Turvallisemmat transaktiot internetissä

TÄRKEIMMÄT KOHDAT

Eurooppalaiset digitaalisen identiteetin lompakot

• Jäsenvaltioiden on otettava käyttöön eurooppalaiset digitaaliset identiteetin lompakot viimeistään joulukuussa 2026. Lompakkojen avulla käyttäjät voivat tunnistautua turvallisesti tai vahvistaa tiettyjä henkilötietoja julkisten ja yksityisten palvelujen käyttämiseksi verkossa ja sen ulkopuolella sekä tallentaa, esittää ja jakaa digitaalisia asiakirjoja kaikkialla EU:ssa.
• Jäsenvaltioiden nimeämien vaatimustenmukaisuuden arviointilaitosten on sertifioitava eurooppalaisten digitaalisen identiteetin lompakkojen sekä niiden tarjoamisen perustana olevan sähköisen tunnistamisen järjestelmän vaatimustenmukaisuus.

Sähköinen tunnistaminen

• Yhdessä jäsenvaltiossa myönnetty sähköinen tunnistaminen on tunnustettava kaikissa muissa jäsenvaltioissa. Tätä sovelletaan ainoastaan, jos sähköinen tunnistaminen täyttää asetuksen vaatimukset ja jos siitä on ilmoitettu komissiolle ja se on julkaistu luettelossa. Sähköisen tunnistamisen vastavuoroinen tunnustaminen on ollut pakollista 28. syyskuuta 2018 alkaen, ja se helpottaa turvallisia sähköisiä transaktioita EU:ssa.
• Sähköisen tunnistamisen järjestelmässä on määriteltävä kolme varmuustasoa (matala, korotettu, korkea) kyseisen järjestelmän puitteissa myönnetylle sähköisen tunnistamisen menetelmälle. Vastavuoroinen tunnustaminen on pakollista vain kun toimivaltainen julkisen sektorin elin käyttää ”korotettua” tai ”korkeaa” tasoa palvelun käyttämiseen verkossa.
  • Ilmoittaessaan komissiolle sähköisen tunnistamisen järjestelmistä jäsenvaltioiden on annettava muun muassa seuraavat tiedot:
  • varmuustasot ja järjestelmän mukaisten sähköisen tunnistamisen myöntäjä
  • sovellettava valvontajärjestelmä ja vastuuta koskeva järjestelmä ja
  • yksilöivien henkilötietojen rekisteröinnistä vastaava elin.

Luottamuspalvelut

Eurooppalaista sähköistä identiteettiä koskevassa asetuksessa määritellään luottamuspalvelut palveluiksi, joita yleensä tarjotaan vastiketta vastaan ja jotka koostuvat

• sähköisten allekirjoitusten varmenteiden, sähköisten leimojen varmenteiden, verkkosivustojen todentamisen varmenteiden tai muiden luottamuspalvelujen tarjoamista koskevien varmenteiden myöntämisestä,
• sähköisten allekirjoitusten varmenteiden, sähköisten leimojen varmenteiden, verkkosivustojen todentamisen varmenteiden tai muiden luottamuspalvelujen tarjoamista koskevien varmenteiden validoinnista,
• sähköisten allekirjoitusten tai sähköisten leimojen luomisesta,
• sähköisten allekirjoitusten tai sähköisten leimojen validoinnista,
• sähköisten allekirjoitusten, sähköisten leimojen, sähköisten allekirjoitusten varmenteiden tai sähköisten leimojen varmenteiden säilyttämisestä,
• sähköisen allekirjoituksen etäluontivälineiden tai sähköisen leiman etäluontivälineiden hallinnoinnista,
• sähköisten attribuuttitodistusten myöntämisestä,
• sähköisten attribuuttitodistusten validoinnista,
• sähköisten aikaleimojen luomisesta,
• sähköisten aikaleimojen validoinnista,
• sähköisten rekisteröityjen jakelupalvelujen tarjoamisesta,
• sähköisten rekisteröityjen jakelupalvelujen kautta toimitettujen tietojen ja niihin liittyvien todisteiden validoinnista,
• sähköisten tietojen ja sähköisten asiakirjojen sähköisestä arkistoinnista,
• sähköisten tietojen tallentamisesta sähköiseen tilikirjaan.

EU:ssa sijaitsevia luottamuspalvelun tarjoajia pidetään ”hyväksyttyinä”, kun ne täyttävät eurooppalaista digitaalista identiteettiä koskevassa asetuksessa säädetyt sovellettavat vaatimukset. Ne saavat laillisesti tarjota hyväksyttyjä luottamuspalveluja (esim. hyväksyttyjä sähköisiä allekirjoituksia, leimoja tai todistuksia) kaikissa jäsenvaltioissa.

Kansainvälisten näkökohtien osalta kolmanteen maahan sijoittautuneiden luottamuspalvelun tarjoajien tarjoamat luottamuspalvelut tunnustetaan oikeusvaikutuksiltaan vastaaviksi kuin EU:hun sijoittautuneiden hyväksyttyjen luottamuspalvelun tarjoajien tarjoamat hyväksytyt luottamuspalvelut täytäntöönpanosäädösten tai EU:n ja kolmannen maan tai kansainvälisen järjestön välillä tehdyn sopimuksen mukaisesti.

Valvonta

• Jäsenvaltioiden on valittava yksi tai useampi valvontaelin vastaamaan eurooppalaisten digitaalisen identiteetin lompakkojen valvontatoimista ja tämän asetuksen mukaisista luottamuspalveluista. Näiden elinten on tehtävä tarvittaessa yhteistyötä tietosuojaviranomaisten ja kyberturvallisuudesta vastaavien viranomaisten kanssa.
• Kaikkia luottamuspalvelun tarjoajia koskevat valvonta sekä riskinhallinta ja velvollisuus ilmoittaa tietoturvaloukkauksesta.
• EU:ssa sijaitseviin hyväksyttyihin tarjoajiin sovelletaan tiukkaa valvontaa. Tähän sisältyy valvontaelinten suorittama ennakkovarmistaminen ja vähintään kerran kahdessa vuodessa suoritettavat tarkastukset, joissa vaatimustenmukaisuuden arviointilaitos arvioi, täyttääkö tarjoaja asetuksen vaatimukset.
• Ei-hyväksyttyihin luottamuspalvelun tarjoajiin sovelletaan kevyttä valvontaa: valvontaelin ryhtyy toimenpiteisiin vain, jos se saa ilmoituksen siitä, että ei-hyväksytyt luottamuspalvelun tarjoajat tai niiden tarjoamat luottamuspalvelut eivät väitteen mukaan täytä tässä asetuksessa säädettyjä vaatimuksia.

Hallinnointi

Eurooppalainen digitaalisen identiteetin yhteistyöryhmä, jäljempänä ”yhteistyöryhmä”, perustetaan luottamuspalveluja, eurooppalaisia digitaalisen identiteetin lompakoita ja ilmoitettuja sähköisen tunnistamisen järjestelmiä koskevan jäsenvaltioiden rajatylittävän yhteistyön ja tietojenvaihdon tukemiseksi ja helpottamiseksi.

Täytäntöönpanosäädökset

Jotta eurooppalaista digitaalista identiteettiä koskeva asetus pannaan yhdenmukaisesti ja asianmukaisesti täytäntöön kaikkialla EU:ssa, komissio on hyväksynyt täytäntöönpanosäädöksiä, joilla vahvistetaan yksityiskohtaiset tekniset, menettelylliset ja organisatoriset säännöt.

Nämä täytäntöönpanosäädökset täydentävät yhdessä asetusta ja konkretisoivat sen soveltamista useilla eri aloilla. Niissä täsmennetään muun muassa yhteentoimivuusvaatimukset, turvallisuus- ja sertifiointistandardit, ilmoitus- ja tietojenvaihtomenettelyt, luotettujen luetteloiden muodot, tietoturvaloukkauksiin reagoiminen, hallinto- ja valvontajärjestelyt sekä sähköisen tunnistamisen järjestelmiä, luottamuspalveluja ja eurooppalaisia digitaalisen identiteetin lompakkoja koskevat operatiiviset järjestelyt.

Täytäntöönpanosäädökset kattavat monenlaisia teknisiä ja toimintaa koskevia näkökohtia, eivätkä ne rajoitu edellä lueteltuihin aloihin. Niitä päivitetään säännöllisesti teknologisen kehityksen, uusien turvallisuusriskien ja muuttuvien standardien mukaisesti, niissä katetaan komission ja jäsenvaltioiden yhdessä kehittämä arkkitehtuuri- ja viitekehys (ARF), ja niitä sovelletaan suoraan kaikissa jäsenvaltioissa.