(1)

Het bij Verordening (EU) nr. 910/2014 vastgestelde Europees kader voor digitale identiteit (“het kader”) is een cruciaal onderdeel van de totstandbrenging van een veilig en interoperabel ecosysteem voor digitale identiteit in de hele Unie. Met de Europese portemonnee voor digitale identiteit (“de portemonnee”) als hoeksteen heeft het kader tot doel de toegang tot diensten in alle lidstaten te vergemakkelijken en de bescherming van persoonsgegevens en de persoonlijke levenssfeer te waarborgen.

(2)

Verordeningen (EU) 2016/679 (2) en (EU) 2018/1725 (3) van het Europees Parlement en de Raad en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (4) zijn van toepassing op de activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening. De bij deze verordening vastgestelde regels inzake de beoordeling en de verstrekking van informatie doen geen afbreuk aan de verplichting om inbreuken in verband met persoonsgegevens te melden aan de bevoegde toezichthoudende autoriteit, indien van toepassing uit hoofde van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, noch aan de verplichting om inbreuken in verband met persoonsgegevens aan de betrokkenen mee te delen, indien van toepassing uit hoofde van deze verordeningen.

(3)

De Commissie voert regelmatig beoordelingen uit van nieuwe technologieën, praktijken, normen en technische specificaties. Om het hoogste niveau van harmonisatie tussen de lidstaten te waarborgen voor de ontwikkeling en de certificering van de portemonnees, berusten de in deze uitvoeringsverordening vastgestelde technische specificaties op de werkzaamheden op basis van Aanbeveling (EU) 2021/946 van de Commissie (5), en met name de architectuur en het referentiekader die daar deel van uitmaken. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (6) moet de Commissie deze uitvoeringsverordening evalueren en in voorkomend geval actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen en de architectuur en het referentiekader en om de beste praktijken op de interne markt te volgen.

(4)

In geval van een beveiligingsinbreuk of -aantasting van de portemonneeoplossingen of van de valideringsmechanismen als bedoeld in artikel 5 bis, lid 8, van Verordening (EU) nr. 910/2014, of van het stelsel voor elektronische identificatie op grond waarvan de portemonneeoplossingen worden verstrekt, moet er in alle lidstaten snel, gecoördineerd en veilig op dergelijke beveiligingsinbreuken of aantastingen worden gereageerd om de gebruikers te beschermen en het vertrouwen in het ecosysteem voor digitale identiteit in stand te houden. Dit laat Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (7) en Verordeningen (EU) 2019/881 (8) en (EU) 2024/2847 (9) van het Europees Parlement en de Raad onverlet, in het bijzonder ten aanzien van de aanpak van incidenten en kwetsbaarheden en de vraag of die als beveiligingsinbreuken moeten worden beschouwd. Daarom moeten de lidstaten waarborgen dat de verstrekking en het gebruik van door een beveiligingsinbreuk of aantasting getroffen portemonnees tijdig worden opgeschort, of, in voorkomend geval, worden ingetrokken.

(5)

Om passend op een beveiligingsinbreuk of aantasting te kunnen reageren, moeten de lidstaten beoordelen of een beveiligingsinbreuk of -aantasting van een portemonnee, van de in artikel 5 bis, lid 8, van Verordening (EU) nr. 910/2014 bedoelde valideringsmechanismen, of van het stelsel voor elektronische identificatie op grond waarvan een portemonneeoplossing wordt verstrekt, de betrouwbaarheid van die portemonneeoplossing of van andere portemonneeoplossingen beïnvloedt. Die beoordeling moet gebaseerd zijn op uniforme criteria, zoals het aantal en de categorie van getroffen portemonneegebruikers, natuurlijke personen en op portemonnees vertrouwende partijen, de aard van de getroffen gegevens, de duur van de aantasting of beveiligingsinbreuk, de beperkte beschikbaarheid van een dienst en financiële verliezen, en de mogelijke aantasting van persoonsgegevens. Op basis van die criteria moeten de lidstaten voldoende flexibel en discretionair kunnen bepalen of de betrouwbaarheid van een portemonneeoplossing is aangetast en of de opschorting of, indien gerechtvaardigd door de ernst van de inbreuk of de aantasting, de intrekking van de portemonneeoplossing passend is. Die criteria mogen niet leiden tot een automatische intrekking van een portemonneeoplossing of een automatische opschorting van de verstrekking en het gebruik van een portemonneeoplossing, maar moeten door de lidstaten zorgvuldig worden overwogen bij hun beslissing of de intrekking of de opschorting van de verstrekking en het gebruik van een portemonneeoplossing nodig is.

(6)

Vanwege de gevolgen en het ongemak ten gevolge van de opschorting van het gebruik van portemonneeoplossingen, moeten de lidstaten beoordelen of de intrekking van portemonnee-eenheidsattesteringen of andere aanvullende maatregelen nodig zijn als adequate reactie op de beveiligingsinbreuk of -aantasting.

(7)

Om portemonneegebruikers op de hoogte te houden van de status van hun portemonnees, moeten zij adequate informatie krijgen over beveiligingsinbreuken of aantastingen die hun portemonnees raken. Aangezien ook in de Unie geregistreerde op portemonnees vertrouwende partijen door beveiligingsinbreuken en aantastingen kunnen worden getroffen, moet relevante informatie over beveiligingsinbreuken en aantastingen ook met hen worden gedeeld.

(8)

Met het oog op transparantie en een groter vertrouwen in het ecosysteem voor digitale identiteit moet de informatie over de beveiligingsinbreuken of -aantastingen, en over de gevolgen daarvan, ten minste de overeenkomstig deze verordening vereiste informatie bevatten. De informatie over beveiligingsinbreuken of aantastingen die met portemonneegebruikers en met op portemonnees vertrouwende partijen worden gedeeld, moet echter zorgvuldig worden beoordeeld, zodat het risico van misbruik door aanvallers wordt voorkomen en geminimaliseerd.

(9)

Om gebruikers opnieuw toegang te geven tot hun portemonnees nadat een beveiligingsinbreuk of -aantasting is verholpen, moet de lidstaat die de portemonneeoplossingen heeft verstrekt, de verstrekking en het gebruik van die portemonneeoplossingen onverwijld herstellen. Dit kan geschieden door de portemonnee-eenheden te herstellen, door portemonnee-eenheden af te geven op grond van een nieuwe versie van de portemonneeoplossingen of door weer nieuwe geldige attesteringen van de portemonnee-eenheid af te geven. Getroffen portemonneegebruikers, op portemonnees vertrouwende partijen, de overeenkomstig artikel 46 quater, lid 1, van Verordening (EU) 910/2014 aangeduide centrale contactpunten en de Commissie moeten daarvan in kennis worden gesteld.

(10)

Om te waarborgen dat de portemonnees worden ingetrokken indien een beveiligingsinbreuk of -aantasting niet binnen drie maanden na de opschorting is verholpen of indien de ernst van de beveiligingsinbreuk of de aantasting daartoe noopt, moet de lidstaat ervoor zorgen dat de desbetreffende attesteringen van de portemonnee-eenheid worden ingetrokken en niet naar een geldige staat kunnen terugkeren en evenmin aan bestaande portemonnee-eenheden kunnen worden afgegeven of verstrekt. Bovendien mogen geen nieuwe portemonnee-eenheden worden verstrekt op grond van de getroffen portemonneeoplossing. Met het oog op de transparantie moeten gebruikers, op portemonnees vertrouwende partijen, de overeenkomstig artikel 46 quater, lid 1, van Verordening (EU) nr. 910/2014 aangeduide centrale contactpunten en de Commissie van de intrekking in kennis worden gesteld. Dit omvat een beschrijving van de mogelijke gevolgen voor de portemonneegebruikers en met name het beheer van afgegeven attesteringen, of voor op portemonnees vertrouwende partijen.

(11)

De periode van drie maanden na de opschorting van de levering en het gebruik van een portemonnee-oplossing en waarin de beveiligingsinbreuk of -aantasting die tot die opschorting heeft geleid, moet worden verholpen, moet een termijn bevatten waarna de portemonneeoplossing moet worden ingetrokken, tenzij een passende oplossing is geïmplementeerd. Het staat de lidstaten echter vrij om verlangen dat de beveiligingsinbreuk of -aantasting binnen een termijn van minder dan drie maanden wordt verholpen, waarbij in het bijzonder en in voorkomend geval de omvang, de duur en de gevolgen van die beveiligingsinbreuk of -aantasting in aanmerking worden genomen. Indien de beveiligingsinbreuk of -aantasting niet binnen de door de lidstaat vastgestelde termijn wordt of kan worden verholpen, kan de lidstaat verlangen dat de portemonnee-oplossing vóór het verstrijken van de termijn van drie maanden wordt ingetrokken. De lidstaten moeten die termijn voor het verhelpen van een beveiligingsinbreuk of -aantasting die heeft geleid tot de opschorting van de levering en het gebruik van een portemonnee-oplossing, gebruiken om de mogelijke intrekking van die portemonnee-oplossing en de daaruit voortvloeiende mededelingen voor te bereiden.

(12)

Om de administratieve lasten voor de lidstaten met betrekking tot de overeenkomstig deze verordening aan de Commissie en aan andere lidstaten te verzenden informatie te verminderen, moeten de lidstaten gebruikmaken van bestaande kennisgevingsinstrumenten, zoals het systeem voor de melding en analyse van cyberincidenten (“CIRAS”), dat wordt beheerd door het Agentschap van de Europese Unie voor cyberbeveiliging (“Enisa”). Met betrekking tot alternatieve kanalen of middelen om door een beveiligingsinbreuk of -aantasting getroffen portemonneegebruikers en op portemonnees vertrouwende partijen te informeren, moeten de lidstaten waarborgen dat de relevante informatie op een duidelijke, volledige en eenvoudig toegankelijke wijze wordt verstrekt. De kanalen om die informatie te verstrekken aan getroffen portemonneegebruikers en op portemonnees vertrouwende partijen moeten passende oplossingen omvatten voor websiteuitzendingen, realtime tracking van website-updates en nieuwsaggregatie.

(13)

De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 geraadpleegd en heeft op 31 januari 2025 een advies uitgebracht.

(14)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 48 van Verordening (EU) nr. 910/2014 ingestelde comité,

1)

“portemonneeoplossing”: een combinatie van software, hardware, diensten, instellingen en configuraties, met inbegrip van portemonnee-instanties, een of meer beveiligde cryptografische toepassingen voor portemonnees en een of meer beveiligde cryptografische middelen voor portemonnees;

2)

“portemonneegebruiker”: een gebruiker die de controle heeft over de portemonnee-eenheid;

3)

“op portemonnees vertrouwende partij”: een vertrouwende partij die voornemens is portemonnee-eenheden te gebruiken voor het verlenen van publieke of private diensten door middel van digitale interactie;

4)

“portemonnee-instantie”: de toepassing die is geïnstalleerd en geconfigureerd op het apparaat of in de omgeving van een gebruiker van de portemonnee, die deel uitmaakt van een portemonnee-eenheid, en die de portemonneegebruiker gebruikt voor de interactie met de portemonnee-eenheid;

5)

“beveiligde cryptografische toepassing voor portemonnees”: een toepassing die kritieke activa beheert door middel van koppeling aan en gebruikmaking van de cryptografische en niet-cryptografische functies van het beveiligd cryptografisch middel voor portemonnees;

6)

“beveiligd cryptografisch middel voor portemonnees”: een manipulatiebestendig apparaat dat een omgeving biedt die gekoppeld is aan en wordt gebruikt door de beveiligde cryptografische toepassing voor portemonnees om kritieke activa te beschermen en cryptografische functies te bieden voor de veilige uitvoering van kritieke activiteiten;

7)

“aanbieder van portemonnees”: een natuurlijke of rechtspersoon die portemonneeoplossingen aanbiedt;

8)

“portemonnee”: een unieke configuratie van een portemonneeoplossing die bestaat uit portemonnee-instanties, beveiligde cryptografische toepassingen voor portemonnees en beveiligde cryptografische middelen voor portemonnees die door een aanbieder van portemonnees aan een individuele portemonneegebruiker worden verstrekt;

9)

“kritieke activa”: activa in of met betrekking tot een portemonnee-eenheid die van dermate groot belang zijn dat, als de beschikbaarheid, de authenticiteit of de integriteit ervan in gevaar zou komen, dat een zeer ernstig, verzwakkend effect zou hebben op het vermogen om de portemonnee-eenheid te kunnen gebruiken;

10)

“portemonnee-eenheidsattestering”: een gegevensobject dat de componenten van de portemonnee-eenheid beschrijft en authenticatie en validering van die componenten mogelijk maakt.

1.

de verstrekking en het gebruik van de op grond van die portemonneeoplossing verstrekte portemonnee-eenheden herstellen door aan alle getroffen gebruikers een portemonnee-eenheid af te geven op basis van een nieuwe versie van de portemonneeoplossing;

2.

nieuwe attesteringen van de portemonnee-eenheid afgeven aan nieuwe portemonnee-eenheden of, indien van toepassing, aan eerder afgegeven portemonnee-eenheden, mits die portemonnee-eenheden voldoen aan de beveiligingseisen die van toepassing zijn nadat de inbreuk of de aantasting is verholpen;

3.

de maatregelen intrekken die overeenkomstig artikel 4 zijn uitgevoerd en die de verstrekking van nieuwe portemonnee-eenheden op grond van de getroffen portemonneeoplossing verhinderen, indien die maatregel uitsluitend verband hield met de nu voor alsdan verholpen beveiligingsinbreuk of -aantasting.

1.

informatie over dat feit onverwijld wordt verstrekt aan alle partijen die informatie over de opschorting van de levering en het gebruik van die portemonnee-oplossing overeenkomstig artikel 5, lid 1 hebben ontvangen.

2.

De overeenkomstig punt 1. verstrekte informatie omvat ten minste de in artikel 5, lid 2, punten a), b) en f) tot en met h), bedoelde elementen en de volgende: