(1)

Asetuksella (EU) N:o 910/2014 perustettu eurooppalainen digitaalisen identiteetin kehys, jäljempänä ’kehys’, on keskeinen osa turvallisen ja yhteentoimivan digitaalisen identiteetin ekosysteemin luomista kaikkialla unionissa. Kehyksen kulmakivenä ovat eurooppalaiset digitaalisen identiteetin lompakot, jäljempänä ’lompakot’, ja sen tavoitteena on helpottaa palvelujen saatavuutta kaikissa jäsenvaltioissa ja varmistaa samalla henkilötietojen ja yksityisyyden suoja.

(2)

Tämän asetuksen mukaisiin henkilötietojen käsittelytoimiin sovelletaan Euroopan parlamentin ja neuvoston asetuksia (EU) 2016/679 (2) ja (EU) 2018/1725 (3), ja tarvittaessa Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (4). Tässä asetuksessa vahvistetut arviointia ja tietojen antamista koskevat säännöt eivät vaikuta velvollisuuteen ilmoittaa henkilötietojen tietoturvaloukkauksista toimivaltaiselle valvontaviranomaiselle tapauksen mukaan asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 nojalla eikä velvollisuuteen ilmoittaa henkilötietojen tietoturvaloukkauksista tarvittaessa rekisteröidyille mainittujen asetusten nojalla.

(3)

Komissio arvioi säännöllisesti uusia teknologioita, käytäntöjä, standardeja ja teknisiä eritelmiä. Jotta lompakoiden kehittämisessä ja sertifioinnissa voidaan varmistaa mahdollisimman suuri yhdenmukaistaminen jäsenvaltioiden kesken, tässä asetuksessa vahvistetut tekniset eritelmät perustuvat työhön, jota on tehty komission suosituksen (EU) 2021/946 (5) nojalla, ja erityisesti siihen kuuluvaan arkkitehtuuriin ja viitekehykseen. Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/1183 (6) johdanto-osan 75 kappaleen mukaan komission olisi tarkasteltava uudelleen ja tarvittaessa päivitettävä tätä asetusta sen pitämiseksi maailmanlaajuisen kehityksen ja arkkitehtuurin ja viitekehyksen mukaisena sekä sisämarkkinoiden parhaiden käytäntöjen noudattamiseksi.

(4)

Jos lompakkoratkaisuihin tai asetuksen (EU) N:o 910/2014 5 a artiklan 8 kohdassa tarkoitettuihin validointimekanismeihin tai sähköisen tunnistamisen järjestelmään, jonka puitteissa lompakkoratkaisuja tarjotaan, kohdistuu tietoturvaloukkaus tai niiden turvallisuus vaarantuu, tällaisiin tietoturvaloukkauksiin ja turvallisuuden vaarantumisiin olisi reagoitava nopealla, koordinoidulla ja turvatulla tavalla kaikissa jäsenvaltioissa käyttäjien suojelemiseksi ja luottamuksen säilyttämiseksi digitaalisen identiteetin ekosysteemiin. Tämä ei rajoita Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (7), Euroopan parlamentin ja neuvoston asetusten (EU) 2019/881 (8) ja (EU) 2024/2847 (9) soveltamista, etenkään siltä osin kun on kyse poikkeamien tai haavoittuvuuksien käsittelystä ja niiden huomioon ottamisesta tietoturvaloukkauksina. Sen vuoksi jäsenvaltioiden olisi varmistettava, että lompakoiden, joihin kohdistuu tietoturvaloukkaus tai joiden turvallisuus on vaarantunut, tarjoaminen ja käyttö keskeytetään viipymättä tai ne poistetaan tarvittaessa käytöstä.

(5)

Sen varmistamiseksi, että tietoturvaloukkaukseen tai turvallisuuden vaarantumiseen reagoidaan asianmukaisesti, jäsenvaltioiden olisi arvioitava, vaikuttaako lompakkoratkaisun, asetuksen (EU) N:o 910/2014 5 a artiklan 8 kohdassa tarkoitettujen validointimekanismien tai sähköisen tunnistamisen järjestelmän, jonka puitteissa lompakkoratkaisua tarjotaan, tietoturvaloukkaus tai turvallisuuden vaarantuminen kyseisen lompakkoratkaisun tai muiden lompakkoratkaisujen luotettavuuteen. Tällaisen arvioinnin olisi perustuttava yhdenmukaisiin kriteereihin, kuten niiden lompakon käyttäjien, luonnollisten henkilöiden ja lompakkoon luottavien osapuolten määrään ja luokkaan, joihin vaikutus kohdistuu, niiden tietojen luonteeseen, joihin vaikutus kohdistuu, turvallisuuden vaarantumisen tai tietoturvaloukkauksen kestoon, palvelun rajalliseen saatavuuteen ja taloudellisiin menetyksiin sekä henkilötietojen mahdolliseen vaarantumiseen. Näiden kriteerien olisi jätettävä jäsenvaltioille joustovaraa ja harkintavaltaa, jotta ne voivat määrittää oikeasuhteisella tavalla, onko lompakkoratkaisun luotettavuus vaarantunut ja onko tarkoituksenmukaista keskeyttää lompakkoratkaisun käyttö tai poistaa se käytöstä, jos se on tietoturvaloukkauksen tai turvallisuuden vaarantumisen vakavuuden vuoksi perusteltua. Näiden kriteerien ei pitäisi automaattisesti johtaa lompakkoratkaisun käytöstä poistamiseen tai sen tarjonnan ja käytön keskeyttämiseen, vaan jäsenvaltioiden olisi punnittava kriteerejä huolellisesti päättäessään, onko aiheellista poistaa lompakkoratkaisu käytöstä tai keskeyttää sen tarjonta ja käyttö.

(6)

Lompakkoratkaisujen käytön keskeyttämisestä aiheutuvien vaikutusten ja hankaluuksien vuoksi jäsenvaltioiden olisi arvioitava, ovatko lompakkoyksikkötodistusten peruuttaminen tai jotkin muut lisätoimenpiteet tarpeen, jotta tietoturvaloukkaukseen tai turvallisuuden vaarantumiseen voidaan reagoida riittävällä tavalla.

(7)

Jotta lompakon käyttäjät olisivat tietoisia lompakoidensa tilasta, heille olisi annettava riittävästi tietoa heidän lompakkoihinsa vaikuttavista tietoturvaloukkauksista tai turvallisuuden vaarantumisista. Koska tietoturvaloukkaukset ja turvallisuuden vaarantumiset voivat vaikuttaa myös unionissa rekisteröityihin lompakkoon luottaviin osapuoliin, myös niille olisi jaettava asiaankuuluvat tiedot tietoturvaloukkauksista ja turvallisuuden vaarantumisista.

(8)

Avoimuuden parantamiseksi ja luottamuksen lisäämiseksi digitaalisen identiteetin ekosysteemiin tietoturvaloukkauksista tai turvallisuuden vaarantumisista ja niiden seurauksista annettaviin tietoihin olisi sisällyttävä ainakin tämän asetuksen nojalla vaaditut tiedot. Lompakon käyttäjille ja lompakkoon luottaville osapuolille tietoturvaloukkauksista tai turvallisuuden vaarantumisista jaettuja tietoja olisi kuitenkin arvioitava huolellisesti, jotta ehkäistään ja minimoidaan riski siitä, että hyökkääjät hyödyntävät niitä.

(9)

Jotta käyttäjät voisivat käyttää lompakkoyksikköjään uudelleen sen jälkeen, kun tietoturvaloukkaus tai turvallisuuden vaarantuminen on korjattu, lompakkoratkaisuja tarjonneen jäsenvaltion olisi aloitettava uudelleen kyseisten lompakkoratkaisujen tarjoaminen ja käyttö ilman aiheetonta viivytystä. Tämä voidaan tehdä ottamalla lompakkoyksiköt uudelleen käyttöön, myöntämällä lompakkoyksikköjä lompakkoratkaisun uuden version mukaisesti tai antamalla uusia voimassa olevia lompakkoyksikkötodistuksia. Asiasta olisi ilmoitettava vaikutuksen kohteena oleville lompakon käyttäjille, lompakkoon luottaville osapuolille, asetuksen (EU) N:o 910/2014 46 c artiklan 1 kohdan mukaisesti nimetyille keskitetyille yhteyspisteille ja komissiolle.

