(1)

Il-Qafas Ewropew għall-Identità Diġitali (“qafas”) stabbilit fir-Regolament (UE) Nru 910/2014 hu komponent kruċjali fl-istabbiliment ta’ ekosistema tal-identità diġitali sigura u interoperabbli madwar l-Unjoni kollha. Bil-Kartieri Ewropej tal-Identità Diġitali (“kartieri”) bħala l-pedament tiegħu, il-qafas għandu l-għan li jiffaċilita l-aċċess għas-servizzi fl-Istati Membri kollha, filwaqt li jiżgura l-protezzjoni tad-data personali u tal-privatezza.

(2)

Ir-Regolamenti (UE) 2016/679 (2) u (UE) 2018/1725 (3) tal-Parlament Ewropew u tal-Kunsill, u, meta rilevanti, id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill (4) japplikaw għall-attivitajiet tal-ipproċessar tad-data personali skont dan ir-Regolament. Ir-regoli dwar il-valutazzjoni u l-għoti tal-informazzjoni stabbiliti skont dan ir-Regolament huma mingħajr preġudizzju għall-obbligu li jiġi notifikat il-ksur tad-data personali lill-awtorità superviżorja kompetenti fejn applikabbli skont ir-Regolament (UE) 2016/679 jew ir-Regolament (UE) 2018/1725, u għall-obbligu li l-ksur tad-data personali jiġi kkomunikat lis-suġġetti tad-data meta applikabbli skont dawn ir-Regolamenti.

(3)

Il-Kummissjoni tivvaluta teknoloġiji, prattiki, standards u speċifikazzjonijiet tekniċi ġodda b’mod regolari. Biex ikun żgurat l-aqwa livell ta’ armonizzazzjoni fost l-Istati Membri għall-iżvilupp u ċ-ċertifikazzjoni tal-kartieri, l-ispeċifikazzjonijiet tekniċi stabbiliti f’dan ir-Regolament jistrieħu fuq il-ħidma mwettqa skont ir-Rakkomandazzjoni tal-Kummissjoni (UE) 2021/946 (5) u b’mod partikolari l-Arkitettura u l-Qafas ta’ Referenza li hu parti minnha. F’konformità mal-premessa 75 tar-Regolament (UE) 2024/1183 tal-Parlament Ewropew u tal-Kunsill (6), il-Kummissjoni jenħtieġ li tirrieżamina u, jekk ikun meħtieġ, taġġorna dan ir-Regolament biex iżżommu konformi mal-iżviluppi dinjin u mal-Arkitettura u mal-Qafas ta’ Referenza, u biex timxi mal-aqwa prattiki fis-suq intern.

(4)

Fil-każ ta’ ksur tas-sigurtà jew kompromess tas-soluzzjonijiet tal-kartiera jew tal-mekkaniżmi tal-validazzjoni msemmija fl-Artikolu 5a(8) tar-Regolament (UE) Nru 910/2014, jew tal-iskema tal-identifikazzjoni elettronika li skontha jiġu pprovduti s-soluzzjonijiet tal-kartiera, ir-reazzjonijiet għal tali ksur tas-sigurtà u kompromessi jeħtieġ jiskattaw malajr, b’mod ikkoordinat u b’mod sigur madwar l-Istati Membri kollha biex jiġu protetti l-utenti u tinżamm il-fiduċja fl-ekosistema tal-identità diġitali. Dan hu mingħajr preġudizzju għad-Direttiva (UE) 2022/2555 tal-Parlament Ewropew u tal-Kunsill (7) u r-Regolamenti (UE) 2019/881 (8) u (UE) 2024/2847 (9) tal-Parlament Ewropew u tal-Kunsill, u b’mod partikolari fir-rigward tat-trattament tal-inċidenti jew tal-vulnerabbiltajiet u l-kunsiderazzjoni tagħhom bħala ksur tas-sigurtà. Għalhekk, l-Istati Membri jenħtieġ li jiżguraw is-sospensjoni fil-ħin fil-forniment u l-użu tal-kartieri affettwati minn ksur tas-sigurtà jew kompromess, jew meta xieraq, l-irtirar tagħhom.

(5)

Biex ikunu żgurati reazzjonijiet xierqa għal ksur tas-sigurtà jew kompromess, l-Istati Membri jenħtieġ li jivvalutaw jekk ksur tas-sigurtà jew kompromess ta’ soluzzjoni tal-kartiera, tal-mekkaniżmi tal-validazzjoni msemmija fl-Artikolu 5a(8) tar-Regolament (UE) Nru 910/2014, jew tal-iskema tal-identifikazzjoni elettronika li skontha tiġi pprovduta soluzzjoni tal-kartiera, ikunux jaffettwaw l-affidabbiltà ta’ dik is-soluzzjoni tal-kartiera jew ta’ soluzzjonijiet tal-kartiera oħrajn. Dik il-valutazzjoni jenħtieġ li tissejjes fuq kriterji uniformi, bħall-għadd u l-kategorija tal-utenti tal-kartiera, tal-persuni fiżiċi, u tal-partijiet dipendenti fuq kartiera affettwati, in-natura tad-data affettwata, it-tul taż-żmien tal-kompromess jew tal-ksur tas-sigurtà, id-disponibbiltà limitata ta’ servizz u t-telf finanzjarju, u l-kompromess potenzjali tad-data personali. Dawn il-kriterji jenħtieġ li jipprovdu l-flessibbiltà u d-diskrezzjoni lill-Istati Membri biex jistabbilixxu b’mod proporzjonat jekk hix affettwata l-affidabbiltà ta’ soluzzjoni tal-kartiera, u jekk hemmx bżonn is-sospensjoni jew, meta ġustifikat mis-severità tal-ksur tas-sigurtà jew tal-kompromess, l-irtirar tas-soluzzjoni tal-kartiera. Dawn il-kriterji jenħtieġ li ma jiskattawx l-irtirar awtomatiku ta’ soluzzjoni tal-kartiera jew is-sospensjoni awtomatika tal-forniment u l-użu ta’ soluzzjoni tal-kartiera, iżda jenħtieġ li jitqiesu kif xieraq mill-Istati Membri meta jiddeċiedu jekk hemmx bżonn l-irtirar jew is-sospensjoni tal-forniment u l-użu ta’ soluzzjoni tal-kartiera.

(6)

Minħabba l-impatt u l-inkonvenjenza kkawżati mis-sospensjoni tal-użu ta’ soluzzjonijiet tal-kartiera, l-Istati Membri jeħtieġ jevalwaw jekk hemmx bżonn ir-revoka tal-attestazzjonijiet tal-unità tal-kartiera jew xi miżuri addizzjonali biex jirreaġixxu b’mod adegwat għall-ksur tas-sigurtà jew għall-kompromess.

(7)

Biex l-utenti tal-kartiera jinżammu infurmati dwar l-istatus tal-kartiera tagħhom, dawn jenħtieġ li jingħataw informazzjoni adegwata dwar ksur tas-sigurtà jew kompromessi li jkunu jaffettwaw il-kartieri tagħhom. Peress li anki l-partijiet dipendenti fuq kartiera rreġistrati fl-Unjoni jistgħu jiġu affettwati minn ksur tas-sigurtà u kompromessi, l-informazzjoni rilevanti dwar il-ksur tas-sigurtà u l-kompromessi jenħtieġ li tingħata lilhom ukoll.

(8)

Biex ikun hemm aktar trasparenza u tinbena l-fiduċja fl-ekosistema tal-identità diġitali, l-informazzjoni dwar il-ksur tas-sigurtà jew il-kompromess u dwar il-konsegwenzi tagħhom jenħtieġ li tkun tinkludi mqar l-informazzjoni meħtieġa skont dan ir-Regolament. Madankollu, l-informazzjoni dwar ksur tas-sigurtà jew kompromessi kondiviża mal-utenti tal-kartiera u mal-partijiet dipendenti fuq kartiera jenħtieġ li tiġi vvalutata bir-reqqa biex ikun evitat u jitnaqqas kemm jista’ jkun ir-riskju li dawn jiġu sfruttati minn xi aggressuri.

(9)

Biex l-utenti jkunu jistgħu jerġgħu jaċċessaw l-unitajiet tal-kartiera tagħhom wara li jkun ġie rimedjat ksur tas-sigurtà jew kompromess, l-Istat Membru li jkun ipprovda s-soluzzjonijiet tal-kartiera jeħtieġ jistabbilixxi mill-ġdid il-forniment u l-użu ta’ dawk is-soluzzjonijiet tal-kartiera mingħajr dewmien żejjed. Dan jista’ jsir billi jiġu stabbiliti mill-ġdid l-unitajiet tal-kartiera, billi tinħareġ unità tal-kartiera pprovduta skont verżjoni ġdida tas-soluzzjonijiet tal-kartiera jew billi jinħarġu mill-ġdid attestazzjonijiet validi ġodda tal-unità tal-kartiera. L-utenti tal-kartiera affettwati, il-partijiet dipendenti fuq kartiera, il-punti uniċi tal-kuntatt maħturin skont l-Artikolu 46c(1) tar-Regolament (UE) Nru 910/2014 u l-Kummissjoni jenħtieġ li jiġu infurmati kif xieraq.

(10)

Biex ikun żgurat l-irtirar tal-kartieri meta ksur tas-sigurtà jew kompromess ma jkunux ġie rimedjat fi żmien tliet xhur mis-sospensjoni, jew meta dan ikun iġġustifikat mis-severità tal-ksur tas-sigurtà jew tal-kompromess, l-Istat Membru jenħtieġ li jiżgura li jitħassru l-attestazzjonijiet rilevanti tal-unità tal-kartiera u li la jkunu jistgħu jitreġġgħu lura għal stat validu u lanqas jinħarġu jew jingħataw lil unitajiet tal-kartiera eżistenti. Barra minn hekk, jenħtieġ li l-ebda unità ġdida tal-kartiera ma tingħata bis-soluzzjoni tal-kartiera affettwata. Għall-finijiet tat-trasparenza, l-utenti, il-partijiet dipendenti, il-punti uniċi tal-kuntatt maħtura skont l-Artikolu 46c(1) tar-Regolament (UE) Nru 910/2014 u l-Kummissjoni jeħtieġ jiġu infurmati bl-irtirar. Dan jinkludi deskrizzjoni tal-impatti potenzjali fuq l-utenti tal-kartiera u b’mod partikolari l-ġestjoni tal-attestazzjonijiet maħruġa, jew fuq il-partijiet dipendenti fuq il-kartiera.

(11)

Il-perjodu ta’ tliet xhur wara s-sospensjoni tal-forniment u tal-użu ta’ soluzzjoni tal-kartiera, u li matulu jrid jiġi rimedjat il-ksur tas-sigurtà jew il-kompromess li jkun wassal għal dik is-sospensjoni, jenħtieġ li jipprovdi limitu taż-żmien li malli jinqabeż trid tiġi rtirata s-soluzzjoni tal-kartiera sakemm ma jkunx ġie implimentat rimedju xieraq. Madankollu, l-Istati Membri huma liberi biex jitolbu li l-ksur tas-sigurtà jew il-kompromess jiġi rimedjat sa limitu taż-żmien iqsar minn tliet xhur, filwaqt li jitqiesu, b’mod partikolari u meta rilevanti, il-firxa, it-tul u l-konsegwenzi ta’ dak il-ksur tas-sigurtà jew il-kompromess. Meta l-ksur tas-sigurtà jew il-kompromess ma jiġix rimedjat jew ma jkunx jista’ jiġi rimedjat sal-limitu taż-żmien stabbilit mill-Istat Membru, l-Istat Membru jista’ jitlob li s-soluzzjoni tal-kartiera tiġi rtirata qabel ma jiskadi l-perjodu ta’ tliet xhur. L-Istati Membri jenħtieġ li jużaw dan il-perjodu taż-żmien li matulu ksur tas-sigurtà jew kompromess li wassal għas-sospensjoni tal-forniment u l-użu ta’ soluzzjoni tal-kartiera jrid jiġi rimedjat, biex jitħejjew l-irtirar potenzjali ta’ dik is-soluzzjoni tal-kartiera u l-komunikazzjonijiet li jirriżultaw.

(12)

Biex jonqos il-piż amministrattiv għall-Istati Membri rigward l-informazzjoni li trid tingħata, f’konformità ma’ dan ir-Regolament, lill-Kummissjoni u lil Stati Membri oħra, l-Istati Membri jenħtieġ li jużaw għodod tan-notifiki eżistenti bħas-Sistema tar-Rapportar u l-Analiżi tal-Inċidenti Ċibernetiċi (CIRAS) li tħaddem l-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA). Fir-rigward ta’ kanali jew mezzi alternattivi li jridu jintużaw biex jinfurmaw lill-utenti tal-kartiera affettwati minn ksur tas-sigurtà jew kompromess u lil l-partijiet dipendenti fuq il-kartiera, l-Istati Membri jenħtieġ li jiżguraw li l-informazzjoni rilevanti tingħata b’mod ċar, komprensiv u aċċessibbli faċilment. Il-mezzi biex jipprovdu din l-informazzjoni lill-utenti tal-kartieri affettwati u lill-partijiet dipendenti fuq kartiera jenħtieġ li jinkludu soluzzjonijiet xierqa għal xandir fuq sit web, traċċar fil-ħin reali tal-aġġornamenti fuq is-sit web, u aggregazzjoni tal-aħbarijiet.

(13)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 u ta l-opinjoni tiegħu fil-31 ta’ Jannar 2025.

(14)

Il-miżuri previsti f’dan ir-Regolament huma f’konformità mal-opinjoni tal-kumitat stabbilit bl-Artikolu 48 tar-Regolament (UE) Nru 910/2014,

(1)

“soluzzjoni tal-kartiera” tfisser taħlita ta’ software, hardware, servizzi, settings, u konfigurazzjonijiet, inkluż istanzi tal-kartiera, applikazzjoni kriptografika sigura tal-kartieri waħda jew aktar, u apparat kriptografiku sigur tal-kartieri wieħed jew aktar;

(2)

“utent tal-kartiera” tfisser utent li jkollu l-kontroll tal-unità tal-kartiera;

(3)

“parti dipendenti fuq kartiera” tfisser parti dipendenti li jkollha l-ħsieb tistrieħ fuq unitajiet tal-kartiera għall-forniment ta’ servizzi pubbliċi jew privati permezz ta’ interazzjoni diġitali;

(4)

“istanza tal-kartiera” tfisser l-applikazzjoni installata u kkonfigurata fuq apparat jew ambjent ta’ utent tal-kartiera, li jkun parti minn unità tal-kartiera, u li l-utent tal-kartiera juża biex jinteraġixxi mal-unità tal-kartiera;

(5)

“applikazzjoni kriptografika sigura tal-kartieri” tfisser applikazzjoni li timmaniġġja assijiet kritiċi billi tkun marbuta mal-funzjonijiet kriptografiċi u mhux kriptografiċi pprovduti mill-apparat kriptografiku sigur tal-kartieri, u billi tużahom;

(6)

“apparat kriptografiku sigur tal-kartieri” tfisser apparat reżistenti għat-tbagħbis li jipprovdi ambjent marbut mal-applikazzjoni kriptografika sigura tal-kartieri, u li jintuża minnha, biex jipproteġi l-assijiet kritiċi u jipprovdi funzjonijiet kriptografiċi għall-eżekuzzjoni sigura tal-operazzjonijiet kritiċi;

(7)

“fornitur tal-kartieri” tfisser persuna fiżika jew ġuridika li tipprovdi soluzzjonijiet tal-kartiera;

(8)

“unità tal-kartiera” tfisser konfigurazzjoni unika ta’ soluzzjoni tal-kartiera li tinkludi istanzi tal-kartiera, applikazzjonijiet kriptografiċi siguri tal-kartieri u apparati kriptografiċi siguri tal-kartieri pprovduti minn fornitur tal-kartieri lil utent individwali tal-kartiera;

(9)

“assi kritiċi” tfisser assi fi ħdan jew b’rabta ma’ unità tal-kartiera li għandhom importanza straordinarja tant li meta jiġu kompromessi d-disponibbiltà, il-kunfidenzjalità jew l-integrità tagħhom, dan ikollu effett debilitanti serju ħafna fuq l-abbiltà li jistrieħu fuq l-unità tal-kartiera;

(10)

“attestazzjoni tal-unità tal-kartiera” tfisser oġġett tad-data li jiddeskrivi l-komponenti tal-unità tal-kartiera jew li jippermetti l-awtentikazzjoni u l-validazzjoni ta’ dawk il-komponenti.

(1)

jistabbilixxu mill-ġdid il-forniment u l-użu tal-unitajiet tal-kartiera pprovduti b’dik is-soluzzjoni tal-kartiera billi joħorġu unità tal-kartiera pprovduta b’verżjoni ġdida tas-soluzzjoni tal-kartiera lill-utenti affettwati kollha;

(2)

joħorġu attestazzjonijiet ġodda tal-unità tal-kartiera lil unitajiet tal-kartiera ġodda jew, meta applikabbli, lil unitajiet tal-kartiera maħruġa qabel, dment li dawk l-unitajiet ikunu jissodisfaw ir-rekwiżiti tas-sigurtà fis-seħħ wara li jkun ġie rimedjat il-ksur tas-sigurtà jew il-kompromess;

(3)

iħassru kull miżura implimentata skont l-Artikolu 4 u li xxekkel il-forniment ta’ unitajiet tal-kartiera ġodda bis-soluzzjoni tal-kartiera affettwata, meta dik il-miżura tkun marbuta biss mal-ksur tas-sigurtà jew mal-kompromess li issa jkun ġie rimedjat.

(1)

tingħata informazzjoni dwar dak il-fatt mingħajr dewmien żejjed lill-partijiet kollha li jkunu rċevew informazzjoni dwar is-sospensjoni tal-forniment u l-użu ta’ dik is-soluzzjoni tal-kartiera f’konformità mal-Artikolu 5(1).

(2)

l-informazzjoni mogħtija skont il-punt (1) għandha tinkludi mqar l-elementi msemmija fl-Artikolu 5(2), il-punti (a), (b) u (f) sa (h) u dawn li ġejjin: