(1)

Europski okvir za digitalni identitet („okvir”) utvrđen Uredbom (EU) br. 910/2014 bitan je element za uspostavu sigurnog i interoperabilnog ekosustava digitalnog identiteta u cijeloj Uniji. Temelj okvira su europske lisnice za digitalni identitet („lisnice”), a cilj mu je olakšati pristup uslugama u svim državama članicama i zajamčiti zaštitu osobnih podataka i privatnosti.

(2)

Na aktivnosti obrade osobnih podataka na temelju ove Uredbe primjenjuju se uredbe (EU) 2016/679 (2) i (EU) 2018/1725 (3) Europskog parlamenta i Vijeća i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (4). Pravilima o procjeni i pružanju informacija utvrđenima ovom Uredbom ne dovodi se u pitanje obveza izvješćivanja nadležnog nadzornog tijela o povredama osobnih podataka ako je to primjenjivo na temelju Uredbe (EU) 2016/679 ili Uredbe (EU) 2018/1725 ni obveza obavješćivanja ispitanika o povredama osobnih podataka ako je to primjenjivo na temelju tih uredbi.

(3)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme i tehničke specifikacije. Kako bi države članice u najvećoj mogućoj mjeri usklađeno razvijale i certificirale lisnice, tehničke specifikacije utvrđene u ovoj Uredbi temelje se na Preporuci Komisije (EU) 2021/946 (5), osobito na njezinu arhitekturnom i referentnom okviru. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (6) Komisija bi ovu Provedbenu uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, arhitekturnim i referentnim okvirom te provjerenim praksama na unutarnjem tržištu.

(4)

U slučaju povrede ili ugroženosti sigurnosti izvedbe lisnice ili mehanizama za validaciju iz članka 5.a stavka 8. Uredbe (EU) br. 910/2014 ili sustava elektroničke identifikacije u okviru kojeg se izvedbe lisnice stavljaju na raspolaganje, reakcije na takve povrede i ugroženost sigurnosti moraju u svim državama članicama uslijediti brzo, koordinirano i sigurno kako bi se zaštitili korisnici i održalo povjerenje u ekosustav digitalnog identiteta. Time se ne dovode u pitanje Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća (7), i uredbe (EU) 2019/881 (8) (EU) 2024/2847 (9) Europskog parlamenta i Vijeća, prije svega kad je riječ o postupanju s incidentima ili ranjivostima i njihovu svrstavanju među povrede sigurnosti. Države članice stoga bi se trebale pobrinuti da se stavljanje na raspolaganje i korištenje lisnica čija je sigurnost povrijeđena ili ugrožena pravodobno suspendiraju ili da se one prema potrebi povuku.

(5)

Kako bi reakcije na povredu ili ugroženost sigurnosti bile primjerene, države članice trebale bi procijeniti utječe li povreda ili ugroženost sigurnosti izvedbe lisnice, mehanizama validacije iz članka 5.a stavka 8. Uredbe (EU) br. 910/2014 ili sustava elektroničke identifikacije u okviru kojeg se izvedba lisnice stavlja na raspolaganje na pouzdanost te ili drugih izvedbi lisnice. Ta bi se procjena trebala temeljiti na jedinstvenim kriterijima kao što su broj i kategorija pogođenih korisnika lisnice, fizičkih osoba i pouzdajućih strana lisnice, priroda zahvaćenih podataka, trajanje ugroženosti ili povrede sigurnosti, ograničena dostupnost usluge i financijski gubici te moguća ugroženost osobnih podataka. Ti bi kriteriji državama članicama trebali omogućiti fleksibilnost i diskrecijsko pravo da na razmjeran način utvrde je li narušena pouzdanost izvedbe lisnice te je li izvedbu lisnice primjereno suspendirati ili, ako je to opravdano zbog ozbiljnosti povrede ili ugroženosti, povući. Na temelju tih kriterija ne bi trebalo uslijediti automatsko povlačenje izvedbe lisnice niti automatsko suspendiranje njezina stavljanja na raspolaganje ili korištenja, nego bi ih države članice trebale na odgovarajući način razmotriti kad odlučuju o potrebi povlačenja izvedbe lisnice ili suspendiranja njezina stavljanja na raspolaganje ili korištenja.

(6)

Zbog posljedica i neugodnosti koje uzrokuje suspenzija korištenja izvedbi lisnice države članice morat će ocijeniti je li za odgovarajuću reakciju na povredu ili ugroženost sigurnosti potrebno opozvati potvrde jedinice lisnice ili poduzeti neke druge dodatne mjere.

(7)

Kako bi korisnici bili upoznati sa statusom svojih lisnica, trebaju dobivati odgovarajuće informacije o povredama ili ugroženosti sigurnosti koje utječu na njihove lisnice. Budući da povrede i ugroženost sigurnosti mogu utjecati i na pouzdajuće strane lisnice registrirane u Uniji, relevantne informacije o povredama i ugroženosti sigurnosti treba prosljeđivati i njima.

(8)

Radi veće transparentnosti i izgradnje povjerenja u ekosustav digitalnog identiteta, informacije o povredama ili ugroženosti sigurnosti i o njihovim posljedicama trebale bi sadržavati barem informacije koje se zahtijevaju na temelju ove Uredbe. Međutim, informacije o povredama ili ugroženosti sigurnosti koje se dijele s korisnicima lisnice i pouzdajućim stranama lisnice trebalo bi pažljivo procijeniti kako bi se spriječilo njihovo iskorištavanje i kako bi se rizik da ih iskoriste napadači sveo na minimum.

(9)

Kako bi korisnici nakon otklanjanja povrede ili ugroženosti sigurnosti mogli ponovno pristupiti svojim jedinicama lisnice, država članica koja je te izvedbe lisnice stavila na raspolaganje morat će bez nepotrebne odgode ponovno uspostaviti njihovo stavljanje na raspolaganje i korištenje. To se može učiniti ponovnom uspostavom jedinica lisnice, izdavanjem jedinica lisnice koje se stavljaju na raspolaganje u okviru nove verzije izvedbi lisnice ili ponovnim izdavanjem novih valjanih potvrda jedinice lisnice. O tome treba obavijestiti pogođene korisnike lisnice, pouzdajuće strane lisnice, jedinstvene kontaktne točke imenovane u skladu s člankom 46.c stavkom 1. Uredbe (EU) br. 910/2014 i Komisiju.

(10)

Kako bi se zajamčilo da će lisnice biti povučene ako se povreda ili ugroženost sigurnosti ne otkloni u roku od tri mjeseca od suspenzije ili ako je to opravdano zbog ozbiljnosti povrede ili ugroženosti sigurnosti, država članica trebala bi se pobrinuti za to da se relevantne potvrde jedinice lisnice opozovu te da ih nije moguće vratiti u valjano stanje niti izdati ili dati postojećim jedinicama lisnice. Nadalje, u okviru zahvaćene izvedbe lisnice ne bi se smjele stavljati na raspolaganje nove jedinice lisnice. Radi transparentnosti, o povlačenju treba obavijestiti korisnike, pouzdajuće strane lisnice, jedinstvene kontaktne točke imenovane u skladu s člankom 46.c stavkom 1. Uredbe (EU) br. 910/2014 i Komisiju. Obavijest uključuje opis mogućih posljedica za korisnike lisnice, prvenstveno kad je riječ o upravljanju izdanim potvrdama, ili za pouzdajuće strane lisnice.

(11)

Rok od tri mjeseca nakon suspenzije stavljanja na raspolaganje i korištenja izvedbe lisnice u kojem treba otkloniti povredu ili ugroženosti sigurnosti zbog koje je suspenzija uvedena trebao bi ujedno biti rok nakon kojeg tu izvedbu lisnice treba povući ako nije primijenjena odgovarajuća korektivna mjera. Države članice su, međutim, slobodne zahtijevati da se povreda ili ugroženost sigurnosti otkloni u roku kraćem od tri mjeseca, osobito ako je to potrebno zbog opsega, trajanja i posljedica te povrede ili ugroženosti sigurnosti. Ako se povreda ili ugroženost sigurnosti ne otkloni ili se ne može otkloniti u roku koji odredi država članica, ona može zahtijevati da se ta izvedba lisnice povuče prije isteka razdoblja od tri mjeseca. Razdoblje u kojem se mora otkloniti povreda ili ugroženost sigurnosti zbog koje su suspendirani stavljanje na raspolaganje i korištenje izvedbe lisnice države članice trebale bi iskoristiti za pripremu potencijalnog povlačenja te izvedbe lisnice i s njime povezanih obavijesti.

(12)

Kako bi ih dostavljanje informacija Komisiji i drugim državama članicama u skladu s ovom Uredbom što manje administrativno opteretilo, države članice trebale bi koristiti postojeće alate za obavješćivanje kao što je sustav za izvješćivanje i analizu kibernetičkih incidenta („CIRAS”), kojim upravlja Agencija Europske unije za kibersigurnost („ENISA”). Ako korisnike lisnice pogođene povredom ili ugroženošću sigurnosti i pouzdajuće strane lisnice informiraju alternativnim kanalima ili sredstvima, države članice trebale bi voditi računa o tome da relevantne informacije budu jasne, cjelovite i lako dostupne. Kanali za davanje takvih informacija pogođenim korisnicima lisnice i pouzdajućim stranama lisnice trebali bi raspolagati odgovarajućim rješenjima za emitiranje na internetskim stranicama, praćenje ažuriranja internetskih stranica u stvarnom vremenu i objedinjavanje vijesti.

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 te je on dao mišljenje 31. siječnja 2025.

(14)

Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora osnovanog člankom 48. Uredbe (EU) br. 910/2014,

1.

„izvedba lisnice” znači kombinacija softvera, hardvera, usluga, postavki i konfiguracija, uključujući instance lisnice, najmanje jednu sigurnu kriptografsku aplikaciju lisnice i najmanje jedan sigurni kriptografski uređaj lisnice;

2.

„korisnik lisnice” znači korisnik koji ima kontrolu nad jedinicom lisnice;

3.

„pouzdajuća strana lisnice” znači pouzdajuća strana koja se namjerava pouzdati u jedinice lisnice radi pružanja javnih ili privatnih usluga putem digitalne interakcije;

4.

„instanca lisnice” znači aplikacija koja je instalirana i konfigurirana na uređaju ili u okruženju korisnika lisnice, dio je jedinice lisnice i korisniku lisnice služi za interakciju s jedinicom lisnice;

5.

„sigurna kriptografska aplikacija lisnice” znači aplikacija za upravljanje ključnim resursima povezana sa sigurnim kriptografskim uređajem lisnice čije kriptografske i nekriptografske funkcije koristi;

6.

„sigurni kriptografski uređaj lisnice” znači uređaj zaštićen od neovlaštenih radnji koji osigurava okruženje povezano sa sigurnom kriptografskom aplikacijom lisnice koje ona koristi za zaštitu ključnih resursa i u kojem se za nju izvršavaju kriptografske funkcije za sigurno izvođenje ključnih operacija;

7.

„pružatelj lisnice” znači fizička ili pravna osoba koja stavlja na raspolaganje izvedbe lisnice;

8.

„jedinica lisnice” znači jedinstvena konfiguracija izvedbe lisnice, koja obuhvaća instance lisnice, sigurne kriptografske aplikacije lisnice i sigurne kriptografske uređaje lisnice i koju pružatelj lisnice daje pojedinačnom korisniku lisnice;

9.

„ključni resursi” znači resursi unutar lisnice ili povezani s njom koji su toliko izvanredno važni da bi zbog ugrožavanja njihove dostupnosti, povjerljivosti ili cjelovitosti mogućnost pouzdavanja u jedinicu lisnice bila ozbiljno narušena;

10.

„potvrda jedinice lisnice” znači podatkovni objekt koji opisuje komponente jedinice lisnice ili omogućuje njihovu autentifikaciju i validaciju.

1.

ponovno uspostavljaju stavljanje na raspolaganje i korištenje jedinica lisnice koje se stavljaju na raspolaganje u okviru te izvedbe lisnice, i to tako što svim pogođenim korisnicima izdaju jedinicu lisnice u okviru nove verzije izvedbe lisnice;

2.

novim jedinicama lisnice ili, prema potrebi, prethodno izdanim jedinicama lisnice izdaju nove potvrde jedinice lisnice pod uvjetom da te jedinice lisnice ispunjavaju sigurnosne zahtjeve koji vrijede nakon otklanjanja povrede ili ugroženosti sigurnosti;

3.

stavljaju izvan snage sve mjere poduzete u skladu s člankom 4. koje sprečavaju stavljanje na raspolaganje novih jedinica lisnice u okviru zahvaćene izvedbe lisnice, ako su se te mjere odnosile isključivo na sad već otklonjenu povredu ili ugroženost sigurnosti.

1.

da se informacije o toj činjenici bez nepotrebne odgode pošalju svim stranama koje su u skladu s člankom 5. stavkom 1. primile informacije o suspenziji stavljanja na raspolaganje i korištenja te izvedbe lisnice;

2.

da informacije koje se dostavljaju na temelju točke 1. sadržavaju barem elemente iz članka 5. stavka 2. točaka (a) i (b) te od (f) do (h), kao i sljedeće: