Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2024, Wirtschaft - EU Bund

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 5c Absatz 6,

in Erwägung nachstehender Gründe:

(1) Gemäß Artikel 5c der Verordnung (EU) Nr. 910/2014 muss die Zertifizierung europäischer Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen") im Einklang mit funktionalen Anforderungen, Cybersicherheitsanforderungen und Datenschutzanforderungen erfolgen, um ein hohes Maß an Sicherheit und Vertrauen in die Brieftaschen zu gewährleisten. Diese Zertifizierungsanforderungen müssen in allen Mitgliedstaaten harmonisiert werden, um eine Marktfragmentierung zu verhindern und einen soliden Rahmen zu schaffen.

(2) Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ² und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ³ gelten für die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(3) Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen oder technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Verordnung festgelegten technischen Spezifikationen auf den Arbeiten, die auf der Grundlage der Empfehlung (EU) 2021/946 der Kommission vom 3. Juni 2021 für ein gemeinsames Instrumentarium der Union für ein koordiniertes Herangehen an einen Rahmen für die europäische digitale Identität ⁴ durchgeführt wurden, insbesondere auf der Architektur und dem Referenzrahmen, die Teil davon sind. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates ⁵ sollte die Kommission diese Durchführungsverordnung gegebenenfalls überprüfen und aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(4) Um die Konformität mit den im Zertifizierungsrahmen enthaltenen Cybersicherheitsanforderungen zu bescheinigen, sollte sich die Zertifizierung von Brieftaschenlösungen, soweit verfügbar und relevant, auf die gemäß der Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates ⁶ eingerichteten europäischen Systeme (Schemata) für die Cybersicherheitszertifizierung beziehen. In Ermangelung solcher Systeme oder wenn sie Cybersicherheitsanforderungen nur teilweise abdecken, werden in dieser Verordnung die allgemeinen Anforderungen festgelegt, die für nationale Zertifizierungssysteme gelten und funktionale Anforderungen, Cybersicherheitsanforderungen und Datenschutzanforderungen beinhalten.

(5) Gemäß Artikel 5a Absatz 11 der Verordnung (EU) Nr. 910/2014 sind die Brieftaschen gemäß der Verordnung (EU) Nr. 910/2014 und der Durchführungsverordnung (EU) 2015/1502 der Kommission ⁷ auf dem Sicherheitsniveau "hoch" zu zertifizieren. Die Brieftaschenlösung insgesamt muss diesem Sicherheitsniveau entsprechen. Nach der vorliegenden Verordnung können einige Komponenten der Brieftaschenlösung mit einem niedrigeren Sicherheitsniveau zertifiziert werden, sofern dies hinreichend begründet ist, und unbeschadet dessen, dass mit der Gesamtlösung das Sicherheitsniveaus "hoch" erreicht werden muss.

(6) Alle nationalen Zertifizierungssysteme sollten einen Systeminhaber benennen, der für die Entwicklung und Pflege des Zertifizierungssystems verantwortlich ist. Der Systeminhaber kann eine Konformitätsbewertungsstelle, eine staatliche Stelle oder Behörde, ein Wirtschaftsverband, eine Gruppe von Konformitätsbewertungsstellen oder eine sonstige geeignete Stelle sein und kann eine andere Stelle als diejenige sein, die das nationale Zertifizierungssystem betreibt.

(7) Der Zertifizierungsgegenstand sollte die Softwarekomponenten der Brieftaschenlösung, wie z.B. die Brieftascheninstanz, umfassen. Die sichere Kryptoanwendung für Brieftaschen (Wallet Secure Cryptographic Application, "WSCA"), das sichere Kryptomodul für Brieftaschen (Wallet Secure Cryptographic Device, WSCD) und die Plattformen, auf denen diese Softwarekomponenten ausgeführt werden, sollten zwar Teil der Betriebsumgebung sein, aber nur dann in den Zertifizierungsgegenstand einbezogen werden, wenn sie von der Brieftaschenlösung bereitgestellt werden. In anderen Fällen, insbesondere wenn diese Module und Plattformen von Endnutzern bereitgestellt werden, sollten die Anbieter Annahmen über die Betriebsumgebung der Brieftaschenlösung, auch auf diesen Modulen und Plattformen, festlegen und Maßnahmen ergreifen, um zu bestätigen, dass diese Annahmen in der Praxis überprüft werden. Zum Schutz der kritischen Werte durch Hardware und Systemsoftware, die zur Verwaltung und zum Schutz kryptografischer Schlüssel, die vom WSCD erstellt, gespeichert oder verarbeitet werden, muss das WSCD hohen Zertifizierungsstandards genügen, die sich in internationalen Normen wie den in der Durchführungsverordnung (EU) 2024/482 der Kommission ⁸ festgelegten Gemeinsamen Kriterien (EUCC) widerspiegeln, und zwar durch einer EAL4-Evaluierung und eine fortgeschrittene methodische Schwachstellenanalyse, z.B. vergleichbar mit AVA_VAN.5. Diese Zertifizierungsstandards sollten spätestens dann angewandt werden, wenn die Zertifizierung der Konformität von Brieftaschen im Anschluss an ein gemäß der Verordnung (EU) 2019/881 angenommenes europäisches System (Schema) für die Cybersicherheitszertifizierung durchgeführt wird.

(8) Vollständig mobile, sichere und benutzerfreundliche Brieftaschen werden durch die Verfügbarkeit standardisierter und zertifizierter manipulationssicherer Lösungen wie etwa eingebetteter sicherer Elemente, externer Geräte (z.B. Chipkarten) oder eingebetteter SIM-Plattformen in Mobilgeräten unterstützt. Es ist wichtig, den zeitnahen Zugang zu eingebetteten sicheren Elementen für nationale eID-Mittel und Brieftaschen sicherzustellen und die Bemühungen der Mitgliedstaaten in diesem Bereich zu koordinieren. Die gemäß Artikel 46e Absatz 1 der Verordnung (EU) Nr. 910/2014 eingesetzte europäische Kooperationsgruppe für die digitale Identität (im Folgenden "Kooperationsgruppe") sollte daher zu diesem Zweck eine spezielle Untergruppe einrichten. Nach Konsultation der einschlägigen Interessenträger sollte sich diese Untergruppe auf einen gemeinsamen Fahrplan für den Zugang zu eingebetteten sicheren Elementen einigen, den die Kommission im Überprüfungsbericht zur Verordnung (EU) Nr. 910/2014 berücksichtigen sollte. Um die Einführung der Brieftasche auf nationaler Ebene zu erleichtern, sollte die Kommission darüber hinaus in Zusammenarbeit mit den Mitgliedstaaten ein Handbuch für Anwendungsfälle als Teil der Architektur und des Referenzrahmens ausarbeiten und kontinuierlich aktualisieren.

(9) Der Zertifizierungsgegenstand nationaler Zertifizierungssysteme sollte auch die Prozesse umfassen, die für die Bereitstellung und den Betrieb der Brieftaschenlösung verwendet werden, auch wenn Dritte mit der Festlegung oder Ausführung dieser Prozesse beauftragt werden. Um nachzuweisen, dass die Prozesse den Anforderungen der Systeme genügen, dürfen Sicherheitsangaben als Nachweis verwendet werden, sofern anhand einer Abhängigkeitsanalyse festgestellt wird, dass solche Sicherheitsangaben ausreichen. Die Sicherheitsangaben werden in vielen unterschiedlichen Formen vorgelegt, darunter als Berichte und Konformitätszertifikate, die privat, national, europäisch oder international sein können, sowie auf der Grundlage von Normen oder technischen Spezifikationen. Ziel der Abhängigkeitsanalyse ist es, die Qualität der verfügbaren Sicherheitsangaben über die Brieftaschenkomponenten zu bewerten.

(10) Nach den zu diesem Zweck festgelegten Verfahren sollte die Kooperationsgruppe in der Lage sein, Stellungnahmen und Empfehlungen zu den ihr vorgelegten Entwürfen für nationale Zertifizierungssysteme abzugeben. Solche nationalen Zertifizierungssysteme sollten spezifisch für die Brieftaschenarchitektur sein und für jede einzelne unterstützte Architektur bestimmte Profile vorsehen.

(11) Um ein gemeinsames Verständnis und einen harmonisierten Ansatz für die Bewertung der größten Risiken, die sich auf die Bereitstellung und den Betrieb von Brieftaschen auswirken könnten, zu gewährleisten, sollte ein Register der Risiken und Bedrohungen erstellt werden, das bei der Konzeption von Brieftaschenlösungen unabhängig von ihrer spezifischen Architektur berücksichtigt werden sollte. Bei der Ermittlung, welche Risiken in das Register aufgenommen werden sollten, sollten die in der Verordnung (EU) Nr. 910/2014 beschriebenen Cybersicherheitsziele wie Vertraulichkeit, Unversehrtheit und Verfügbarkeit der Brieftaschenlösung sowie die Privatsphäre der Nutzer und der Datenschutz berücksichtigt werden. Die gebührende Berücksichtigung der Risiken und Bedrohungen, die in diesem Risikoregister verzeichnet sind, sollte Teil der Anforderungen der nationalen Zertifizierungssysteme sein. Um mit der sich ständig weiterentwickelnden Bedrohungslandschaft Schritt zu halten, sollte das Risikoregister in Zusammenarbeit mit der Kooperationsgruppe geführt und regelmäßig aktualisiert werden.

(12) Bei der Einrichtung ihrer Zertifizierungssysteme sollten die Systeminhaber eine Risikobewertung durchführen, um die im Register aufgeführten Risiken und Bedrohungen durch Risiken und Bedrohungen zu präzisieren und zu ergänzen, die für die Architektur oder Umsetzung der Brieftaschenlösung spezifisch sind. Bei der Risikobewertung sollte geprüft werden, wie die bestehenden Risiken und Bedrohungen angemessen behandelt werden können. Brieftaschenanbieter sollten die Risikobewertung des Systems ergänzen, um Risiken und Bedrohungen zu bestimmen, die für ihre Brieftaschenumsetzung spezifisch sind, und geeignete Risikobehandlungsmaßnahmen zur Evaluierung durch die Zertifizierungsstelle vorschlagen.

(13) Zum Nachweis, dass eine Architektur der Brieftaschenlösung den geltenden Sicherheitsanforderungen entspricht, sollte jedes architekturspezifische System oder Profil zumindest eine Beschreibung der Architektur der Brieftaschenlösung, eine Liste der für die Architektur der Brieftaschenlösung geltenden Sicherheitsanforderungen, einen Evaluierungsplan zur Bestätigung, dass eine Brieftaschenlösung auf der Grundlage dieser Architektur diesen Anforderungen entspricht, und eine Risikobewertung enthalten. Die nationalen Zertifizierungssysteme sollten die Brieftaschenanbieter dazu verpflichten, die Übereinstimmung der Konzeption der von ihnen bereitgestellten Brieftaschenlösung mit der Referenzarchitektur nachzuweisen und die Sicherheitskontrollen und Validierungspläne für die jeweilige Brieftaschenlösung im Einzelnen darzulegen. In den nationalen Zertifizierungssystemen sollte auch eine Konformitätsbewertungstätigkeit festgelegt werden, um zu überprüfen, ob die Konzeption der Brieftasche die Referenzarchitektur des ausgewählten Profils angemessen widerspiegelt. Die nationalen Zertifizierungssysteme sollten die Anforderungen des Artikels 51 der Verordnung (EU) 2019/881, mit Ausnahme der Buchstaben e und f, in Bezug auf die Protokollierung erfüllen.

(14) In Bezug auf die Zertifizierung von Produkten sollten Konformitätszertifikate, die im Rahmen des EU-Systems für die Cybersicherheitszertifizierung EUCC ausgestellt wurden, und Konformitätszertifikate, die im Zuge nationaler Zertifizierungssysteme nach der in der Gruppe hoher Beamter für die Sicherheit der Informationssysteme (SOG-IS) getroffenen Vereinbarung über die gegenseitige Anerkennung ausgestellt wurden, verwendet werden dürfen. Darüber hinaus sollten andere nationale Zertifizierungssysteme für weniger sensible Produktkomponenten verwendet werden dürfen, wie z.B. diejenigen, die gemäß der CEN-Norm EN 17640 für die zeitlich festgelegte Cybersicherheitsevaluationsmethodologie eingerichtet wurden.

(15) Das Vertrauenssiegel der europäischen Brieftasche für die digitale Identität (im Folgenden "Vertrauenssiegel") sollte verwendet werden, um klar, einfach und erkennbar anzugeben, dass eine Brieftasche gemäß der Verordnung (EU) Nr. 910/2014 bereitgestellt wird. Daher sollte es als Konformitätssiegel für eine im Rahmen nationaler Zertifizierungssysteme zertifizierte Brieftaschenlösung betrachtet werden. In den nationalen Zertifizierungssystemen sollten keine anderen Konformitätssiegel festgelegt werden.

(16) Um Betrug zu verhindern, sollten in den nationalen Zertifizierungssystemen Maßnahmen festgelegt werden, die zu ergreifen sind, wenn eine Zertifizierung im Rahmen des Systems in betrügerischer Absicht behauptet wird.

(17) Zur Gewährleistung eines effizienten Managements der Meldung von Schwachstellen sollten Anbieter von Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, Prozesse zur Bewertung der Schwere und der möglichen Auswirkungen von Schwachstellen festlegen und umsetzen. In den nationalen Zertifizierungssystemen sollte ein Schwellenwert festgelegt werden, ab dem die Zertifizierungsstelle benachrichtigt werden muss. Diese Meldepflicht sollte die in den Datenschutzvorschriften und von den Datenschutzbehörden der Mitgliedstaaten festgelegten Kriterien für die Meldung von Verletzungen des Schutzes personenbezogener Daten unberührt lassen. Es könnten mögliche Synergien zwischen der obligatorischen Meldung einer Verletzung oder Beeinträchtigung der Brieftaschenlösungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679 hergestellt werden. Die Bewertung eines Berichts über die Analyse der Auswirkungen der Schwachstelle durch die Zertifizierungsstelle sollte die Bewertung einer Datenschutz-Folgenabschätzung durch eine Datenschutzbehörde gemäß den Artikeln 35 und 36 der Verordnung (EU) 2016/679 unberührt lassen.

(18) Die Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, sollten den Systeminhaber über etwaige Gründe für Ausnahmen von der für die Evaluierung des WSCD und der WSCA gemäß Anhang IV erforderlichen Schwachstellenbewertung unterrichten.

(19) Die Aufhebung eines Konformitätszertifikats könnte schwerwiegende Folgen haben, wie z.B. den Widerruf aller eingesetzten Einzelbrieftaschen. Daher sollten Zertifizierungsstellen eine Aufhebung nur dann in Betracht ziehen, wenn eine nicht behobene Schwachstelle die Zuverlässigkeit der Brieftaschenlösung oder die Zuverlässigkeit einer anderen Brieftaschenlösung wahrscheinlich erheblich beeinträchtigt.

(20) Es sollte ein besonderer Prozess für die Aktualisierung der nationalen Zertifizierungssysteme eingeführt werden, um den Übergang zwischen aufeinanderfolgenden Versionen der Systeme zu steuern, insbesondere in Bezug auf Maßnahmen, die der Zertifikatsinhaber in Zukunft in Bezug auf Evaluierungen, Pflege, Neuzertifizierung und Sonderevaluierungen zu ergreifen hat.

(21) Zugunsten einer größeren Transparenz sollten Brieftaschenanbieter Sicherheitsinformationen über ihre Brieftaschenlösung öffentlich zur Verfügung stellen.

(22) Stützen sich nationale Zertifizierungssysteme auf Sicherheitsangaben aus anderen Zertifizierungssystemen oder Quellen, sollte eine Abhängigkeitsanalyse durchgeführt werden, um zu überprüfen, ob die Sicherheitsunterlagen, z.B. Instanzsicherheitsberichte und Konformitätszertifikate, verfügbar und für die Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, angemessen sind. Diese Abhängigkeitsanalyse sollte auf der Risikobewertung der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, beruhen. Bei der Bewertung sollte festgestellt werden, ob die Sicherheitsunterlagen zu einer bestimmten Brieftaschenlösung und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, geeignet sind, um eine der angestrebten Prüftiefe entsprechende Gewähr zu bieten. Im Rahmen der Evaluierung sollte auch die Abhängigkeitsanalyse aktualisiert oder erforderlichenfalls vollständig neu durchgeführt werden.

(23) Die Zertifizierungsstellen sollten Konformitätszertifikate im Rahmen nationaler Zertifizierungssysteme zusammen mit einem öffentlich zugänglichen Zertifizierungsbericht gemäß Artikel 5d Absatz 2 Buchstabe a der Verordnung (EU) Nr. 910/2014 ausstellen. Der zugehörige Bericht über die Bewertung der Zertifizierung sollte der Kooperationsgruppe zur Verfügung gestellt werden.

(24) Die nationalen Zertifizierungssysteme sollten eine jährliche Überwachungsevaluierung vorsehen, um sicherzustellen, dass die Prozesse im Zusammenhang mit der Verwaltung und Pflege der Brieftaschen wirksam, d. h. im Einklang mit den Konzepten zur Festlegung der Prozesse, funktionieren. Die zweijährliche Schwachstellenbeurteilung ist eine Anforderung aus der Verordnung (EU) Nr. 910/2014 und soll sicherstellen, dass die Brieftaschenlösung den im Risikoregister verzeichneten Cybersicherheitsrisiken und -bedrohungen, einschließlich etwaiger Entwicklungen der Bedrohungslage, weiterhin angemessen gerecht wird. Die Begriffe "Überwachungsevaluierungen", "Evaluierungen der Neuzertifizierung" und "Sonderevaluierungen" sollten der Norm EN ISO/IEC 17021-1:2015 entsprechen.

(25) Ein Zertifizierungszyklus endet mit dem Ablauf des Konformitätszertifikats oder mit der Ausstellung eines neuen Konformitätszertifikats nach einer erfolgreichen Evaluierung der Neuzertifizierung. Die Evaluierung der Neuzertifizierung sollte eine Evaluierung aller Komponenten des Zertifizierungsgegenstands, einschließlich einer Evaluierung der Wirksamkeit und gegebenenfalls einer Schwachstellenbeurteilung, umfassen. Während der Neuzertifizierung sollte es möglich sein, die Ergebnisse früherer Evaluierungen von Komponenten, die sich nicht geändert haben, zu übernehmen.

(26) Nachdem ein europäisches System für die Cybersicherheitszertifizierung angenommen worden ist, sollten im Rahmen nationaler Zertifizierungssysteme mit demselben Anwendungsbereich nach einem festgelegten Übergangszeitraum gemäß Artikel 57 Absatz 1 der Verordnung (EU) 2019/881 keine Zertifikate mehr ausgestellt werden.

(27) Die nationalen Zertifizierungssysteme sollten sich auf bestehende Rahmen stützen und gegebenenfalls Nachweise weiterverwenden, um Harmonisierung und Interoperabilität zu gewährleisten. Die Mitgliedstaaten können Vereinbarungen über die grenzüberschreitende Weiterverwendung von Zertifizierungssystemen oder Teilen davon schließen. Die Europäische Kommission und die ENISA sollten die Mitgliedstaaten in Zusammenarbeit mit der Kooperationsgruppe bei der Entwicklung und Pflege ihrer nationalen Zertifizierungssysteme unterstützen, um so den Wissensaustausch und bewährte Verfahren sicherzustellen.

(28) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ⁹ angehört und gab am 30. September 2024 seine Stellungnahme ab.

(29) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des in Artikel 48 Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Ausschusses

- hat folgende Verordnung erlassen:

Kapitel I
Allgemeine Bestimmungen

Artikel 1 Gegenstand und Anwendungsbereich

Mit dieser Verordnung werden Referenzstandards sowie Spezifikationen und Verfahren festgelegt, um einen soliden Rahmen für die Zertifizierung von Brieftaschen aufzubauen, der regelmäßig aktualisiert wird, damit er mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 für ein gemeinsames Instrumentarium der Union für ein koordiniertes Herangehen an einen Rahmen für die europäische digitale Identität durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt hält.

Artikel 2 Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:

1. "Brieftaschenlösung" eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen;

2. "Systeminhaber" eine Organisation, die für die Entwicklung und Pflege eines Zertifizierungssystems verantwortlich ist;

3. "Zertifizierungsgegenstand" Produkte, Prozesse und Dienste oder eine Kombination davon, für die bestimmte Anforderungen gelten;

4. "sichere Kryptoanwendung für Brieftaschen" (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt;

5. "Brieftascheninstanz" die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren;

6. "sicheres Kryptomodul für Brieftaschen" (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen;

7. "Risikoregister" eine Aufzeichnung von Informationen über festgestellte Risiken, die für den Zertifizierungsprozess relevant sind;

8. "Brieftaschenanbieter" eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt;

9. "Zertifizierungsstelle" eine als Dritte auftretende Konformitätsbewertungsstelle, die Zertifizierungssysteme betreibt;

10. "Einzelbrieftasche" eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden;

11. "kritische Werte" Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte;

12. "Brieftaschennutzer" einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat;

13. "Sicherheitsvorfall" einen Sicherheitsvorfall im Sinne des Artikels 6 Nummer 6 der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates ¹⁰;

14. "einbettete Offenlegungsregelung" eine Reihe von Vorschriften, die ein Anbieter in seine elektronische Attributsbescheinigung einbettet und die angibt, welche Bedingungen ein auf Brieftaschen vertrauender Beteiligter erfüllen muss, um auf die elektronische Attributsbescheinigung zugreifen zu können.

Kapitel II
Nationale Zertifizierungssysteme

Artikel 3 Einrichtung nationaler Zertifizierungssysteme

(1) Die Mitgliedstaaten benennen für jedes nationale Zertifizierungssystem einen Systeminhaber.

(2) Gegenstand der in den nationalen Zertifizierungssystemen festgelegten Zertifizierung sind die Bereitstellung und der Betrieb von Brieftaschenlösungen und der elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden.

(3) Gemäß der Durchführungsverordnung (EU) 2015/1502 umfasst der Zertifizierungsgegenstand nationaler Zertifizierungssysteme folgende Elemente:

1. Softwarekomponenten, einschließlich Einstellungen und Konfigurationen von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden;
2. Hardwarekomponenten und -plattformen, auf denen die unter Nr. b) genannten Softwarekomponenten laufen oder auf die diese für kritische Vorgänge angewiesen sind, sofern sie direkt oder indirekt von der Brieftaschenlösung und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, zur Verfügung gestellt werden und sofern sie zur Einhaltung des gewünschten Sicherheitsniveaus für diese Softwarekomponenten erforderlich sind. Werden die Hardwarekomponenten und -plattformen nicht vom Brieftaschenanbieter zur Verfügung gestellt, so müssen die nationalen Zertifizierungssysteme Annahmen für die Evaluierung der Hardwarekomponenten und -plattformen formulieren, nach denen Angreifern mit hohem Angriffspotenzial im Einklang mit der Durchführungsverordnung (EU) 2015/1502 widerstanden werden kann, und die Evaluierungstätigkeiten zur Bestätigung dieser Annahmen gemäß Anhang IV angeben;
3. Prozesse, die die Bereitstellung und den Betrieb einer Brieftaschenlösung unterstützen, einschließlich des in Artikel 5a der Verordnung (EU) Nr. 910/2014 genannten Verfahrens für die Nutzereinbindung, die mindestens die Anmeldung, die Verwaltung elektronischer Identifizierungsmittel und die Organisation gemäß Anhang I Abschnitte 2.1, 2.2 und 2.4 der Durchführungsverordnung (EU) 2015/1502 umfassen.

(4) Die nationalen Zertifizierungssysteme enthalten eine Beschreibung der spezifischen Architektur der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden. Umfassen nationale Zertifizierungssysteme mehr als eine spezifische Architektur, müssen sie ein Profil für jede spezifische Architektur enthalten.

(5) Für jedes Profil müssen die nationalen Zertifizierungssysteme mindestens Folgendes festlegen:

1. die spezifische Architektur einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen die Lösung bereitgestellt wird;
2. die Sicherheitskontrollen im Zusammenhang mit den Sicherheitsniveaus gemäß Artikel 8 der Verordnung (EU) Nr. 910/2014;
3. einen Evaluierungsplan, der gemäß der Norm EN ISO/IEC 17065:2012 Abschnitt 7.4.1 erstellt wurde;
4. die erforderlichen Sicherheitsanforderungen, um die im Risikoregister gemäß Anhang I der vorliegenden Verordnung verzeichneten Cybersicherheitsrisiken und -bedrohungen bis zum erforderlichen Sicherheitsniveau zu bewältigen und gegebenenfalls die in Artikel 51 der Verordnung (EU) 2019/881 festgelegten Ziele einzuhalten;
5. Zuordnungen zu den Kontrollen gemäß Buchstabe b dieses Absatzes in Bezug auf die Komponenten der Architektur;
6. eine Beschreibung, wie die Sicherheitskontrollen, die Zuordnungen, die Sicherheitsanforderungen und der Evaluierungsplan gemäß den Buchstaben b bis c es den Anbietern von Brieftaschenlösungen und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, ermöglichen, die Cybersicherheitsrisiken und -bedrohungen, die in dem unter Buchstabe d genannten Risikoregister verzeichnet sind, bis zum erforderlichen Sicherheitsniveau auf der Grundlage einer Risikobewertung, anhand der im Risikoregister verzeichneten Risiken und Bedrohungen, die durch architekturspezifische Risiken und Bedrohungen präzisiert und ergänzt werden, angemessen zu behandeln.

(6) In dem in Absatz 5 Buchstabe c genannten Evaluierungsplan werden Evaluierungstätigkeiten aufgeführt, die bei der Evaluierung der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, zu berücksichtigen sind.

(7) Im Rahmen der in Absatz 6 genannten Evaluierungstätigkeit müssen Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, Informationen gemäß den Anforderungen in Anhang II bereitstellen.

Artikel 4 Allgemeine Anforderungen

(1) Die nationalen Zertifizierungssysteme müssen funktionale Cybersicherheits- und Datenschutzanforderungen abdecken, indem - soweit verfügbar und anwendbar - die folgenden Zertifizierungssysteme verwendet werden:

1. europäische Systeme (Schemata) für die Cybersicherheitszertifizierung gemäß der Verordnung (EU) 2019/881, einschließlich des EUCC-Systems;
2. nationale Systeme für die Cybersicherheitszertifizierung, die gemäß Artikel 49 der Durchführungsverordnung (EU) 2024/482 unter das EUCC-System fallen.

(2) Soweit verfügbar und anwendbar, können sich nationale Zertifizierungssysteme zusätzlich auf Folgendes stützen:

1. andere einschlägige nationale Zertifizierungssysteme,
2. internationale, europäische und nationale Normen,
3. technische Spezifikationen, die die Anforderungen des Anhangs II der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates ¹¹ erfüllen.

(3) Die nationalen Zertifizierungssysteme

1. führen die in Abschnitt 6.5 der Norm EN ISO/IEC 17067:2013 aufgeführten Elemente auf;
2. werden gemäß EN ISO/IEC 17067:2013 Abschnitt 5.3.8 als System des Typs 6 umgesetzt.

(4) Die nationalen Zertifizierungssysteme müssen den folgenden Anforderungen genügen:

1. Nur den Anbietern gemäß Artikel 5a Absatz 2 der Verordnung (EU) Nr. 910/2014 dürfen Zertifikate im Rahmen der nationalen Zertifizierungssysteme ausgestellt werden;
2. nur das Vertrauenssiegel wird als Konformitätssiegel verwendet;
3. Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, verweisen auf die Verordnung (EU) Nr. 910/2014 und die vorliegende Verordnung, wenn sie auf das System Bezug nehmen;
4. Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, ergänzen die Risikobewertung des Systems gemäß Artikel 3 Absatz 5 Buchstabe f, um spezifische Risiken und Bedrohungen für ihre Umsetzung zu ermitteln und geeignete Behandlungsmaßnahmen für alle relevanten Risiken und Bedrohungen vorzuschlagen;
5. die Zuständigkeiten und rechtlichen Schritte werden festgelegt und enthalten Verweise auf die geltenden nationalen Rechtsvorschriften, in denen die Zuständigkeiten und möglichen rechtlichen Schritte für den Fall festgelegt sind, dass die Zertifizierung im Rahmen des Systems in betrügerischer Absicht verwendet wird.

(5) Die Bewertung gemäß Absatz 4 Buchstabe d wird der Zertifizierungsstelle zur Evaluierung übermittelt.

Artikel 5 Sicherheitsvorfall- und Schwachstellenmanagement

(1) Nationale Zertifizierungssysteme enthalten Anforderungen an das Sicherheitsvorfall- und Schwachstellenmanagement gemäß den Absätzen 2 bis 9.

(2) Der Inhaber eines Konformitätszertifikats einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, meldet seiner Zertifizierungsstelle unverzüglich jeden Verstoß oder jede Beeinträchtigung in Bezug auf eine Brieftaschenlösung oder das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, die sich auf deren/dessen Konformität mit den Anforderungen der nationalen Zertifizierungssysteme auswirken könnten.

(3) Der Inhaber eines Konformitätszertifikats muss ein Konzept und Verfahren für das Schwachstellenmanagement festlegen, aufrechterhalten und anwenden und dabei die Verfahren berücksichtigen, die in bestehenden europäischen und internationalen Normen, einschließlich der Norm EN ISO/IEC 30111:2019, festgelegt sind.

(4) Der Inhaber des Konformitätszertifikats meldet der ausstellenden Zertifizierungsstelle die Schwachstellen und Änderungen, die sich auf die Brieftaschenlösung auswirken, auf der Grundlage der für die Auswirkungen dieser Schwachstellen und Veränderungen festgelegten Kriterien.

(5) Der Inhaber des Konformitätszertifikats erstellt einen Bericht über die Analyse der Auswirkungen von Schwachstellen, die sich auf die Softwarekomponenten der Brieftaschenlösung auswirken. Der Bericht umfasst folgende Informationen:

1. die Auswirkungen der Schwachstelle auf die zertifizierte Brieftaschenlösung;
2. mögliche Risiken im Zusammenhang mit der Nähe oder Wahrscheinlichkeit einer Angriffsmöglichkeit;
3. ob die Schwachstelle mit den verfügbaren Mitteln behoben werden kann;
4. falls die Schwachstelle mit den verfügbaren Mitteln behoben werden kann, Möglichkeiten zur Behebung der Schwachstelle.

(6) Ist eine Meldung nach Absatz 4 erforderlich, übermittelt der Inhaber des Konformitätszertifikats der Zertifizierungsstelle unverzüglich den Bericht über die Analyse der Auswirkungen der Schwachstelle gemäß Absatz 5.

(7) Der Inhaber eines Konformitätszertifikats muss ein Konzept für das Schwachstellenmanagement festlegen, aufrechterhalten und anwenden, das die Anforderungen des Anhangs I der Cyberresilienz-Verordnung ¹² erfüllt.

(8) In den nationalen Zertifizierungssystemen werden Anforderungen an die Offenlegung von Schwachstellen festgelegt, die für Zertifizierungsstellen gelten.

(9) Der Inhaber eines Konformitätszertifikats legt alle öffentlich bekannten und behobenen Schwachstellen in der Brieftaschenlösung offen oder trägt sie in eines der in Anhang V genannten Online-Register ein.

Artikel 6 Pflege nationaler Zertifizierungssysteme

(1) Die nationalen Zertifizierungssysteme müssen einen Prozess zur regelmäßigen Überprüfung ihrer Funktionsweise vorsehen. Ziel dieses Prozesses ist es, ihre Angemessenheit zu bestätigen und unter Berücksichtigung der Rückmeldungen der Interessenträger verbesserungsbedürftige Aspekte zu ermitteln.

(2) Die nationalen Zertifizierungssysteme müssen Bestimmungen über ihre Pflege enthalten. Dieser Prozess umfasst zumindest folgende Anforderungen:

1. Vorschriften für die Leitung der Festlegung und der Anforderungen der nationalen Zertifizierungssysteme;
2. Festlegung von Fristen für die Ausstellung von Zertifikaten nach der Annahme aktualisierter Versionen der nationalen Zertifizierungssysteme, sowohl für neue als auch für zuvor ausgestellte Konformitätszertifikate;
3. eine regelmäßige Überprüfung der nationalen Zertifizierungssysteme, damit die entsprechenden Anforderungen einheitlich angewandt werden, wobei mindestens folgende Aspekte zu berücksichtigen sind:
   • an den Systeminhaber gerichtete Klarstellungsersuchen in Bezug auf die Anforderungen des nationalen Zertifizierungssystems;
   • Rückmeldungen von Beteiligten und anderen interessierten Kreisen;
   • Reaktionsfähigkeit des Inhabers des nationalen Zertifizierungssystems auf Anfragen;
4. Vorschriften für die Überwachung von Referenzdokumenten und Verfahren für die Weiterentwicklung der Referenzversionen der nationalen Zertifizierungssysteme, zumindest mit Übergangszeiträumen;
5. ein Prozess, mit dem sichergestellt wird, dass die jeweils jüngsten Cybersicherheitsrisiken und -bedrohungen, die im Risikoregister gemäß Anhang I dieser Verordnung verzeichnet sind, abgedeckt werden;
6. ein Prozess zur Verwaltung anderer Änderungen der nationalen Zertifizierungssysteme.

(3) Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Durchführung von Evaluierungen derzeit zertifizierter Produkte innerhalb eines bestimmten Zeitraums nach der Überarbeitung des Systems oder nach der Veröffentlichung neuer Spezifikationen oder Normen oder neuer Fassungen davon, denen die Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, entsprechen müssen.

Kapitel III
Anforderungen an Systeminhaber

Artikel 7 Allgemeine Anforderungen

(1) Die Systeminhaber entwickeln und pflegen nationale Zertifizierungssysteme und regeln ihren Betrieb.

(2) Die Systeminhaber können ihre Aufgaben ganz oder teilweise an Dritte übertragen. Bei der Vergabe von Unteraufträgen an einen privaten Auftragnehmer legen die Systeminhaber die Pflichten und Verantwortlichkeiten aller Beteiligten vertraglich fest. Die Systeminhaber bleiben für alle an Unterauftragnehmer übertragenen Tätigkeiten verantwortlich.

(3) Die Systeminhaber nehmen ihre Überwachungstätigkeiten gegebenenfalls zumindest auf der Grundlage der folgenden Informationen wahr:

1. Informationen von Zertifizierungsstellen, nationalen Akkreditierungsstellen und zuständigen Marktüberwachungsbehörden;
2. Informationen aus eigenen Prüfungen und Untersuchungen und denen anderer Behörden;
3. Beschwerden und Einsprüche gemäß Artikel 15.

(4) Die Systeminhaber unterrichten die Kooperationsgruppe über Änderungen der nationalen Zertifizierungssysteme. Diese Meldungen enthalten angemessene Informationen, damit die Kooperationsgruppe Empfehlungen an die Systeminhaber und Stellungnahmen zu den aktualisierten nationalen Zertifizierungssystemen abgeben kann.

Kapitel IV
Anforderungen an Anbieter von Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden

Artikel 8 Allgemeine Anforderungen

(1) Die nationalen Zertifizierungssysteme enthalten Cybersicherheitsanforderungen auf der Grundlage einer Risikobewertung jeder spezifischen unterstützten Architektur. Diese Cybersicherheitsanforderungen zielen darauf ab, die ermittelten Cybersicherheitsrisiken und -bedrohungen, die in dem in Anhang I genannten Risikoregister verzeichnet sind, zu behandeln.

(2) Im Einklang mit Artikel 5a Absatz 23 der Verordnung (EU) Nr. 910/2014 müssen die nationalen Zertifizierungssysteme dafür sorgen, dass Brieftaschenlösungen und die elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, auf dem Sicherheitsniveau "hoch" widerstandsfähig gegen Angreifer mit hohem Angriffspotenzial gemäß der Durchführungsverordnung (EU) 2015/1502 sind.

(3) In den nationalen Zertifizierungssystemen müssen Sicherheitskriterien festgelegt werden, die folgende Anforderungen umfassen:

1. soweit zutreffend die Anforderungen der Cyberresilienz-Verordnung oder andere Anforderungen, die der Erreichung der in Artikel 51 der Verordnung (EU) 2019/881 festgelegten Sicherheitsziele dienen;
2. Festlegung und Umsetzung von Konzepten und Verfahren für das Risikomanagement im Zusammenhang mit dem Betrieb einer Brieftaschenlösung, einschließlich der Ermittlung und Bewertung von Risiken und der Minderung der ermittelten Risiken;
3. Festlegung und Umsetzung von Konzepten und Verfahren für das Änderungsmanagement und das Schwachstellenmanagement gemäß Artikel 5 der vorliegenden Verordnung;
4. Festlegung und Umsetzung von Konzepten und Verfahren für das Personalmanagement, einschließlich Anforderungen an Fachwissen, Zuverlässigkeit, Erfahrung, Sicherheitsschulung und Qualifikationen des an der Entwicklung oder dem Betrieb der Brieftaschenlösung beteiligten Personals;
5. Anforderungen an die Betriebsumgebung der Brieftaschenlösung, auch in Form von Annahmen über die Sicherheit der Geräte/Module und Plattformen, auf denen die Softwarekomponenten der Brieftaschenlösung betrieben werden, einschließlich WSCDs, und gegebenenfalls Konformitätsbewertungsanforderungen, um zu bestätigen, dass diese Annahmen in Bezug auf die betreffenden Geräte und Plattformen überprüft werden;
6. für jede Annahme, die auf kein Konformitätszertifikat oder andere annehmbare Sicherheitsangaben gestützt wird, eine Beschreibung des Mechanismus, mit dem der Brieftaschenanbieter das Zutreffen der Annahme nachweisen kann, sowie eine Begründung, dass der Mechanismus ausreicht, um sicherzustellen, dass das Zutreffen der Annahme überprüft wird;
7. Festlegung und Durchführung von Maßnahmen zur Gewährleistung der Verwendung einer derzeit zertifizierten Version der Brieftaschenlösung.

(4) Die nationalen Zertifizierungssysteme enthalten für die in Anhang III aufgeführten Vorgänge funktionale Anforderungen in Bezug auf Aktualisierungsmechanismen für jede Softwarekomponente der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden.

(5) Die nationalen Zertifizierungssysteme verlangen, dass der Antragsteller der Zertifizierungsstelle folgende Informationen und Unterlagen übermittelt oder auf andere Weise zur Verfügung stellt:

1. Nachweise für die in Anhang IV Nummer 1 genannten Informationen, gegebenenfalls mit Einzelheiten über die Brieftaschenlösung und ihren Quellcode, einschließlich
   • Informationen über die Architektur: für jede Komponente der Brieftaschenlösung (einschließlich Produkt-, Prozess- und Dienstkomponenten) eine Beschreibung ihrer wesentlichen Sicherheitseigenschaften und ihrer externen Abhängigkeiten;
   • Kontrollen und Sicherheitsniveaus: für jede Sicherheitskontrolle der Brieftaschenlösung eine Beschreibung der Kontrolle und des erforderlichen Sicherheitsniveaus auf der Grundlage des Anhangs der Durchführungsverordnung (EU) 2015/1502, in dem eine Reihe technischer Spezifikationen und Verfahren festgelegt sind, die für die verschiedenen mit den elektronischen Identifizierungsmitteln durchgeführten Kontrollen gelten;
   • Zuordnung der Kontrollen zu Architekturkomponenten: eine Beschreibung, wie die Kontrollen der Brieftaschenlösung unter Verwendung der verschiedenen Komponenten der Brieftaschenlösung durchgeführt werden, basierend auf einer Erklärung für die Notwendigkeit eines bestimmten Sicherheitsniveaus, und wie die Kontrollen mit allen erforderlichen Sicherheitsaspekten auf dem angemessenen Niveau durchgeführt werden;
   • Erklärung und Begründung der Risikoabdeckung: eine Begründung für
     • die Zuordnung der Kontrollen zu Komponenten,
     • die Eignung des vorgeschlagenen Evaluierungsplans, um alle Kontrollen angemessen abzudecken,
     • die Abdeckung der im Risikoregister verzeichneten Cybersicherheitsrisiken und -bedrohungen durch die Kontrollen, ergänzt durch Kontrollen von für die Umsetzung spezifischen Risiken und Bedrohungen, auf dem angemessenen Sicherheitsniveau;
2. die in Anhang V aufgeführten Informationen;
3. eine vollständige Liste der Konformitätszertifikate und sonstigen Sicherheitsangaben, die bei den Evaluierungstätigkeiten als Nachweis verwendet wurden;
4. sonstige Informationen, die für die Evaluierungstätigkeiten relevant sind.

Kapitel V
Anforderungen an Zertifizierungsstellen

Artikel 9 Allgemeine Anforderungen

(1) Die Zertifizierungsstellen werden von nationalen Akkreditierungsstellen, die gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates ¹³ benannt wurden, gemäß der Norm EN ISO/IEC 17065:2012 akkreditiert, sofern sie die Anforderungen der nationalen Zertifizierungssysteme gemäß Absatz 2 erfüllen.

(2) Für die Zwecke der Akkreditierung müssen die Zertifizierungsstellen alle folgenden Kompetenzanforderungen erfüllen:

1. detaillierte und technische Kenntnisse der einschlägigen Architekturen einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, sowie der Bedrohungen und Risiken, die für diese Architekturen relevant sind;
2. Kenntnis der verfügbaren Sicherheitslösungen und ihrer Eigenschaften gemäß dem Anhang der Durchführungsverordnung (EU) 2015/1502;
3. Kenntnis der Tätigkeiten, die aufgrund von Konformitätszertifikaten in Bezug auf Komponenten der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, als Zertifizierungsgegenstand durchgeführt werden;
4. detaillierte Kenntnis des anwendbaren nationalen Zertifizierungssystems gemäß Kapitel II.

(3) Die Zertifizierungsstellen führen ihre Überwachungstätigkeiten insbesondere auf der Grundlage der folgenden Informationen durch:

1. Informationen von nationalen Akkreditierungsstellen und zuständigen Marktüberwachungsbehörden;
2. Informationen aus ihren eigenen Prüfungen und Untersuchungen und denen anderer Behörden;
3. Beschwerden und Einsprüche gemäß Artikel 15.

Artikel 10 Vergabe von Unteraufträgen

Die Zertifizierungsstellen können gemäß Artikel 13 Dritte mit den Evaluierungstätigkeiten beauftragen. Werden Unterauftragnehmer mit den Evaluierungstätigkeiten beauftragt, so müssen die nationalen Zertifizierungssysteme Folgendes festlegen:

1. Alle Unterauftragnehmer der Zertifizierungsstelle, die Evaluierungstätigkeiten durchführen, müssen, soweit zutreffend und für die durchzuführenden Tätigkeiten angemessen, die Anforderungen harmonisierter Normen wie EN ISO/IEC 17025:2017 für Prüfungen, EN ISO/IEC 17020:2012 für Inspektionen, EN ISO/IEC 17021-1:2015 für Audits und EN ISO/IEC 17029:2019 für die Validierung und Verifizierung erfüllen;
2. die Zertifizierungsstellen übernehmen die Verantwortung für alle Evaluierungstätigkeiten, die an andere Stellen ausgelagert werden, und weisen nach, dass sie während ihrer Akkreditierung geeignete Maßnahmen ergriffen haben, gegebenenfalls auch durch Rückgriff auf eine eigene Akkreditierung ihrer Unterauftragnehmer;
3. das Ausmaß, in dem vorab bei den Systeminhabern oder dem Kunden, dessen Brieftaschenlösung im Rahmen des Zertifizierungssystems zertifiziert wird, die Zustimmung einer erforderlichen Auslagerung eingeholt werden muss.

Artikel 11 Meldung bei der Aufsichtsstelle

Die Zertifizierungsstellen melden der in Artikel 46a Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Aufsichtsstelle die Ausstellung, Aussetzung und Aufhebung von Konformitätszertifikaten der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden.

Artikel 12 Sicherheitsvorfall- und Schwachstellenmanagement

(1) Die Zertifizierungsstellen setzen die Konformitätszertifikate für die Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, unverzüglich aus, nachdem sie bestätigt haben, dass sich die gemeldete Sicherheitsverletzung oder -beeinträchtigung auf die Konformität mit den Anforderungen der nationalen Zertifizierungssysteme, der Brieftaschenlösung oder des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, auswirkt.

(2) Die Zertifizierungsstellen heben das Konformitätszertifikat, das infolge einer nicht rechtzeitig behobenen Sicherheitsverletzung oder -beeinträchtigung ausgesetzt wurde, auf.

(3) Die Zertifizierungsstellen heben Konformitätszertifikate gemäß Artikel 5c Absatz 4 und Artikel 5e Absatz 2 der Verordnung (EU) Nr. 910/2014 auf, wenn eine festgestellte Schwachstelle nicht in angemessenem Verhältnis zu ihrer Schwere und ihren potenziellen Auswirkungen behoben wurde.

Kapitel VI
Konformitätsbewertungstätigkeiten

Artikel 13 Evaluierungstätigkeiten

(1) Nationale Zertifizierungssysteme müssen Methoden und Verfahren enthalten, die von den Konformitätsbewertungsstellen bei der Durchführung ihrer Evaluierungstätigkeiten gemäß der Norm EN ISO/IEC 17065:2012 anzuwenden sind und mindestens folgende Aspekte abdecken:

1. die Methoden und Verfahren für die Durchführung von Evaluierungstätigkeiten, einschließlich solcher im Zusammenhang mit dem WSCD, gemäß Anhang IV;
2. die Prüfung der Umsetzung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, auf der Grundlage des Risikoregisters gemäß Anhang I und erforderlichenfalls ergänzt durch die Betrachtung umsetzungsspezifischer Risiken;
3. Funktionstests, die, soweit verfügbar und angemessen, auf Testreihen beruhen, die gemäß technischen Spezifikationen oder Normen definiert sind;
4. Bewertung des Vorhandenseins und der Eignung von Pflegeprozessen, zumindest mit Versions-, Aktualisierungs- und Schwachstellenmanagement;
5. Bewertung der operativen Wirksamkeit von Pflegeprozessen, zumindest mit Versions-, Aktualisierungs- und Schwachstellenmanagement;
6. vom Brieftaschenanbieter vorgelegte Abhängigkeitsanalyse, einschließlich einer Methodik zur Bewertung der Zulässigkeit der Sicherheitsangaben, die die in Anhang VI aufgeführten Elemente umfasst;
7. Schwachstellenbeurteilung auf dem angemessenen Niveau, einschließlich
   • Überprüfung der Konzeption der Brieftaschenlösung und gegebenenfalls ihres Quellcodes,
   • Prüfung der Widerstandsfähigkeit der Brieftaschenlösung gegenüber Angreifern mit hohem Angriffspotenzial für das Sicherheitsniveau "hoch" gemäß Abschnitt 2.2.1 des Anhangs der Durchführungsverordnung (EU) 2015/1502;
8. Bewertung der Entwicklung des Bedrohungsumfelds und der Auswirkungen auf die Abdeckung der Risiken durch die Brieftaschenlösung, um festzustellen, welche Evaluierungstätigkeiten für die verschiedenen Komponenten der Brieftaschenlösung erforderlich sind.

(2) Die nationalen Zertifizierungssysteme umfassen eine Evaluierung zur Feststellung, ob die Umsetzung von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, der Architektur gemäß Artikel 3 Absatz 5 Buchstabe a entspricht, sowie eine Evaluierung zur Feststellung, ob der zusammen mit der Umsetzung vorgeschlagene Evaluierungsplan dem in Artikel 3 Absatz 5 Buchstabe c genannten Evaluierungsplan entspricht.

(3) Die nationalen Zertifizierungssysteme enthalten Probenahmevorschriften, um die Wiederholung identischer Evaluierungstätigkeiten zu vermeiden und sich auf Tätigkeiten zu konzentrieren, die für eine bestimmte Variante spezifisch sind. Diese Probenahmevorschriften ermöglichen die Durchführung von Funktions- und Sicherheitsprüfungen an nur einer Stichprobe von Varianten einer Zielkomponente einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, sowie an einer Stichprobe von Zielmodulen. Die nationalen Zertifizierungssysteme verlangen von allen Zertifizierungsstellen, dass sie ihre Stichprobenverwendung begründen.

(4) Die nationalen Zertifizierungssysteme verlangen von der Zertifizierungsstelle, dass sie die WSCA auf der Grundlage der in Anhang IV aufgeführten Methoden und Verfahren evaluiert.

Artikel 14 Zertifizierungstätigkeiten

(1) Die nationalen Zertifizierungssysteme legen eine Bescheinigungstätigkeit für die Ausstellung eines Konformitätszertifikats gemäß Abschnitt V Buchstabe a Tabelle 1 der Norm EN ISO/IEC 17067:2013 fest, die folgende Aspekte umfasst:

1. den Inhalt des Konformitätszertifikats gemäß Anhang VII;
2. wie die Ergebnisse der Evaluierung im öffentlichen Zertifizierungsbericht anzugeben sind, zumindest mit einer Zusammenfassung des vorläufigen Prüfungs- und Validierungsplans gemäß Anhang VIII;
3. den Inhalt der im Zertifizierungsbericht angegebenen Evaluierungsergebnisse, einschließlich der in Anhang VIII aufgeführten Elemente.

(2) Der Bericht über die Bewertung der Zertifizierung kann der Kooperationsgruppe und der Kommission zur Verfügung gestellt werden.

Artikel 15 Beschwerden und Einsprüche

Die nationalen Zertifizierungssysteme enthalten Verfahren oder Verweise auf die geltenden nationalen Rechtsvorschriften, in denen der Mechanismus für die wirksame Einreichung und Bearbeitung von Beschwerden und Einsprüchen im Zusammenhang mit der Umsetzung des Zertifizierungssystems oder einem ausgestellten Konformitätszertifikat festgelegt ist. Diese Verfahren umfassen Information des Beschwerdeführers über den Stand des Verfahrens und die getroffene Entscheidung sowie die Belehrung des Beschwerdeführers über die Möglichkeit eines wirksamen gerichtlichen Rechtsbehelfs. Die nationalen Zertifizierungssysteme sehen vor, dass alle Beschwerden und Einsprüche, die von der Zertifizierungsstelle nicht beigelegt werden oder nicht beigelegt werden können, dem Systeminhaber zur Bewertung und Beilegung übermittelt werden.

Artikel 16 Überwachungstätigkeiten

(1) Die nationalen Zertifizierungssysteme verpflichten die Zertifizierungsstellen zur Durchführung von Überwachungstätigkeiten, die in der Überwachungsevaluierung von Prozessen in Verbindung mit stichprobenartigen Tests oder Kontrollen bestehen.

(2) Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Systeminhaber in Bezug auf die Überwachung der Einhaltung der Verpflichtungen gemäß der Verordnung (EU) Nr. 910/2014 und gegebenenfalls gemäß den nationalen Zertifizierungssystemen durch die Zertifizierungsstellen.

(3) Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Zertifizierungsstellen, Folgendes zu überwachen:

1. dass die Inhaber von Konformitätszertifikaten, die im Rahmen nationaler Zertifizierungssysteme ausgestellt wurden, ihren Verpflichtungen in Bezug auf die Zertifizierung gemäß der Verordnung (EU) Nr. 910/2014 und den nationalen Zertifizierungssystemen nachkommen,
2. dass die zertifizierte Brieftaschenlösung die Anforderungen der nationalen Zertifizierungssysteme erfüllt.

Artikel 17 Folgen von Verstößen

In den nationalen Zertifizierungssystemen werden die Folgen von Verstößen einer zertifizierten Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, gegen die Anforderungen dieser Verordnung festgelegt. Diese Folgen umfassen die folgenden Aspekte:

1. die Verpflichtung der Zertifizierungsstelle, den Inhaber des Konformitätszertifikats über Verstöße zu unterrichten und ihn zur Ergreifung von Abhilfemaßnahmen aufzufordern;
2. die Verpflichtung der Zertifizierungsstelle, andere einschlägige Marktüberwachungsbehörden zu unterrichten, wenn der Verstoß einschlägige Rechtsvorschriften der Union betrifft;
3. die Bedingungen für die Durchführung von Abhilfemaßnahmen durch den Inhaber des Konformitätszertifikats;
4. die Bedingungen für die Aussetzung eines Konformitätszertifikats durch die Zertifizierungsstelle und für die Wiederherstellung des Konformitätszertifikats nach Behebung des Verstoßes;
5. die Bedingungen für die Aufhebung eines Konformitätszertifikats durch die Zertifizierungsstelle;
6. die Folgen eines Verstoßes gegen die Anforderungen des nationalen Zertifizierungssystems durch die Zertifizierungsstelle.

Kapitel VII
Zertifizierungzyklus

Artikel 18 Zertifizierungszyklus

(1) Die Gültigkeit von Konformitätszertifikaten, die im Rahmen nationaler Zertifizierungssysteme ausgestellt wurden, unterliegt regelmäßigen Evaluierungen durch die Zertifizierungsstelle, die gemäß den Anforderungen in Anhang IX durchgeführt werden.

(2) Die nationalen Zertifizierungssysteme enthalten einen Prozess für die Neuzertifizierung von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, vor Ablauf des ursprünglichen Konformitätszertifikats auf Antrag des Inhabers des Konformitätszertifikats. Dieser Prozess für die Neuzertifizierung beinhaltet eine umfassende Evaluierung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, einschließlich einer Schwachstellenbeurteilung, gemäß den in Anhang IX festgelegten Grundsätzen.

(3) Die nationalen Zertifizierungssysteme enthalten einen Prozess für die Verwaltung von Änderungen in der Brieftaschenlösung und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird. Dieser Prozess umfasst Vorschriften für die Feststellung, ob eine Änderung durch eine Sonderevaluierung gemäß Absatz 4 oder durch die Überprüfung der operativen Wirksamkeit von Pflegeprozessen gemäß Anhang IV abzudecken ist.

(4) Die nationalen Zertifizierungssysteme müssen einen Prozess für Sonderevaluierungen gemäß der Norm EN ISO/IEC 17065:2012 enthalten. Dieser Prozess für Sonderevaluierungen umfasst eine Auswahl von Tätigkeiten, die durchzuführen sind, um das spezifische Problem anzugehen, das die Sonderevaluierung ausgelöst hat.

(5) Die nationalen Zertifizierungssysteme enthalten Vorschriften für die Aufhebung eines Konformitätszertifikats.

Kapitel VIII
Aufzeichnung und Schutz von Informationen

Artikel 19 Aufbewahrung von Aufzeichnungen

(1) Die nationalen Zertifizierungssysteme enthalten Anforderungen an Zertifizierungsstellen in Bezug auf ein Aufzeichnungssystem für alle relevanten Informationen, die im Zusammenhang mit den von ihnen durchgeführten Konformitätsbewertungstätigkeiten gewonnen werden, einschließlich der Daten, die von Anbietern von Brieftaschenlösungen und der elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, herausgegeben und empfangen werden. Die Aufzeichnungen dieser Informationen werden auf sichere Weise gespeichert. Die Aufzeichnungen können elektronisch aufbewahrt werden und bleiben so lange zugänglich, wie dies nach Unionsrecht oder nationalem Recht vorgeschrieben ist, mindestens aber fünf Jahre lang nach Aufhebung oder Ablauf des betreffenden Konformitätszertifikats.

(2) Die nationalen Zertifizierungssysteme enthalten Anforderungen an den Inhaber des Konformitätszertifikats, nach denen er die folgenden Informationen für die Zwecke dieser Verordnung und für einen Zeitraum von mindestens fünf Jahren nach der Aufhebung oder dem Ablauf des betreffenden Konformitätszertifikats sicher speichern muss:

1. Aufzeichnungen der Informationen, die der Zertifizierungsstelle oder ihren Unterauftragnehmern während des Zertifizierungsprozesses übermittelt wurden;
2. Muster von Hardware-Komponenten, die in den Anwendungsbereich der Zertifizierung der Brieftaschenlösung einbezogen wurden.

(3) Die nationalen Zertifizierungssysteme verpflichten den Inhaber des Konformitätszertifikats, die in Absatz 1 genannten Informationen auf Anfrage der Zertifizierungsstelle oder der Aufsichtsstelle gemäß Artikel 46a Absatz 1 der Verordnung (EU) Nr. 910/2014 zur Verfügung zu stellen.

Artikel 20 Schutz von Informationen

Im Rahmen nationaler Zertifizierungssysteme müssen alle Personen oder Organisationen, denen bei der Durchführung von Tätigkeiten im Rahmen des nationalen Zertifizierungssystems Zugang zu Informationen gewährt wird, die Sicherheit und den Schutz von Geschäftsgeheimnissen und anderen vertraulichen Informationen sowie die Wahrung der Rechte des geistigen Eigentums gewährleisten und hierzu die erforderlichen und geeigneten technischen und organisatorischen Maßnahmen ergreifen, um diese Vertraulichkeit zu sicherzustellen.

Kapitel IX
Schlussbestimmungen

Artikel 21 Übergang zu einem europäischen System für die Cybersicherheitszertifizierung

Diese Verordnung wird bei der Annahme des ersten europäischen Systems für die Cybersicherheitszertifizierung für Brieftaschenlösungen und die elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, überprüft, um dem Beitrag eines solchen europäischen Systems für die Cybersicherheitszertifizierung zur Gesamtzertifizierung von Brieftaschenlösungen und zu den elektronischen Identifizierungssystemen, in deren Rahmen sie bereitgestellt werden, Rechnung zu tragen.

Artikel 22 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 28. November 2024

.

Einführung

Im Risikoregister werden die wichtigsten Risiken und Bedrohungen für die Sicherheit und den Schutz der Privatsphäre, die Brieftaschen betreffen und die in jeder Architektur und Umsetzung von Brieftaschen angemessen berücksichtigt werden müssen, beschrieben. Die übergeordneten Risiken (Abschnitt I) sind mit der Verwendung von Brieftaschen durch Nutzer und vertrauende Beteiligte verbunden und stehen im Zusammenhang mit direkten Bedrohungen, die sich gegen die Brieftaschenwerte und -daten richten. Darüber hinaus werden einige Risiken auf Systemebene (Abschnitt II) für Brieftaschen aufgeführt, die sich in der Regel aus einer Kombination von Bedrohungen für das gesamte Brieftaschensystem ergeben.

In dem Register werden auch technische Bedrohungen (Abschnitt III) verzeichnet, die sich gegen die Umsetzung der Brieftaschenlösung richten. Diese Bedrohungen sind insofern mit den übergeordneten Risiken verbunden, als jede von ihnen zahlreiche übergeordnete Risiken auslösen könnte.

Schließlich sind im Register direkte Bedrohungen für die Brieftaschen aufgeführt, und jede davon ist mit einer (nicht erschöpfenden) Auswahl von Risiken verbunden (Abschnitt IV).

Abschnitt I
Übergeordnete Risiken für die Brieftaschen

Abschnitt II
Systembezogene Risiken

Diese Risiken werden in der Liste der Bedrohungen nicht berücksichtigt, da sie in der Regel die Folge mehrerer Bedrohungen sind, die so wiederholt auftreten, dass sie zur Bedrohung für das gesamte System werden.

Abschnitt III
Technische Bedrohungen

Die technischen Bedrohungen sind nicht allesamt mit spezifischen Risiken für die Brieftaschen verbunden, denn viele von ihnen können als Mittel zur Durchführung möglicher Angriffe eingesetzt werden könnten, die vielen unterschiedlichen Risiken entsprechen.

Abschnitt IV
Bedrohungen für die Brieftaschen

Dieser letzte Abschnitt enthält eine Auswahl typischer Bedrohungsszenarien für Brieftaschen, die den oben aufgeführten damit verbundenen übergeordneten Risiken zugeordnet sind. In dieser Liste sind Bedrohungen aufgeführt, die abgedeckt werden müssen, es handelt sich jedoch um keine erschöpfende Liste von Bedrohungen, die in hohem Maße von der Architektur der ausgewählten Brieftaschenlösung und der Entwicklung des Bedrohungsumfelds abhängen. Darüber hinaus kann der Brieftaschenanbieter bei der Risikobewertung und den vorgeschlagenen Maßnahmen nur für die Komponenten verantwortlich sein, die in den Anwendungsbereich der Zertifizierung fallen *.

.

.

Gemäß Artikel 5a Absätze 4, 5, 8 und 14 der Verordnung (EU) Nr. 910/2014 umfassen die funktionalen Kriterien, die eine zertifizierte Brieftaschenlösung und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, erfüllen müssen, die funktionalen Anforderungen für die folgenden Vorgänge:

1. Durchführungsverordnung (EU) 2024/2979 der Kommission ¹ zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf die Integrität und die Kernfunktionen europäischer Brieftaschen für die digitale Identität,
2. Durchführungsverordnung (EU) 2024/2982 der Kommission ² zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf vom europäischen Rahmen für die digitale Identität zu unterstützende Protokolle und Schnittstellen,
3. Durchführungsverordnung (EU) 2024/2977 der Kommission ³ zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf an europäische Brieftaschen für die digitale Identität ausgestellte Personenidentifizierungsdaten und elektronische Attributsbescheinigungen.

.

1. Prüfung der Umsetzung einer Brieftaschenlösung

Eine Konformitätsbewertungstätigkeit besteht in der Auswahl bestimmter Evaluierungstätigkeiten.

Die nationalen Zertifizierungssysteme legen eine Evaluierungstätigkeit zur Bewertung der bereitgestellten Informationen fest, die mindestens Folgendes umfasst:

1. eine Analyse der vorgelegten Informationen, um zu bestätigen, dass sie für eine der in den nationalen Zertifizierungssystemen festgelegten Architekturen geeignet sind,
2. eine Analyse der Abdeckung der im Risikoregister gemäß Anhang I verzeichneten Cybersicherheitsrisiken und -bedrohungen durch die beschriebenen Sicherheitskontrollen.

Die unter den Buchstaben a und b genannte Analyse stützt sich auf die Erklärung und Begründung des Brieftaschenanbieters.

2. Evaluierungstätigkeiten in Verbindung mit dem sicheren Kryptomodul für Brieftaschen

1. Kritische Vorgänge, einschließlich kryptografischer Berechnungen, müssen nicht vollständig im WSCD umgesetzt werden. Der im WSCD umgesetzte Teil muss jedoch beim Betrieb als Teil der Brieftaschenlösung den Schutz kritischer Vorgänge vor Angriffen durch Angreifer mit hohem Angriffspotenzial gemäß der Durchführungsverordnung (EU) 2015/1502 der Kommission ¹ gewährleisten.
2. Das WSCD kann ganz oder teilweise Gegenstand der Zertifizierung sein, wenn es vom Zertifikatinhaber oder Antragsteller bereitgestellt wird, oder außerhalb des Zertifizierungsgegenstands liegen, wenn es in ein vom Endnutzer bereitgestelltes Gerät eingebettet ist. Darüber hinaus sind in den nationalen Zertifizierungssystemen die Evaluierungstätigkeiten zur Überprüfung der Eignung des WSCD in den beiden folgenden Fällen festzulegen:
   1. Hängt die WSCA vom jeweiligen WSCD ab (d. h. wenn sie als zusammengesetztes Produkt auf der Grundlage des WSCD bewertet werden muss), dann ist für die Bewertung der WSCA der Zugang zu zusätzlichen Informationen im Zusammenhang mit der WSCD-Zertifizierung, insbesondere zum technischen Evaluierungsbericht, erforderlich;
   2. wenn für eine als Teil des Systems betrachtete Architektur mehrere WSCD verwendet werden oder wenn einige Vorgänge in Bezug auf kritische Werte außerhalb des WSCD durchgeführt werden, müssen die nationalen Zertifizierungssysteme Evaluierungstätigkeiten umfassen, um sicherzustellen, dass die Gesamtlösung das erwartete Sicherheitsniveau bietet.
3. Als Voraussetzung für die Zertifizierung im Rahmen nationaler Zertifizierungssysteme wird das WSCD anhand der in der Durchführungsverordnung (EU) 2015/1502 festgelegten Anforderungen an das Sicherheitsniveau "hoch" bewertet.
   Sind die Bedingungen in Artikel 3 Absatz 3 Buchstabe b erfüllt, so umfasst die Evaluierung des WSCD oder eines Teils davon eine Schwachstellenbeurteilung gemäß EN ISO/IEC 15408-3:2022 auf Stufe AVA_VAN.5 gemäß Anhang I der Durchführungsverordnung (EU) 2024/482 der Kommission ², es sei denn, es wird gegenüber der Zertifizierungsstelle hinreichend begründet, dass die Sicherheitsmerkmale der WSCA es ermöglichen, ein niedrigeres Bewertungsniveau anzuwenden und gleichzeitig das in der Durchführungsverordnung (EU) 2015/1502 festgelegte Gesamtsicherheitsniveau "hoch" einzuhalten.
4. In den Unterlagen zu jeder einzelnen spezifischen Architektur müssen die nationalen Zertifizierungssysteme darüber hinaus Annahmen für diese Evaluierung des Kryptomoduls für Brieftaschen formulieren, nach denen Angreifern mit hohem Angriffspotenzial gemäß der Durchführungsverordnung (EU) 2015/1502 der Kommission widerstanden werden kann, und die Evaluierungstätigkeiten zur Bestätigung dieser Annahmen sowie zur Bestätigung, dass diese Annahmen nach Ausstellung des Zertifikats nach wie vor überprüft sind, angeben. Die nationalen Systeme verpflichten die Zertifizierungskandidaten, diese Annahmen für ihre spezifische Umsetzung zu verfeinern und die Maßnahmen zu beschreiben, mit denen sichergestellt wird, dass die Annahmen während des gesamten Zertifizierungszyklus überprüft werden.
5. In jedem Fall umfassen die nationalen Zertifizierungssysteme eine Evaluierungstätigkeit, mit der überprüft wird, ob die für das WSCD verfügbaren Sicherheitsangaben für die Zwecke der Brieftaschenlösung geeignet sind, und zwar durch eine Analyse der Sicherheitsangaben, wie z.B. des Sicherheitsziels für EUCC-Zertifikate, einschließlich der folgenden Tätigkeiten:
   1. Überprüfung, ob der Anwendungsbereich der Evaluierung angemessen ist, was z.B. für EUCC-Zertifikate bedeutet, dass für die Sicherheitsziele die Konformität mit einem der im EUCC empfohlenen Schutzprofile geltend gemacht wird,
   2. Überprüfung, ob die Annahmen über die Betriebsumgebung mit der Brieftaschenlösung vereinbar sind, was z.B. für EUCC-Zertifikate bedeutet, dass diese Annahmen im Sicherheitsziel zu finden sind,
   3. Überprüfung, ob die Empfehlungen in der Nutzerleitlinien oder -dokumentation mit den Bedingungen vereinbar sind, unter denen das WSCD in der Brieftaschenlösung verwendet werden soll,
   4. Überprüfung, ob die im nationalen Zertifizierungssystem für WSCDs getroffenen Annahmen überprüft und in den Sicherheitsangaben berücksichtigt sind.
6. In Fällen, in denen einige der Überprüfungen nicht vollständig schlüssig sind, verpflichten die nationalen Zertifizierungssysteme die Zertifizierungsstellen, Kompensationsanforderungen für die auf dem WSCD basierende Kryptoanwendung für Brieftaschen (WSCA) festzulegen, die in die Evaluierung der WSCA aufzunehmen sind. Ist dies nicht möglich, beurteilen die nationalen Zertifizierungssysteme die WSCD als ungeeignet, d. h. für die Brieftaschenlösung wird kein Konformitätszertifikat ausgestellt.

3. Evaluierungstätigkeiten in Verbindung mit sicheren Kryptoanwendungen für Brieftaschen (WSCA)

1. Die nationalen Zertifizierungssysteme verlangen, dass eine WSCA als Teil einer Brieftaschenlösung mindestens anhand der in der Durchführungsverordnung (EU) 2015/1502 festgelegten Anforderungen an das Sicherheitsniveau "hoch" bewertet wird.
2. Diese Evaluierung umfasst eine Schwachstellenbeurteilung gemäß der Norm EN ISO/IEC 15408-3:2022 auf Stufe AVA_VAN.5 gemäß Anhang I der Durchführungsverordnung (EU) 2024/482, es sei denn, es wird gegenüber der Zertifizierungsstelle hinreichend begründet, dass die Sicherheitsmerkmale der WSCA es ermöglichen, ein niedrigeres Bewertungsniveau anzuwenden und gleichzeitig das in der Durchführungsverordnung (EU) 2015/1502 festgelegte Gesamtsicherheitsniveau "hoch" einzuhalten.
3. Wird die WSCA nicht vom Brieftaschenanbieter bereitgestellt, müssen die nationalen Zertifizierungssysteme Annahmen für diese Evaluierung der WSCA formulieren, nach denen Angreifern mit hohem Angriffspotenzial gemäß der Durchführungsverordnung (EU) 2015/1502 widerstanden werden kann, und die Evaluierungstätigkeiten zur Bestätigung dieser Annahmen sowie zur Bestätigung, dass diese Annahmen nach Ausstellung des Zertifikats nach wie vor überprüft sind, angeben. Die nationalen Systeme verpflichten die Zertifizierungskandidaten, diese Annahmen für ihre spezifische Umsetzung zu verfeinern und die Maßnahmen zu beschreiben, mit denen sichergestellt wird, dass die Annahmen während des gesamten Zertifizierungszyklus überprüft werden.
4. In jedem Fall umfassen die nationalen Zertifizierungssysteme eine Evaluierungstätigkeit, mit der überprüft wird, ob die für die WSCA verfügbaren Sicherheitsangaben für die Zwecke der Brieftaschenlösung geeignet sind, und zwar durch eine Analyse der Sicherheitsangaben, wie z.B. des Sicherheitsziels für EUCC-Zertifikate, einschließlich der folgenden Tätigkeiten:
   1. Überprüfung, ob der Anwendungsbereich der Evaluierung angemessen ist, was z.B. für EUCC-Zertifikate bedeutet, dass für die Sicherheitsziele die Konformität mit einem der im EUCC empfohlenen Schutzprofile geltend gemacht wird,
   2. Überprüfung, ob die Annahmen über die Betriebsumgebung mit der Brieftaschenlösung vereinbar sind, was z.B. für EUCC-Zertifikate bedeutet, dass diese Annahmen im Sicherheitsziel zu finden sind,
   3. Überprüfung, ob die Empfehlungen in der Nutzerleitlinien oder -dokumentation mit den Bedingungen vereinbar sind, unter denen die WSCA in der Brieftaschenlösung verwendet werden soll,
   4. Überprüfung, ob die im nationalen Zertifizierungssystem für WSCAs getroffenen Annahmen überprüft und in den Sicherheitsangaben berücksichtigt sind.
5. Die nationalen Zertifizierungssysteme verlangen, dass die Evaluierung der WSCA alle von dieser WSCA durchgeführten Sicherheitskontrollen umfasst.

4. Evaluierungstätigkeiten in Verbindung mit dem Endgerät

Da im Risikoregister gemäß Anhang I dieser Verordnung Risiken verzeichnet sind, die in direktem Zusammenhang mit der Sicherheit des Endgeräts stehen, werden in den nationalen Zertifizierungssystemen Sicherheitsanforderungen für Endgeräte festgelegt. Da diese Geräte jedoch vom Endnutzer und nicht vom Brieftaschenanbieter bereitgestellt werden, müssen diese Anforderungen durch Annahmen abgedeckt werden.

Für jede Annahme muss die Brieftaschenlösung einen Mechanismus umfassen, mit dem für jede Einzelbrieftasche überprüft wird, ob das zugrunde liegende Endgerät die Annahme erfüllt. Solche Mechanismen gelten als Sicherheitskontrollen und sind Gegenstand von Evaluierungstätigkeiten, um sowohl ihre Eignung als auch ihre Wirksamkeit auf dem entsprechenden Sicherheitsniveau nachzuweisen.

Nachstehend sind zwei Beispiele aufgeführt:

1. Ein Endgerät kann ein zertifiziertes WSCD umfassen, was nachzuweisen ist. In der Regel würde dies mithilfe eines kryptografischen Mechanismus erfolgen, um zu überprüfen, ob im zertifizierten WSCD ein kryptografisches Geheimnis vorhanden ist, das ausschließlich im zertifizierten WSCD verfügbar ist. In diesem Fall sollte dieses kryptografische Geheimnis als kritischer Wert betrachtet werden und unter die Zertifizierung des WSCD und/oder der WSCA fallen.
2. Eine typische Anforderung für Endgeräte wäre, dass die Geräte Sicherheitsaktualisierungen erhalten müssen. Da sich diese Anforderung auf die Brieftascheninstanz bezieht, muss der Mechanismus zur Überprüfung der Verfügbarkeit von Sicherheitsaktualisierungen nur durch Evaluierungstätigkeiten mit einem für die Brieftasche geeigneten Sicherheitsniveau abgedeckt werden, insbesondere da dieser wahrscheinlich in die Brieftasche integriert sein wird.

5. Evaluierungstätigkeiten in Verbindung mit der Brieftascheninstanz

1. Bei der Evaluierung der Brieftascheninstanz werden die beiden folgenden wichtigen Herausforderungen berücksichtigt:
   1. Die Brieftascheninstanz wird wahrscheinlich in einer Reihe von Varianten derselben Basisanwendung vorkommen, wobei jede Variante auf eine bestimmte Kategorie von Endgeräten zugeschnitten ist;
   2. die verschiedenen Varianten der Brieftascheninstanz werden wahrscheinlich häufig aktualisiert werden müssen, um mit der Entwicklung der zugrunde liegenden Sicherheitsplattform Schritt zu halten, z.B. wenn Schwachstellen festgestellt werden, die Änderungen an den Anwendungen erfordern.
2. Bei der Evaluierung der Brieftascheninstanz sind diese spezifischen Herausforderungen zu berücksichtigen. Eine der unmittelbaren Folgen besteht darin, dass der Rahmen für Gemeinsame Kriterien möglicherweise nicht in allen Fällen geeignet ist. Daher sind erforderlichenfalls alternative Evaluierungsmethoden in Betracht zu ziehen. Nationale Zertifizierungssysteme berücksichtigen die Anwendung der Methodik der Norm EN 17640:2018 für Folgendes:
   1. als Teil des Systems selbst;
   2. durch nationale, auf der Methodik basierende Systeme;
   3. durch nationale Systeme, die auf ähnlichen Grundsätzen beruhen, aber vor der Aufstellung der Methodik der Norm EN 17640:2018 eingerichtet wurden.
3. Da die Durchführung einer umfassenden speziellen Evaluierung jeder Variante möglicherweise nur einen begrenzten Mehrwert bietet, sollten die nationalen Zertifizierungssysteme darüber hinaus die Festlegung von Kriterien für die Durchführung von Stichproben in Erwägung ziehen, um eine Wiederholung identischer Evaluierungstätigkeiten zu vermeiden und sich auf Tätigkeiten zu konzentrieren, die für eine bestimmte Variante spezifisch sind. Die nationalen Zertifizierungssysteme verpflichten alle Zertifizierungsstellen, ihre Stichprobenverwendung zu begründen.
4. Die nationalen Zertifizierungssysteme müssen Aktualisierungen der Brieftascheninstanz in dem für die Brieftaschenlösung festgelegten allgemeinen Änderungsmanagementprozess umfassen. Sie legen auch Vorschriften für die Verfahren, die der Brieftaschenanbieter für jede Aktualisierung durchzuführen hat (z.B. Analyse der Auswirkungen der Änderungen auf die Sicherheitskontrollen), und für die Evaluierungstätigkeiten fest, die die Zertifizierungsstelle bei Aktualisierungen unter bestimmten Bedingungen durchzuführen hat (z.B. Bewertung der operativen Wirksamkeit einer geänderten Sicherheitskontrolle). Der Änderungsmanagementprozess gehört zu den Prozessen, deren operative Wirksamkeit gemäß Artikel 18 Absatz 3 jährlich überprüft werden muss.

6. Evaluierungstätigkeiten in Verbindung mit Diensten und Prozessen für die Bereitstellung und den Betrieb der Brieftaschenlösung

1. Für die Evaluierung von Diensten und Prozessen, die bei der Bereitstellung und dem Betrieb der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, eine Rolle spielen, sammelt das Evaluierungsteam Nachweise, indem es Evaluierungstätigkeiten durchführt, die Audit-, Inspektions-, Verifizierungs- und Validierungstätigkeiten umfassen können.
2. Die Zertifizierungsstelle vergewissert sich, dass die Nachweise ausreichend und angemessen sind, um eine hinreichende Gewähr dafür zu bieten, dass die Dienste und Prozesse die Zertifizierungsanforderungen erfüllen, indem sie Folgendes bestätigt:
   1. die Richtigkeit der in der Beschreibung der Prozesse und Dienste enthaltenen Informationen,
   2. die Eignung der Konzeption und der Kontrollen der Prozesse und Dienste zur Erfüllung der Evaluierungskriterien,
   3. die operative Wirksamkeit der Durchführung dieser Kontrollen während eines bestimmten Zeitraums vor der Evaluierung.
3. Die Richtigkeit der Beschreibung und der operativen Wirksamkeit eingerichteter Kontrollen kann als Prüfziele (im Sinne der Norm ISO/IEC 17000:2020) in Bezug auf die entsprechenden Aussagen des Brieftaschenanbieters (d. h. Bestätigung der Fairness von Ereignissen, die bereits eingetreten sind, oder bereits erzielte Ergebnisse) betrachtet werden, während die Eignung der Konzeption und der Kontrollen der Dienste und Prozesse zur Erfüllung der Evaluierungskriterien als Validierungsziel (im Sinne der Norm ISO/IEC 17000:2020) in Bezug auf die entsprechenden Aussagen des Brieftaschenanbieters (d. h. Bestätigung der Plausibilität einer beabsichtigten künftigen Verwendung oder eines erwarteten Ergebnisses) angesehen werden kann.
4. Da eine Brieftaschenlösung vor ihrer Zertifizierung nicht betrieben werden darf, kann die operative Wirksamkeit nicht auf der Grundlage des tatsächlichen Betriebs der Lösung bestätigt werden. Dies muss daher anhand von Nachweisen bestätigt werden, die bei Tests oder in Pilotprojekten gesammelt wurden.
5. Nationale Zertifizierungssysteme können bereits für bestimmte Dienste und Prozesse bestehen, z.B. für die Einbindung von Nutzern. Die nationalen Zertifizierungssysteme ziehen gegebenenfalls die Nutzung solcher Systeme in Betracht.

7. Evaluierungstätigkeiten in Verbindung mit IKT-Diensten für die Bereitstellung und den Betrieb der Brieftaschenlösung

1. Einige Brieftaschenarchitekturen können für die Bereitstellung und den Betrieb einer Brieftaschenlösung auf spezielle IKT-Dienste, einschließlich Cloud-Dienste, angewiesen sein, und diese Dienste können sensible Daten sowie sensible Vorgänge beinhalten. In diesem Fall werden in den nationalen Zertifizierungssystemen Sicherheitsanforderungen für solche IKT-Dienste festgelegt.
2. Es gibt bereits viele Zertifizierungssysteme für IKT-Dienste, Cloud-Dienste und andere Quellen von Sicherheitsangaben, einschließlich der in Anhang II aufgeführten. Die nationalen Zertifizierungssysteme stützen sich, soweit verfügbar und anwendbar, auf diese bestehenden Mechanismen durch einen der folgenden Mechanismen:
   1. Verpflichtung zur Nutzung eines bestimmten Systems oder einer Auswahl von Systemen, indem die Bedingungen festgelegt werden, unter denen die IKT- oder Cloud-Dienste, die diese Systeme nutzen, zu bewerten sind,
   2. die Wahl der Bewertungsweise wird dem Brieftaschenanbieter überlassen und die Abhängigkeitsanalyse wird genutzt, um die Eignung der durch diese Bewertungen gesammelten Sicherheitsangaben zu analysieren.
3. In beiden Fällen müssen die nationalen Zertifizierungssysteme zusätzliche Evaluierungstätigkeiten festlegen, die erforderlich sind, um die im Rahmen dieser Systeme gewonnenen Informationen zu analysieren oder zu ergänzen.

.

1. Die gemäß Artikel 8 Absatz 5 zu veröffentlichenden Informationen umfassen mindestens Folgendes:
   1. etwaige Beschränkungen der Verwendung einer Brieftaschenlösung,
   2. Leitlinien und Empfehlungen des Brieftaschenanbieters zur Unterstützung der Endnutzer bei der sicheren Konfiguration, Installation, Einrichtung, dem Betrieb und der Wartung der Brieftaschen,
   3. Zeitraum, während dessen den Endnutzern eine Sicherheitsunterstützung angeboten wird, insbesondere in Bezug auf die Verfügbarkeit von cybersicherheitsbezogenen Aktualisierungen,
   4. Kontaktangaben des Herstellers oder Anbieters und zulässige Verfahren für den Erhalt von Informationen über Sicherheitslücken von Endnutzern und im Bereich der IT-Sicherheit tätigen Wissenschaftlern;
   5. Verweis auf Online-Register mit öffentlich offengelegten Sicherheitslücken in Bezug auf Brieftaschen und gegebenenfalls relevante Cybersicherheitsratgeber.
2. Die in Absatz 1 genannten Informationen werden allen Personen, die eine Brieftaschenlösung verwenden wollen, in klarer, umfassender und leicht zugänglicher Weise an einer öffentlich zugänglichen Stelle zur Verfügung gestellt.

.

1. Bewertung der Verfügbarkeit von Sicherheitsunterlagen

Die Gutachter führen alle verfügbaren Sicherheitsunterlagen für jede Komponente der Brieftaschenlösung und des elektronischen Identifizierungssystems, in deren Rahmen diese bereitgestellt wird, auf. Anschließend bewerten die Gutachter die Gesamtrelevanz aller Sicherheitsunterlagen für die Abhängigkeitsüberprüfung.

In der Analyse werden folgende Aspekte berücksichtigt:

1. zu den Sicherheitsunterlagen selbst:
   1. Art der Sicherheitsunterlagen mit allen erforderlichen Einzelheiten
      (Beispiele für solche Unterlagen sind Konformitätszertifikate nach EN ISO/IEC 27001:2022 oder Typ 1 oder Typ 2 für ISAE-Berichte),
   2. abgedeckter Zeitraum oder Gültigkeitsdauer
      (dieser Zeitraum kann durch einen Bridge-Letter (ein Dokument, das einen Zeitraum zwischen dem Ende des Berichtszeitraums des aktuellen ISAE-Berichts und der Veröffentlichung eines neuen ISAE-Berichts abdeckt) oder eine ähnliche Erklärung ergänzt werden),
   3. anwendbarer Rahmen (z.B. bestehende Norm),
   4. ob die Sicherheitsunterlagen Angaben zu den Anforderungen des Systems umfasst;
2. fachliche Kompetenz und Unparteilichkeit des Ausstellers des Sicherheitsberichts:
   1. Name der Zertifizierungsstelle und - sofern verfügbar - Name des federführenden Gutachters,
   2. Nachweis der Kompetenz der Zertifizierungsstelle und des Gutachters (z.B. Akkreditierung, persönliche Zertifizierung usw.),
   3. Nachweis der Unparteilichkeit der Zertifizierungsstelle und des Gutachters (z.B. Akkreditierung usw.).

2. Sicherheitsbewertung in Verbindung mit Einzelanforderungen

Die Gutachter überprüfen, ob die für die Brieftaschenlösung und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, zur Verfügung stehenden Sicherheitsunterlagen geeignet sind, um festzustellen, ob die Brieftaschenlösung den Erwartungen in Bezug auf die Einzelanforderungen des Zertifizierungssystems entspricht.

Diese Bewertung wird für alle relevanten Komponenten der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, durchgeführt, indem eine Annahme zu den Sicherheitskontrollen der Brieftasche formuliert wird.

Für jede dieser Annahmen prüft das Evaluierungsteam, ob die in den verfügbaren Sicherheitsunterlagen gegebene Gewähr angemessen ist.

Die Feststellung, dass die Sicherheitsgewähr angemessen ist, stützt sich auf Folgendes:

1. Die erforderlichen Informationen mitsamt dem erwarteten Sicherheitsniveau sind in den Sicherheitsunterlagen verfügbar;
2. die in den Sicherheitsunterlagen verfügbaren Informationen decken nicht den gesamten Anwendungsbereich der Anforderung ab, aber zusätzliche Kontrollen oder kompensierende Kontrollen (d. h. interne Kontrollen, die das Risiko bestehender oder potenzieller Kontrollschwächen verringern), die in der Brieftaschenlösung oder im elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, umgesetzt werden, ermöglichen den Gutachtern die Feststellung, dass die Informationen angemessen sind;
3. die in den Sicherheitsunterlagen verfügbaren Informationen bieten nicht das erwartete Sicherheitsniveau, aber die Kontrollen zur Bewertung und Überwachung des Brieftaschenanbieters ermöglichen den Gutachtern die Feststellung, dass die Informationen angemessen sind;
4. werden in den Sicherheitsunterlagen Nichtkonformitäten bei der Konzeption oder Durchführung der Kontrollen der Erfüllung einer Annahme erwähnt, so müssen die vom Brieftaschenanbieter vorgeschlagenen und umgesetzten und von seinen Gutachtern überprüften Abhilfemaßnahmen angemessen sein, um zu gewährleisten, dass die Annahme tatsächlich erfüllt wird.

.

1. Eine eindeutige Kennung, die von der Zertifizierungsstelle, die das Zertifikat ausstellt, vergeben wird;
2. Informationen über die zertifizierte Brieftaschenlösung und die elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt wird, und über den Inhaber des Konformitätszertifikats, einschließlich der folgenden Angaben:
   1. Name der Brieftaschenlösung,
   2. Name der elektronischen Identifizierungssysteme, in deren Rahmen die Brieftaschenlösung bereitgestellt wird,
   3. Version der Brieftaschenlösung, die evaluiert wurde,
   4. Name, Anschrift und Kontaktangaben des Inhabers des Konformitätszertifikats,
   5. Link zur Website des Inhabers des Konformitätszertifikats mit den Informationen, die öffentlich zugänglich zu machen sind.
3. Informationen über die Evaluierung und Zertifizierung der Brieftaschenlösung und der elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt wird, einschließlich der folgenden Angaben:
   1. Name, Anschrift und Kontaktangaben der Zertifizierungsstelle, die das Konformitätszertifikat ausgestellt hat,
   2. falls es sich nicht um die Zertifizierungsstelle handelt, Name der Konformitätsbewertungsstelle, die die Evaluierung durchgeführt hat, zusammen mit Angaben zu ihrer Akkreditierung,
   3. Name des Systeminhabers,
   4. Verweise auf die Verordnung (EU) Nr. 910/2014 und die vorliegende Verordnung,
   5. Verweis auf den Zertifizierungsbericht in Bezug auf das Konformitätszertifikat,
   6. Verweis auf den Bericht über die Bewertung der Zertifizierung in Bezug auf das Konformitätszertifikat,
   7. Verweis auf die für die Evaluierung verwendeten Normen, einschließlich ihrer Versionen,
   8. Datum der Ausstellung des Konformitätszertifikats und
   9. Gültigkeitsdauer des Konformitätszertifikats.

.

1. Der öffentliche Zertifizierungsbericht muss mindestens folgende Aspekte umfassen:
   1. Zusammenfassung,
   2. Bestimmung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird,
   3. Beschreibung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird,
   4. öffentlich zugänglich zu machende Sicherheitsinformationen gemäß Anhang V oder Verweis auf diese Informationen,
   5. Zusammenfassung des vorläufigen Audit- und Validierungsplans,
   6. Zusammenfassung der Überprüfung und der Zertifizierungsentscheidung.
2. Der Bericht über die Bewertung der Zertifizierung muss mindestens Folgendes enthalten:
   1. eine Beschreibung der Konzeption der Brieftaschenlösung, des Identifizierungssystems und des Einbindungsprozesses zusammen mit der Risikobewertung und dem spezifischen Validierungsplan;
   2. eine Beschreibung, wie die Brieftaschenlösung den Anforderungen des Sicherheitsniveaus "hoch" entspricht und wie dies durch die Ergebnisse der gemäß dieser Verordnung durchgeführten Zertifizierungsbewertung der Brieftaschenlösung nachgewiesen wird;
   3. eine Beschreibung des Ergebnisses der Bewertung der Konformität der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen die entsprechenden Einzelbrieftaschen bereitgestellt werden, insbesondere der Konformität mit
      • den in Artikel 5a Absätze 4, 5 und 8 der Verordnung (EU) Nr. 910/2014 festgelegten Anforderungen,
      • der Anforderung der logischen Trennung gemäß Artikel 5a Absatz 14 der Verordnung (EU) Nr. 910/2014,
      • gegebenenfalls den in Artikel 5a Absatz 24 der Verordnung (EU) Nr. 910/2014 genannten Normen und technischen Spezifikationen, wobei zu beschreiben ist, in welchem Verhältnis diese Anforderungen zu den entsprechenden normativen Anforderungen stehen, die von den nationalen Zertifizierungssystemen festgelegt werden;
   4. eine Zusammenfassung der Ergebnisse der Durchführung des Validierungsplans, einschließlich aller festgestellten Nichtkonformitäten.

.

1. In Artikel 18 sind die Anforderungen an den Zertifizierungszyklus, insbesondere die Durchführung regelmäßiger Evaluierungstätigkeiten, festgelegt. Diese Aktivitäten umfassen mindestens Folgendes:
   1. eine vollständige Bewertung des Gegenstands der Konformitätsbewertung in der Erstevaluierung und bei jeder Evaluierung zur Neuzertifizierung, einschließlich eines Aktualisierungsmerkmals aller Produktkomponenten;
   2. eine Schwachstellenbeurteilung in der Erstevaluierung und bei jeder Evaluierung zur Neuzertifizierung und mindestens alle zwei Jahre bei Überwachungsevaluierungen, die mindestens die Änderungen des Gegenstands der Konformitätsbewertung und die Veränderungen des Bedrohungsumfelds seit der letzten Schwachstellenbeurteilung umfasst;
   3. zusätzliche Tätigkeiten wie Penetrationstests im Falle eines erhöhten Risikoniveaus oder des Auftretens neuer Bedrohungen;
   4. mindestens einmal jährlich eine Evaluierung der operativen Wirksamkeit der Pflegeprozesse bei Überwachungs- und Neuzertifizierungsevaluierungen, die mindestens die letzten Versionsverwaltungs-, Aktualisierungs- und Schwachstellenmanagementprozesse umfasst;
   5. nach einer erfolgreichen Überprüfungs- und Zertifizierungsentscheidung die Ausstellung eines Konformitätszertifikats nach der Erstevaluierung und nach jeder Evaluierung zur Neuzertifizierung.
2. In Tabelle 1 ist ein Referenzzeitplan auf der Grundlage eines Vierjahreszyklus festgelegt, wobei
   1. Jahr 1 mit der erstmaligen Ausstellung des Konformitätszertifikats beginnt und
   2. alle Evaluierungstätigkeiten innerhalb von 12 Monaten nach der Evaluierung des Vorjahres durchgeführt werden.
3. Der Zeitplan in Tabelle 1 ist eine Empfehlung, um eine rechtzeitige Neuzertifizierung zu gewährleisten und Störungen bei der Bereitstellung der Brieftaschenlösung zu vermeiden. Andere Zeitpläne können möglich sein, sofern die Gültigkeitsdauer des Konformitätszertifikats fünf Jahre nicht überschreitet, wie in Artikel 5c Absatz 4 der Verordnung (EU) Nr. 910/2014 festgelegt.
4. Zusätzlich zu den regelmäßigen Evaluierungen könnte auf Veranlassung der Zertifizierungsstelle oder des Inhabers des Konformitätszertifikats nach einer wesentlichen Änderung des Zertifizierungsgegenstands oder des Bedrohungsumfelds eine Sonderevaluierung ausgelöst werden.
5. Jede Evaluierung, einschließlich Überwachungs- und Sonderevaluierungen, kann zur Ausstellung einem neuen Konformitätszertifikat führen, insbesondere im Falle wesentlicher Änderungen des Zertifizierungsgegenstands, jedoch mit demselben Ablaufdatum wie das ursprüngliche Konformitätszertifikat.

Tabelle 1: Ein vollständiger vierjähriger Evaluierungszyklus

ENDE