European flag

Den Europæiske Unions
Tidende

DA

L-udgaven


2025/1567

30.7.2025

KOMMISSIONENS GENNEMFØRELSESFORORDNING (EU) 2025/1567

af 29. juli 2025

om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 for så vidt angår forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og af kvalificerede elektroniske seglgenereringssystemer på afstand som kvalificerede tillidstjenester

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (1), særlig artikel 29a, stk. 2, og artikel 39a,

ud fra følgende betragtninger:

(1)

Kvalificerede tillidstjenester til forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand spiller en afgørende rolle i det digitale erhvervsmiljø ved at fremme overgangen fra traditionelle papirbaserede processer til elektroniske processer. Disse kvalificerede tillidstjenester bidrager til en sikker og pålidelig forvaltning af systemerne på afstand på vegne af underskriverne og de forseglende parter på en måde, der garanterer, at betingelserne for kvalificerede elektroniske signaturer og kvalificerede elektroniske segl er opfyldt.

(2)

For at øge retssikkerheden og pålideligheden af kvalificerede tillidstjenester til forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og kvalificerede tillidstjenester til forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand bør kvalificerede tillidstjenesteudbydere, der udbyder sådanne kvalificerede tjenester, overholde de i nærværende forordning fastsatte standarder.

(3)

Disse standarder bør afspejle etableret praksis og være bredt anerkendt inden for de relevante sektorer. De bør tilpasses, så de omfatter kontrol, der garanterer de kvalificerede tillidstjenesters sikkerhed og pålidelighed, og sikrer, at underskriverne med en høj grad af tillid har enekontrol over anvendelsen af deres elektroniske signaturgenereringsdata, og at de forseglende parter har kontrol over anvendelsen af deres elektroniske seglgenereringsdata.

(4)

Med henblik på at sikre en passende tidsramme for kontrolundersøgelser af tillidstjenesteudbydere for så vidt angår overholdelse af de nye krav, bør denne forordning finde anvendelse fra 24 måneder efter dens ikrafttræden.

(5)

Kommissionen vurderer regelmæssigt nye teknologier, praksisser, standarder eller tekniske specifikationer. I overensstemmelse med betragtning 75 til Europa-Parlamentets og Rådets forordning (EU) 2024/1183 (2) bør Kommissionen revidere og om nødvendigt ajourføre nærværende forordning for at sikre, at den er i overensstemmelse med den globale udvikling, den tekniske struktur og referencerammen og følger bedste praksis på det indre marked.

(6)

Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3) og, hvor det er relevant, Europa-Parlamentets og Rådets direktiv 2002/58/EF (4) finder anvendelse på alle behandlingsaktiviteter vedrørende personoplysninger i henhold til nærværende forordning.

(7)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (5) og afgav udtalelse den 6. juni 2025.

(8)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 48 i forordning (EU) nr. 910/2014 —

VEDTAGET DENNE FORORDNING:

Artikel 1

Referencestandarder og specifikationer

Referencestandarderne og specifikationerne for forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og kvalificerede elektroniske seglgenereringssystemer på afstand som kvalificerede tillidstjenester, jf. artikel 29a, stk. 2, og artikel 39a i forordning (EU) nr. 910/2014, er fastsat i bilaget til nærværende forordning.

Artikel 2

Ikrafttræden og anvendelse

Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den finder anvendelse fra den 19. august 2027.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Bruxelles, den 29. juli 2025.

På Kommissionens vegne

Ursula VON DER LEYEN

Formand


(1)   EUT L 257 af 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2)  Europa-Parlamentets og Rådets forordning (EU) 2024/1183 af 11. april 2024 om ændring af forordning (EU) nr. 910/2014 for så vidt angår fastlæggelse af den europæiske ramme for digital identitet (EUT L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5)  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).


BILAG

Liste over referencestandarder og specifikationer for forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og kvalificerede elektroniske seglgenereringssystemer på afstand

Standard ETSI TS 119 431-1 V1.3.1 (2024-12) (»ETSI TS 119 431-1«) finder anvendelse med henblik på vurdering af overensstemmelsen med politikken for EU's serversigneringsapplikationstjeneste v2 (EU Server Signing Application Service v2 Policy) i overensstemmelse med bilag A til nævnte standard med følgende tilpasninger:

1)

2.1 Normative referencer (Normative references)

—

[1] ETSI EN 319 401 V3.1.1 (2024-06): »Elektroniske signaturer og infrastrukturer (ESI) Generelle policykrav til trust service-udbydere«

—

[7] Den Europæiske Cybersikkerhedscertificeringsgruppe, undergruppen for kryptografi: »Agreed Cryptographic Mechanisms«, offentliggjort af Den Europæiske Unions Agentur for Cybersikkerhed (»ENISA«) (1).

2)

6.1 Offentliggørelses- og registeransvar (Publication and repository responsibilities)

—

OVR-6.1-04: Oplysningerne i OVR-6.1-01 ovenfor skal være offentligt og internationalt tilgængelige.

3)

6.4.4 Personalekontrolforanstaltninger (Personnel controls)

—

OVR-6.4.4-02: Udbydere af serversigneringsapplikationstjenester (SSASP'er) skal i betroede roller engagere personale og, hvis det er relevant, underleverandører, der har opnået den nødvendige ekspertviden, erfaring og kvalifikation gennem formel uddannelse og eksaminer eller faktisk erfaring eller en kombination af de to.

—

OVR-6.4.4-03: Overholdelse af OVR-6.4.4-02 skal omfatte regelmæssige (mindst hver 12. måned) opdateringer om nye trusler og aktuel sikkerhedspraksis.

4)

6.4.9 Afbrydelse af tjenester hos udbydere af serversigneringsapplikationstjenester (SSASP service termination)

—

OVR-6.4.9-02: Udbydere af serversigneringsapplikationstjenesters plan i tilfælde af virksomhedsafbrydelse skal være i overensstemmelse med de gennemførelsesretsakter, der er vedtaget i henhold til artikel 24, stk. 5, i forordning (EU) nr. 910/2014 [i.1].

5)

6.5.5 Netværkssikkerhedskontroller (Network security controls)

—

OVR-6.5.5-02: Den sårbarhedsscanning, der kræves i REQ-7.8-13 i ETSI EN 319 401 [1], skal udføres mindst én gang pr. kvartal.

—

OVR-6.5.5-03: Firewalls skal være konfigurerede til at forhindre alle protokoller og al adgang, der ikke er nødvendige for tillidstjenesteudbyderens (TSP'ens) drift.

6)

6.8.5 Kryptografiske kontroller (Cryptographic controls)

—

OVR-6.8.5-01: Der skal være indført passende sikkerhedskontroller til forvaltning af alle kryptografiske teknikker hos udbyderen af serversigneringsapplikationstjenesten og i hele deres livscyklus.

—

OVR-6.8.5-02: For så vidt angår OVR-6.8.5-01 udvælger og anvender udbyderen af serversigneringsapplikationstjenesten passende kryptografiske teknikker, der er i overensstemmelse med de aftalte kryptografiske mekanismer, der er godkendt af Den Europæiske Cybersikkerhedscertificeringsgruppe og offentliggjort af ENISA [7].

7)

Bilag A, afsnit A.3 Generelle krav (General requirements)

—

OVR-A.3-02 [EUSPv2]: Tillidstjenesteudbyderens erklæring om praksis skal indeholde en henvisning til certificeringen af det anvendte kvalificerede elektroniske signatur-/seglgenereringssystem i overensstemmelse med kravene i bilag II til forordning (EU) nr. 910/2014 [i.1].


(1)   https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.


ELI: http://data.europa.eu/eli/reg_impl/2025/1567/oj

ISSN 1977-0634 (electronic edition)