L_202501567EL.000101.fmx.xml

ΕΚΤΕΛΕΣΤΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/1567 ΤΗΣ ΕΠΙΤΡΟΠΗΣ

της 29ης Ιουλίου 2025

για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής και εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής σφραγίδας ως εγκεκριμένων υπηρεσιών εμπιστοσύνης

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη τον κανονισμό (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Ιουλίου 2014, σχετικά με την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της οδηγίας 1999/93/ΕΚ (1), και ιδίως το άρθρο 29α παράγραφος 2 και το άρθρο 39α,

Εκτιμώντας τα ακόλουθα:

(1)

Οι εγκεκριμένες υπηρεσίες εμπιστοσύνης για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής και για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής σφραγίδας διαδραματίζουν καίριο ρόλο στο ψηφιακό επιχειρηματικό περιβάλλον, προωθώντας τη μετάβαση από τις παραδοσιακές έντυπες διαδικασίες σε ηλεκτρονικά ισοδύναμα. Οι εν λόγω εγκεκριμένες υπηρεσίες εμπιστοσύνης συμβάλλουν στην ασφαλή και αξιόπιστη διαχείριση των εν λόγω εξ αποστάσεως διατάξεων για λογαριασμό των υπογραφόντων και των δημιουργών των σφραγίδων, κατά τρόπο που να εγγυάται ότι πληρούνται οι προϋποθέσεις για εγκεκριμένες ηλεκτρονικές υπογραφές και εγκεκριμένες ηλεκτρονικές σφραγίδες.

(2)

Για να ενισχυθεί η ασφάλεια δικαίου και η αξιοπιστία των εγκεκριμένων υπηρεσιών εμπιστοσύνης για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής και των εγκεκριμένων υπηρεσιών εμπιστοσύνης για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής σφραγίδας, οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που παρέχουν τις εν λόγω εγκεκριμένες υπηρεσίες θα πρέπει να συμμορφώνονται με τα πρότυπα που ορίζονται στον παρόντα κανονισμό.

(3)

Τα πρότυπα αυτά θα πρέπει να αντικατοπτρίζουν καθιερωμένες πρακτικές και να είναι ευρέως αναγνωρισμένα στους σχετικούς τομείς. Θα πρέπει να προσαρμοστούν ώστε να περιλαμβάνουν ελέγχους που εγγυώνται την ασφάλεια και την αξιοπιστία των εγκεκριμένων υπηρεσιών εμπιστοσύνης και διασφαλίζουν ότι οι υπογράφοντες έχουν τον αποκλειστικό έλεγχο, με υψηλό επίπεδο εμπιστοσύνης, επί της χρήσης των δεδομένων τους δημιουργίας ηλεκτρονικής υπογραφής, και ότι οι δημιουργοί της σφραγίδας έχουν τον έλεγχο επί της χρήσης των δεδομένων τους δημιουργίας ηλεκτρονικής σφραγίδας, αντίστοιχα.

(4)	Προκειμένου να διασφαλιστεί επαρκές χρονικό διάστημα για τον έλεγχο των παρόχων υπηρεσιών εμπιστοσύνης όσον αφορά τη συμμόρφωση με τις νέες απαιτήσεις, ο παρών κανονισμός θα πρέπει να εφαρμοστεί 24 μήνες μετά την έναρξη ισχύος του.

(5)

Η Επιτροπή αξιολογεί τακτικά νέες τεχνολογίες, πρακτικές, πρότυπα ή τεχνικές προδιαγραφές. Σύμφωνα με την αιτιολογική σκέψη 75 του κανονισμού (ΕΕ) 2024/1183 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), η Επιτροπή θα πρέπει να επανεξετάζει και, εάν χρειάζεται, να επικαιροποιεί τον παρόντα κανονισμό, ώστε να συμβαδίζει με τις διεθνείς εξελίξεις, τις νέες τεχνολογίες, τα πρότυπα ή τις τεχνικές προδιαγραφές, και να ακολουθούνται οι βέλτιστες πρακτικές στην εσωτερική αγορά.

(6)

Σε όλες τις δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του παρόντος κανονισμού θα πρέπει να εφαρμόζεται ο κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3) και, κατά περίπτωση, η οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4).

(7)	Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 6 Ιουνίου 2025.

(8)	Τα μέτρα που προβλέπονται στον παρόντα κανονισμό είναι σύμφωνα με τη γνώμη της επιτροπής που έχει συσταθεί βάσει του άρθρου 48 του κανονισμού (ΕΕ) αριθ. 910/2014,

ΕΞΕΔΩΣΕ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:

Άρθρο 1

Πρότυπα αναφοράς και προδιαγραφές

Τα πρότυπα αναφοράς και οι προδιαγραφές για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής και εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής σφραγίδας ως εγκεκριμένων υπηρεσιών εμπιστοσύνης που αναφέρονται στο άρθρο 29α παράγραφος 2 και στο άρθρο 39α του κανονισμού (ΕΕ) αριθ. 910/2014 καθορίζονται στο παράρτημα του παρόντος κανονισμού.

Άρθρο 2

Έναρξη ισχύος και εφαρμογή

Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Ο παρών κανονισμός εφαρμόζεται από τις 19 Αυγούστου 2027.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

Βρυξέλλες, 29 Ιουλίου 2025/

Για την Επιτροπή

Η Πρόεδρος

Ursula VON DER LEYEN

(1) ΕΕ L 257 της 28.8.2014, σ. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Κανονισμός (ΕΕ) 2024/1183 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 11ης Απριλίου 2024, για την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 όσον αφορά τη θέσπιση ευρωπαϊκού πλαισίου για την ψηφιακή ταυτότητα (ΕΕ L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (ΕΕ L 201 της 31.7.2002, σ. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ΠΑΡΑΡΤΗΜΑ

Κατάλογος προτύπων αναφοράς και προδιαγραφών για τη διαχείριση εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής και εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας ηλεκτρονικής σφραγίδας

Το πρότυπο ETSI TS 119 431-1 V1.3.1 (2024-12) (στο εξής: ETSI TS 119 431-1) εφαρμόζεται για τους σκοπούς της αξιολόγησης της συμμόρφωσης με τη δεύτερη έκδοση της πολιτική της ΕΕ για υπηρεσία εφαρμογής για υπογραφή εξυπηρετητή (EU Server Signing Application Service v2 Policy) (στο εξής: SSASP) σύμφωνα με το παράρτημα Α του εν λόγω προτύπου, με τις ακόλουθες προσαρμογές:

2.1. Παραπομπές σε κανονιστικές διατάξεις

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): «Ηλεκτρονικές υπογραφές και υποδομές εμπιστοσύνης (ESI)· Απαιτήσεις γενικής πολιτικής για τους παρόχους υπηρεσιών εμπιστοσύνης»·

—	[7] Ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας, υποομάδα για την κρυπτογραφία: «Συμφωνημένοι κρυπτογραφικοί μηχανισμοί» που δημοσιεύτηκε από τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (στο εξής: ENISA) (1).

6.1. Ευθύνες δημοσιοποίησης και τήρησης αποθετηρίου

—	OVR-6.1-04: Οι πληροφορίες που προσδιορίζονται στο OVR-6.1-01 ανωτέρω είναι διαθέσιμες στο κοινό σε διεθνές επίπεδο.

6.4.4. Έλεγχοι προσωπικού

—	OVR-6.4.4-02: Η SSASP απασχολεί προσωπικό σε ρόλους εμπιστοσύνης και, κατά περίπτωση, υπεργολάβους σε ρόλους εμπιστοσύνης, οι οποίοι διαθέτουν τις απαραίτητες εξειδικευμένες γνώσεις, πείρα και προσόντα μέσω τυπικής κατάρτισης και διαπιστευτηρίων, ή πείρας, ή συνδυασμού των δύο.

—	OVR-6.4.4-03: Η συμμόρφωση με το OVR-6.4.4-02 περιλαμβάνει τακτικές (τουλάχιστον κάθε 12 μήνες) ενημερώσεις σχετικά με τις νέες απειλές και τις τρέχουσες πρακτικές ασφάλειας.

6.4.9. Τερματισμός υπηρεσίας SSASP

—	OVR-6.4.9-02: Το σχέδιο τερματισμού της SSASP συμμορφώνεται με τις εκτελεστικές πράξεις οι οποίες εκδίδονται δυνάμει του άρθρου 24 παράγραφος 5 του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1].

6.5.5. Έλεγχοι ασφάλειας δικτύου

—	OVR-6.5.5-02: Η σάρωση τρωτών σημείων που απαιτείται από το REQ-7.8-13 του ETSI EN 319 401 [1] εκτελείται τουλάχιστον μία φορά ανά τρίμηνο.

—	OVR-6.5.5-03: Τα τείχη προστασίας διαμορφώνονται έτσι ώστε να αποτρέπονται όλα τα πρωτόκολλα και οι προσβάσεις που δεν απαιτούνται για τη λειτουργία του παρόχου υπηρεσιών εμπιστοσύνης.

6.8.5. Κρυπτογραφικοί έλεγχοι

—	OVR-6.8.5-01: Εφαρμόζονται κατάλληλοι έλεγχοι ασφάλειας για τη διαχείριση τυχόν κρυπτογραφικών τεχνικών της SSASP καθ’ όλη τη διάρκεια του κύκλου ζωής τους.

—	OVR-6.8.5-02: Όσον αφορά το OVR-6.8.5-01, η SSASP επιλέγει και χρησιμοποιεί κατάλληλες κρυπτογραφικές τεχνικές που συμμορφώνονται με τους συμφωνημένους κρυπτογραφικούς μηχανισμούς που έχουν εγκριθεί από την ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και έχουν δημοσιευθεί από τον ENISA [7].

Παράρτημα A, τμήμα A.3 Γενικές απαιτήσεις

—

OVR-A.3-02 [EUSPv2]: Η δήλωση ως προς την πρακτική του παρόχου υπηρεσιών εμπιστοσύνης περιλαμβάνει την αναφορά στην πιστοποίηση της εγκεκριμένης διάταξης εξ αποστάσεως δημιουργίας ηλεκτρονικής υπογραφής ή σφραγίδας που χρησιμοποιείται σύμφωνα με τις απαιτήσεις του παραρτήματος II του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1].

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.