(1)

Euroopa digiidentiteedi raamistik (edaspidi „raamistik“), mis kehtestati määrusega (EL) nr 910/2014, on kogu liitu hõlmava turvalise ja koostöövõimelise digiidentiteedisüsteemi loomisel üks keskseid elemente. Raamistik, mille nurgakivi on Euroopa digiidentiteedikukkur (edaspidi „kukkur“), taotleb eesmärki hõlbustada teenuste kättesaadavust kõigis liikmesriikides, tagades samal ajal isikuandmete ja privaatsuse kaitse.

(2)

Isikuandmete sellise töötlemise suhtes, mis toimub käesoleva määruse raames, kohaldatakse Euroopa Parlamendi ja nõukogu määrusi (EL) 2016/679 (2) ja (EL) 2018/1725 (3) ning vajaduse korral Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (4). Käesoleva määruse alusel kehtestatud normid teabe hindamise ja esitamise kohta ei piira kohustust teatada pädevale järelevalveasutusele isikuandmetega seotud rikkumistest, kui see on kohaldatav määruse (EL) 2016/679 või määruse (EL) 2018/1725 alusel, ega kohustust teatada andmesubjektidele isikuandmetega seotud rikkumistest, kui see on nimetatud määruste alusel kohaldatav.

(3)

Komisjon hindab regulaarselt uusi tehnoloogialahendusi, tavasid, standardeid ja tehnilisi spetsifikatsioone. Selleks et kukrute arendamine ja sertifitseerimine oleksid liikmesriikide vahel kõrgeimal tasemel ühtlustatud, tuginevad käesolevas rakendusmääruses esitatud tehnilised spetsifikatsioonid tööle, mida on tehtud komisjoni soovituse (EL) 2021/946 (5) põhjal, ning eeskätt selle osaks olevale arhitektuurile ja võrdlusraamistikule. Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1183 (6) põhjendusele 75 peaks komisjon käesoleva määruse läbi vaatama ja vajaduse korral seda ajakohastama, et tagada kooskõla üleilmsete arengusuundumustega, arhitektuuriga ja võrdlusraamistikuga ja järgida siseturu parimaid tavasid.

(4)

Kukrulahenduste, määruse (EL) nr 910/2014 artikli 5a lõikes 8 osutatud valideerimismehhanisme või kukrulahenduste pakkumise aluseks olevat e-identimise süsteemi puudutava turvarikkumise või kahjustamise korral tuleb sellistele rikkumistele ja kahjustamistele reageerida kõigis liikmesriikides kiiresti, kooskõlastatult ja turvaliselt, et kaitsta kasutajaid ja säilitada digiidentiteedisüsteemi usaldusväärsus. See ei piira Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (7) ning Euroopa Parlamendi ja nõukogu määruste (EL) 2019/881 (8) ja (EL) 2024/2847 (9) kohaldamist, eelkõige seoses intsidentide või nõrkuste käsitlemisega ja nende käsitamisega turvarikkumistena. Seepärast peaksid liikmesriigid turvarikkumisest või kahjustamisest mõjutatud kukrute pakkumise ja kasutamise õigeaegselt peatama või vajaduse korral need kasutuselt kõrvaldama.

(5)

Selleks et tagada asjakohane reageerimine turvarikkumisele või kahjustamisele, peaksid liikmesriigid hindama, kas kukrulahenduse, määruse (EL) nr 910/2014 artikli 5a lõikes 8 osutatud valideerimismehhanismide või kukrulahenduse pakkumise aluseks oleva e-identimise süsteemi turvarikkumine või kahjustamine mõjutab selle kukrulahenduse või muude kukrulahenduste usaldusväärsust. Selline hindamine peaks põhinema ühtsetel kriteeriumidel, nagu mõjutatud kukrukasutajate, füüsiliste isikute ja kukrule tuginevate isikute arv ja kategooria, mõjutatud andmete laad, kahjustamise või turvarikkumise kestus, teenuse piiratud kättesaadavus ja rahaline kahju ning võimalik isikuandmete kaitstuse rikkumine. Need kriteeriumid peaksid andma liikmesriikidele paindlikkuse ja kaalutlusõiguse, et teha proportsionaalsel viisil kindlaks, kas kukrulahenduse usaldusväärsust on mõjutatud ja kas kukrulahenduse peatamine või, kui see on rikkumise või kahjustamise tõsiduse tõttu põhjendatud, kasutuselt kõrvaldamine on asjakohane. Need kriteeriumid ei tohiks kaasa tuua kukrulahenduse automaatset kasutuselt kõrvaldamist või kukrulahenduse pakkumise ja kasutamise automaatset peatamist, kuid liikmesriigid peaksid neid kriteeriume nõuetekohaselt kaaluma, kui on tarvis otsustada, kas kukrulahenduse kasutuselt kõrvaldamine või selle pakkumise ja kasutamise peatamine on vajalik.

(6)

Kukrulahenduste kasutamise peatamise mõju ja sellest tuleneva ebamugavuse tõttu peavad liikmesriigid hindama, kas turvarikkumisele või kahjustamisele asjakohaselt reageerimiseks on vajalik kukrukomplekti tõendite kehtetuks tunnistamine või mõni muu lisameede

(7)

Selleks et teavitada kukrukasutajaid nende kukru staatusest, tuleb neile anda piisavat teavet nende kukrut mõjutavate turvarikkumiste või kahjustamiste kohta. Kuna turvarikkumised ja kahjustamised võivad mõjutada ka selliseid kukrule tuginevaid isikuid, kes on registreeritud liidus, tuleb turvarikkumisi ja kahjustamisi puudutavat teavet jagada ka nendega.

(8)

Selleks et suurendada läbipaistvust ja usaldust digiidentiteedisüsteemi vastu, peaks turvarikkumiste või kahjustamiste ja nende tagajärgede kohta esitatav teave sisaldama vähemalt käesoleva määruse alusel nõutavat teavet. Kukrukasutajate ja kukrule tuginevate isikutega jagatavat teavet turvarikkumiste või kahjustamiste kohta tuleks siiski hoolikalt hinnata, et vältida ja minimeerida ohtu, et ründajad seda ära kasutavad.

(9)

Selleks et kasutajad pärast turvarikkumise või kahjustamise kõrvaldamist oma kukrukomplektidele uuesti juurde pääseksid, peab kukrulahendusi pakkunud liikmesriik nende kukrulahenduste pakkumise ja kasutamise ilma põhjendamatu viivituseta taastama. Seda saab teha kukrukomplektide taastamise, kukrulahenduste uue versiooni alusel pakutavate kukrukomplektide väljastamise või uute kehtivate kukrukomplekti tõendite väljastamise kaudu. Mõjutatud kukrukasutajatele, kukrule tuginevatele isikutele, määruse (EL) nr 910/2014 artikli 46c lõike 1 kohaselt määratud ühtsetele kontaktpunktidele ja komisjonile tuleb kasutuselt kõrvaldamisest teatada.

(10)

Selleks et kukrud kasutuselt kõrvaldada, kui turvarikkumist või kahjustamist ei ole kolme kuu jooksul pärast peatamist kõrvaldatud või kui kasutuselt kõrvaldamine on põhjendatud turvarikkumise või kahjustamise tõsidusega, peaks liikmesriik tagama, et vastavad kukrukomplektide tõendid tunnistatakse kehtetuks ja et kehtivat staatust ei saa ennistada ega väljastada või pakkuda olemasolevatele kukrukomplektidele. Lisaks ei tohiks mõjutatud kukrulahenduse raames pakkuda uusi kukrukomplekte. Läbipaistvuse huvides tuleb kasutajatele, tuginevatele isikutele, määruse (EL) nr 910/2014 artikli 46c lõike 1 kohaselt määratud ühtsetele kontaktpunktidele ja komisjonile kasutuselt kõrvaldamisest teatada. Seejuures tuleb kirjeldada võimalikku mõju kukrukasutajatele, sh väljastatud tõendite haldamisele, või kukrule tuginevatele isikutele.

(11)

Kolm kukrulahenduse pakkumise ja kasutamise peatamise järgset kuud, mille jooksul tuleb kõrvaldada peatamise tinginud turvarikkumine või kahjustamine, peaks olema tähtaeg, mille möödumisel tuleb kukrulahendus kasutuselt kõrvaldada, välja arvatud juhul, kui on rakendatud asjakohast parandusmeedet. Liikmesriigid võivad aga nõuda, et turvarikkumine või kahjustamine kõrvaldataks vähem kui kolmekuulise tähtaja jooksul, võttes eelkõige ja vajaduse korral arvesse kõnealuse turvarikkumise või kahjustamise ulatust, kestust ja tagajärgi. Kui turvarikkumist või kahjustamist ei kõrvaldata või kui seda ei saa kõrvaldada liikmesriigi määratud tähtaja jooksul, võib liikmesriik nõuda kukrulahenduse kasutuselt kõrvaldamist enne kolme kuu möödumist. Liikmesriigid peaksid kasutama seda ajavahemikku, mille jooksul kukrulahenduse pakkumise ja kasutamise peatamiseni viinud turvarikkumine või kahjustamine tuleb kõrvaldada, et valmistuda selle kukrulahenduse võimalikuks kasutuselt kõrvaldamiseks ja sellest tulenevate teadete saatmiseks.

(12)

Selleks et vähendada liikmesriikide halduskoormust seoses teabega, mis tuleb käesoleva määruse kohaselt esitada komisjonile ja teistele liikmesriikidele, peaksid liikmesriigid kasutama olemasolevaid teavitamisvahendeid, nagu küberintsidentidest teatamise ja nende analüüsi süsteem, mida haldab Euroopa Liidu Küberturvalisuse Amet (edaspidi „ENISA“). Mis puutub alternatiivsetesse kanalitesse või vahenditesse, mida kasutatakse turvarikkumisest või kahjustamisest mõjutatud kukrukasutajate ja kukrule tuginevate isikute teavitamiseks, peaksid liikmesriigid tagama asjakohase teabe esitamise selgel, arusaadaval ja kergesti kättesaadaval viisil. Kanalid sellise teabe esitamiseks mõjutatud kukrukasutajatele ja kukrule tuginevatele isikutele peaksid hõlmama asjakohaseid lahendusi veebipõhise ringhäälingu, veebisaitide ajakohastamise reaalajas jälgimise ja uudiste agregeerimise näol.

(13)

Vastavalt määruse (EL) 2018/1725 artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 31. jaanuaril 2025.

(14)

Käesoleva määrusega ette nähtud meetmed on kooskõlas määruse (EL) nr 910/2014 artikliga 48 loodud komitee arvamusega,

1)

„kukrulahendus“ – tarkvara, riistvara, teenuste, seadete ja konfiguratsioonide kombinatsioon, sealhulgas kukrueksemplar, üks või mitu kukru turvalist krüptorakendust ja üks või mitu kukru turvalist krüptoseadet;

2)

„kukrukasutaja“ – kasutaja, kelle kontrolli all kukrukomplekt on;

3)

„kukrule tuginev isik“ – tuginev isik, kes kavatseb tugineda kukrukomplektidele avalike või erateenuste osutamiseks digitaalse suhtluse kaudu;

4)

„kukrueksemplar“ – kukrukasutaja seadmesse või keskkonda paigaldatud ja seal konfigureeritud rakendus, mis on kukrukomplekti osa ja mida kukrukasutaja kasutab kukrukomplektiga toimuva interaktsiooni jaoks;

5)

„kukru turvaline krüptorakendus“ – rakendus, mis haldab kriitilise tähtsusega vara selle kaudu, et on lingitud kukru turvalise krüptoseadme pakutavate krüptofunktsioonide ja muude funktsioonidega ning kasutab neid;

6)

„kukru turvaline krüptoseade“ – muukimiskindel seade, mis pakub keskkonda, mis on lingitud kukru turvalise krüptorakendusega, mis seda seadet kasutab, et kaitsta kriitilise tähtsusega vara ja pakkuda krüptofunktsioone kriitilise tähtsusega toimingute turvaliseks teostamiseks;

7)

„kukruteenuse pakkuja“ – füüsiline või juriidiline isik, kes pakub kukrulahendusi;

8)

„kukrukomplekt“ – kukrulahenduse kordumatu konfiguratsioon, mis sisaldab kukrueksemplare, kukru turvalisi krüptorakendusi ja kukru turvalisi krüptoseadmeid ning mida kukruteenuse pakkuja pakub individuaalsele kukrukasutajale;

9)

„kriitilise tähtsusega vara“ – kukrukomplektis olev või kukrukomplektiga seotud vara, mis on nii oluline, et selle käideldavuse, konfidentsiaalsuse või tervikluse rikkumine avaldaks väga tõsist nõrgestavat mõju suutlikkusele tugineda sellele kukrukomplektile;

10)

„kukrukomplekti tõend“ – andmeobjekt, mis kirjeldab kukrukomplekti komponente või lubab nimetatud komponentide autentsust ja kehtivust kinnitada.

1)

taastavad asjaomase kukrulahenduse raames pakutavate kukrukomplektide pakkumise ja kasutamise, väljastades kõigile mõjutatud kasutajatele kukrukomplekti, mida pakutakse kukrulahenduse uue versiooni alusel;

2)

väljastavad uued kukrukomplekti tõendid uutele kukrukomplektidele või vajaduse korral varem väljastatud kukrukomplektidele, tingimusel et need vastavad pärast turvarikkumise või kahjustamise kõrvaldamist kehtivatele turvanõuetele;

3)

tunnistavad kehtetuks kõik artikli 4 kohaselt rakendatud meetmed, mis takistavad uute kukrukomplektide pakkumist mõjutatud kukrulahenduse raames, kui see meede oli seotud üksnes nüüdseks kõrvaldatud turvarikkumise või kahjustamisega.

1)

sellekohane teave esitatakse põhjendamatu viivituseta kõigile isikutele, kes on saanud teavet kõnealuse kukrulahenduse pakkumise ja kasutamise peatamise kohta vastavalt artikli 5 lõikele 1;

2)

punkti 1 kohaselt esitatud teave peab sisaldama vähemalt artikli 5 lõike 2 punktides a, b ja f–h osutatud elemente ning järgmist: