L_202501567DE.000101.fmx.xml

DURCHFÜHRUNGSVERORDNUNG (EU) 2025/1567 DER KOMMISSION

vom 29. Juli 2025

zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf die Verwaltung von qualifizierten elektronischen Fernsignaturerstellungseinheiten und qualifizierten elektronischen Fernsiegelerstellungseinheiten

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (1), insbesondere auf Artikel 29a Absatz 2 und Artikel 39a,

in Erwägung nachstehender Gründe:

(1)

Qualifizierte Vertrauensdienste für die Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten und für die Verwaltung qualifizierter elektronischer Fernsiegelerstellungseinheiten haben im digitalen Geschäftsumfeld eine große Bedeutung, weil sie den Übergang von herkömmlichen papiergestützten Verfahren zu entsprechenden elektronischen Verfahren fördern. Diese qualifizierten Vertrauensdienste tragen zu einer sicheren und vertrauenswürdigen Verwaltung solcher Ferngeräte im Namen der Unterzeichner und Siegelersteller in einer Weise bei, die gewährleistet, dass die Bedingungen für qualifizierte elektronische Signaturen und qualifizierte elektronische Siegel eingehalten werden.

(2)

Um die Rechtssicherheit und Vertrauenswürdigkeit qualifizierter Vertrauensdienste für die Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten und qualifizierter Vertrauensdienste für die Verwaltung qualifizierter elektronischer Fernsiegelerstellungseinheiten zu erhöhen, sollten qualifizierte Vertrauensdiensteanbieter, die diese qualifizierten Dienste erbringen, die in der vorliegenden Verordnung festgelegten Standards bzw. Normen einhalten.

(3)

Diese Standards bzw. Normen sollten bewährte Verfahren widerspiegeln und in den betreffenden Sektoren weithin anerkannt sein. Sie sollten so angepasst werden, dass sie Kontrollen umfassen, um die Sicherheit und Vertrauenswürdigkeit der qualifizierten Vertrauensdienste zu gewährleisten und um sicherzustellen, dass die Unterzeichner mit einem hohen Maß an Vertrauen die alleinige Kontrolle über die Verwendung ihrer elektronischen Signaturerstellungsdaten bzw. die Siegelersteller die alleinige Kontrolle über die Verwendung ihrer elektronischen Siegelerstellungsdaten haben.

(4)	Um einen angemessenen Zeitrahmen einzuräumen, damit bei den Vertrauensdiensteanbietern die Einhaltung der neuen Anforderungen geprüft werden kann, sollte die Anwendung der vorliegenden Verordnung 24 Monate nach ihrem Inkrafttreten beginnen.

(5)

Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Standards bzw. Normen oder technische Spezifikationen. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates (2) sollte die Kommission die vorliegende Verordnung überprüfen und erforderlichenfalls aktualisieren, um sie mit globalen Entwicklungen, neuen Technologien, Standards oder technischen Spezifikationen in Einklang zu halten und den bewährten Verfahren im Binnenmarkt zu folgen.

(6)	Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (3) und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (4) sollte für jede Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung gelten.

(7)	Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (5) angehört und gab am 6. Juni 2025 seine Stellungnahme ab.

(8)	Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 48 der Verordnung (EU) Nr. 910/2014 eingesetzten Ausschusses —

HAT FOLGENDE VERORDNUNG ERLASSEN:

Artikel 1

Referenzstandards und Spezifikationen

Die Referenzstandards und Spezifikationen für die Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten und qualifizierter elektronischer Fernsiegelerstellungseinheiten als qualifizierte Vertrauensdienste gemäß Artikel 29a Absatz 2 und Artikel 39a der Verordnung (EU) Nr. 910/2014 sind im Anhang der vorliegenden Verordnung festgelegt.

Artikel 2

Inkrafttreten und Geltungsbeginn

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung gilt ab dem 19. August 2027.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 29. Juli 2025

Für die Kommission

Die Präsidentin

Ursula VON DER LEYEN

(1) ABl. L 257 vom 28.8.2014, S. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates vom 11. April 2024 zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung des europäischen Rahmens für eine digitale Identität (ABl. L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ANHANG

Liste der Referenzstandards und Spezifikationen für die Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten und qualifizierter elektronischer Fernsiegelerstellungseinheiten

Die Norm ETSI TS 119431-1 V1.3.1 (2024-12) (im Folgenden „ETSI TS 119431-1“) gilt für die Bewertung der Konformität mit der „EU Server Signing Application Service v2 Policy“ (Regelung für den EU-Serversignieranwendungsdienst V2) gemäß Anhang A dieser Norm mit folgenden Anpassungen:

2.1 Normative Verweise

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „Elektronische Signaturen und Infrastrukturen (ESI) — Allgemeine Anforderungen an die Policy für Vertrauensdiensteanbieter“;

—	[7] Europäische Gruppe für die Cybersicherheitszertifizierung, Untergruppe für Kryptografie: „Agreed Cryptographic Mechanisms“ (Vereinbarte kryptografische Mechanismen), veröffentlicht von der Agentur der Europäischen Union für Cybersicherheit („ENISA“) (1).

6.1 Verantwortlichkeiten für Veröffentlichung und Datenablage (Repository)

—	OVR-6.1-04: Die in OVR-6.1-01 genannten Informationen müssen öffentlich und international verfügbar sein.

6.4.4 Personalkontrollen

—

OVR-6.4.4-02: Das Personal des Serversignieranwendungsdiensteanbieters (SSASP), das Vertrauensaufgaben wahrnimmt, und gegebenenfalls dessen Unterauftragnehmer, die Vertrauensaufgaben wahrnehmen, müssen über die erforderlichen Fachkenntnisse, Erfahrungen und Qualifikationen durch formale Schulungen und Befähigungsnachweise oder tatsächliche Erfahrung oder eine Kombination aus beiden verfügen.

—	OVR-6.4.4-03: Die Einhaltung von OVR-6.4.4-02 umfasst regelmäßige Aktualisierungen (mindestens alle 12 Monate) im Hinblick auf neue Bedrohungen und aktuelle Sicherheitspraktiken.

6.4.9 Beendigung des Dienstes des SSASP

—	OVR-6.4.9-02: Der Beendigungsplan des SSASP muss den gemäß Artikel 24 Absatz 5 der Verordnung (EU) Nr. 910/2014 [i.1] erlassenen Durchführungsrechtsakten entsprechen.

6.5.5 Kontrollen der Netzsicherheit

—	OVR-6.5.5-02: Der in REQ-7.8-13 der Norm ETSI EN 319 401 [1] geforderte Schwachstellen-Scan ist mindestens einmal pro Quartal durchzuführen.

—	OVR-6.5.5-03: Firewalls sind so zu konfigurieren, dass alle Protokolle und Zugänge, die nicht für den Betrieb des Vertrauensdiensteanbieters (TSP) erforderlich sind, verhindert werden.

6.8.5 Kryptografische Kontrollen

—	OVR-6.8.5-01: Es müssen angemessene Sicherheitskontrollen für die Verwaltung aller kryptografischen Techniken des SSASP während seines gesamten Lebenszyklus bestehen.

—	OVR-6.8.5-02: In Bezug auf OVR-6.8.5-01 muss der SSASP geeignete Algorithmen auswählen und verwenden, die den von der Europäischen Gruppe für die Cybersicherheitszertifizierung gebilligten und von der ENISA veröffentlichten vereinbarten kryptografischen Mechanismen entsprechen [7].

Anhang A Abschnitt A.3 Allgemeine Anforderungen

—	OVR-A.3-02 [EUSPv2]: Die Praxiserklärung des TSP muss einen Verweis auf die Zertifizierung der verwendeten qualifizierten elektronischen Signatur- bzw. Siegelerstellungseinheiten (QSCD) gemäß den Anforderungen des Anhangs II der Verordnung (EU) Nr. 910/2014 [i.1] enthalten.

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.