(1)

Forordning (EU) nr. 910/2014 skaber en retlig ramme for udstedelse og validering af elektroniske attesteringer af attributter, herunder en forpligtelse for udbydere af elektroniske attesteringer af attributter til at give brugere af europæiske digitale identitetstegnebøger (»tegnebøger«) mulighed for at anmode om, indhente, lagre og forvalte den elektroniske attestering af attributter, uanset i hvilken medlemsstat tegnebøgerne leveres. Elektroniske attesteringer af attributter er afgørende komponenter i etableringen af et sikkert og interoperabelt økosystem for europæiske digitale identitetstegnebøger (»økosystem for tegnebøger«). De gør det muligt for brugerne at dele oplysninger med modtagerparter på en pålidelig måde i en række forskellige brugstilfælde.

(2)

De grænseflader med europæiske digitale identitetstegnebøger, som udbydere af kvalificerede elektroniske attesteringer af attributter skal stille til rådighed i henhold til artikel 45g i forordning (EU) nr. 910/2014, understreger, hvor vigtige elektroniske attesteringer af attributter er for økosystemet for tegnebøger, og faciliterer deres udbredelse.

(3)

Kommissionen vurderer regelmæssigt nye teknologier, praksisser, standarder og tekniske specifikationer. For at sikre den højeste grad af harmonisering mellem medlemsstaterne med hensyn til udvikling og certificering af tegnebøgerne er de tekniske specifikationer, der er fastsat i nærværende forordning, baseret på det arbejde, der er udført i henhold til Kommissionens henstilling (EU) 2021/946 af 3. juni 2021 om en fælles EU-værktøjskasse for en koordineret tilgang til en ramme for en europæisk digital identitet (2) og navnlig den tekniske struktur og referencerammen, som er en del af den. I overensstemmelse med betragtning 75 i Europa-Parlamentets og Rådets forordning 2024/1183 (3) bør Kommissionen revidere og om nødvendigt ajourføre nærværende forordning for at sikre, at den er i overensstemmelse med udviklingen på verdensplan, den tekniske struktur og referencerammen samt følger bedste praksis på det indre marked, navnlig med hensyn til udstedelse af elektroniske attesteringer af attributter og kontrol af attributter i forhold til autentiske kilder eller udpegede mellemmænd.

(4)

Hvis udbydere af kvalificerede elektroniske attesteringer af attributter og elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, udsteder attesteringer, som hævdes at opfylde kravene i de ordninger for attestering af attributter, der er registreret i kataloget, bør politikker og procedurer for overholdelse af kravene i disse ordninger indgå i den overensstemmelsesvurdering, der er fastsat i forordning (EU) nr. 910/2014.

(5)

Beskyttelse mod upålidelige oplysninger er af stor betydning for digitaliseringen af attesteringer. Derfor bør kvalificerede elektroniske attesteringer af attributter og elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, kunne tilbagekaldes, eller der bør gennemføres alternative foranstaltninger for at opveje de risici, der er forbundet med manglende tilbagekaldelse. Visse omstændigheder bør føre til, at udbyderen tilbagekalder en elektronisk attestering af attributter, f.eks. en udtrykkelig anmodning fra den person, som den elektroniske attestering af attributter blev udstedt til, eller hvis udbyderen er bekendt med, at der er sket en kompromittering af sikkerheden eller troværdigheden af de kvalificerede elektroniske attesteringer af attributter, eller hvis det kræves i henhold til EU-retten eller national ret. For at beskytte brugerens grundlæggende ret til privatlivets fred og databeskyttelse, navnlig ved på passende vis at minimere risiciene for sammenkædelighed og sporbarhed, bør udbydere af kvalificerede elektroniske attesteringer af attributter og elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, indføre politikker for forvaltning af tilbagekaldelse, der beskytter privatlivets fred.

(6)

For at lette samarbejdet mellem medlemsstaterne og etableringen af et sikkert og interoperabelt økosystem for digital identitet, herunder grænseoverskridende anerkendelse af og interoperabilitet mellem kvalificerede elektroniske attesteringer af attributter og elektroniske attesteringer af attributter, der leveres af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, er det nødvendigt at indføre forenklede kommunikative procedurer blandt de relevante interessenter, herunder offentliggørelse af information til hurtig identifikation af de relevante offentlige myndigheder. Medlemsstaterne bør anmelde de pågældende attributter til Kommissionen. For at sikre rettidig, effektiv og interoperabel kontrol af disse attributter bør de pågældende anmeldelser til Kommissionen derfor som minimum være på engelsk, da dette fremmer anmeldelsernes brede tilgængelighed, letter vurderingen og forståelsen af dem og samtidig styrker samarbejdet mellem de relevante interessenter. Oversættelse af allerede eksisterende dokumentation bør dog ikke medføre urimelige administrative eller finansielle byrder.

(7)

For at gøre det muligt for brugere og tjenesteudbydere at kontrollere, at elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, rent faktisk er udstedt af eller på vegne af den pågældende offentlige myndighed, bør medlemsstaterne anmelde de relevante offentlige myndigheder til Kommissionen. Når medlemsstaterne anmelder offentlige myndigheder, der udsteder elektroniske attesteringer af attributter i overensstemmelse med artikel 45f og bilag VII til forordning (EU) nr. 910/2014, skal de forelægge en overensstemmelsesvurderingsrapport, der viser et niveau af pålidelighed og troværdighed svarende til kvalificerede tillidstjenesteudbydere. I modsætning til kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, er det for disse offentlige myndigheders vedkommende imidlertid op til medlemsstaterne, hvordan de sikrer, at udbyderne opfylder kravene over tid. For at opretholde en høj grad af tillid til attesteringer i den offentlige sektor i hele Unionen opfordres medlemsstaterne derfor til at dele deres bedste praksis for, hvordan de sikrer fortsat pålidelighed og troværdighed, gennem den europæiske samarbejdsgruppe for digital identitet, der er nedsat i henhold til artikel 46e, stk. 1, i forordning (EU) nr. 910/2014 (»samarbejdsgruppen«). Kommissionen bør oprette, føre og offentliggøre en liste over udbydere og sørge for, at listen er let tilgængelig for offentligheden.

(8)

Kommissionen bør med bistand fra samarbejdsgruppen oprette et katalog over attributter for at gøre det lettere for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, at kontrollere attributter i forhold til autentiske kilder. Registrering i kataloget over attributter bør være obligatorisk for attributter, der er opført i bilag VI til forordning (EU) nr. 910/2014. For andre attributter vil registreringen være valgfri.

(9)

Kommissionen bør med bistand fra samarbejdsgruppen oprette et katalog over ordninger for attestering af attributter for at lette udstedelsen af attesteringer for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, og udbydere af elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, og for at lette harmoniseringen af disse attesteringer og deres grænseoverskridende interoperabilitet. Registrering af ordninger i kataloget over ordninger bør være frivillig. Anmodninger om registrering eller ændringer i kataloget bør foretages af ejeren af ordningen for attestering af attributter og kan omfatte attributter, der ikke er opført i kataloget over attributter. Kommissionen bør vurdere sådanne anmodninger under hensyntagen til interoperabilitets- og harmoniseringsbehov.

(10)

For at sikre, at kataloget over attributter giver meningsfulde oplysninger og når et højt niveau af interoperabilitet inden for økosystemet for elektronisk attestering af attributter, bør det som det mindste indeholde et minimum af oplysninger som f.eks. en semantisk beskrivelse af attributten, navnemellemrummet for dens identifikator og attributtens datatype. Med samme formål bør kataloget over ordninger for attestering af attributter indeholde beskrivelser af almindelige typer af elektroniske attesteringer af attributter og en beskrivelse af tillidsmodellen og de forvaltningsmekanismer, der anvendes i attesteringsordningen. Oplysningerne i katalogerne bør omfatte versionering af attributter og ordninger, så attesteringer, der udstedes i henhold til specifikke versioner, ikke påvirkes af ændringer i disse attributter og ordninger.

(11)

For at sikre effektiviteten af den kontrol af attributter i forhold til autentiske kilder, som foretages af kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, herunder via udpegede mellemmænd, der stiller indirekte verifikationsmekanismer til rådighed for tjenesteudbydere, bør medlemsstaterne inden for den frist, der er fastsat i artikel 45e, stk. 1, i forordning (EU) nr. 910/2014, indføre mekanismer, der gør det muligt for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, at anmode om kontrol af attributter. Mekanismerne bør gøre det muligt for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, at afgøre, hvilke attributter der kan kontrolleres og hvordan. Disse mekanismer bør omfatte nærmere oplysninger om adgangspunkter og tjenesteprotokoller til kontrol af attributtens gyldighed og nøjagtighed og tage muligheden for at tilbyde et enkelt kontrolpunkt på nationalt plan i betragtning.

(12)

Nærmere bestemt bør medlemsstaterne stille mekanismerne for adgang til og anvendelse af kontrolpunkter på nationalt plan for hver af de attributter, der er opført i bilag VI til forordning (EU) nr. 910/2014, til rådighed for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter. Disse mekanismer bør gøre det muligt for kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, efter anmodning fra brugeren at fremlægge specifikke attributter for et kontrolpunkt med henblik på udstedelse af attesteringen og i hele dens levetid. Kontrolmekanismerne bør anvende elektroniske midler, der egner sig til automatisk behandling og til at indhente svar så hurtigt som muligt fra kontrolpunktet. Svaret bør bekræfte, om de attributter, der fremlægges af de kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede elektroniske attesteringer af attributter, svarer til de attributter, der er lagret for den pågældende bruger i den relevante autentiske kilde, og bør angive, i forhold til hvilken autentisk kilde kontrollen er blevet foretaget. For at undgå forseelser, som f.eks. ulovlige eller åbenbart overdrevne kontrolanmodninger, kan medlemsstaterne indføre mekanismer for kontrol af anvendelsen af kontrolpunkterne, hvis de finder det hensigtsmæssigt og under hensyntagen til relevante faktorer, bl.a. om de autentiske kilder indeholder oplysninger, der bør betragtes som personoplysninger eller på anden måde er fortrolige eller følsomme i henhold til EU-retten eller national ret.

(13)

I overensstemmelse med de principper, der er fastsat i forordningen om et interoperabelt Europa (4), og med henblik på at lette oprettelsen af katalog over attributter og katalog over ordninger for attestering af attributter og så vidt muligt genbruge eksisterende kataloger, ordninger og oplysninger bør Kommissionen, hvor det er relevant, udnytte synergier med de fælles tjenester i det tekniske system i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1724 om oprettelse af en fælles digital portal og om ændring af forordning (EU) nr. 1024/2012 (5).

(14)

For at øge interoperabiliteten for elektroniske attesteringer af attributter udstedt af ikkekvalificerede tillidstjenesteudbydere kan de principper og krav, der er fastsat i denne forordning, følges af udstedere af attesteringer med hensyn til ikkekvalificeret elektronisk attestering af attributter.

(15)

Europa-Parlamentets og Rådets forordning (EU) 2016/679 (6) og, hvor det er relevant, Europa-Parlamentets og Rådets direktiv 2002/58/EF (7) finder anvendelse på alle behandlingsaktiviteter vedrørende personoplysninger i henhold til nærværende forordning.

(16)

Med det formål at give Kommissionen og medlemsstaterne tilstrækkelig tid til at udarbejde listen over udbydere af elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, bør kravene i denne forordning vedrørende kataloget over attributter, kataloget over ordninger for attesteringer af attributter og kontrolpunkterne for attributter finde anvendelse 12 måneder efter datoen for denne forordnings ikrafttræden.

(17)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (8) og afgav udtalelse den 31. januar 2025.

(18)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 48 i forordning (EU) nr. 910/2014 —

(1)

kvalificerede elektroniske attesteringer af attributter

(2)

elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde

(3)

listen over udbydere af elektroniske attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde

(4)

kataloget over attributter og kataloget over ordninger for attestering af attributter som omhandlet i punkt (1) og (2)

(5)

kontrol af attributter med henvisning til autentiske kilder eller udpegede mellemmænd.

(1)

»tegnebogsenhed«: en unik konfiguration af en tegnebogsløsning, der omfatter tegnebogsforekomster, sikre kryptografiske tegnebogsapplikationer og sikre kryptografiske tegnebogsanordninger, som en tegnebogsudbyder leverer til en individuel tegnebogsbruger

(2)

»tegnebogsbruger«: en bruger, der har kontrol over tegnebogsenheden

(3)

»katalog over attributter«: et digitalt register over attributter, der føres og offentliggøres online af Kommissionen

(4)

»ordning for attestering af attributter«: et sæt regler, der gælder for en eller flere typer af elektronisk attestering af attributter

(5)

»type af elektronisk attestering af attributter«: en specifikt navngivet og semantisk beskrevet gruppe af elektroniske attesteringer af attributter

(6)

»katalog over ordninger for attestering af attributter«: et digitalt register med lister over ordninger for attestering af attributter, der er registreret i overensstemmelse med denne forordning, og som føres [og offentliggøres online] af Kommissionen

(7)

»tegnebogsløsning«: en kombination af software, hardware, tjenester, indstillinger og konfigurationer, herunder tegnebogsforekomster, en eller flere sikre kryptografiske tegnebogsapplikationer og en eller flere sikre kryptografiske tegnebogsanordninger

(8)

»tegnebogsforekomst«: den applikation, der er installeret og konfigureret på en tegnebogsbrugers anordning eller miljø, som er en del af en tegnebogsenhed, og som tegnebogsbrugeren bruger til at interagere med tegnebogsenheden

(9)

»sikker kryptografisk tegnebogsapplikation«: en applikation, der forvalter kritiske aktiver ved at være knyttet til og anvende de kryptografiske og ikkekryptografiske funktioner, der leveres af en sikker kryptografisk tegnebogsanordning

(10)

»sikker kryptografisk tegnebogsanordning«: en anordning, der er sikret mod manipulation, og som tilvejebringer et miljø, der er knyttet til og anvendes af den sikre kryptografiske tegnebogsapplikation til at beskytte kritiske aktiver og tilvejebringe kryptografiske funktioner til sikker udførelse af kritiske operationer

(11)

»tegnebogsudbyder«: en fysisk eller juridisk person, der leverer tegnebogsløsninger

(12)

»kritiske aktiver«: aktiver i eller i forbindelse med en tegnebogsenhed af så ekstraordinær betydning, at det i alvorlig grad vil svække muligheden for at have tillid til tegnebogsenheden, hvis deres tilgængelighed, fortrolighed eller integritet kompromitteres

(13)

»ejer af ordning for attestering af attributter«: en enhed, der er ansvarlig for at oprette og vedligeholde en ordning for attestering af attributter.