Kommissionens genomförandeförordning (EU) 2025/1569 av den 29 juli 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller kvalificerade elektroniska attributsintyg och elektroniska attributsintyg som tillhandahålls av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa

(1)

Genom förordning (EU) nr 910/2014 inrättas en rättslig ram för utfärdande och validering av elektroniska attributsintyg, inbegripet en skyldighet för tillhandahållare av elektroniska attributsintyg att ge användare av den europeiska digitala identitetsplånboken (plånboken) möjlighet att begära, erhålla, lagra och hantera det elektroniska attributsintyget oavsett i vilken medlemsstat plånböckerna tillhandahålls. De elektroniska attributsintygen är avgörande för inrättandet av ett säkert och interoperabelt ekosystem för europeiska digitala identitetsplånböcker (plånboksekosystemet). De gör det möjligt för användarna att dela information med förlitande parter på ett tillförlitligt sätt i en rad olika användningsfall.

(2)

Gränssnitten med europeiska digitala identitetsplånböcker som ska tillhandahållas av tillhandahållarna av kvalificerade elektroniska attributsintyg i enlighet med artikel 45g i förordning (EU) nr 910/2014 understryker vikten av de elektroniska attributsintygen för plånboksekosystemet och underlättar en snabb spridning av dem.

(3)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder eller tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna förordning på det arbete som utförts enligt kommissionens rekommendation (EU) 2021/946 av den 3 juni 2021 om en unionsgemensam verktygslåda för en samordnad strategi för en europeisk ram för digital identitet (2), särskilt arkitekturen och referensramen som är en del av den. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (3) bör kommissionen vid behov se över och uppdatera denna genomförandeförordning för att hålla den i linje med den globala utvecklingen, arkitekturen och referensramen och för att följa praxis på den inre marknaden, särskilt när det gäller utfärdandet av elektroniska attributsintyg och kontrollen av attribut mot autentiska källor eller särskilt utsedda mellanhänder.

(4)

Om tillhandahållare av kvalificerade elektroniska attributsintyg och elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa utfärdar intyg som anger att de uppfyller kraven i de system för attributsintyg som registrerats i katalogen, bör policyerna och förfarandena för efterlevnad av kraven i de systemen ingå i den bedömning av överensstämmelse som fastställs i förordning (EU) nr 910/2014.

(5)

Skydd mot otillförlitlig information är mycket viktigt för digitaliseringen av intyg. Därför bör kvalificerade elektroniska attributsintyg och elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa kunna återkallas, eller bör alternativa åtgärder vidtas för att kompensera för riskerna förbundna med att de inte kan återkallas. Vissa omständigheter, såsom en uttrycklig begäran från den person till vilken det elektroniska attributsintyget utfärdades, eller om leverantören vet att säkerheten eller tillförlitligheten hos de kvalificerade elektroniska attributsintygen har äventyrats, eller om så krävs enligt unionsrätten eller nationell rätt, bör leda till att leverantören återkallar ett elektroniskt attributsintyg. För att skydda användarens grundläggande rätt till integritet och dataskydd, särskilt genom att på lämpligt sätt minimera riskerna för länkbarhet och spårbarhet, bör leverantörerna av kvalificerade elektroniska attributsintyg och elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa fastställa policyer för hantering av återkallande som bevarar integriteten.

(6)

För att underlätta samarbetet mellan medlemsstaterna och inrättandet av ett säkert och interoperabelt ekosystem för digital identitet, inbegripet gränsöverskridande erkännande och interoperabilitet för kvalificerade elektroniska attributsintyg och elektroniska attributsintyg som tillhandahålls av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa, måste förenklade administrativa förfaranden för kommunikation mellan de berörda parterna införas, inbegripet offentliggörande av information för att snabbt identifiera relevanta offentliga organ. Medlemsstaterna bör meddela de relevanta attributen till kommissionen. För att säkerställa en snabb, effektiv och interoperabel kontroll av dessa attribut bör de relevanta anmälningarna till kommissionen vara åtminstone på engelska, eftersom det underlättar en bred tillgänglighet och gör det lättare att bedöma och förstå dem, och samtidigt förbättrar samarbetet mellan de berörda parterna. Översättning av dokumentation som redan finns bör dock inte medföra orimliga administrativa eller ekonomiska bördor.

(7)

För att göra det möjligt för användarna och tjänsteleverantörerna att kontrollera att d elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa verkligen har utfärdats av det offentliga organet eller för dess räkning, bör medlemsstaterna underrätta kommissionen om dessa offentliga organ. När medlemsstaterna underrättar kommissionen om offentliga myndigheter som utfärdar elektroniska attributsintyg i enlighet med artikel 45f i och bilaga VII till förordning (EU) nr 910/2014 ska de tillhandahålla en rapport om bedömning av överensstämmelse som bekräftar att tillförlitlighetsnivån är likvärdig med den för kvalificerade tillhandahållare av betrodda tjänster. Till skillnad från kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg är det, för dessa offentliga myndigheter, dock upp till medlemsstaterna att se till att tillhandahållarna uppfyller kraven över tid. För att ett högt förtroende för intyg från den offentliga sektorn ska upprätthållas i hela unionen uppmanas medlemsstaterna därför att dela med sig av sin bästa praxis om hur de säkerställer fortsatt tillförlitlighet genom den europeiska samarbetsgrupp för digital identitet som inrättats i enlighet med artikel 46e.1 i förordning (EU) nr 910/2014 (samarbetsgruppen). Kommissionen bör upprätta, underhålla och offentliggöra en förteckning över leverantörer och se till att denna förteckning är lättillgänglig för allmänheten.

(8)

Kommissionen bör upprätta en katalog med attribut med bistånd av samarbetsgruppen för att göra det lättare för kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg att kontrollera attributen mot autentiska källor. Registrering i katalogen med attribut bör vara obligatorisk för de attribut som förtecknas i bilaga VI till förordning (EU) nr 910/2014. För andra attribut skulle en registrering vara frivillig.

(9)

Kommissionen bör upprätta en katalog med system för attributsintyg med bistånd av samarbetsgruppen för att göra det lättare för kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg och för tillhandahållare av elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa, att utfärda intyg och för att underlätta harmonisering och gränsöverskridande interoperabilitet mellan dessa intyg. Registreringen av system i katalogen med system bör vara frivillig. Begäranden om registrering eller ändringar i katalogen bör göras av ägaren till systemet för attributsintyg och får omfatta attribut som inte förtecknas i katalogen med attribut. Kommissionen bör bedöma dessa begäranden med beaktande av interoperabilitets- och harmoniseringsbehoven.

(10)

För att säkerställa att katalogen med attribut ger meningsfull information och uppnår en hög grad av interoperabilitet inom ekosystemet för det elektroniska attributsintyget bör den åtminstone innehålla en minimiuppsättning information, såsom en semantisk beskrivning av attributet, beteckningens namnrymd och attributets datatyp. I samma syfte bör katalogen med system för attributsintyg innehålla beskrivningar av vanligt förekommande typer av elektroniska attributsintyg och en beskrivning av den tillitsmodell och de styrningsmekanismer som tillämpas inom intygssystemet. Informationen i katalogerna bör omfatta en versionshantering av attribut och system så att intyg som utfärdas i enlighet med specifika versioner inte påverkas av förändringar i de attributen och systemen.

(11)

För att säkerställa effektiviteten i den kontroll av attribut mot autentiska källor som görs av kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintygen, inbegripet via särskilt utsedda mellanhänder som tillhandahåller tjänsteleverantörer indirekta kontrollmekanismer, bör medlemsstaterna, inom den tidsfrist som anges i artikel 45e.1 i förordning (EU) nr 910/2014, inrätta mekanismer som gör det möjligt för kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg att begära kontroll av attribut. Mekanismerna bör göra det möjligt för kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg att avgöra vilka attribut som kan kontrolleras och hur de ska kontrolleras. Dessa mekanismer bör omfatta närmare uppgifter om åtkomstpunkter och tjänsteprotokoll för kontroll av attributets giltighet och riktighet och beakta möjligheten att erbjuda en enda kontrollpunkt på nationell nivå.

(12)

Mer specifikt bör medlemsstaterna ge kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg tillgång till mekanismerna för att få åtkomst till och använda kontrollpunkterna för vart och ett av de attribut som förtecknas i bilaga VI till förordning (EU) nr 910/2014, på nationell nivå. Dessa mekanismer bör göra det möjligt för kvalificerade tillhandahållare av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg att, på användarens begäran, presentera specifika attribut för en kontrollpunkt för utfärdandet av intyget och under dess livstid. I kontrollmekanismerna bör det användas elektroniska medel som lämpar sig för automatiserad behandling, och för att få svar från kontrollpunkten så snabbt som möjligt. Detta svar bör bekräfta om de attribut som de kvalificerade tillhandahållarna av betrodda tjänster som utfärdar kvalificerade elektroniska attributsintyg presenterar motsvarar de attribut som lagrats rörande den användaren i den relevanta autentiska källan och bör specificera mot vilken autentiska källa kontrollen utfördes. För att undvika försummelser, såsom olagliga eller uppenbart överdrivna begäranden om kontroller, får medlemsstaterna införa kontrollmekanismer avseende användningen av kontrollpunkterna, om de anser detta lämpligt med beaktande av relevanta faktorer, inbegripet huruvida de autentiska källorna innehåller information som bör betraktas som personuppgifter eller som på annat sätt är konfidentiell eller känslig till sin natur enligt unionsrätten eller nationell rätt.

(13)

I enlighet med de principer som fastställs i akten om ett interoperabelt Europa (4) bör kommissionen, i syfte att underlätta inrättandet av en katalog med attribut och en katalog med system för attributsintyg och att återanvända, så långt det är möjligt, befintliga kataloger, system och information, när så är lämpligt, utnyttja synergier med det tekniska systemets gemensamma tjänster i enlighet med Europaparlamentets och rådets förordning (EU) 2018/1724 om inrättande av en gemensam digital ingång och om ändring av förordning (EU) nr 1024/2012 (5).

(14)

För att förbättra interoperabiliteten för elektroniska attributsintyg som utfärdats av icke-kvalificerade tillhandahållare av betrodda tjänster får de principer och krav som fastställs i denna förordning följas av utfärdare av intyg med avseende på icke-kvalificerade elektroniska attributsintyg.

(15)

Europaparlamentets och rådets förordning (EU) 2016/679 (6) och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (7) är tillämpliga på behandlingen av personuppgifter enligt denna förordning.

(16)

I syfte att ge kommissionen och medlemsstaterna tillräckligt med tid att upprätta förteckningen över tillhandahållare av elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa, bör kraven i denna förordning avseende katalogen med attribut, katalogen med system för attributsintyg och kontrollpunkterna för attribut bli tillämpliga tolv månader efter dagen för denna förordnings ikraftträdande.

(17)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (8) och avgav ett yttrande den 31 januari 2025.

(18)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.

(1)

kvalificerade elektroniska attributsintyg,

(2)

elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa,

(3)

förteckningen över tillhandahållare av elektroniska attributsintyg som utfärdats av eller på uppdrag av ett offentligt organ som ansvarar för en autentisk källa,

(4)

katalogen med attribut och katalogen med system för de attributsintyg som avses i punkterna 1 och 2,

(5)

kontrollen av attribut mot autentiska källor eller särskilt utsedda mellanhänder.

(1)

plånboksenhet: en unik konfigurering av en plånbokslösning som omfattar plånboksinstanser, krypteringsapplikationer och krypteringshårdvaror som en plånbokstillhandahållare tillhandahåller en enskild plånboksanvändare.

(2)

plånboksanvändare: en användare som kontrollerar plånboksenheten.

(3)

katalog med attribut: en digital förteckning över attribut som underhålls och offentliggörs online av kommissionen.

(4)

system för attributsintyg: en uppsättning regler som är tillämpliga på en eller flera typer av elektroniska attributsintyg.

(5)

typ av elektroniskt attributsintyg: en särskilt namngiven och semantiskt beskriven grupp av elektroniska attributsintyg.

(6)

katalog med system för attributsintyg: en digital förteckning över de system för attributsintyg som registrerats i enlighet med denna förordning och som upprätthålls [och offentliggörs online] av kommissionen.

(7)

plånbokslösning: en kombination av programvara, hårdvara, tjänster, inställningar och konfigureringar, inklusive plånboksinstanser, en eller flera krypteringsapplikationer och en eller flera krypteringshårdvaror.

(8)

plånboksinstans: den applikation som är installerad och konfigurerad på en plånboksanvändares hårdvara eller i en plånboksanvändares miljö, som ingår i en plånboksenhet och som plånboksanvändaren använder för att interagera med plånboksenheten.

(9)

krypteringsapplikation: en applikation som hanterar kritiska tillgångar genom att vara kopplad till och använda de kryptografiska och icke-kryptografiska funktioner som tillhandahålls av krypteringshårdvaran.

(10)

krypteringshårdvara: manipuleringssäker hårdvara som tillhandahåller en miljö som är kopplad till och används av krypteringsapplikationen för att skydda kritiska tillgångar och tillhandahålla kryptografiska funktioner för att säkert kunna utföra kritiska operationer.

(11)

plånbokstillhandahållare: en fysisk eller juridisk person som tillhandahåller plånbokslösningar.

(12)

kritiska tillgångar: tillgångar inom eller i samband med en plånboksenhet som är av sådan extraordinär betydelse att det, om deras konfidentialitet, integritet och tillgänglighet äventyrades, skulle få en mycket allvarlig, funktionsnedsättande inverkan på förmågan att förlita sig på plånboksenheten.

(13)

ägare av ett system för attributsintyg: en enhet med ansvar för att inrätta och upprätthålla ett system för attributsintyg.