Kommissionens genomförandeförordning (EU) 2025/847 av den 6 maj 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller åtgärder mot säkerhetsincidenter som rör europeiska digitala identitetsplånböcker

(1)

Det europeiska ramverket för digital identitet (ramverket), som föreskrivs i förordning (EU) nr 910/2014, är en avgörande komponent i inrättandet av ett säkert och interoperabelt ekosystem för digital identitet i hela unionen. De europeiska digitala identitetsplånböckerna (plånböckerna) utgör hörnstenen i ramverket som syftar till att underlätta tillgång till tjänster i alla medlemsstater, samtidigt som skyddet av personuppgifter och integritet säkerställs.

(2)

Europaparlamentets och rådets förordningar (EU) 2016/679 (2) och (EU) 2018/1725 (3) samt, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG (4) är tillämpliga på behandlingen av personuppgifter enligt denna förordning. Reglerna för bedömningen och tillhandahållandet av information som upprättats enligt denna förordning ska inte påverka skyldigheten att anmäla personuppgiftsincidenter till den behöriga tillsynsmyndigheten när det är tillämpligt enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, och skyldigheten att meddela personuppgiftsincidenterna till de registrerade när det är tillämpligt enligt dessa förordningar.

(3)

Kommissionen utvärderar regelbundet ny teknik, nya metoder, standarder och tekniska specifikationer. För att säkerställa största möjliga harmonisering bland medlemsstaterna för utveckling och certifiering av plånböcker bygger de tekniska specifikationerna i denna förordning på det arbete som utförts enligt kommissionens rekommendation (EU) 2021/946 (5), särskilt arkitekturen och referensramen som är en del av den. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 (6) bör kommissionen vid behov se över och uppdatera denna genomförandeförordning för att hålla den i linje med den globala utvecklingen och arkitekturen och referensramen och för att följa praxis på den inre marknaden.

(4)

Vid en säkerhetsincident eller ett äventyrande rörande plånbokslösningarna eller rörande de valideringsmekanismer som avses i artikel 5a.8 i förordning (EU) nr 910/2024, eller rörande det system för elektronisk identifiering under vilket plånbokslösningarna tillhandahålls, behöver sådana säkerhetsincidenter och äventyranden följas av snabba, samordnade och säkra åtgärder i alla medlemsstater för att skydda användarna och upprätthålla förtroendet för ekosystemet för digital identitet. Detta ska inte påverka tillämpningen av Europaparlamentets och rådets direktiv (EU) 2022/2555 (7) och Europaparlamentets och rådets förordningar (EU) 2019/881 (8) och (EU) 2024/2847 (9), särskilt vad gäller att hantera incidenter eller sårbarheter och betrakta dem som säkerhetsincidenter. Därför bör medlemsstaterna säkerställa det tillfälliga upphävandet av tillhandahållandet, användningen och, i tillämpliga fall, återkallandet av de plånbokslösningar som berörs av en säkerhetsincident eller ett äventyrande.

(5)

För att säkerställa lämpliga åtgärder mot en säkerhetsincident eller ett äventyrande bör medlemsstaterna bedöma om en säkerhetsincident eller ett äventyrande rörande en plånbokslösning, rörande den valideringsmekanism som avses i artikel 5a.8 i förordning (EU) nr 910/2014, eller rörande det system för elektronisk identifiering under vilket en plånbokslösning tillhandahålls, påverkar den plånbokslösningens eller andra plånbokslösningars tillförlitlighet. En sådan bedömning bör grundas på enhetliga kriterier, såsom antal och kategori av plånboksanvändare, av fysiska personer och av förlitande parter som berörs, arten av de påverkade uppgifterna, varaktigheten hos äventyrandet eller säkerhetsincidenten, den begränsade tillgången på en tjänst och de ekonomiska förlusterna samt det potentiella äventyrandet av personuppgifter. Dessa kriterier bör ge medlemsstaterna flexibilitet och självbestämmande när det gäller att, på ett proportionerligt sätt, fastställa om en plånbokslösnings tillförlitlighet påverkas och om det är lämpligt att tillfälligt upphäva eller, när det är motiverat mot bakgrund av allvaret i säkerhetsincidenten eller äventyrandet, återkalla plånbokslösningen. Dessa kriterier bör inte utlösa ett automatiskt återkallande av en plånbokslösning eller ett automatiskt tillfälligt upphävande av tillhandahållandet och användningen av en plånbokslösning, men de bör vederbörligen beaktas av medlemsstaterna när de beslutar om huruvida ett återkallande, eller ett tillfälligt upphävande av tillhandahållandet eller användningen, av en plånbokslösning är nödvändig.

(6)

På grund av den inverkan och den olägenhet som orsakas av ett tillfälligt upphävande av användningen av plånbokslösningar, behöver medlemsstaterna utvärdera om återkallandet av plånboksenhetsintyg eller andra ytterligare åtgärder är nödvändiga för att vidta lämpliga åtgärder mot en säkerhetsincident eller ett äventyrande.

(7)

För att plånboksanvändarna ska hållas informerade om plånböckernas status ska de ges lämplig information om de säkerhetsincidenter och äventyranden som påverkar deras plånböcker. Eftersom de förlitande parter som är registrerade i unionen också kan påverkas av säkerhetsincidenter och äventyranden, ska relevant information om säkerhetsincidenter och äventyranden också delas med dem.

(8)

För att öka transparensen hos och skapa förtroende för ekosystemet för digital identitet, bör informationen om säkerhetsincidenterna eller äventyrandena och om deras konsekvenser åtminstone omfatta den information som krävs enligt denna förordning. Den information om säkerhetsincidenter eller äventyranden som delas med plånboksanvändare och förlitande parter bör dock noggrant bedömas för att förebygga och minimera risken att den utnyttjas av angripare.

(9)

För att göra det möjligt för användare att få tillgång till sina plånboksenheter på nytt efter att en säkerhetsincident eller ett äventyrande har åtgärdats, behöver de medlemsstater som tillhandahöll plånbokslösningarna återupprätta tillhandahållandet och användningen av de plånbokslösningarna utan onödigt dröjsmål. Detta kan ske genom att återupprätta plånboksenheterna, genom att utfärda plånboksenheter som tillhandahålls under en ny version av plånbokslösningarna eller genom att på nytt utfärda nya giltiga plånboksenhetsintyg. De berörda plånboksanvändarna, de förlitande parterna, de gemensamma kontaktpunkter som utsetts i enlighet med artikel 46c.1 i förordning (EU) nr 910/2014 och kommissionen ska underrättas om detta.

(10)

För att säkerställa återkallandet av plånböcker när en säkerhetsincident eller ett äventyrande inte har åtgärdats inom tre månader från det tillfälliga upphävandet eller när det är motiverat mot bakgrund av allvaret i säkerhetsincidenten eller äventyrandet, bör medlemsstaterna säkerställa att de relevanta plånboksenhetsintygen återkallas och att de varken kan återställas till giltig status eller utfärdas eller tillhandahållas till befintliga plånboksenheter. Vidare bör inga nya plånboksenheter tillhandahållas under den berörda plånbokslösningen. Av transparensskäl behöver användarna, de förlitande parterna, de gemensamma kontaktpunkter som utsetts i enlighet med artikel 46c.1 i förordning (EU) nr 910/2014 och kommissionen underrättas om återkallandet. Detta innefattar en beskrivning av den möjliga inverkan på plånboksanvändarna och i synnerhet förvaltningen av utfärdade intyg, eller på de förlitande parterna.

(11)

När tremånadersperioden efter det tillfälliga upphävandet av tillhandahållandet och användningen av en plånbokslösning, under vilken den säkerhetsincident eller det äventyrande som ledde till det tillfälliga upphävandet ska åtgärdas, har löpt ut ska plånbokslösningen återkallas om inte en lämplig åtgärd har vidtagits. Medlemsstaterna får dock kräva att säkerhetsincidenten eller äventyrandet åtgärdas inom en tidsfrist som är kortare än tre månader, särskilt, och om det är relevant, med beaktande av den säkerhetsincidentens eller det äventyrandets omfattning, varaktighet och följder. Om säkerhetsincidenten eller äventyrandet inte har åtgärdats eller inte har kunnat åtgärdas inom den tidsfrist som fastställts av medlemsstaten, får medlemsstaten kräva att plånbokslösningen återkallas innan tremånadersperioden löper ut. Medlemsstaterna bör använda denna tidsperiod, under vilken en säkerhetsincident eller ett äventyrande som ledde till det tillfälliga upphävandet av tillhandahållandet och användningen av en plånbokslösning måste åtgärdas, till att förbereda det eventuella återkallandet av plånbokslösningen och åtföljande meddelanden.

(12)

För att minska medlemsstaternas administrativa börda avseende den information som ska tillhandahållas, i enlighet med denna förordning, till kommissionen och andra medlemsstater, bör medlemsstaterna använda befintliga anmälningsverktyg, såsom systemet för rapportering och analys av cyberincidenter (Cyber Incident Reporting and Analysis System, CIRAS) som drivs av Europeiska unionens cybersäkerhetsbyrå (Enisa). När det gäller alternativa kanaler eller sätt för tillhandahållande av information till de plånboksanvändare som berörs av en säkerhetsincident eller ett äventyrande och till de förlitande parterna bör medlemsstaterna säkerställa att den relevanta informationen tillhandahålls på ett tydligt, heltäckande och lättillgängligt sätt. Kanalerna för tillhandahållande av sådan information till de berörda plånboksanvändarna och de förlitande parterna bör innefatta lämpliga lösningar för webbplatsbaserade sändningstjänster, spårning i realtid av webbplatsuppdateringar samt nyhetssamlare.

(13)

Samråd med Europeiska datatillsynsmannen har skett i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 31 januari 2025.

(14)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.

(1)

plånbokslösning: en kombination av programvara, hårdvara, tjänster, inställningar och konfigureringar, inklusive plånboksinstanser, en eller flera krypteringsapplikationer och en eller flera krypteringshårdvaror.

(2)

plånboksanvändare: en användare som kontrollerar plånboksenheten.

(3)

förlitande part: en förlitande part som avser att förlita sig på plånboksenheter för att genom digital interaktion tillhandahålla offentliga eller privata tjänster.

(4)

plånboksinstans: den applikation som är installerad och konfigurerad på en plånboksanvändares hårdvara eller i en plånboksanvändares miljö, som ingår i en plånboksenhet och som plånboksanvändaren använder för att interagera med plånboksenheten.

(5)

krypteringsapplikation: en applikation som hanterar kritiska tillgångar genom att vara kopplad till och använda de kryptografiska och icke-kryptografiska funktioner som tillhandahålls av krypteringshårdvaran.

(6)

krypteringshårdvara: manipuleringssäker hårdvara som tillhandahåller en miljö som är kopplad till och används av krypteringsapplikationen för att skydda kritiska tillgångar och tillhandahålla kryptografiska funktioner för att säkert kunna utföra kritiska operationer.

(7)

plånbokstillhandahållare: en fysisk eller juridisk person som tillhandahåller plånbokslösningar.

(8)

plånboksenhet: en unik konfigurering av en plånbokslösning som omfattar plånboksinstanser, krypteringsapplikationer och krypteringshårdvaror som en plånbokstillhandahållare tillhandahåller en enskild plånboksanvändare.

(9)

kritiska tillgångar: tillgångar inom eller i samband med en plånboksenhet som är av sådan extraordinär betydelse att det, om deras konfidentialitet, integritet och tillgänglighet äventyrades, skulle få en mycket allvarlig, funktionsnedsättande inverkan på förmågan att förlita sig på plånboksenheten.

(10)

plånboksenhetsintyg: ett dataobjekt som beskriver plånboksenhetens komponenter eller möjliggör autentisering och validering av dessa komponenter.

(1)

återupprätta tillhandahållandet och användningen av de plånboksenheter som tillhandahålls enligt den plånbokslösningen genom att utfärda en plånboksenhet som tillhandahålls enligt en ny version av plånbokslösningen till alla berörda användare,

(2)

utfärda ett nytt plånboksenhetsintyg till nya plånboksenheter eller, i förekommande fall, till tidigare utfärdade plånboksenheter, under förutsättning att de plånboksenheterna uppfyller de gällande säkerhetskraven efter det att säkerhetsincidenten eller äventyrandet har åtgärdats,

(3)

upphäva varje åtgärd som genomförts i enlighet med artikel 4 och som hindrar tillhandahållandet av nya plånboksenheter enligt den berörda plånbokslösningen, om en sådan åtgärd var kopplad endast till den säkerhetsincident eller det äventyrande som nu har åtgärdats.

(1)

information om detta utan onödigt dröjsmål tillhandahålls till alla parter som har mottagit information om det tillfälliga upphävandet av tillhandahållandet och användningen av den plånbokslösningen i enlighet med artikel 5.1,

(2)

den information som tillhandahålls i enlighet med punkt (1) omfattar åtminstone de delar som avses i artikel 5.2 punkterna (a), (b) och (f)–(h) och följande: