(1)

Eiropas digitālās identitātes satvars (“satvars”), kas noteikts Regulā (ES) Nr. 910/2014, ir būtisks drošas un sadarbspējīgas visas Savienības digitālās identitātes ekosistēmas izveides elements. Eiropas digitālās identitātes maki (“maki”) ir satvara stūrakmens, kura mērķis ir atvieglot piekļuvi pakalpojumiem visās dalībvalstīs, vienlaikus nodrošinot personas datu un privātuma aizsardzību.

(2)

Visām šajā regulā paredzētajām personas datu apstrādes darbībām piemēro Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2), (ES) 2018/1725 (3) un – attiecīgā gadījumā – Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (4). Šīs regulas noteikumi par informācijas novērtēšanu un sniegšanu neskar pienākumu attiecīgā gadījumā saskaņā ar Regulu (ES) 2016/679 vai Regulu (ES) 2018/1725 paziņot kompetentajai uzraudzības iestādei par personas datu aizsardzības pārkāpumiem un attiecīgā gadījumā pienākumu paziņot datu subjektiem par personas datu aizsardzības pārkāpumiem saskaņā ar šīm regulām.

(3)

Komisija regulāri novērtē jaunas tehnoloģijas, praksi, standartus un tehniskas specifikācijas. Lai panāktu pašu augstāko saskaņotību starp dalībvalstīm attiecībā uz maku izstrādi un sertifikāciju, šajā regulā izklāstīto tehnisko specifikāciju pamats ir darbs, kas veikts atbilstoši Komisijas Ieteikumam (ES) 2021/946 (5), it īpaši tajā ietilpstošajai arhitektūrai un atsauces sistēmai. Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2024/1183 (6) 75. apsvērumu Komisijai šī regula būtu jāpārskata un vajadzības gadījumā jāatjaunina, to pieskaņojot pasaules norisēm un arhitektūrai un atsauces satvaram un sekojot iekšējā tirgus paraugpraksei.

(4)

Regulas (ES) Nr. 910/2014 5.a panta 8. punktā minēto maka risinājumu vai validācijas mehānismu, vai elektroniskās identifikācijas shēmas, kurās tiek nodrošināti maka risinājumi, drošības pārkāpuma vai aizskāruma gadījumā ir ātri, koordinēti un droši jāreaģē uz šādiem drošības pārkāpumiem un aizskārumiem visās dalībvalstīs, lai aizsargātu lietotājus un saglabātu uzticēšanos digitālās identitātes ekosistēmai. Tas neskar Eiropas Parlamenta un Padomes Direktīvu (ES) 2022/2555 (7), Eiropas Parlamenta un Padomes Regulas (ES) 2019/881 (8) un (ES) 2024/2847 (9), it īpaši attiecībā uz incidentu vai vājo vietu izskatīšanu un pieskaitīšanu pie drošības pārkāpumiem. Tāpēc dalībvalstīm būtu jānodrošina drošības pārkāpuma vai aizskāruma ietekmēta maka nodrošināšanas un lietošanas laicīga apturēšana vai – attiecīgā gadījumā – maka atcelšana.

(5)

Lai nodrošinātu pienācīgu reaģēšanu uz drošības pārkāpumu vai aizskārumu, dalībvalstīm būtu jānovērtē, vai maka risinājuma, Regulas (ES) Nr. 910/2014 5.a panta 8. punktā minēto validācijas mehānismu vai elektroniskās identifikācijas shēmas, kurās nodrošina maka risinājumu, drošības pārkāpums vai aizskārums ietekmē minētā maka risinājuma vai citu maka risinājumu uzticamību. Novērtējumam būtu jābalstās uz vienotiem kritērijiem, piemēram, ietekmēto maka lietotāju skaitu un kategoriju, fizisku personu un maka atkarīgo pušu skaitu un kategoriju, ietekmēto datu raksturu, drošības aizskāruma vai pārkāpuma ilgumu, ierobežoto pakalpojuma pieejamību un finansiāliem zaudējumiem, kā arī personas datu varbūtēju aizskārumu. Šiem kritērijiem būtu jānodrošina dalībvalstīm samērīga elastība un rīcības brīvība noteikt, vai ir ietekmēta maka risinājuma uzticamība un vai pienākas maka risinājumu apturēt vai, ja pamats ir pārkāpuma vai aizskāruma smagums, atcelt. Šiem kritērijiem nebūtu jāizraisa maka risinājuma atcelšana vai automātiska nodrošināšanas un lietošanas apturēšana, bet dalībvalstīm tie pienācīgi jāņem vērā, lemjot, vai maka risinājumu atcelt vai nodrošināšanu un lietošanu apturēt ir nepieciešams.

(6)

Ņemot vērā ietekmi un neērtības, ko rada maka risinājumu izmantošanas apturēšana, dalībvalstīm vajadzēs izvērtēt, vai nepieciešams atsaukt maka vienības apliecinājumus vai veikt citus papildu pasākumus, lai pienācīgi reaģētu uz drošības pārkāpumu vai aizskārumu.

(7)

Lai maka lietotājus pastāvīgi informētu par maka statusu, jāsniedz viņiem pienācīga informācija par drošības pārkāpumiem vai aizskārumiem, kas ietekmē viņu makus. Tā kā drošības pārkāpumi un aizskārumi var ietekmēt arī Savienībā reģistrētās maka atkarīgās puses, ar tām ir arī jādalās attiecīgā informācijā par drošības pārkāpumiem un aizskārumiem.

(8)

Lai uzlabotu pārredzamību un vairotu uzticēšanos digitālās identitātes ekosistēmai, informācijā par drošības pārkāpumiem vai aizskārumiem un to sekām būtu iekļaujama vismaz šajā regulā prasītā informācija. Tomēr informācija par drošības pārkāpumiem vai aizskārumiem, kurā dalās ar maka lietotājiem un maka atkarīgajām pusēm, būtu rūpīgi jāvērtē, lai neļautu to ļaunprātīgi izmantot uzbrucējiem un tādas briesmas minimalizētu.

(9)

Lai lietotāji varētu atkal piekļūt savām maka vienībām, kad drošības pārkāpums vai aizskārums izlabots, dalībvalstij, kura nodrošinājusi maka risinājumus, vajadzēs bez liekas kavēšanās atjaunot minēto maka risinājumu nodrošināšanu un lietošanu. To var izdarīt, atjaunojot maka vienības, izdodot maka vienības, ko nodrošina ar jaunu maka risinājumu versiju, vai atkalizdodot derīgus maka vienības apliecinājumus. Attiecīgi jāinformē ietekmētie maka lietotāji, maka atkarīgās puses, vienotie kontaktpunkti, kas izraudzīti atbilstoši Regulas (ES) Nr. 910/2014 46.c panta 1. punktam, un Komisija.

(10)

Lai nodrošinātu maku atcelšanu, kad drošības pārkāpums vai aizskārums nav novērsts trīs mēnešu laikā pēc apturēšanas vai ja par attaisnojumu ir drošības pārkāpuma vai aizskāruma smagums, dalībvalstij būtu jānodrošina, ka attiecīgie maka vienības apliecinājumi tiek atsaukti un ka nevar ne atjaunot to derīgumu, ne tos izdot vai nodrošināt pastāvošām maka vienībām. Vēl vairāk, nedrīkstētu nodrošināt jaunas maka vienības ar ietekmētā maka risinājumu. Pārredzamības labad par atcelšanu būtu informējami lietotāji, atkarīgās puses, vienotie kontaktpunkti, kas izraudzīti atbilstoši Regulas (ES) Nr. 910/2014 46.c panta 1. punktam, un Komisija. Tas nozīmē arī aprakstīt iespējamo ietekmi uz maku lietotājiem, īpaši uz izdoto apliecinājumu pārvaldību vai maka atkarīgajām pusēm.

(11)

Trīs mēnešu laikā pēc maka risinājuma nodrošināšanas un izmantošanas apturēšanas, kuros jāizlabo drošības pārkāpums vai aizskārums, kas novedis pie apturēšanas, būtu jānoliek termiņš, pēc kura maka risinājums ir jāatceļ, ja nav īstenots pienācīgs tiesiskas aizsardzības līdzeklis. Tomēr dalībvalstīm ir ļauts pieprasīt, lai drošības pārkāpums vai aizskārums tiek izlabots termiņā, kas ir īsāks par trim mēnešiem, sevišķi un attiecīgi ņemot vērā minētā drošības pārkāpuma vai aizskāruma apmēru, ilgumu un sekas. Ja drošības pārkāpums vai aizskārums netiek izlabots vai nav izlabojams dalībvalsts noteiktajā termiņā, dalībvalsts var pieprasīt atcelt maka risinājumu pirms trīs mēnešu termiņa notecējuma. Šis laiks, kurā ir jāizlabo drošības pārkāpums vai aizskārums, kas novedis pie maka risinājuma nodrošināšanas un lietošanas apturēšanas, dalībvalstīm būtu jāizmanto, sagatavojot minētā maka risinājuma un no tā izrietošo paziņojumu varbūtējo atcelšanu.

(12)

Lai mazinātu dalībvalstu administratīvo nastu sakarā ar informāciju, ko saskaņā ar šo regulu sniedz Komisijai un citām dalībvalstīm, dalībvalstīm būtu jāizmanto tādi pastāvoši paziņošanas rīki kā kiberincidentu ziņošanas un analīzes sistēma (CIRAS), ko pārvalda Eiropas Savienības Kiberdrošības aģentūra (ENISA). Attiecībā uz alternatīviem kanāliem vai līdzekļiem, kas izmantojami drošības pārkāpuma vai aizskāruma ietekmēto lietotāju un maka atkarīgo pušu informēšanai, dalībvalstīm būtu jāgādā, lai attiecīgā informācija tiek sniegta skaidri, vispusīgi un viegli piekļūstami. Kanāliem tādas informācijas sniegšanai ietekmētajiem maka lietotājiem un maka atkarīgajām personām būtu jāietver piemēroti risinājumi vietnēs balstītai apraidei, vietņu atjauninājumu izsekošanai reāllaikā un ziņu apkopošanai.

(13)

Saskaņā ar Regulas (ES) 2018/1725 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2025. gada 31. janvārī sniedza atzinumu.

(14)

Šajā regulā noteiktie pasākumi saskan ar atzinumu, ko sniegusi ar Regulas (ES) Nr. 910/2014 48. pantu izveidotā komiteja,

1)

“maka risinājums” ir programmatūras, aparatūras, pakalpojumu, iestatījumu un konfigurāciju kombinācija, kas ietver maka instances, vienu vai vairākas maka drošas kriptogrāfijas lietojumprogrammas un vienu vai vairākas maka drošas kriptogrāfijas ierīces;

2)

“maka lietotājs” ir lietotājs, kas kontrolē maka vienību;

3)

“maka atkarīgā puse” ir atkarīgā puse, kas, izmantojot digitālu mijiedarbību, plāno paļauties uz maka vienībām, lai sniegtu publiskus vai privātus pakalpojumus;

4)

“maka instance” ir lietojumprogramma, kas uzstādīta un konfigurēta maka lietotāja ierīcē vai vidē, tā ir daļa no maka vienības un maka lietotājs to izmanto, lai mijiedarbotos ar maka vienību;

5)

“maka drošas kriptogrāfijas lietojumprogramma” ir lietojumprogramma, kura sasaistē ar kriptogrāfiskām un nekriptogrāfiskām funkcijām, ko nodrošina maka drošas kriptogrāfijas ierīce, un, izmantojot šīs funkcijas, pārvalda kritiskus aktīvus;

6)

“maka drošas kriptogrāfijas ierīce” ir pret nesankcionētām manipulācijām noturīga ierīce, kas nodrošina vidi, kura ir sasaistīta ar maka drošas kriptogrāfijas lietojumprogrammu, kas šo vidi izmanto, lai aizsargātu kritiskus aktīvus un nodrošinātu kriptogrāfijas funkcijas kritisku operāciju drošai izpildei;

7)

“maka nodrošinātājs” ir fiziska vai juridiska persona, kas nodrošina maka risinājumus;

8)

“maka vienība” ir maka risinājuma unikāla konfigurācija, kas ietver maka instances, maka drošas kriptogrāfijas lietojumprogrammas un maka drošas kriptogrāfijas ierīces, ko maka nodrošinātājs nodrošina individuālam maka lietotājam;

9)

“kritiski aktīvi” ir aktīvi maka vienībā vai saistībā ar to, kas ir tik ārkārtīgi svarīgi, ka, ja to pieejamība, konfidencialitāte vai veselums tiktu aizskarti, tas ļoti nopietni un negatīvi ietekmētu spēju paļauties uz maka vienību;

10)

“maka vienības apliecinājums” ir datu objekts, kas apraksta maka vienības komponentus vai ļauj šos komponentus autentificēt un validēt.

1)

atjauno maka vienību nodrošināšanu un lietošanu saskaņā ar minēto maka risinājumu, visiem ietekmētajiem lietotājiem izdodot maka vienību, ko nodrošina saskaņā ar jaunu maka risinājuma versiju;

2)

izdod jaunus maka vienības apliecinājumus jaunām maka vienībām vai – attiecīgā gadījumā – agrāk izdotām maka vienībām, ar noteikumu, ka maka vienības atbilst pēc drošības pārkāpuma vai aizskāruma izbeigšanas spēkā esošajām drošības prasībām;

3)

atceļ pasākumus, kas īstenoti atbilstīgi 4. pantam un traucē jaunu maka vienību nodrošināšanai saskaņā ar ietekmēto maka risinājumu, ja minētais pasākums bijis saistīts tikai ar nu jau izlaboto drošības pārkāpumu vai aizskārumu.

1)

informācija par minēto faktu bez liekas kavēšanās tiek sniegta visām pusēm, kas saņēmušas informāciju par minētā maka risinājuma nodrošināšanas un lietošanas apturēšanu saskaņā ar 5. panta 1. punktu;

2)

saskaņā ar 1) punktu sniegtā informācijā ietilpst vismaz 5. panta 2. punkta a), b) un f)–h) apakšpunktā norādītie un šie elementi: