(1)

O Regime Europeu para a Identidade Digital («regime»), instituído pelo Regulamento (UE) n.o 910/2014, é um componente crucial da criação de um ecossistema de identidade digital seguro e interoperável em toda a União. Tendo como pedra angular as carteiras europeias de identidade digital («carteiras»), o regime visa facilitar o acesso aos serviços em todos os Estados-Membros, assegurando simultaneamente a proteção dos dados pessoais e da privacidade.

(2)

Os Regulamentos (UE) 2016/679 (2), (UE) 2018/1725 (3) do Parlamento Europeu e do Conselho e, se for caso disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (4) aplicam-se às atividades de tratamento de dados pessoais ao abrigo do presente regulamento. As regras relativas à avaliação e prestação de informações estabelecidas ao abrigo do presente regulamento não prejudicam a obrigação de notificar as violações de dados pessoais à autoridade de controlo competente, se for caso disso, nos termos do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, nem a obrigação de comunicar as violações de dados pessoais aos titulares dos dados, se for caso disso, por força dos mesmos regulamentos.

(3)

A Comissão avalia periodicamente as novas tecnologias, práticas, normas e especificações técnicas. A fim de assegurar o mais elevado nível de harmonização entre os Estados-Membros para o desenvolvimento e a certificação das carteiras, as especificações técnicas estabelecidas no presente regulamento baseiam-se nos trabalhos realizados nos termos da Recomendação (UE) 2021/946 da Comissão (5) e, em especial, na arquitetura e no regime de referência que dela fazem parte. Em conformidade com o considerando 75 do Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho (6), a Comissão deve rever e, se necessário, atualizar o presente regulamento, para assegurar que o mesmo acompanha a evolução mundial e a arquitetura e o regime de referência, bem como para seguir as boas práticas no mercado interno.

(4)

Em caso de violação ou comprometimento da segurança das soluções de carteiras ou dos mecanismos de validação a que se refere o artigo 5.o-A, n.o 8, do Regulamento (UE) n.o 910/2014, ou do sistema de identificação eletrónica ao abrigo do qual as soluções de carteiras são fornecidas, as reações a essas violações e comprometimentos da segurança têm de ocorrer de forma rápida, coordenada e segura em todos os Estados-Membros, a fim de proteger os utentes e de preservar a confiança no ecossistema de identidade digital. O que precede não prejudica o disposto na Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (7) e nos Regulamentos (UE) 2019/881 (8) e (UE) 2024/2847 (9) do Parlamento Europeu e do Conselho, em particular no que respeita ao tratamento de incidentes ou vulnerabilidades e a sua classificação como violações da segurança. Por conseguinte, os Estados-Membros devem garantir a suspensão atempada do fornecimento e da utilização das carteiras afetadas por uma violação ou um comprometimento da segurança ou, se for caso disso, a sua retirada.

(5)

A fim de garantir reações adequadas a uma violação ou comprometimento da segurança, os Estados-Membros devem avaliar se uma violação ou comprometimento da segurança de uma solução de carteira, dos mecanismos de validação a que se refere o artigo 5.o-A, n.o 8, do Regulamento (UE) n.o 910/2014, ou do sistema de identificação eletrónica ao abrigo do qual é fornecida uma solução de carteira afeta a fiabilidade dessa solução de carteira ou das demais soluções de carteiras. Essa avaliação deve basear-se em critérios uniformes, como o número e a categoria dos utentes das carteiras, das pessoas singulares e dos utilizadores de carteiras afetados, a natureza dos dados afetados, a duração do comprometimento ou da violação da segurança, a disponibilidade limitada de um serviço e as perdas financeiras, bem como o potencial comprometimento de dados pessoais. Estes critérios devem dar aos Estados-Membros flexibilidade e poder discricionário para determinar de forma proporcionada se a fiabilidade de uma solução de carteira é afetada e se a suspensão ou, se a gravidade da violação ou do comprometimento o justificar, a retirada da solução da carteira é adequada. Estes critérios não devem desencadear a retirada automática de uma solução de carteira ou a suspensão automática do fornecimento e da utilização de uma solução de carteira, mas devem ser devidamente ponderados pelos Estados-Membros ao decidirem se é necessário retirar ou suspender o fornecimento e a utilização de uma solução de carteira.

