(1)

Den europæiske ramme for digital identitet (»rammen«), der blev oprettet ved forordning (EU) nr. 910/2014, er et afgørende element i etableringen af et sikkert og interoperabelt økosystem for digital identitet i hele Unionen. Med de europæiske digitale identitetstegnebøger (»tegnebøger«) som hjørnesten har rammen til formål at lette adgangen til tjenester i alle medlemsstater og samtidig sikre beskyttelsen af personoplysninger og privatlivets fred.

(2)

Europa-Parlamentets og Rådets forordning (EU) 2016/679 (2) og forordning (EU) 2018/1725 (3) og, hvor det er relevant, Europa-Parlamentets og Rådets direktiv 2002/58/EF (4) finder anvendelse på behandlingsaktiviteter vedrørende personoplysninger i henhold til nærværende forordning. De regler om vurdering og information, der fastsættes i henhold til nærværende forordning, berører ikke forpligtelsen til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, hvor det er relevant i henhold til forordning (EU) 2016/679 eller forordning (EU) 2018/1725, og forpligtelsen til at underrette registrerede om brud på persondatasikkerheden, hvor det er relevant i henhold til nævnte forordninger.

(3)

Kommissionen vurderer regelmæssigt nye teknologier, praksisser, standarder og tekniske specifikationer. For at sikre den højeste grad af harmonisering mellem medlemsstaterne med hensyn til udvikling og certificering af tegnebøgerne er de tekniske specifikationer, der er fastsat i nærværende forordning, baseret på det arbejde, der er udført i henhold til Kommissionens henstilling (EU) 2021/946 (5), og navnlig den tekniske struktur og referencerammen, som er en del heraf. I overensstemmelse med betragtning 75 i Europa-Parlamentets og Rådets forordning (EU) 2024/1183 (6) bør Kommissionen revidere og om nødvendigt ajourføre nærværende forordning for at sikre, at den er i overensstemmelse med den globale udvikling, den tekniske struktur og referencerammen og følger bedste praksis på det indre marked.

(4)

I tilfælde af sikkerhedsbrud i eller kompromitteringer af tegnebogsløsningerne eller de valideringsmekanismer, der er omhandlet i artikel 5a, stk. 8, i forordning (EU) nr. 910/2014, eller den elektroniske identifikationsordning, efter hvilken tegnebogsløsningerne leveres, skal reaktionerne på disse sikkerhedsbrud og kompromitteringer ske hurtigt, koordineret og på sikker vis i alle medlemsstater for at beskytte brugerne og opretholde tilliden til økosystemet for digital identitet. Dette berører ikke Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 (7) og Europa-Parlamentets og Rådets forordning (EU) 2019/881 (8) og forordning (EU) 2024/2847 (9), især for så vidt angår håndteringen af hændelser eller sårbarheder og kategoriseringen af dem som sikkerhedsbrud. Medlemsstaterne bør derfor sikre, at leveringen og anvendelsen af tegnebøger, der er berørt af et sikkerhedsbrud eller en kompromittering, suspenderes rettidigt, eller, hvis det er relevant, at tegnebøgerne trækkes tilbage.

(5)

For at sikre passende reaktioner på sikkerhedsbrud eller kompromitteringer bør medlemsstaterne vurdere, om et sikkerhedsbrud i eller en kompromittering af en tegnebogsløsning, de valideringsmekanismer, der er omhandlet i artikel 5a, stk. 8, i forordning (EU) nr. 910/2014, eller den elektroniske identifikationsordning, efter hvilken en tegnebogsløsning leveres, påvirker pålideligheden af den pågældende tegnebogsløsning eller af andre tegnebogsløsninger. Vurderingen bør baseres på ensartede kriterier såsom antallet og kategorien af tegnebogsbrugere, fysiske personer og berørte tegnebogsmodtagere, karakteren af de berørte data, varigheden af kompromitteringen eller sikkerhedsbruddet, en tjenestes begrænsede tilgængelighed og de økonomiske tab samt den potentielle kompromittering af personoplysninger. Disse kriterier bør give medlemsstaterne fleksibilitet og skønsbeføjelse til på en forholdsmæssig måde at fastslå, om pålideligheden af en tegnebogsløsning er påvirket, og om det er hensigtsmæssigt at suspendere eller, hvis det er begrundet af bruddets eller kompromitteringens alvor, tilbagetrække tegnebogsløsningen. Kriterierne bør ikke udløse en automatisk tilbagetrækning af en tegnebogsløsning eller en automatisk suspension af leveringen og anvendelsen af en tegnebogsløsning, men medlemsstaterne bør tage dem behørigt i betragtning, når de afgør, det er nødvendigt at trække en tegnebogsløsning tilbage eller suspendere leveringen og anvendelsen af den.

(6)

På grund af konsekvenserne og ulemperne ved at suspendere anvendelsen af tegnebogsløsninger vil medlemsstaterne skulle vurdere, om det er nødvendigt at tilbagekalde tegnebogsenhedsattesteringer eller træffe andre yderligere foranstaltninger for at reagere hensigtsmæssigt på sikkerhedsbruddet eller kompromitteringen.

(7)

For at holde tegnebogsbrugerne informeret om status for deres tegnebøger, skal de have tilstrækkelig information om sikkerhedsbrud eller kompromitteringer, der påvirker deres tegnebøger. Da tegnebogsmodtagere, der er registreret i Unionen, også kan blive berørt af sikkerhedsbrud og kompromitteringer, skal den relevante information om sikkerhedsbrud og kompromitteringer også deles med dem.

(8)

For at fremme gennemsigtigheden og opbygge tillid til økosystemet for digital identitet bør den information, der skal gives om sikkerhedsbrud og kompromitteringer og konsekvenserne heraf, som minimum omfatte de oplysninger, der kræves i henhold til nærværende forordning. De oplysninger om sikkerhedsbrud eller kompromitteringer, der deles med tegnebogsbrugerne og tegnebogsmodtagerne, bør imidlertid vurderes nøje for at forebygge og minimere risikoen for, at de udnyttes af angribere.

(9)

For at give brugerne mulighed for at få adgang til deres tegnebogsenheder igen, efter at et sikkerhedsbrud eller en kompromittering er blevet afhjulpet, skal den medlemsstat, der leverede tegnebogsløsningerne, genoprette leveringen og anvendelsen af de pågældende tegnebogsløsninger uden unødigt ophold. Dette kan gøres ved at genoprette tegnebogsenhederne, ved at udstede tegnebogsenheder, der leveres under en ny version af tegnebogsløsningerne, eller ved at udstede nye gyldige tegnebogsenhedsattesteringer. De berørte tegnebogsbrugere og tegnebogsmodtagere, de centrale kontaktpunkter, der er udpeget i henhold til artikel 46c, stk. 1, i forordning (EU) nr. 910/2014, og Kommissionen skal underrettes herom.

(10)

For at sikre, at tegnebøgerne trækkes tilbage, når et sikkerhedsbrud eller en kompromittering ikke er blevet afhjulpet inden for tre måneder efter suspensionen, eller hvis tilbagetrækningen er begrundet af sikkerhedsbruddets eller kompromitteringens alvor, bør medlemsstaten sikre, at de relevante tegnebogsenhedsattesteringer tilbagekaldes, og at de ikke kan genoprettes til en gyldig tilstand eller udstedes eller leveres til eksisterende tegnebogsenheder. Desuden bør der ikke leveres nye tegnebogsenheder under den berørte tegnebogsløsning. Af hensyn til gennemsigtigheden skal brugerne, tegnebogsmodtagerne, de centrale kontaktpunkter, der er udpeget i henhold til artikel 46c, stk. 1, i forordning (EU) nr. 910/2014, og Kommissionen underrettes om tilbagetrækningen. Dette omfatter en redegørelse for de potentielle virkninger for tegnebogsbrugerne, og navnlig for forvaltningen af udstedte attesteringer, eller for tegnebogsmodtagerne.

(11)

Den periode på tre måneder efter suspensionen af leveringen og anvendelsen af en tegnebogsløsning, som det sikkerhedsbrud eller den kompromittering, der førte til suspensionen, skal afhjælpes inden for, bør udgøre en frist, efter hvilken tegnebogsløsningen skal trækkes tilbage, medmindre der er truffet passende afhjælpende foranstaltninger. Medlemsstaterne kan dog frit kræve, at sikkerhedsbruddet eller kompromitteringen skal afhjælpes inden for en frist, der er kortere end tre måneder, navnlig og hvis det er relevant, under hensyntagen til omfanget, varigheden og konsekvenserne af sikkerhedsbruddet eller kompromitteringen. Hvis sikkerhedsbruddet eller kompromitteringen ikke er eller ikke kan afhjælpes inden for den frist, som medlemsstaten har fastsat, kan medlemsstaten kræve, at tegnebogsløsningen trækkes tilbage inden udløbet af perioden på tre måneder. Medlemsstaterne bør benytte denne periode, hvor et sikkerhedsbrud eller en kompromittering, der har ført til suspension af leveringen og anvendelsen af en tegnebogsløsning, skal afhjælpes, til at forberede den eventuelle tilbagetrækning af tegnebogsløsningen og meddelelserne i den forbindelse.

(12)

For at mindske den administrative byrde for medlemsstaterne med hensyn til de oplysninger, der i overensstemmelse med nærværende forordning skal gives til Kommissionen og til andre medlemsstater, bør medlemsstaterne anvende eksisterende underretningsværktøjer såsom systemet til indberetning og analyse af cyberhændelser (»CIRAS«), der drives af Den Europæiske Unions Agentur for Cybersikkerhed (»ENISA«). Med hensyn til alternative kanaler eller midler til at informere de tegnebogsbrugere, der er berørt af et sikkerhedsbrud eller en kompromittering, og tegnebogsmodtagerne bør medlemsstaterne sikre, at de relevante oplysninger gives på en klar, fyldestgørende og lettilgængelig måde. Kanalerne til at give disse oplysninger til de berørte tegnebogsbrugere og tegnebogsmodtagerne, bør omfatte passende løsninger til webstedsbaseret udsendelse, realtidssporing af webstedsopdateringer og nyhedsaggregering.

(13)

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav udtalelse den 31. januar 2025.

(14)

Foranstaltningerne i nærværende forordning er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 48 i forordning (EU) nr. 910/2014 —

1)

»tegnebogsløsning«: en kombination af software, hardware, tjenester, indstillinger og konfigurationer, herunder tegnebogsforekomster, en eller flere sikre kryptografiske tegnebogsapplikationer og en eller flere sikre kryptografiske tegnebogsanordninger

2)

»tegnebogsbruger«: en bruger, der har kontrol over tegnebogsenheden

3)

»tegnebogsmodtager«: en modtagerpart, der har til hensigt at benytte tegnebogsenheder til levering af offentlige eller private tjenester ved hjælp af digital interaktion

4)

»tegnebogsforekomst«: den applikation, der er installeret og konfigureret på en tegnebogsbrugers enhed eller miljø, som er en del af en tegnebogsenhed, og som tegnebogsbrugeren bruger til at interagere med tegnebogsenheden

5)

»sikker kryptografisk tegnebogsapplikation«: en applikation, der forvalter kritiske aktiver ved at være knyttet til og anvende de kryptografiske og ikkekryptografiske funktioner, der leveres af en sikker kryptografisk tegnebogsanordning

6)

»sikker kryptografisk tegnebogsanordning«: en anordning, der er sikret mod manipulation, og som tilvejebringer et miljø, der er knyttet til og anvendes af den sikre kryptografiske tegnebogsapplikation til at beskytte kritiske aktiver og tilvejebringe kryptografiske funktioner til sikker udførelse af kritiske operationer

7)

»tegnebogsudbyder«: en fysisk eller juridisk person, der leverer tegnebogsløsninger

8)

»tegnebogsenhed«: en unik konfiguration af en tegnebogsløsning, der omfatter tegnebogsforekomster, sikre kryptografiske tegnebogsapplikationer og sikre kryptografiske tegnebogsanordninger, som en tegnebogsudbyder leverer til en individuel tegnebogsbruger

9)

»kritiske aktiver«: aktiver i eller i forbindelse med en tegnebogsenhed af så ekstraordinær betydning, at det i alvorlig grad vil svække muligheden for at have tillid til tegnebogsenheden, hvis deres tilgængelighed, fortrolighed eller integritet kompromitteres

10)

»attestering af tegnebogsenhed« og »tegnebogsenhedsattestering«: et dataobjekt, der beskriver tegnebogsenhedens komponenter eller gør det muligt at autentificere og validere disse komponenter.

1)

genoprette leveringen og anvendelsen af de tegnebogsenheder, der leveres under den pågældende tegnebogsløsning, ved at udstede en tegnebogsenhed, der leveres under en ny version af tegnebogsløsningen, til alle berørte brugere

2)

udstede nye tegnebogsenhedsattesteringer til nye tegnebogsenheder eller, hvis det er relevant, til tidligere udstedte tegnebogsenheder, forudsat at disse tegnebogsenheder opfylder de sikkerhedskrav, der gælder efter afhjælpningen af sikkerhedsbruddet eller kompromitteringen

3)

ophæve enhver foranstaltning, der er gennemført i henhold til artikel 4, og som hindrer leveringen af nye tegnebogsenheder under den berørte tegnebogsløsning, hvis denne foranstaltning udelukkende var knyttet til det sikkerhedsbrud eller den kompromittering, der nu er afhjulpet.

1)

information om dette forhold gives uden unødigt ophold til alle parter, der er blevet informeret om suspensionen af leveringen og anvendelsen af den pågældende tegnebogsløsning i overensstemmelse med artikel 5, stk. 1

2)

den information, der gives i henhold til punkt 1, som minimum omfatter de elementer, der er omhandlet i artikel 5, stk. 2, litra a), b) og f)-h), samt følgende oplysninger: