(1)

Der durch die Verordnung (EU) Nr. 910/2014 festgelegte europäische Rahmen für die digitale Identität (im Folgenden „Rahmen“) ist eine unverzichtbare Komponente für die Schaffung eines sicheren und interoperablen Ökosystems für die digitale Identität in der gesamten Union. Mit den europäischen Brieftaschen für die digitale Identität (im Folgenden „Brieftaschen“) als Eckpfeiler soll der Rahmen den Zugang zu Diensten in allen Mitgliedstaaten erleichtern und gleichzeitig den Schutz personenbezogener Daten und der Privatsphäre gewährleisten.

(2)

Die Verordnungen (EU) 2016/679 (2) und (EU) 2018/1725 (3) des Europäischen Parlaments und des Rates und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (4) gelten für die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung. Die in dieser Verordnung festgelegten Vorschriften für die Bewertung und Bereitstellung von Informationen lassen die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten gegebenenfalls gemäß der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 der zuständigen Aufsichtsbehörde zu melden, und die Verpflichtung, die betroffenen Personen von Verletzungen des Schutzes personenbezogener Daten zu benachrichtigen, soweit dies nach diesen Verordnungen anwendbar ist, unberührt.

(3)

Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen und technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Verordnung festgelegten technischen Spezifikationen auf den Arbeiten, die im Zuge der Empfehlung (EU) 2021/946 der Kommission (5) durchgeführt wurden, insbesondere auf der Architektur und dem dazugehörigen Referenzrahmen. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates (6) sollte die Kommission diese Verordnung überprüfen und gegebenenfalls aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(4)

Im Falle einer Sicherheitsverletzung oder Beeinträchtigung der Brieftaschenlösungen oder der Validierungsmechanismen gemäß Artikel 5a Absatz 8 der Verordnung (EU) Nr. 910/2014 oder des elektronischen Identifizierungssystems, in dessen Rahmen die Brieftaschenlösungen bereitgestellt werden, muss in allen Mitgliedstaaten in rascher, koordinierter und sicherer Weise auf solche Sicherheitsverletzungen und Beeinträchtigungen reagiert werden, um die Nutzer zu schützen und das Vertrauen in das Ökosystem der digitalen Identität zu bewahren. Dies gilt unbeschadet der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (7) und der Verordnungen (EU) 2019/881 (8) und (EU) 2024/2847 (9) des Europäischen Parlaments und des Rates, insbesondere bezüglich der Behandlung von Sicherheitsvorfällen oder Schwachstellen und ihrer Einstufung als Sicherheitsverletzungen. Deshalb sollten die Mitgliedstaaten für die zeitnahe Aussetzung der Bereitstellung und Nutzung der Brieftaschen sorgen, die von einer Sicherheitsverletzung oder -beeinträchtigung betroffen sind, oder gegebenenfalls für deren Zurückziehung.

(5)

Um angemessene Reaktionen auf eine Sicherheitsverletzung oder -beeinträchtigung zu gewährleisten, sollten die Mitgliedstaaten prüfen, ob sich eine Sicherheitsverletzung oder -beeinträchtigung einer Brieftaschenlösung, der Validierungsmechanismen gemäß Artikel 5a Absatz 8 der Verordnung (EU) Nr. 910/2014 oder des elektronischen Identifizierungssystems, in dessen Rahmen eine Brieftaschenlösung bereitgestellt wird, auf die Zuverlässigkeit dieser Brieftaschenlösung oder anderer Brieftaschenlösungen auswirkt. Eine solche Prüfung sollte auf einheitliche Kriterien gestützt werden, wie z. B. die Anzahl und Kategorie der betroffenen Brieftaschennutzer, natürlichen Personen und auf Brieftaschen vertrauenden Beteiligten, die Art der betroffenen Daten, die Dauer der Beeinträchtigung oder Sicherheitsverletzung, die eingeschränkte Verfügbarkeit eines Dienstes und finanzielle Verluste sowie die potenzielle Beeinträchtigung des Schutzes personenbezogener Daten. Diese Kriterien sollten den Mitgliedstaaten Flexibilität und Ermessensspielraum geben, damit sie auf verhältnismäßige Weise feststellen können, ob die Zuverlässigkeit einer Brieftaschenlösung beeinträchtigt ist und ob die Aussetzung oder — falls dies wegen der Schwere der Sicherheitsverletzung oder -beeinträchtigung gerechtfertigt ist — die Zurückziehung der Brieftaschenlösung angemessen ist. Diese Kriterien sollten nicht zu einer automatischen Zurückziehung einer Brieftaschenlösung oder einer automatischen Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung führen, aber sie sollten von den Mitgliedstaaten gebührend berücksichtigt werden, wenn sie entscheiden, ob eine Zurückziehung oder Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung erforderlich ist.

(6)

Angesichts der Auswirkungen und Unannehmlichkeiten, die sich aus der Aussetzung der Nutzung von Brieftaschenlösungen ergeben, sollten die Mitgliedstaaten prüfen, ob der Widerruf von Einzelbrieftaschenbescheinigungen oder andere zusätzliche Maßnahmen als angemessene Reaktion auf die Sicherheitsverletzung oder -beeinträchtigung erforderlich sind.

(7)

Um die Brieftaschennutzer über den Status ihrer Brieftaschen auf dem Laufenden zu halten, müssen ihnen geeignete Informationen über Sicherheitsverletzungen oder -beeinträchtigungen, die ihre Brieftaschen betreffen, gegeben werden. Da in der Union registrierte auf Brieftaschen vertrauende Beteiligte ebenfalls von Sicherheitsverletzungen und -beeinträchtigungen betroffen sein können, müssen auch sie einschlägige Informationen über Sicherheitsverletzungen oder -beeinträchtigungen erhalten.

(8)

Um die Transparenz zu erhöhen und Vertrauen in das Ökosystem der digitalen Identität aufzubauen, sollten die Informationen über Sicherheitsverletzungen oder -beeinträchtigungen und deren Folgen zumindest die nach dieser Verordnung erforderlichen Informationen enthalten. Informationen über Sicherheitsverletzungen oder -beeinträchtigungen, die Brieftaschennutzern und auf Brieftaschen vertrauenden Beteiligten gegeben werden, sollten jedoch zuvor sorgfältig geprüft werden, damit das Risiko ihrer Ausnutzung durch Angreifer vermieden bzw. so gering wie möglich gehalten wird.

(9)

Damit die Nutzer nach der Behebung einer Sicherheitsverletzung oder -beeinträchtigung erneut auf ihre Einzelbrieftaschen zugreifen können, muss der Mitgliedstaat, der die Brieftaschenlösungen bereitgestellt hat, die Bereitstellung und Nutzung dieser Brieftaschenlösungen unverzüglich wiederherstellen. Dies kann durch die Wiederherstellung der Einzelbrieftaschen, die Ausstellung von Einzelbrieftaschen im Rahmen einer neuen Version der Brieftaschenlösungen oder die Neuausstellung neuer gültiger Einzelbrieftaschenbescheinigungen erfolgen. Betroffene Brieftaschennutzer sowie auf Brieftaschen vertrauende Beteiligte, gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannte einheitliche Anlaufstellen und die Kommission sind entsprechend zu informieren.

(10)

Damit Brieftaschen zurückgezogen werden, wenn eine Sicherheitsverletzung oder -beeinträchtigung nicht innerhalb von drei Monaten nach der Aussetzung behoben wurde oder wenn dies wegen der Schwere der Sicherheitsverletzung oder -beeinträchtigung gerechtfertigt ist, sollte der Mitgliedstaat sicherstellen, dass die betroffenen Einzelbrieftaschenbescheinigungen zurückgezogen werden und weder in einen gültigen Status zurückgesetzt noch für bestehende Einzelbrieftaschen ausgestellt oder bereitgestellt werden können. Außerdem sollten keine neuen Einzelbrieftaschen im Rahmen der betroffenen Brieftaschenlösung bereitgestellt werden. Im Interesse der Transparenz sind betroffene Brieftaschennutzer sowie auf Brieftaschen vertrauende Beteiligte, gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannte einheitliche Anlaufstellen und die Kommission über die Zurückziehung zu informieren. Dies schließt auch eine Beschreibung der potenziellen Auswirkungen auf die Brieftaschennutzer und insbesondere auf die Verwaltung der ausgestellten Bescheinigungen oder auf die auf Brieftaschen vertrauenden Beteiligten ein.

(11)

Nach Ablauf des Dreimonatszeitraums nach der Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung, in dem die Sicherheitsverletzung oder -beeinträchtigung, die diese Aussetzung zur Folge hatte, behoben werden muss, sollte die Brieftaschenlösung zurückgezogen werden müssen, wenn innerhalb dieser Frist keine angemessene Abhilfe geschaffen wurde. Es steht den Mitgliedstaaten jedoch frei zu verlangen, dass die Sicherheitsverletzung oder -beeinträchtigung innerhalb einer Frist von weniger als drei Monaten behoben wird, wobei insbesondere und soweit relevant das Ausmaß, die Dauer und die Folgen dieser Sicherheitsverletzung oder -beeinträchtigung zu berücksichtigen sind. Sofern die Sicherheitsverletzung oder -beeinträchtigung nicht innerhalb der von dem Mitgliedstaat gesetzten Frist behoben wird oder behoben werden kann, kann der Mitgliedstaat verlangen, dass die Brieftaschenlösung vor Ablauf des Dreimonatszeitraums zurückgezogen wird. Die Mitgliedstaaten sollten diesen Zeitraum, in dem eine Sicherheitsverletzung oder -beeinträchtigung, die die Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung zur Folge hatte, behoben werden muss, nutzen, um die mögliche Zurückziehung dieser Brieftaschenlösung und die entsprechende Kommunikation vorzubereiten.

(12)

Um den Verwaltungsaufwand der Mitgliedstaaten durch die gemäß dieser Verordnung an die Kommission und an andere Mitgliedstaaten bereitzustellenden Informationen zu verringern, sollten die Mitgliedstaaten dafür bestehende Notifizierungsinstrumente wie das von der Agentur der Europäischen Union für Cybersicherheit (ENISA) betriebene Melde- und Analysesystem für Cybervorfälle (CIRAS) verwenden. In Bezug auf alternative Kanäle oder Mittel, die zur Information der von einer Sicherheitsverletzung oder -beeinträchtigung betroffenen Brieftaschennutzer und der auf Brieftaschen vertrauenden Beteiligten zu verwenden sind, sollten die Mitgliedstaaten dafür sorgen, dass die betreffenden Informationen in klarer, umfassender und leicht zugänglicher Weise bereitgestellt werden. Die Kanäle für die Bereitstellung solcher Informationen für betroffene Brieftaschennutzer und auf Brieftaschen vertrauende Beteiligte sollten geeignete Lösungen für die Verbreitung über Websites, die Nachverfolgung von Website-Aktualisierungen in Echtzeit und Nachrichtenaggregationsdienste umfassen.

(13)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und gab am 31. Januar 2025 seine Stellungnahme ab.

(14)

Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 48 der Verordnung (EU) Nr. 910/2014 eingesetzten Ausschusses —

1.

„Brieftaschenlösung“ eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen;

2.

„Brieftaschennutzer“ einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat;

3.

„auf Brieftaschen vertrauender Beteiligter“ einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen;

4.

„Brieftascheninstanz“ die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren;

5.

„sichere Kryptoanwendung für Brieftaschen“ (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt;

6.

„sicheres Kryptomodul für Brieftaschen“ (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen;

7.

„Brieftaschenanbieter“ eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt;

8.

„Einzelbrieftasche“ eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden;

9.

„kritische Werte“ Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte;

10.

„Einzelbrieftaschenbescheinigung“ ein Datenobjekt, das die Komponenten der Einzelbrieftasche beschreibt oder die Authentifizierung und Validierung dieser Komponenten ermöglicht.

1.

die Bereitstellung und Nutzung der im Rahmen dieser Brieftaschenlösung bereitgestellten Einzelbrieftaschen wiederherstellen, indem sie allen betroffenen Brieftaschennutzern eine Einzelbrieftasche ausstellen, die im Rahmen einer neuen Version der Brieftaschenlösung bereitgestellt wird;

2.

neue Einzelbrieftaschenbescheinigungen für neue Einzelbrieftaschen oder gegebenenfalls für zuvor ausgestellte Einzelbrieftaschen ausstellen, sofern diese Einzelbrieftaschen die nach der Behebung der Sicherheitsverletzung oder -beeinträchtigung geltenden Sicherheitsanforderungen erfüllen;

3.

alle gemäß Artikel 4 ergriffenen Maßnahmen aufheben, die die Bereitstellung neuer Einzelbrieftaschen im Rahmen der betroffenen Brieftaschenlösung verhindern, falls sich solche Maßnahmen ausschließlich auf die nunmehr behobene Sicherheitsverletzung oder -beeinträchtigung bezogen.

1.

Informationen hierüber unverzüglich allen Beteiligten, die Informationen über die Aussetzung der Bereitstellung und Nutzung dieser Brieftaschenlösung gemäß Artikel 5 Absatz 1 erhalten haben, zur Verfügung gestellt werden,

2.

gemäß Nummer 1 bereitgestellte Informationen zumindest die in Artikel 5 Absatz 2 Buchstaben a, b und f bis h genannten Angaben sowie folgende Angaben enthalten: