UITVOERINGSVERORDENING (EU) 2025/1566 VAN DE COMMISSIE

van 29 juli 2025

tot vaststelling van uitvoeringsbepalingen voor Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad wat betreft de referentienormen voor de verificatie van de identiteit en attributen van de persoon waaraan het gekwalificeerde certificaat of de gekwalificeerde elektronische attestering van attributen moet worden uitgegeven

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (1), en met name artikel 24, lid 1 quater,

Overwegende hetgeen volgt:

(1)

In artikel 24 van Verordening (EU) nr. 910/2014 wordt voorgeschreven dat gekwalificeerde verleners van vertrouwensdiensten de identiteit en in voorkomend geval de specifieke attributen van een natuurlijke persoon of rechtspersoon verifiëren wanneer ze gekwalificeerde certificaten of gekwalificeerde elektronische attesteringen van attributen aan die persoon uitgeven.

(2)

Om een gelijke behandeling te waarborgen en de uitkomst van het verificatieproces te kunnen vertrouwen, moeten de verificaties door alle gekwalificeerde verleners van vertrouwensdiensten op gelijkwaardige wijze worden uitgevoerd wanneer zij een gekwalificeerd certificaat of een gekwalificeerde elektronische attestering van attributen uitgeven. In overeenstemming met de doelstellingen van Verordening (EU) nr. 910/2014 is een aantal normen geselecteerd om aan deze specifieke vereisten te voldoen. Deze normen moeten vaste praktijken weerspiegelen en in de betrokken sectoren algemeen erkend worden. Deze normen moeten worden aangepast om er aanvullende controles in op te nemen die de veiligheid en betrouwbaarheid van de gekwalificeerde vertrouwensdienst waarborgen, terwijl ze tevens de grensoverschrijdende interoperabiliteit en de doeltreffende werking van de interne markt vergemakkelijken.

(3)

Er moet in een passende overgangsperiode worden voorzien voor gekwalificeerde verleners van vertrouwensdiensten zodat zij aan de vereisten in Verordening (EU) nr. 910/2014 kunnen voldoen. Teneinde voldoende tijd te geven om de audit van verleners van vertrouwensdiensten uit te voeren om na te gaan of zij aan de eisen van deze verordening voldoen, dient deze verordening 24 maanden na de inwerkingtreding ervan van toepassing te worden.

(4)

De Commissie voert regelmatig beoordelingen van nieuwe technologieën, praktijken, normen of technische specificaties uit. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (2) moet de Commissie deze verordening indien nodig evalueren en actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen, nieuwe technologieën, normen of technische specificaties en om de beste praktijken op de interne markt te volgen.

(5)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3) en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (4) zijn van toepassing op de activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening.

(6)	De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (5) geraadpleegd en heeft op 6 juni 2025 een advies uitgebracht.

(7)	De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 48 van Verordening (EU) nr. 910/2014 ingestelde comité,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

De in artikel 24, lid 1 quater, van Verordening (EU) nr. 910/2014 genoemde referentienormen en specificaties zijn vastgesteld in de bijlage bij deze verordening.

Artikel 2

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is van toepassing met ingang van 19 augustus 2027.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 29 juli 2025.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

(1) PB L 257 van 28.8.2014, blz. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Verordening (EU) 2024/1183 van het Europees Parlement en de Raad van 11 april 2024 tot wijziging van Verordening (EU) nr. 910/2014, wat betreft de vaststelling van het Europees kader voor digitale identiteit (PB L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

BIJLAGE

Referentienorm voor de verificatie van de identiteit en attributen van de persoon waaraan een gekwalificeerd certificaat of gekwalificeerde elektronische attestering van attributen wordt uitgegeven

De norm ETSI TS 119 461 V2.1.1 (2025-02) voor de conformiteit met clausule C.3 van bijlage C is van toepassing, met de volgende aanpassingen:

2.1 Normatieve referenties

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): “Elektronische handtekeningen en vertrouwensinfrastructuren (ESI); Algemene beleidseisen voor verleners van vertrouwensdiensten”.

C.3 Praktijkvoorbeelden voor de uitgifte van gekwalificeerde certificaten of gekwalificeerde elektronische attesteringen van attributen overeenkomstig artikel 24, lid 1, artikel 24, lid 1 bis, en artikel 24, lid 1 ter, van Verordening (EU) nr. 910/2014

—

[CONDITIONAL] QTS-C3-01: Als de verificatie van de identiteit voor een gekwalificeerd certificaat of een gekwalificeerde elektronische attestering gepaard gaat met de verificatie van de identiteit om gezaghebbende bewijsstukken af te geven, dient dit proces van identiteitsverificatie:

—	aan een collegiale toetsing te zijn onderworpen of te zijn gecertificeerd door een conformiteitsbeoordelingsinstantie om overeenkomstig Verordening (EU) nr. 910/2014 aan de vereisten van het betrouwbaarheidsniveau “hoog” te voldoen, of

—	aan de in de clausules C3.1 tot en met C3.6 vastgestelde vereisten te voldoen.

C.3.4 Praktijkvoorbeeld voor het bewijzen van de identiteit via andere identificatiemiddelen

—

QTS-C.3.4-06A: De onafhankelijke conformiteitsbeoordelingsinstantie als bedoeld in [CONDITIONAL] QTS-C.3.4-06, punt c), wordt geaccrediteerd volgens artikel 3, punt 18, van Verordening (EU) nr. 910/2014, en, indien aan alle voorwaarden is voldaan, moet de beoordeling leiden tot een certificaat van overeenstemming gebaseerd op een certificeringsaudit. Dit formele certificeringsproces is gebaseerd op een veiligheidsevaluatie aan de hand van de betrouwbaarheidsniveaus die overeenkomstig Verordening (EU) nr. 910/2014 zijn vastgelegd voor aangemelde elektronische identificatiemiddelen of gecertificeerde Europese portemonnees voor digitale identiteit, en voorziet in rigoureuze tests om de weerbaarheid tegen mogelijke veiligheidsdreigingen te evalueren. Bij deze evaluaties worden ter zake dienende technische normen toegepast om de bestendigheid tegen zulke aanvallen aan te tonen.

9.2.3.4 Praktijkvoorbeeld voor geautomatiseerde uitvoering

—

USE-9.2.3.4-04: De IPSP stelt streefwaarden voor de FAR en FRR vast, op basis van een risicoanalyse en de bijbehorende procedure voor het verschaffen van inzicht in dreigingen, met behulp van de methode die is vastgesteld in het Enisa-verslag “Methodology for sectoral cybersecurity assessments” [i.28] of een gelijkwaardige methode, in volledig geautomatiseerde processen voor het bewijzen van identiteit. Deze streefwaarden zijn gelijk aan of lager dan die welke worden vastgesteld voor gevallen van gemengd gebruik, voor zover deze bestaan. De IPSP houdt op consistente wijze vast aan deze streefwaarden voor FAR en FRR, gesteund door een risicoanalyse en de bijbehorende procedure voor het verschaffen van inzicht in dreigingen.

8.3.3 Validering van document met betrekking tot fysieke identiteit

—

VAL-8.3.3-21: De maatregelen om te voldoen aan de vereisten VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A en VAL-8.3.3-07X worden uiterlijk 19 augustus 2027 op doeltreffendheid getest door een geaccrediteerd laboratorium of een nationale bevoegde autoriteit, voor zover deze zijn aangewezen, en de tests worden vervolgens elke twee jaar herhaald.

7.12. Beëindiging en beëindigingsplan

—	OVR-7.12-02: Het beëindigingsplan voldoet aan de eisen van de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen [i.1].