(10)

Jotta voidaan varmistaa lompakoiden poistaminen käytöstä, jos tietoturvaloukkausta tai turvallisuuden vaarantumista ei ole korjattu kolmen kuukauden kuluessa käytön keskeyttämisestä tai jos tämä on perusteltua tietoturvaloukkauksen tai turvallisuuden vaarantumisen vakavuuden vuoksi, jäsenvaltion olisi varmistettava, että asiaankuuluvat lompakkoyksikkötodistukset peruutetaan ja että niitä ei voida palauttaa voimassa olevaan tilaan eikä niitä voida myöntää tai tarjota olemassa oleville lompakkoyksiköille. Kyseisen lompakkoratkaisun puitteissa ei myöskään pitäisi tarjota uusia lompakkoyksiköitä. Avoimuuden vuoksi käytöstä poistamisesta olisi ilmoitettava käyttäjille, lompakkoon luottaville osapuolille, asetuksen (EU) N:o 910/2014 46 c artiklan 1 kohdan mukaisesti nimetyille keskitetyille yhteyspisteille ja komissiolle. Ilmoitukseen olisi sisällyttävä kuvaus mahdollisista vaikutuksista lompakon käyttäjiin ja erityisesti myönnettyjen todistusten hallinnointiin tai lompakkoon luottaviin osapuoliin.

(11)

Lompakkoratkaisun tarjonnan ja käytön keskeyttämistä seuraavan kolmen kuukauden ajanjakson, jonka aikana keskeyttämiseen johtanut tietoturvaloukkaus tai turvallisuuden vaarantuminen on korjattava, olisi muodostettava määräaika, jonka jälkeen lompakkoratkaisu olisi poistettava käytöstä, ellei asianmukaista korjaustoimenpidettä ole toteutettu. Jäsenvaltiot voivat kuitenkin vapaasti vaatia, että tietoturvaloukkaus tai turvallisuuden vaarantuminen korjataan kolmea kuukautta lyhyemmässä määräajassa, ottaen erityisesti ja tarvittaessa huomioon kyseisen tietoturvaloukkauksen tai turvallisuuden vaarantumisen laajuus, kesto ja seuraukset. Jos tietoturvaloukkausta tai turvallisuuden vaarantumista ei korjata tai ei voida korjata jäsenvaltion asettamassa määräajassa, jäsenvaltio voi vaatia, että lompakkoratkaisu poistetaan käytöstä ennen kolmen kuukauden määräajan päättymistä. Jäsenvaltioiden olisi käytettävä tätä ajanjaksoa, jonka aikana tietoturvaloukkaus tai turvallisuuden vaarantuminen, joka johti lompakkoratkaisun tarjonnan ja käytön keskeyttämiseen, on korjattava, kyseisen lompakkoratkaisun mahdollisen käytöstä poistamisen ja siitä johtuvaa viestinnän valmisteluun.

(12)

Jotta voidaan vähentää hallinnollista taakkaa, joka jäsenvaltioille aiheutuu tämän asetuksen mukaisesti komissiolle ja muille jäsenvaltioille annettavista tiedoista, jäsenvaltioiden olisi käytettävä olemassa olevia ilmoitusvälineitä, kuten Euroopan unionin kyberturvallisuusviraston (ENISA) ylläpitämää kyberpoikkeamien raportointi- ja analysointijärjestelmää (CIRAS). Lompakon käyttäjille, joihin tietoturvaloukkaus tai turvallisuuden vaarantuminen vaikuttaa, ja lompakkoon luottaville osapuolille tiedottamiseen käytettävien vaihtoehtoisten kanavien tai keinojen osalta jäsenvaltioiden olisi varmistettava, että asiaankuuluvat tiedot annetaan selkeällä, kattavalla ja helposti saatavilla olevalla tavalla. Kanaviin, joilla tällaisia tietoja annetaan asianomaisille lompakon käyttäjille ja lompakkoon luottaville osapuolille, olisi sisällyttävä asianmukaisia ratkaisuja verkkosivustopohjaista tiedottamista, verkkosivustojen päivitysten reaaliaikaista seurantaa ja uutiskoostepalveluja varten.

(13)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti, ja hän antoi lausuntonsa 31 päivänä tammikuuta 2025.

(14)

Tässä asetuksessa säädetyt toimenpiteet ovat asetuksen (EU) N:o 910/2014 48 artiklalla perustetun komitean lausunnon mukaiset,

1)

’lompakkoratkaisulla’ ohjelmistojen, laitteiden, palvelujen, asetusten ja konfiguraatioiden yhdistelmää, mukaan lukien lompakon ilmentymät, yksi tai useampi lompakon suojattu salaussovellus ja yksi tai useampi lompakon suojattu salauslaite;

2)

’lompakon käyttäjällä’ käyttäjää, jonka hallinnassa lompakkoyksikkö on;

3)

’lompakkoon luottavalla osapuolella’ luottavaa osapuolta, joka aikoo luottaa lompakkoyksikköihin julkisten tai yksityisten palvelujen tarjoamiseksi digitaalisen vuorovaikutuksen avulla;

4)

’lompakon ilmentymällä’ sovellusta, joka on asennettu ja konfiguroitu lompakon käyttäjän laitteeseen tai ympäristöön ja on osa lompakkoyksikköä ja jota lompakon käyttäjä käyttää ollakseen vuorovaikutuksessa lompakkoyksikön kanssa;

5)

’lompakon suojatulla salaussovelluksella’ sovellusta, joka hallitsee kriittisiä resursseja linkittymällä lompakon suojatun salauslaitteen tarjoamiin salausteknisiin ja muihin toimintoihin ja käyttämällä näitä toimintoja;

6)

’lompakon suojatulla salauslaitteella’ väärinkäytöltä suojattua laitetta, joka tarjoaa lompakon suojattuun salaussovellukseen liitetyn ja sen käyttämän ympäristön kriittisten resurssien suojaamiseksi ja salaustoimintojen tarjoamiseksi kriittisten toimintojen turvallista suorittamista varten;

7)

’lompakon tarjoajalla’ lompakkoratkaisuja tarjoavaa luonnollista henkilöä tai oikeushenkilöä;

8)

’lompakkoyksiköllä’ lompakkoratkaisun ainutlaatuista konfiguraatiota, johon kuuluvat lompakon ilmentymät, lompakon suojatut salaussovellukset ja lompakon suojatut salauslaitteet ja jonka lompakon tarjoaja tarjoaa yksittäiselle lompakon käyttäjälle;

9)

’kriittisillä resursseilla’ lompakkoyksikössä olevia tai siihen liittyviä resursseja, jotka ovat niin merkittäviä, että niiden saatavuuden, luottamuksellisuuden tai eheyden vaarantuminen erittäin vakavasti heikentäisi kykyä luottaa lompakkoyksikköön;

10)

’lompakkoyksikkötodistuksella’ dataobjektia, jossa kuvataan lompakkoyksikön komponentit tai joka mahdollistaa näiden komponenttien todentamisen ja validoinnin.

1)

aloitettava uudelleen kyseisen lompakkoratkaisun puitteissa tarjottujen lompakkoyksiköiden tarjoaminen ja käyttö myöntämällä lompakkoratkaisun uuden version puitteissa tarjottu lompakkoyksikkö kaikille käyttäjille, joita asia koskee;

2)

myönnettävä uusia lompakkoyksikkötodistuksia uusille lompakkoyksiköille tai tapauksen mukaan aiemmin myönnetyille lompakkoyksiköille edellyttäen, että kyseiset lompakkoyksiköt täyttävät tietoturvavaatimukset, jotka ovat voimassa sen jälkeen, kun tietoturvaloukkaus tai turvallisuuden vaarantuminen on korjattu;

3)

kumottava kaikki 4 artiklan nojalla toteutetut toimenpiteet, jotka estävät uusien lompakkoyksikköjen tarjoamisen asianomaisen lompakkoratkaisun puitteissa, jos kyseinen toimenpide liittyi yksinomaan nyt korjattuun tietoturvaloukkaukseen tai turvallisuuden vaarantumiseen.

1)

tieto tästä annetaan ilman aiheetonta viivytystä kaikille osapuolille, jotka ovat saaneet tiedon kyseisen lompakkoratkaisun tarjoamisen ja käytön keskeyttämisestä 5 artiklan 1 mukaisesti.

2)

Tämän artiklan 1 kohdan mukaisesti annettujen tietojen on sisällettävä vähintään 5 artiklan 2 kohdan a, b ja f–h alakohdassa tarkoitetut tiedot sekä seuraavat tiedot: