L_202501567BG.000101.fmx.xml

РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2025/1567 НА КОМИСИЯТА

от 29 юли 2025 година

за определяне на правила за прилагането на Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета по отношение на управлението на устройства за създаване на квалифициран електронен подпис от разстояние и на устройства за създаване на квалифициран електронен печат от разстояние като квалифицирани удостоверителни услуги

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 г. относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО (1), и по-специално член 29а, параграф 2 и член 39а от него,

като има предвид, че:

(1)

Квалифицираните удостоверителни услуги за управлението на устройства за създаване на квалифициран електронен подпис от разстояние и за управлението на устройства за създаване на квалифициран електронен печат от разстояние играят решаваща роля в цифровата стопанска среда, като насърчават прехода от традиционни процеси на хартиен носител към електронни еквиваленти. Тези квалифицирани удостоверителни услуги допринасят за сигурното и надеждно управление на тези устройства за действия от разстояние от името на титулярите и създателите на печатите по начин, който гарантира, че се изпълняват условията за квалифицираните електронни подписи и квалифицираните електронни печати.

(2)

За да се повиши правната сигурност и надеждността на квалифицираните удостоверителни услуги за управление на устройства за създаване на квалифицирани електронни подписи от разстояние и квалифицираните удостоверителни услуги за управление на устройства за създаване на квалифицирани електронни печати от разстояние, доставчиците на квалифицирани удостоверителни услуги, предоставящи тези квалифицирани услуги, следва да спазват стандартите, определени в настоящия регламент.

(3)

Тези стандарти следва да отразяват установените практики и да бъдат широко признати в съответните сектори. Те следва да бъдат адаптирани, така че да включват проверки, гарантиращи сигурността и надеждността на квалифицираните удостоверителни услуги, както и да гарантират, че титулярите имат изключителен контрол, с висока степен на надеждност, върху използването на техните данни за създаване на електронен подпис, и съответно, че създателите на печати имат контрол върху използването на техните данни за създаване на електронен печат.

(4)	С цел да се осигури подходящ срок за одита на доставчиците на удостоверителни услуги по отношение на спазването на новите изисквания, настоящият регламент следва да започне да се прилага 24 месеца след влизането му в сила.

(5)

Комисията редовно оценява нови технологии, практики, стандарти или технически спецификации. В съответствие със съображение 75 от Регламент (ЕС) 2024/1183 на Европейския парламент и на Съвета (2) Комисията следва да преразглежда и при необходимост да актуализира настоящия регламент, за да бъде той в съответствие с глобалното развитие, новите технологии, стандарти или технически спецификации и да следва най-добрите практики на вътрешния пазар.

(6)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (3) и, когато е целесъобразно, Директива 2002/58/ЕО на Европейския парламент и на Съвета (4) следва да се прилагат по отношение на дейностите по обработване на всички лични данни съгласно настоящия регламент.

(7)	Европейският надзорен орган по защита на данните беше консултиран в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (5) и прие своето становище на 6 юни 2025 г.

(8)	Мерките, предвидени в настоящия регламент, са в съответствие със становището на комитета, създаден съгласно член 48 от Регламент (ЕС) № 910/2014,

ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:

Член 1

Референтни стандарти и спецификации

Референтните стандарти и спецификации за управлението на устройствата за създаване на квалифициран електронен подпис от разстояние и на устройствата за създаване на квалифициран електронен печат от разстояние като квалифицирани удостоверителни услуги, посочени в член 29а, параграф 2 и член 39а от Регламент (ЕС) № 910/2014, са определени в приложението към настоящия регламент.

Член 2

Влизане в сила и прилагане

Настоящият регламент влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

Настоящият регламент се прилага от 19 август 2027 г.

Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.

Съставено в Брюксел на 29 юли 2025 година.

За Комисията

Председател

Ursula VON DER LEYEN

(1) ОВ L 257, 28.8.2014 г., стр. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Регламент (ЕС) 2024/1183 на Европейския парламент и на Съвета от 11 април 2024 година за изменение на Регламент (ЕС) № 910/2014 по отношение на създаването на европейска рамка за цифрова самоличност (OВ L, 2024/1183, 30.4.2024 г., ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации), (ОВ L 201, 31.7.2002 г., стр. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Регламент (EC) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (OB L 295, 21.11.2018 г., стр. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ПРИЛОЖЕНИЕ

Списък на референтните стандарти и спецификации за управлението на устройства за създаване на квалифициран електронен подпис от разстояние и на устройства за създаване на квалифицирани електронни печати от разстояние

Стандарт ETSI TS 119 431-1 V1.3.1 (2024-12) („ETSI TS 119 431-1“) се прилага за целите на оценката на съответствието с политиката на ЕС спрямо Server Signing Application Service v2 (приложение за сървърно подписване, версия 2) в съответствие с приложение А към този стандарт със следните адаптации:

(1)

2.1 Нормативни препратки

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „Електронни подписи и доверителна инфраструктура за удостоверяване (ESI); общи изисквания на политиката за доставчиците на удостоверителни услуги“;

—	[7] Европейска група за сертифициране на киберсигурността, подгрупа по криптография: „Договорени криптографски механизми“, публикувани от Агенцията на Европейския съюз за киберсигурност (ENISA) (1).

(2)

6.1 Публикуване и отговорности по отношение на хранилището

—	OVR-6.1-04: Информацията, посочена в OVR-6.1-01 по-горе, е публично и международно достъпна.

(3)

6.4.4 Проверки на персонала

—	OVR-6.4.4-02: SSASP наемат персонал с доверителни функции и, ако е приложимо, подизпълнители с доверителни функции, които притежават необходимите експертни знания, опит и квалификации вследствие официално обучение и квалификация, или вследствие от опит, или комбинация от двете.

—	OVR-6.4.4-03: Спазването на OVR-6.4.4-02 включва редовни (най-малко на всеки 12 месеца) актуализации във връзка с новите заплахи и настоящите практики в областта на сигурността.

(4)

6.4.9 Прекратяване на услугата от страна на SSASP

—	OVR-6.4.9-02: Планът на SSASP за осигуряване на непрекъснатост на обслужването е съобразен с актовете за изпълнение, приети съгласно член 24, параграф 5 от Регламент (ЕС) № 910/2014 [i.1]

(5)

6.5.5 Контрол на сигурността на мрежата

—	OVR-6.5.5-02: Проверката на уязвимостта, изисквана по REQ-7.8-13 на ETSI EN 319 401 [1], се извършва поне веднъж на тримесечие.

—	OVR-6.5.5-03: Защитните стени трябва да бъдат конфигурирани така, че да предотвратяват всякакви протоколи и достъп, които не са необходими за функционирането на доставчика на удостоверителни услуги.

(6)

6.8.5 Криптографски контрол

—	OVR-6.8.5-01: Въвежда се подходящ контрол за сигурност за управлението на криптографските техники на SSASP през целия им жизнен цикъл.

—	OVR-6.8.5-02: Що се отнася до OVR-6.8.5-01, SSASP избира и използва подходящи криптографски техники, съответстващи на съгласуваните криптографски механизми, одобрени от Европейската група за сертифициране на киберсигурността и публикувани от ENISA [7].

(7)

Приложение А, раздел А.3 Общи изисквания

—	OVR-A.3-02 [EUSPv2]: Декларацията за практики на доставчика на удостоверителни услуги включва препратка към сертифицирането на използваното УСКП в съответствие с изискванията на Регламент (ЕС) № 910/2014 [i.1], приложение II.

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.