Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2024, Wirtschaft - EU Bund

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 5a Absatz 23,

in Erwägung nachstehender Gründe:

(1) Der durch die Verordnung (EU) Nr. 910/2014 geschaffene europäische Rahmen für die digitale Identität ist eine unverzichtbare Komponente für die Schaffung eines sicheren und interoperablen Ökosystems für die digitale Identität in der gesamten Union. Da die europäischen Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen") den Eckpfeiler des Rahmens bilden, soll damit der Zugang zu Diensten in allen Mitgliedstaaten erleichtert und gleichzeitig der Schutz personenbezogener Daten und der Privatsphäre gewährleistet werden.

(2) Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ² oder die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ³ und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ⁴ gelten für jede Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(3) Gemäß Artikel 5a Absatz 23 der Verordnung (EU) Nr. 910/2014 muss die Kommission erforderlichenfalls einschlägige Spezifikationen und Verfahren festlegen. Erreicht wird dies durch vier Durchführungsverordnungen, nämlich über Protokolle und Schnittstellen: Durchführungsverordnung (EU) 2024/2982 der Kommission ⁵, Integrität und Kernfunktionen: Durchführungsverordnung (EU) 2024/2979 der Kommission ⁶, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen: Durchführungsverordnung (EU) 2024/2977 der Kommission ⁷ sowie Notifizierungen an die Kommission: Durchführungsverordnung (EU) 2024/2980 der Kommission ⁸. In der vorliegenden Verordnung werden die einschlägigen Anforderungen an die Notifizierung vertrauenswürdiger Stellen, die die Vertrauenswürdigkeit des europäischen Rahmens für die digitale Identität begründen, durch die Mitgliedstaaten festgelegt.

(4) Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen oder technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Durchführungsverordnung festgelegten technischen Spezifikationen auf den Arbeiten, die auf der Grundlage der Empfehlung (EU) 2021/946 der Kommission vom 3. Juni 2021 für ein gemeinsames Instrumentarium der Union für ein koordiniertes Herangehen an einen Rahmen für die europäische digitale Identität ⁹ durchgeführt wurden, insbesondere auf der Architektur und dem Referenzrahmen. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates ¹⁰ sollte die Kommission diese Durchführungsverordnung gegebenenfalls überprüfen und aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(5) Um das Ziel der Schaffung einer transparenten und zuverlässigen Informationsquelle für die Authentifizierung von Einrichtungen im Ökosystem europäischer Brieftaschen für die digitale Identität, wie Brieftaschenanbieter, Anbieter von Personenidentifizierungsdaten und auf Brieftaschen vertrauende Beteiligte, zu erreichen, sollten die Mitgliedstaaten die erforderlichen Informationen an das dafür von der Kommission bereitgestellte elektronische System übermitteln. Im Einklang mit dem mit dem Durchführungsbeschluss (EU) 2015/1984 der Kommission ¹¹ verfolgten Ansatz für die Festlegung der Umstände, Formate und Verfahren der Notifizierung im Hinblick auf elektronische Identifizierungssysteme für elektronische Identifizierungsmittel sollten die Mitgliedstaaten der Kommission die Informationen in englischer Sprache übermitteln. Auf diese Weise stehen Beschreibungen elektronischer Identifizierungssysteme in englischer Sprache für alle derartigen Systeme zur Verfügung, unabhängig davon, ob sie sich auf elektronische Identifizierungsmittel oder Brieftaschen beziehen.

(6) Zum selben Ziel der Schaffung von Informationsquellen, die die Authentifizierung von Einrichtungen im Ökosystem europäischer Brieftaschen für die digitale Identität ermöglichen, sollte die Kommission eine Infrastruktur errichten, um die der Öffentlichkeit zugänglichen Informationen in sicherer, vom Menschen lesbarer, klarer und leicht zugänglicher Weise sowie in elektronisch unterzeichneter oder besiegelter Form, die für eine automatisierte Verarbeitung geeignet ist, zur Verfügung zu stellen, unter anderem durch Bereitstellung einer Anwendungsprogrammierschnittstelle.

(7) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und gab am 30. September 2024 seine Stellungnahme ab.

(8) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des in Artikel 48 der Verordnung (EU) Nr. 910/2014 genannten Ausschusses

- hat folgende Verordnung erlassen:

Artikel 1 Gegenstand und Anwendungsbereich

Mit dieser Verordnung werden Notifizierungspflichten festgelegt, um Folgendes validieren zu können:

1. elektronische Register, in denen ein Mitgliedstaat Informationen über die in diesem Mitgliedstaat gemäß Artikel 5b Absatz 5 der Verordnung (EU) Nr. 910/2014 registrierten auf Brieftaschen vertrauenden Beteiligten (im Folgenden "Register der auf Brieftaschen vertrauenden Beteiligten") veröffentlicht, URL-Angaben der Register der auf Brieftaschen vertrauenden Beteiligten und Identifizierung der Registrierstellen für auf Brieftaschen vertrauende Beteiligte;
2. Identität der registrierten auf Brieftaschen vertrauenden Beteiligten,
3. Echtheit und Gültigkeit von Einzelbrieftaschen,
4. Identifizierung der Brieftaschenanbieter,
5. Echtheit der Personenidentifizierungsdaten,
6. Identifizierung der Anbieter von Personenidentifizierungsdaten.
   Die Verordnung ist regelmäßig zu aktualisieren, damit sie mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt hält.

Artikel 2 Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1. "Brieftaschenanbieter" eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt;

2. "Anbieter von Personenidentifizierungsdaten" eine natürliche oder juristische Person, die für die Ausstellung und den Widerruf der Personenidentifizierungsdaten verantwortlich ist und sicherstellt, dass die Personenidentifizierungsdaten eines Nutzers kryptografisch an eine Einzelbrieftasche gebunden sind;

3. "auf Brieftaschen vertrauender Beteiligter" einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen;

4. "Register der auf Brieftaschen vertrauenden Beteiligten" ein elektronisches Register, das von einem Mitgliedstaat verwendet wird, um Informationen über die in diesem Mitgliedstaat registrierten auf Brieftaschen vertrauenden Beteiligten gemäß Artikel 5b Absatz 5 der Verordnung (EU) Nr. 910/2014 öffentlich zugänglich zu machen;

5. "Registrierstelle für auf Brieftaschen vertrauende Beteiligte" die von einem Mitgliedstaat benannte Stelle, die für die Erstellung und Führung der Liste der im Hoheitsgebiet dieses Mitgliedstaats niedergelassenen registrierten auf Brieftaschen vertrauenden Beteiligten zuständig ist;

6. "Einzelbrieftasche" eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden;

7. "Brieftaschenlösung" eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen;

8. "Brieftascheninstanz" die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren;

9. "sichere Kryptoanwendung für Brieftaschen" (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt;

10. "sicheres Kryptomodul für Brieftaschen" (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen;

11. "kritische Werte" Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte;

12. "Brieftaschennutzer" einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat;

13. "Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte" eine natürliche oder juristische Person, die von einem Mitgliedstaat beauftragt wurde, Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte auszustellen, die in diesem Mitgliedstaat registriert sind;

14. "Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte" ein Zertifikat für elektronische Siegel oder Signaturen, mit dem auf Brieftaschen vertrauende Beteiligte authentifiziert und validiert werden und das von einem Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte ausgestellt wird.

Artikel 3 Notifizierungssystem

(1) Die Kommission stellt den Mitgliedstaaten spätestens zwölf Monate nach Veröffentlichung dieser Verordnung im Amtsblatt der Europäischen Union ein sicheres elektronisches Notifizierungssystem zur Verfügung, das es den Mitgliedstaaten ermöglicht, Informationen über die in Artikel 5a Absatz 18 der Verordnung (EU) Nr. 910/2014 genannten Stellen und Mechanismen zu übermitteln.

(2) Das sichere elektronische Notifizierungssystem muss den technischen Anforderungen des Anhangs I entsprechen.

Artikel 4 Notifizierungen durch die Mitgliedstaaten

(1) Die Mitgliedstaaten übermitteln über das in Artikel 3 Absatz 1 genannte Notifizierungssystem zumindest die in Anhang II genannten Informationen.

(2) Die Mitgliedstaaten nehmen die Notifizierungen zumindest in englischer Sprache vor. Die Mitgliedstaaten sind nicht verpflichtet, weitere Unterlagen zu übersetzen, wenn dies einen unzumutbaren Verwaltungs- oder finanziellen Aufwand verursachen würde.

(3) Die Kommission kann zur Überprüfung der Vollständigkeit und der Kohärenz der notifizierten Informationen von den Mitgliedstaaten zusätzliche Informationen oder Klarstellungen verlangen.

Artikel 5 Veröffentlichungen durch die Kommission

(1) Die Kommission erstellt, führt und veröffentlicht eine Liste, in der die von den Mitgliedstaaten notifizierten Informationen über die in Anhang II Abschnitt 1 genannten Registrierstellen für auf Brieftaschen vertrauende Beteiligte und die Register der auf Brieftaschen vertrauenden Beteiligten zusammengeführt sind.

(2) Die Kommission erstellt, führt und veröffentlicht eine Liste, in der die von den Mitgliedstaaten notifizierten Informationen über die in Anhang II Abschnitte 2, 3 und 4 genannten Brieftaschenanbieter, Anbieter von Personenidentifizierungsdaten und Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zusammengeführt sind.

(3) Die Kommission stellt sicher, dass auf die in den Absätzen 1 und 2 dieses Artikels genannten Listen folgendermaßen zugegriffen werden kann:

1. in elektronisch unterzeichneter oder besiegelter Form, die für eine automatisierte Verarbeitung geeignet ist, und auf einer vom Menschen lesbaren Website, die mindestens in englischer Sprache verfügbar ist;
2. ohne sich für den Erhalt oder das Lesen der Listen registrieren oder authentifizieren zu müssen;
3. in sicherer Weise durch modernste Verschlüsselung in der Transportschicht.

(4) Zusätzlich zu den Veröffentlichungen der in den Absätzen 1 und 2 genannten Listen veröffentlicht die Kommission

1. die technischen Spezifikationen, die die Kommission für die Strukturierung der Listen verwendet;
2. die zur Veröffentlichung der Listen verwendeten URL-Angaben;
3. die zur Überprüfung der Signatur oder des Siegels auf den Listen zu verwendenden Zertifikate;
4. die Angaben zu den Mechanismen, die zur Validierung von Änderungen der in Buchstabe b) genannten URL-Angaben oder der unter Buchstabe c) genannten Zertifikate verwendet werden.

Artikel 6 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 28. November 2024

.

1. Die Schnittstelle des sicheren elektronischen Notifizierungssystems liegt zumindest in englischer Sprache vor.
2. Das von der Kommission bereitgestellte sichere elektronische Notifizierungssystem muss für Folgendes konzipiert sein:
   1. Es muss den Mitgliedstaaten ermöglichen, dieselben Informationen nur einmal zu übermitteln, indem gegebenenfalls zuvor übermittelte Informationen weiterverwendet werden.
   2. Es muss die Übermittlung von Informationen sowohl über maschinenlesbare Schnittstellen als auch über vom Menschen nutzbare Schnittstellen ermöglichen.
   3. Es muss angemessene Zugangskontrollen und ein angemessenes Zugangskontrollmanagement unterstützen und dazu den Mitgliedstaaten die Befugnis übertragen, zuständigen Vertretern Zugang zu den Notifizierungen zu gewähren.
   4. Es muss Notifizierungen der in Anhang II festgelegten Informationen unterstützen.
   5. Es muss den Mitgliedstaaten ermöglichen, die übermittelten Informationen einzusehen.
   6. Es muss den Eingang der Notifizierungen von Informationen auf elektronischem Wege bestätigen.
   7. Es muss Aufzeichnungen etwaiger früherer Änderungen der notifizierten Informationen aufbewahren und die Mitgliedstaaten diese einsehen lassen.

.

1. Notifizierung von Informationen über Registrierstellen und Register

(1) Die Mitgliedstaaten übermitteln der Kommission die folgenden Informationen über ihre Registrierstellen und Register:

1. den Namen des Registers;
2. mindestens eine URL, über die das Register zugänglich ist, wobei die Verschlüsselung in der Transportschicht unter Verwendung modernster Technik erfolgt;
3. den Namen der Registrierstelle, die für dieses Register zuständig ist;
4. gegebenenfalls die Registriernummer der Registrierstelle;
5. den Mitgliedstaat, in dem die Registrierstelle niedergelassen ist;
6. die E-Mail-Adresse und die Telefonnummer der Registrierstelle zur Kontaktaufnahme in Fragen im Zusammenhang mit dem Register;
7. gegebenenfalls die URL einer Webseite mit zusätzlichen Informationen über die Registrierstelle und das Register;
8. die URL der Webseite mit der für das Register geltenden Registrierungspolitik und den damit verbundenen Informationen;
9. ein oder mehrere Zertifikate, die mit IETF RFC 3647 im Einklang stehen und zur Überprüfung der Signaturen oder Siegel verwendet werden können, die von der Registrierstelle für die Registerdaten erstellt wurden und deren zertifizierte Identitätsdaten den Namen der Registrierstelle und gegebenenfalls die Registriernummer der Registrierstelle gemäß Buchstabe c bzw. Buchstabe d enthalten.

(2) Die in Nummer 1 genannten Informationen sind für jedes Register und jede Registrierstelle einzeln anzugeben.

2. Notifizierungen von Informationen über Brieftaschenanbieter und Mechanismen zur Validierung der Echtheit und Gültigkeit von Einzelbrieftaschen

(1) Die Mitgliedstaaten übermitteln der Kommission die folgenden Informationen über Brieftaschenanbieter:

1. den Namen des Brieftaschenanbieters;
2. gegebenenfalls die Registriernummer des Brieftaschenanbieters;
3. gegebenenfalls den Namen der für die Bereitstellung der Brieftaschenlösung zuständigen Stelle;
4. den Mitgliedstaat, in dem der Brieftaschenanbieter niedergelassen ist;
5. die E-Mail-Adresse und die Telefonnummer des Brieftaschenanbieters zur Kontaktaufnahme in Fragen im Zusammenhang mit den von ihm bereitgestellten Brieftaschenlösungen;
6. gegebenenfalls die URL der Webseite mit zusätzlichen Informationen über den Brieftaschenanbieter und die Brieftaschenlösung;
7. die URL der Webseite mit den Regelungen und Nutzungsbedingungen des Brieftaschenanbieters, die für die Bereitstellung und Nutzung der von ihm bereitgestellten Brieftaschenlösung gelten;
8. ein oder mehrere Zertifikate, die mit IETF RFC 3647 im Einklang stehen, zur Authentifizierung und Validierung der für die Brieftasche vorgesehenen Komponenten der Einzelbrieftasche verwendet werden können und deren zertifizierte Identitätsdaten den Namen und gegebenenfalls die Registriernummer des Brieftaschenanbieters gemäß Buchstabe a bzw. b enthalten;
9. für jede vom Brieftaschenanbieter bereitgestellte Brieftaschenlösung den Namen und die Referenznummer der von ihm bereitgestellten Brieftaschenlösung, da die Kommission diese Informationen gemäß Artikel 5d der Verordnung (EU) Nr. 910/2014 im Amtsblatt der Europäischen Union veröffentlichen muss.

(2) Die in Nummer 1 genannten Informationen sind für jeden Anbieter einzeln anzugeben.

3. Notifizierung von Informationen über Anbieter von Personenidentifizierungsdaten und den Mechanismus zur Authentifizierung und Validierung der Personenidentifizierungsdaten

(1) Die Mitgliedstaaten übermitteln der Kommission die folgenden Informationen über Anbieter von Personenidentifizierungsdaten:

1. den Namen des Anbieters von Personenidentifizierungsdaten;
2. gegebenenfalls eine Registriernummer des Anbieters von Personenidentifizierungsdaten;
3. gegebenenfalls den Namen der Stelle, die dafür zuständig ist, dass die Personenidentifizierungsdaten mit der Brieftasche verknüpft werden;
4. den Mitgliedstaat, in dem der Anbieter von Personenidentifizierungsdaten niedergelassen ist;
5. die E-Mail-Adresse und die Telefonnummer des Anbieters von Personenidentifizierungsdaten zur Kontaktaufnahme in Fragen im Zusammenhang mit den von ihm bereitgestellten Personenidentifizierungsdaten;
6. gegebenenfalls die URL der Webseite mit zusätzlichen Informationen über den Anbieter von Personenidentifizierungsdaten;
7. die URL der Webseite mit den Regelungen und Nutzungsbedingungen des Anbieters von Personenidentifizierungsdaten, die für die Bereitstellung und Nutzung der von ihm bereitgestellten Personenidentifizierungsdaten gelten;
8. ein oder mehrere Zertifikate, die mit IETF RFC 3647 im Einklang stehen und zur Überprüfung der Signaturen oder Siegel verwendet werden können, die vom Anbieter von Personenidentifizierungsdaten für die von ihm bereitgestellten Personenidentifizierungsdaten erstellt wurden und deren zertifizierte Identitätsdaten den Namen und gegebenenfalls die Registriernummer des Anbieters von Personenidentifizierungsdaten gemäß Buchstabe (a) bzw. Buchstabe (b) enthalten.

(2) Die in Nummer 1 genannten Informationen sind für jeden Anbieter einzeln anzugeben.

4. Notifizierungen von Informationen über Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte

(1) Die Mitgliedstaaten übermitteln der Kommission die folgenden Informationen über Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte:

1. den Namen des Anbieters von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte;
2. gegebenenfalls eine Registriernummer des Anbieters von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte;
3. den Mitgliedstaat, in dem der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte niedergelassen ist;
4. die E-Mail-Adresse und die Telefonnummer des Anbieters von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Kontaktaufnahme in Fragen im Zusammenhang mit den von ihm für auf Brieftaschen vertrauende Beteiligte bereitgestellten Zugriffszertifikaten;
5. gegebenenfalls die URL der Webseite mit zusätzlichen Informationen über den Anbieter und die von ihm für auf Brieftaschen vertrauende Beteiligte bereitgestellten Zugriffszertifikate;
6. die URL der Webseite mit den Regelungen und Nutzungsbedingungen, die für die Bereitstellung und Nutzung der von dem Anbieter für auf Brieftaschen vertrauende Beteiligte bereitgestellten Zugriffszertifikate gelten;
7. ein oder mehrere Zertifikate, die mit IETF RFC 3647 im Einklang stehen und zur Überprüfung der Signaturen oder Siegel verwendet werden können, die vom Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte für die von ihm für auf Brieftaschen vertrauende Beteiligte bereitgestellten Zugriffszertifikate erstellt wurden, gegebenenfalls mit den zur Unterscheidung zwischen Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte und anderen Zertifikaten erforderlichen Informationen.

(2) Die in Nummer 1 genannten Informationen sind für jeden Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte einzeln anzugeben.

ENDE