Kommissionens genomförandeförordning (EU) 2025/2160 av den 27 oktober 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller referensstandarder, specifikationer och förfaranden för hantering av risker i samband med tillhandahållande av icke-kvalificerade betrodda tjänster

(1)

De icke-kvalificerade tillhandahållarna av betrodda tjänster spelar en viktig roll i den digitala miljön genom att tillhandahålla betrodda tjänster som underlättar säkra elektroniska transaktioner. I förordning (EU) nr 910/2014 införs färre rättsliga krav på icke-kvalificerade tillhandahållare av betrodda tjänster än på kvalificerade tillhandahållare av betrodda tjänster. Alla tillhandahållare av betrodda tjänster omfattas dock av krav på säkerhet och ansvar för att säkerställa tillbörlig aktsamhet, transparens och ansvarsskyldighet i sin verksamhet och sina tjänster.

(2)

De icke-kvalificerade tillhandahållarna av betrodda tjänster kan betraktas som viktiga eller väsentliga entiteter i enlighet med artikel 3 i Europaparlamentets och rådets direktiv (EU) 2022/2555 (2). Kommissionens genomförandeförordning (EU) 2024/2690 (3) om fastställande av tekniska och metodologiska specifikationer för riskhanteringsåtgärder för cybersäkerhet är därför tillämplig på dem. Tillämpningsområdet för de krav som fastställs i artikel 19a.1 a i förordning (EU) nr 910/2014 avser dock riskhanteringsförfaranden rörande rättsliga, affärsmässiga, operativa och andra direkta eller indirekta risker för tillhandahållandet av icke-kvalificerade betrodda tjänster. För att komplettera den riskhanteringsram som fastställs i genomförandeförordning (EU) 2024/2690 och möjliggöra en enhetlig strategi för hantering av alla relevanta typer av risker bör specifikationer och förfaranden för hur icke-kvalificerade tillhandahållare av betrodda tjänster hanterar dessa risker fastställas. Europeiska unionens cybersäkerhetsbyrå (Enisa) eller nationella behöriga myndigheter enligt direktiv (EU) 2022/2555 kan ge vägledning till de icke-kvalificerade tillhandahållarna av betrodda tjänster vid utformningen och genomförandet av lämpliga riskhanteringspolicyer.

(3)

Den presumtion om överensstämmelse som fastställs i artikel 19a.2 förordning (EU) nr 910/2014 bör endast tillämpas när de icke-kvalificerade tillhandahållarna av betrodda tjänster uppfyller de krav som fastställs i den här förordningen. De referensstandarder som anges i bilagan bör återspegla etablerade metoder och vara allmänt erkända inom de relevanta sektorerna. För att säkerställa att de icke-kvalificerade tillhandahållarna av betrodda tjänster hanterar rättsliga, affärsmässiga, operativa och andra direkta eller indirekta risker för tillhandahållandet av den icke-kvalificerade betrodda tjänsten i enlighet med artikel 19a.1 i förordning (EU) nr 910/2014, bör de icke-kvalificerade tillhandahållarna av betrodda tjänster uppfylla de referenselement i standarderna som anges i bilagan och de krav på riskhantering som fastställs i denna förordning för presumtionen om överensstämmelse.

(4)

Om en icke-kvalificerad tillhandahållare av betrodda tjänster uppfyller kraven i denna genomförandeförordning bör tillsynsorganen presumera att de relevanta kraven i förordning (EU) nr 910/2014 är uppfyllda. Det är dock fortfarande tillåtet för en icke-kvalificerad tillhandahållare av betrodda tjänster att använda andra metoder för att visa att kraven i förordning (EU) nr 910/2014 är uppfyllda.

(5)

För att säkerställa att de identifierade riskerna hanteras på lämpligt sätt bör de riskhanteringspolicyer som tillämpas av de icke-kvalificerade tillhandahållarna av betrodda tjänster omfatta förfaranden för riskdokumentation och riskutvärdering samt för identifiering, urval och genomförande av lämpliga riskhanteringsåtgärder. Genomförandet av riskhanteringsåtgärder bör övervakas kontinuerligt. När de icke-kvalificerade tillhandahållarna av betrodda tjänster registrerar och lagrar information som en del av sina riskhanteringsåtgärder bör de säkerställa integriteten och konfidentialiteten för de uppgifterna. För att öka transparensen och stödja tillsynsverksamheten bör dessutom de icke-kvalificerade tillhandahållarna av betrodda tjänster offentliggöra de metoder för identitetskontroll som de tillämpar. Eftersom inte alla identifierade risker kan hanteras fullt ut genom att undvika, begränsa eller överföra dem till andra enheter, bör eventuella kvarstående risker godkännas av ledningsorganen för icke-kvalificerade tillhandahållare av betrodda tjänster. Kriterierna för att godkänna kvarstående risker bör motiveras på ett begripligt sätt.

(6)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder eller tekniska specifikationer. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (4) bör kommissionen vid behov se över och, vid behov, uppdatera denna tillämpningsförordning för att hålla den i linje med den globala utvecklingen, ny teknik, nya metoder samt nya standarder eller tekniska specifikationer och för att följa bästa praxis på den inre marknaden.

(7)

Europaparlamentets och rådets förordning (EU) 2016/679 (5) och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (6) är tillämpliga på behandlingen av personuppgifter enligt denna förordning.

(8)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (7) och avgav ett yttrande den 8 augusti 2025 (8).

(9)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.

a)

identifiera risker i förhållande till tredje part,

b)

identifiera möjlig felkritisk systemdel i tillhandahållandet av de betrodda tjänsterna,

c)

utvärdera de identifierade riskerna på grundval av de riskkriterier som avses i led b.