(6)

Devido ao impacto e aos inconvenientes causados pela suspensão da utilização de soluções de carteiras, os Estados-Membros terão de avaliar se a revogação dos certificados de unidades de carteira ou quaisquer outras medidas adicionais são necessárias para reagir adequadamente à violação ou ao comprometimento da segurança.

(7)

Para manter os utentes de carteiras informados sobre o estado das suas carteiras, estes devem receber informações adequadas sobre violações ou comprometimentos da segurança que as afetem. Uma vez que os utilizadores de carteiras registados na União também podem ser afetados por violações e comprometimentos da segurança, as informações pertinentes sobre violações e comprometimentos da segurança também devem ser partilhadas com eles.

(8)

Para reforçar a transparência e a confiança no ecossistema de identidade digital, as informações sobre as violações ou os comprometimentos da segurança e sobre as suas consequências devem, no mínimo, incluir as informações exigidas por força do presente regulamento. As informações relativas a violações ou comprometimentos da segurança partilhadas com utentes e utilizadores de carteiras devem, no entanto, ser cuidadosamente avaliadas, para prevenir e minimizar o risco de serem exploradas por atacantes.

(9)

Para permitir que os utentes voltem a aceder às suas unidades de carteira depois de uma violação ou um comprometimento da segurança ter sido sanado, o Estado-Membro que forneceu as soluções de carteiras terá de restabelecer o fornecimento e a utilização dessas soluções de carteiras sem demora injustificada. Pode fazê-lo restabelecendo as unidades da carteira, emitindo unidades de carteira fornecidas ao abrigo da nova versão das soluções de carteiras ou reemitindo novos certificados de unidades de carteira válidos. Os utentes de carteiras afetados, os utilizadores de carteiras, os pontos de contacto único designados nos termos do artigo 46.o-C, n.o 1, do Regulamento (UE) n.o 910/2014 e a Comissão devem ser informados em conformidade.

(10)

Para garantir a retirada das carteiras sempre que uma violação ou comprometimento da segurança não tenha sido sanado no prazo de três meses a contar da suspensão ou sempre que a gravidade da violação ou do comprometimento da segurança o justifique, o Estado-Membro deve garantir que os certificados de unidades de carteira pertinentes sejam revogados, que o seu estado de validade não possa ser restaurado, e que não possam ser emitidos ou fornecidos a unidades de carteira existentes. Além disso, não devem ser fornecidas novas unidades de carteira ao abrigo da solução de carteira afetada. Para efeitos de transparência, os utentes, os utilizadores, os pontos de contacto único designados nos termos do artigo 46.o-C, n.o 1, do Regulamento (UE) n.o 910/2014 e a Comissão têm de ser informados da retirada. Esta informação inclui uma descrição dos potenciais impactos nos utentes das carteiras e, nomeadamente, na gestão dos certificados emitidos, ou nos utilizadores das carteiras.

(11)

O período de três meses a contar da suspensão do fornecimento e da utilização de uma solução de carteira, e durante o qual deve ser sanada a violação ou comprometimento da segurança conducente a essa suspensão, deve constituir o prazo após o qual a solução de carteira deve ser retirada a menos que tenha sido aplicada uma medida corretiva adequada. No entanto, os Estados-Membros são livres de exigir que a violação ou o comprometimento da segurança sejam sanados num prazo inferior a três meses, tendo em conta, em particular e se for caso disso, a extensão, a duração e as consequências dessa violação ou comprometimento da segurança. Se a violação ou o comprometimento da segurança não forem ou não puderem ser sanados no prazo fixado pelo Estado-Membro, este pode exigir que a solução de carteira seja retirada antes do termo do período de três meses. Os Estados-Membros devem usar o prazo durante o qual a violação ou comprometimento da segurança conducente à suspensão do fornecimento e da utilização de uma solução de carteira têm de ser sanados para preparar a possível retirada dessa solução de carteira e as comunicações conexas.

(12)

A fim de reduzir os encargos administrativos para os Estados-Membros no que diz respeito às informações a prestar, em conformidade com o presente regulamento, à Comissão e a outros Estados-Membros, os Estados-Membros devem utilizar os instrumentos de notificação existentes, como o Sistema de Comunicação e Análise de Incidentes de Cibersegurança (CIRAS) gerido pela Agência da União Europeia para a Cibersegurança (ENISA). No que diz respeito aos canais ou meios alternativos a utilizar para informar os utentes de carteiras afetados por uma violação ou comprometimento da segurança e os utilizadores das carteiras, os Estados-Membros devem garantir que as informações pertinentes são prestadas de forma clara, exaustiva e facilmente acessível. Os canais previstos para a prestação dessas informações aos utentes de carteiras afetados e aos utilizadores de carteiras devem incluir soluções adequadas para a difusão Web, o seguimento em tempo real das atualizações dos sítios Web e a agregação de notícias.

(13)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 31 de janeiro de 2025.

(14)

As medidas previstas no presente regulamento estão em conformidade com o parecer do comité instituído pelo artigo 48.o do Regulamento (UE) n.o 910/2014,

1)

«Solução de carteira», uma combinação de software, hardware, serviços, definições e configurações, incluindo instâncias de carteiras, uma ou várias aplicações criptográficas seguras de carteiras e um ou vários dispositivos criptográficos seguros de carteiras;

2)

«Utente da carteira», um utente que controla a unidade de carteira;

3)

«Utilizador de carteira», um utilizador que tenciona recorrer a unidades de carteira para a prestação de serviços públicos ou privados por meio de interação digital;

4)

«Instância de carteira», a aplicação instalada e configurada no dispositivo ou ambiente do utente de uma carteira, que faz parte de uma unidade de carteira e que o utente da carteira utiliza para interagir com a unidade de carteira;

5)

«Aplicação criptográfica segura de carteiras», uma aplicação que gere ativos críticos através da ligação e da utilização das funções criptográficas e não criptográficas disponibilizadas pelo dispositivo criptográfico seguro de carteiras;

6)

«Dispositivo criptográfico seguro de carteiras», um dispositivo inviolável que disponibiliza um ambiente ligado à aplicação criptográfica segura de carteiras e que esta utiliza para proteger ativos críticos e assegurar funções criptográficas para a execução segura de operações críticas;

7)

«Fornecedor de carteiras», uma pessoa singular ou coletiva que disponibiliza soluções de carteiras;

8)

«Unidade de carteira», uma configuração única de uma solução de carteira que inclui instâncias de carteiras, aplicações criptográficas seguras de carteiras e dispositivos criptográficos seguros de carteiras disponibilizada pelo fornecedor de uma carteira a um utente individual da carteira;

9)

«Ativos críticos», ativos dentro de uma unidade de carteira ou relacionados com a mesma, que se revestem de uma importância de tal forma extraordinária que o comprometimento da sua disponibilidade, confidencialidade ou integridade teria um efeito debilitante muito grave na capacidade de recorrer à unidade de carteira;

10)

«Certificado de unidade de carteira», um objeto de dados que descreve os componentes da unidade de carteira ou permite a autenticação e validação desses componentes.

1)

Restabelecer o fornecimento e a utilização das unidades de carteira fornecidas ao abrigo dessa solução de carteira, emitindo uma unidade de carteira fornecida ao abrigo de uma nova versão da solução de carteira para todos os utentes afetados;

2)

Emitir novos certificados de unidades de carteira para novas unidades de carteira ou, se for caso disso, para unidades de carteira emitidas anteriormente, desde que essas unidades de carteira cumpram os requisitos de segurança em vigor após a violação ou o comprometimento da segurança terem sido sanados;

3)

Revogar qualquer medida aplicada nos termos do artigo 4.o que impeça o fornecimento de novas unidades de carteira ao abrigo da solução de carteira afetada, se essa medida estiver relacionada apenas com a violação ou o comprometimento da segurança já sanado.

1)

São informadas desse facto, sem demora injustificada, todas as partes que tenham recebido informações sobre a suspensão do fornecimento e da utilização dessa solução de carteira nos termos do artigo 5.o, n.o 1.

2)

As informações prestadas em conformidade com o ponto 1 incluem, pelo menos, os elementos referidos no artigo 5.o, n.o 2, alíneas a), b) e f) a h), bem como os seguintes elementos: