacenada en dicho registro relativa a los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, las entidades que prestan servicios de registro de nombres de dominio, los proveedores de servicios de computación en nube, los proveedores de servicios de centro de datos, los proveedores de redes de distribución de contenidos, los proveedores de servicios gestionados y los proveedores de servicios de seguridad gestionados, así como los proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales, garantizando al mismo tiempo, cuando proceda, la protección de la confidencialidad de la información.	Artículo 1, punto 11, de la Directiva

4.4.Evaluación de la interoperabilidad

Repercusión de las obligaciones sobre la interoperabilidad transfronteriza por cada servicio público digital 

Repositorios / plataformas / alertas tempranas / secretaría / cooperación operativa / base de datos de divulgación coordinada de vulnerabilidades

Evaluación	Medidas	Posibles obstáculos restantes
Evalúe la armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	Ciberseguridad	No se han detectado obstáculos
Evalúe las medidas organizativas para una prestación transfronteriza de servicios públicos digitales fluida  Enumérense las medidas de gobernanza previstas	Consejo de Administración de ENISA Red de CSIRT  EU-CyCLONe  Grupo de cooperación RSI    Todos ellos son foros en los que pueden plantearse cuestiones.	No procede
Evalúe las medidas adoptadas para garantizar una comprensión compartida de los datos  Enumérense dichas medidas	No procede	No procede
Evalúe el uso de especificaciones y normas técnicas abiertas acordadas en común  Enumérense dichas medidas	No procede	No procede

Esquemas europeos individuales de declaración de capacidades y competencias en ciberseguridad

Evaluación	Medidas	Posibles obstáculos restantes
Evalúe la armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	La propuesta se basa en el documento COM(2023) 207 final (Academia de Cibercapacidades): «ENISA desarrollará un proyecto piloto que estudiará la creación de un sistema europeo de acreditación de las capacidades en materia de ciberseguridad».  Hace uso del Reglamento (UE) 2024/1183 (cartera europea de identidad digital) al establecer que «ENISA y los proveedores de declaraciones autorizados velarán por que las declaraciones electrónicas de la declaración europea individual de las capacidades en materia de ciberseguridad se expidan a las carteras europeas de identidad digital».  Ciberseguridad  RGPD (conservación de registros por parte de los proveedores)	No se han detectado obstáculos
Evalúe las medidas organizativas para una prestación transfronteriza de servicios públicos digitales fluida  Enumérense las medidas de gobernanza previstas	Consulta a las partes interesadas a la hora de preparar un esquema europeo individual de declaración de las capacidades en materia de ciberseguridad.  Separación de actividades dentro de ENISA para garantizar que se lleven a cabo de forma independiente. Sala de Recurso	El uso y el reconocimiento de los esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad seguirán siendo voluntarios para las entidades públicas y privadas.
Evalúe las medidas adoptadas para garantizar una comprensión compartida de los datos  Enumérense dichas medidas	Desarrollar esquemas que detallen, entre otras cosas, normas relativas al contenido y el formato de las declaraciones.  Los prestadores autorizados velarán por que, a petición de la persona, las versiones electrónicas de las declaraciones europeas individuales de capacidades en materia de ciberseguridad se expidan como declaraciones electrónicas de atributos en un formato que pueda almacenarse en las carteras europeas de identidad digital. ENISA proporcionará orientaciones a los evaluadores y organizará la formación obligatoria para estos en relación con los requisitos y métodos de evaluación incluidos en el esquema europeo de declaraciones individuales de capacidades en materia de ciberseguridad.  Suministro de información pública en un sitio web.  Actos de ejecución relativos a las tarifas.	Aunque los esquemas deben tener el suficiente nivel de detalle como para garantizar una comprensión común y facilitar su aplicación, y aunque ENISA proporcionará orientaciones e impartirá formación obligatoria a los evaluadores para garantizar una aplicación coherente de los esquemas, podrían surgir aspectos imprevistos cuando los proveedores de declaraciones autorizados tengan que interactuar con ENISA, otros proveedores o evaluadores.
Evalúe el uso de especificaciones y normas técnicas abiertas acordadas en común  Enumérense dichas medidas	Desarrollo de esquemas europeos de declaraciones individuales de capacidades en materia de ciberseguridad con el apoyo de las partes interesadas pertinentes	No procede

Preparación de propuestas de esquemas europeos de certificación de la ciberseguridad (en lo sucesivo, «propuestas de esquemas») / asignación de números a los OEC 

Evaluación	Medidas	Posibles obstáculos restantes
Evalúe la armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	La propuesta pretende armonizar la gobernanza con el nuevo marco legislativo, en particular en lo que respecta al Reglamento (CE) n.º 765/200826. La propuesta tiene por objeto facilitar el cumplimiento de la legislación sectorial pertinente en materia de ciberseguridad mediante el desarrollo de esquemas europeos de certificación de la ciberseguridad específicos.	No se han detectado obstáculos
Evalúe las medidas organizativas para una prestación transfronteriza de servicios públicos digitales fluida  Enumérense las medidas de gobernanza previstas	Grupo Europeo de Certificación de la Ciberseguridad; ENISA;  grupos de trabajo ad hoc;  Asamblea Europea de Certificación de la Ciberseguridad;  consulta a las partes interesadas a la hora de solicitar, desarrollar y adoptar esquemas europeos de certificación de la ciberseguridad;  procedimientos de comité para los actos de ejecución previstos relacionados con los esquemas europeos de certificación de la ciberseguridad.	El uso de la certificación europea de la ciberseguridad será voluntario, salvo que la legislación europea disponga lo contrario.
Evalúe las medidas adoptadas para garantizar una comprensión compartida de los datos  Enumérense dichas medidas	Actos de ejecución enumerados en la sección 4.5.	El uso de la certificación europea de la ciberseguridad será voluntario, salvo que la legislación europea disponga lo contrario.
Evalúe el uso de especificaciones y normas técnicas abiertas acordadas en común  Enumérense dichas medidas	Actos de ejecución enumerados en la sección 4.5.  Los requisitos especificados del esquema europeo de certificación de la ciberseguridad serán coherentes con los requisitos de la legislación de la Unión.  Los esquemas europeos de certificación de la ciberseguridad aprovecharán y harán referencia a las normas internacionales, europeas o nacionales aplicadas en la evaluación o, en los casos en que dichas normas no estén disponibles o no sean adecuadas, a las especificaciones técnicas elaboradas por ENISA.	No procede

Sitios web de acceso público 

Evaluación	Medidas	Posibles obstáculos restantes
Evalúe la armonización con las políticas digitales y sectoriales existentes Enumérense las políticas digitales y sectoriales aplicables que se hayan establecido	Ley Europea de Accesibilidad y Directiva sobre accesibilidad de los sitios web  Ciberseguridad	No se han detectado obstáculos
Evalúe las medidas organizativas para una prestación transfronteriza de servicios públicos digitales fluida  Enumérense las medidas de gobernanza previstas	No procede	No procede
Evalúe las medidas adoptadas para garantizar una comprensión compartida de los datos  Enumérense dichas medidas		No procede
Evalúe el uso de especificaciones y normas técnicas abiertas acordadas en común  Enumérense dichas medidas		No procede

4.5.Medidas de apoyo a la digitalización

Descripción general de las medidas de apoyo a la digitalización 

Descripción de la medida	Referencia a las obligaciones	Función de la Comisión (si procede)	Agentes que deben participar  (si procede)	Calendario previsto  (si procede)
La Comisión, a partir de la propuesta de esquema aceptada preparada por ENISA, está facultada adoptar actos de ejecución que establezcan esquemas europeos de certificación de la ciberseguridad para los productos, servicios y procesos de TIC, los servicios de seguridad gestionados o la postura de ciberseguridad de las entidades que cumplan los requisitos que se establecen en los artículos 80 y 81. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 75, apartado 9	La Comisión estará facultada para adoptar actos de ejecución		No procede
La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 119 a fin de modificar el apartado 1 del presente artículo añadiendo o modificando objetivos de seguridad para garantizar que reflejen los últimos avances tecnológicos y las nuevas amenazas conexas, así como la adopción de nueva legislación de la Unión que establezca la presunción de conformidad mediante la certificación europea de la ciberseguridad con los requisitos pertinentes de ciberseguridad establecidos en dicha legislación.	Artículo 80, apartado 2	La Comisión estará facultada para adoptar actos delegados		No procede
La Comisión estará facultada para adoptar actos de ejecución que establezcan principios comunes y disposiciones modelo para los elementos establecidos en los apartados 1, 2 y 3 en todos los esquemas europeos de certificación de la ciberseguridad. Cuando proceda y estén disponibles, un esquema europeo de certificación de la ciberseguridad podrá incluir referencias a dichos principios y disposiciones modelo. Los actos de ejecución a que se refiere el párrafo primero se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 118, apartado 2. Al desarrollar o revisar los principios comunes y las disposiciones modelo con respecto a los elementos de los esquemas europeos de certificación de la ciberseguridad, la Comisión consultará a ENISA y tendrá en cuenta, según proceda, las opiniones expresadas por el GECC, las partes interesadas pertinentes y otros organismos pertinentes.	Artículo 81, apartado 5	La Comisión estará facultada para adoptar actos de ejecución	ENISA GECC	No procede
La Comisión estará facultada para adoptar actos de ejecución que especifiquen los procedimientos para la aprobación previa o los modelos de delegación general a que se refiere el apartado 4 del presente artículo. En el proceso de preparación de dichos actos de ejecución, la Comisión consultará al GECC. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 85, apartado 5	La Comisión estará facultada para adoptar actos de ejecución	GECC	No procede
Los certificados de terceros países de productos, servicios y procesos de TIC, de servicios de seguridad gestionados y de la postura de ciberseguridad de las entidades podrán reconocerse, mediante un acto de ejecución o mediante la celebración de un acuerdo entre la Unión y el tercer país en cuestión o una organización internacional, como equivalentes a los certificados europeos de ciberseguridad si los requisitos del esquema de un tercer país o de una organización internacional pertinente se consideran equivalentes a los de los esquemas europeos de certificación de la ciberseguridad. La Comisión estará facultada para adoptar tales actos de ejecución. Los actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 87, apartado 1	La Comisión estará facultada para adoptar actos de ejecución		No procede
La Comisión esta facultada para adoptar actos de ejecución que establezcan un plan para las revisiones interpares que cubra un período de al menos cinco años, mediante la definición de los criterios relativos a la composición del equipo de revisión interpares, la metodología utilizada para la revisión, así como el calendario, la periodicidad y las demás tareas relativas a dicha revisión. Para la preparación de dichos actos de ejecución, la Comisión consultará al GECC y a ENISA. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 89, apartado 6	La Comisión estará facultada para adoptar actos de ejecución		No procede
La Comisión estará facultada para adoptar actos de ejecución a fin de establecer los procedimientos, también en materia de cooperación transfronteriza, para la autorización de los organismos de evaluación de la conformidad. En el proceso de preparación de los actos de ejecución, la Comisión consultará a ENISA y al GECC. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 92, apartado 8	La Comisión estará facultada para adoptar actos de ejecución	ENISA GECC	No procede
La Comisión estará facultada para adoptar actos de ejecución a fin de establecer las circunstancias, los formatos y los procedimientos para las notificaciones a que se refiere el apartado 1 del presente artículo, incluido el procedimiento de oposición de otros Estados miembros durante el proceso de notificación, la identificación única de los organismos de evaluación de la conformidad, así como las circunstancias para la restricción, suspensión o retirada de la notificación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2.	Artículo 93, apartado 3	La Comisión estará facultada para adoptar actos de ejecución		No procede
La Comisión podrá adoptar actos de ejecución de conformidad con el artículo 100 a fin de designar a un tercer país que plantea preocupaciones en materia de ciberseguridad en relación con las cadenas de suministro de TIC.	Artículo 100, apartado 2 Designación de terceros países que plantean preocupaciones en materia de ciberseguridad	Adoptar actos de ejecución		No procede No hay calendario, pero los actos de ejecución deben revisarse periódicamente
La Comisión podrá adoptar actos de ejecución para establecer una o varias de las medidas de mitigación a que se refiere el artículo 103, apartado 2.	Artículo 103, apartado 2 Medidas de mitigación en las cadenas de suministro de TIC	Adoptar actos de ejecución	No procede	No procede Sin calendario, pero se revisará cada 36 meses (de conformidad con el procedimiento de examen a que se refiere el artículo 118, apartado 2)
La Comisión puede adoptar actos de ejecución de conformidad con el artículo 102 a fin de identificar los activos de TIC clave utilizados para la fabricación de productos o la prestación de servicios por parte de los tipos de entidades a que se refieren los anexos I y II de la Directiva (UE) 2022/2555.	Artículo 102, apartado 1 Determinación de activos de TIC clave	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos de ejecución que prohíban el uso, la instalación o la integración, en cualquier forma, de componentes de TIC o componentes que incluyan componentes de TIC de proveedores de alto riesgo designados de conformidad con el artículo 100, apartado 2, en activos de TIC clave determinados de conformidad con el artículo 102.	Artículo 103, apartado 1 Medidas de mitigación en las cadenas de suministro de TIC	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos de ejecución para establecer que las entidades de los tipos a que se refieren los anexos I y II de la Directiva (UE) 2022/2555 tendrán prohibido utilizar, instalar o integrar componentes de TIC o componentes que incluyan componentes de TIC de una entidad específica.	Artículo 103, apartado 7	Adoptar actos de ejecución	Consulta a los Estados miembros y a las entidades afectadas	No procede
Mediante actos de ejecución, la Comisión establecerá listas de proveedores de alto riesgo pertinentes para las prohibiciones establecidas en los actos de ejecución adoptados de conformidad con el artículo 103, apartado 1, o la prohibición a que se refiere el artículo 1110, apartado 1.	Artículo 104, apartado 1	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos de ejecución para especificar con mayor detalle las condiciones a que se refiere el artículo 105, apartado 2, letra b), y para establecer normas detalladas con respecto a los procedimientos contemplados en el artículo 105.	Artículo 105 Exención para las entidades establecidas en un tercer país o controladas por entidades de un tercer país que plantea preocupaciones en materia de ciberseguridad	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos de ejecución que establezcan normas detalladas relativas a las tasas, que especifiquen su importe y las modalidades de pago.	Artículo 109 Tasas	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos de ejecución a fin de especificar los plazos para la eliminación progresiva de los componentes de TIC o componentes que incluyan componentes de TIC proporcionados por proveedores de alto riesgo en relación con las redes de comunicaciones electrónicas fijas y por satélite.	Artículo 110, apartado 4 Activos de TIC clave para las redes de comunicaciones electrónicas móviles, fijas y por satélite	Adoptar actos de ejecución	No procede	No procede
La Comisión podrá adoptar actos delegados de conformidad con el artículo 119 por los que se modifique el anexo II con el fin de adaptarlo a los avances tecnológicos, teniendo en cuenta los elementos a que se refiere el artículo 103, apartado 3.	Artículo 110, apartado 5	Adopción de actos delegados	No procede	No procede
7.    El artículo 21, apartado 5, se modifica como sigue: a)    el párrafo segundo se sustituye por el texto siguiente: «La Comisión podrá adoptar actos de ejecución que establezcan los requisitos técnicos y metodológicos, así como los requisitos sectoriales, según sea necesario, de las medidas a que se refiere el apartado 2 en lo que respecta a entidades esenciales e importantes distintas de las contempladas en el párrafo primero del presente apartado. La Comisión evaluará periódicamente si los actos de ejecución a que se refiere el presente párrafo deben adoptarse para sectores o tipos de entidades específicos a fin de mejorar el funcionamiento del mercado interior. Sobre la base de los resultados de dichas evaluaciones, la Comisión podrá proponer dichos actos de ejecución para los sectores o tipos de entidades identificados. Al preparar dichas evaluaciones, la Comisión prestará especial atención a la naturaleza transfronteriza de los sectores o tipos de entidades y llevará a cabo un proceso de consulta abierto, transparente e inclusivo con las partes interesadas pertinentes y los Estados miembros.»; b)    después del párrafo cuarto, se inserta el párrafo siguiente: «Cuando la Comisión adopte los actos de ejecución a que se refieren los párrafos primero y segundo del presente apartado, los Estados miembros no impondrán ningún otro requisito técnico o metodológico respecto de las medidas a que se refiere el artículo 21, apartado 2, de la Directiva (UE) 2022/2555 a las entidades incluidas en el ámbito de aplicación de dichos actos de ejecución».	Artículo 1, punto 7, Directiva  Armonización máxima	La Comisión podrá adoptar actos de ejecución		No procede

(1)    ENISA, ENISA Threat Landscape 2024 [«Panorama de amenazas 2024 de ENISA», documento en inglés], https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025 [«Panorama de amenazas 2025 de ENISA», documento en inglés].

(3)    Comisión Europea, The future of European Competitiveness [«El futuro de la competitividad europea», documento disponible en inglés], https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN(2025) 130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Reglamento de Ejecución (UE) 2023/203 de la Comisión y Reglamento Delegado (UE) 2022/1645 de la Comisión.

(11)    Reglamento (UE) 2023/1781 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2023, por el que se establece un marco de medidas para reforzar el ecosistema europeo de semiconductores y por el que se modifica el Reglamento (UE) 2021/694 (Reglamento de chips) (DO L 229 de 18.9.2023, p. 1).

(12)    En particular, las Directivas 2014/23/UE, 2014/24/UE y 2014/25/UE.

(13)    Comisión Europea,    «La Comisión publica una convocatoria de datos y una consulta pública sobre la evaluación de las Directivas sobre contratación pública» https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en?prefLang=es .

(14)    COM(2025) 837 final.

(15)    JOIN(2023) 20 final.

(16)    JOIN(2025) 120 final.

(17)    JOIN(2025) 977 final.

(18)     Reglamento (UE) 2019/881 .

(19)    Grupo horizontal sobre cuestiones cibernéticas.

(20)    Reglamento (UE) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    DO C, , p. .

(25)    DO C, , p. .

(26)    Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.º 526/2013 («Reglamento sobre la Ciberseguridad») (DO L 151 de 7.6.2019, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Directiva (UE) 2022/2557 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a la resiliencia de las entidades críticas y por la que se deroga la Directiva 2008/114/CE del Consejo (DO L 333 de 27.12.2022, p. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n.º 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia) (DO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Reglamento (UE) 2025/38 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, por el que se establecen medidas destinadas a reforzar la solidaridad y las capacidades en la Unión a fin de detectar ciberamenazas e incidentes, prepararse y responder a ellos y por el que se modifica el Reglamento (UE) 2021/694 (Reglamento de Cibersolidaridad) (DO L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    DO C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Conjunto de instrumentos de la UE para la seguridad de las redes 5G, Grupo de Cooperación SRI, 1/2020, disponible en: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Comunicación de la Comisión al Parlamento Europeo y al Consejo titulada «Colmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la UE (“Academia de Cibercapacidades”)», COM(2023) 207 final, 18 de abril de 2023.

(34)    Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Reglamento Delegado (UE) 2024/1366 de la Comisión, de 11 de marzo de 2024, por el que se completa el Reglamento (UE) 2019/943 del Parlamento Europeo y del Consejo mediante el establecimiento de un código de red sobre normas sectoriales específicas para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad (DO L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Reglamento Delegado (UE) 2022/1645 de la Comisión, de 14 de julio de 2022, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.º 748/2012 y (UE) n.º 139/2014 de la Comisión, y por el que se modifican los Reglamentos (UE) n.º 748/2012 y (UE) n.º 139/2014 de la Comisión (DO L 248 de 26.9.2022, p. 18, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Reglamento de Ejecución (UE) 2023/203 de la Comisión, de 27 de octubre de 2022, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.º 1321/2014, (UE) n.º 965/2012, (UE) n.º 1178/2011 y (UE) 2015/340 de la Comisión y los Reglamentos de Ejecución (UE) 2017/373 y (UE) 2021/664 de la Comisión, así como a las autoridades competentes contempladas en los Reglamentos (UE) n.º 748/2012, (UE) n.º 1321/2014, (UE) n.º 965/2012, (UE) n.º 1178/2011, (UE) 2015/340 de la Comisión y en los Reglamentos de Ejecución (UE) 2017/373, (UE) n.º 139/2014 y (UE) 2021/664 de la Comisión, y por el que se modifican los Reglamentos (UE) n.º 1178/2011, (UE) n.º 748/2012, (UE) n.º 965/2012, (UE) n.º 139/2014, (UE) n.º 1321/2014 y (UE) 2015/340 de la Comisión y los Reglamentos de Ejecución (UE) 2017/373 y (UE) 2021/664 de la Comisión (DO L 31 de 2.2.2023, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Reglamento de Ejecución (UE) 2019/1583 de la Comisión, de 25 de septiembre de 2019, por el que se modifica el Reglamento de Ejecución (UE) 2015/1998 por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea, en lo que se refiere a las medidas de ciberseguridad (DO L 246 de 26.9.2019, p. 15, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones titulada «Plan de Acción europeo sobre la ciberseguridad de los hospitales y los prestadores de asistencia sanitaria» [COM(2025) 10 final, de 15 de enero de 2025].

(40)    Reglamento (UE, Euratom) 2023/2841 del Parlamento Europeo y del Consejo de 13 de diciembre de 2023 por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (DO L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones titulada «ProtectEU: una Estrategia Europea para la Seguridad Interior», COM(2025) 148 final, 1 de abril de 2025.

(42)    Comunicación Conjunta de la Comisión al Parlamento Europeo, al Consejo Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones sobre la Estrategia de Preparación de la Unión Europea [JOIN(2025) 130 final].

(43)    Comunicación Conjunta de la Comisión al Parlamento Europeo y al Consejo titulada «Fortalecer la seguridad económica de la UE» [JOIN(2025) 977 final].

(44)    COM(2025) 837 final.

(45)    Reglamento (CE) n.º 460/2004 del Parlamento Europeo y del Consejo, de 10 de marzo de 2004, por el que se crea la Agencia Europea de Seguridad de las Redes y de la Información (DO L 77 de 13.3.2004, p. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Reglamento (UE) 2021/887 del Parlamento Europeo y del Consejo, de 20 de mayo de 2021, por el que se establecen el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad y la Red de Centros Nacionales de Coordinación (DO L 202 de 8.6.2021, p. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Comunicación de la Comisión al Parlamento Europeo, al Consejo Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones titulada «La Unión de las Competencias» [COM(2025) 90 final, de 5 de marzo de 2025].

(49)    JOIN(2025) 791 final.

(50)    Reglamento (UE, Euratom) 2024/2509 del Parlamento Europeo y del Consejo, de 23 de septiembre de 2024, sobre las normas financieras aplicables al presupuesto general de la Unión (DO L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Debe entenderse que las declaraciones europeas individuales de capacidades en materia de ciberseguridad se basan en un enfoque similar al que se conoce en el mercado como «certificaciones de la ciberseguridad». Sin embargo, a fin de evitar confusiones con respecto al marco europeo de certificación de la ciberseguridad, se prefiere la expresión «declaración», ya utilizada en la Comunicación sobre la Academia de Cibercapacidades.

(52)

   Reglamento de Ejecución (UE) 2025/1569.

(53)    Declaración Común y Planteamiento Común, aneja a la Declaración Común y Planteamiento Común del Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea sobre las agencias descentralizadas, adoptada el 19 de julio de 2012 y disponible en: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Reglamento de Ejecución (UE) 2024/482 de la Comisión, de 31 de enero de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo concerniente a la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC) (DO L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Reglamento de Ejecución (UE) 2025/2540 de la Comisión, de 9 de diciembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo que respecta al establecimiento de un plan para las revisiones interpares (DO L, 2025/2540, 12.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y por el que se deroga el Reglamento (CEE) n.º 339/93 (DO L 218 de 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Reglamento de Ejecución (UE) 2024/3143 de la Comisión, de 18 de diciembre de 2024, por el que se establecen las circunstancias, los formatos y los procedimientos de notificación con arreglo al artículo 61, apartado 5, del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación (DO L, 2024/3143, 19.12.2024, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025 [«Panorama de amenazas 2025 de ENISA», documento en inglés], octubre de 2025.

(64)    Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n.º 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia) (DO L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj).

(66)    Comunicación Conjunta al Parlamento Europeo y al Consejo titulada «Fortalecer la seguridad económica de la UE» [JOIN(2025) 977 final, de 3 de diciembre de 2025].

(67)    Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (DO L 94 de 28.3.2014, p. 65, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj).

(68)    Directiva 2014/25/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, relativa a la contratación por entidades que operan en los sectores del agua, la energía, los transportes y los servicios postales y por la que se deroga la Directiva 2004/17/CE (DO L 94 de 28.3.2014, p. 243, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj).

(69)    Comunicación de la Comisión sobre la aplicación del conjunto de instrumentos de la UE para la seguridad de las redes 5G [C(2023) 4049 final, de 15 de junio de 2023].

(70)    Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (DO L 295 de 21.11.2018, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre la normalización europea, por el que se modifican las Directivas 89/686/CEE y 93/15/CEE del Consejo y las Directivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE y 2009/105/CE del Parlamento Europeo y del Consejo y por el que se deroga la Decisión 87/95/CEE del Consejo y la Decisión n.º 1673/2006/CE del Parlamento Europeo y del Consejo (DO L 316 de 14.11.2012, p. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Reglamento (UE) 2023/2675 del Parlamento Europeo y del Consejo, de 22 de noviembre de 2023, relativo a la protección de la Unión y de sus Estados miembros frente a la coerción económica por parte de terceros países (DO L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    DO L 56 de 4.3.1968, p. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Reglamento Delegado (UE) 2019/715 de la Comisión, de 18 de diciembre de 2018, relativo al Reglamento Financiero marco de los organismos creados en virtud del TFUE y el Tratado Euratom y a los que se refiere el artículo 70 del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (DO L 122 de 10.5.2019, p. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Reglamento (UE, Euratom) n.º 883/2013 del Parlamento Europeo y del Consejo, de 11 de septiembre de 2013, relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) y por el que se deroga el Reglamento (CE) n.º 1073/1999 del Parlamento Europeo y del Consejo y el Reglamento (Euratom) n.º 1074/1999 del Consejo (DO L 248 de 18.9.2013, p. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    DO L 136 de 31.5.1999, p. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Reglamento (Euratom, CE) n.º 2185/96 del Consejo, de 11 de noviembre de 1996, relativo a los controles y verificaciones in situ que realiza la Comisión para la protección de los intereses financieros de las Comunidades Europeas contra los fraudes e irregularidades (DO L 292 de 15.11.1996, p. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Directiva (UE) 2017/1371 del Parlamento Europeo y del Consejo, de 5 de julio de 2017, sobre la lucha contra el fraude que afecta a los intereses financieros de la Unión a través del Derecho penal (DO L 198 de 28.7.2017, p. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Reglamento n.º 1 del Consejo, por el que se fija el régimen lingüístico de la Comunidad Económica Europea (DO 17 de 6.10.1958, p. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (DO L 72 de 17.3.2015, p. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015, sobre las normas de seguridad para la protección de la información clasificada de la UE (DO L 72 de 17.3.2015, p. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Reglamento (CE) n.º 1008/2008 del Parlamento Europeo y del Consejo, de 24 de septiembre de 2008, sobre normas comunes para la explotación de servicios aéreos en la Comunidad (versión refundida) (DO L 293 de 31.10.2008, p. 3, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj).

(84)    Tal como se contempla en el artículo 58, apartado 2, letras a) o b), del Reglamento Financiero.

(85)     Orientaciones políticas 2024-2029 .

(86)     Carta de mandato para la vicepresidenta ejecutiva Henna Virkkunen .

(87)     Informe de Sauli Niinistö .

(88)     Informe Draghi sobre la competitividad de la UE .

(89)     Enrico Letta, Much more than a market [«Mucho más que un mercado», documento en inglés] (abril de 2024) .

(90)    Se añadirá una vez publicada.

(91)     Reglamento sobre la Ciberseguridad de la UE | EUR-Lex .

(92)     Financial regulation applicable to the general budget of the Union (recast) [«Regulación financiera aplicable al presupuesto general de la Unión (versión refundida)», documento en inglés] - Oficina de Publicaciones de la UE .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Reglamento Delegado (UE) 2019/715 de la Comisión .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf .

(99)    CD = créditos disociados / CND = créditos no disociados.

(100)    AELC: Asociación Europea de Libre Comercio.

(101)    Países candidatos y, en su caso, candidatos potenciales de los Balcanes Occidentales.

(102)    Los resultados son los productos y servicios que van a suministrarse (por ejemplo, número de intercambios de estudiantes financiados, kilómetros de carreteras construidos, etc.).

(103)    Tal como se describe en la sección 1.3.2. «Objetivo(s) específico(s)».

(104)        Especifique a continuación del cuadro cuántos ETC del número indicado ya se han asignado a la gestión de la acción o pueden reasignarse dentro de su DG y cuáles son sus necesidades netas.

(105)    Por lo que se refiere a los recursos propios tradicionales (derechos de aduana, cotizaciones sobre el azúcar), los importes indicados deben ser importes netos, es decir, importes brutos menos la deducción del 20 % de los gastos de recaudación.

(106)     Decision RR-02: Price list of SNAS services :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf . 

(107)    En concreto, el mantenimiento prevé 2 reuniones presenciales al año con expertos (100 000 EUR), los costes de los contratistas que apoyan el desarrollo y la revisión de la documentación justificativa del esquema, la adopción de esquemas de certificación, el apoyo a las evaluaciones interpares y la aplicación de evaluaciones de la conformidad (4 x 15 000 = 60 000 EUR). El coste también incluye la parte operativa de la plataforma del Mecanismo «Conectar Europa» y del sitio web de certificación de ENISA (40 000 EUR).