L_202501567ET.000101.fmx.xml

KOMISJONI RAKENDUSMÄÄRUS (EL) 2025/1567,

29. juuli 2025,

millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad kvalifitseeritud e-allkirja kaugloomise vahendite ja kvalifitseeritud e-templi kaugloomise vahendite haldamise kohta kvalifitseeritud usaldusteenusena

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 23. juuli 2014. aasta määrust (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ, (1) eriti selle artikli 29a lõiget 2 ja artiklit 39a,

ning arvestades järgmist:

(1)

Kvalifitseeritud usaldusteenused kvalifitseeritud e-allkirja kaugloomise vahendite haldamiseks ja kvalifitseeritud e-templi kaugloomise vahendite haldamiseks etendavad digitaalses ettevõtluskeskkonnas tähtsat rolli, soodustades üleminekut traditsioonilistelt paberipõhistelt protsessidelt elektroonilistele versioonidele. Sellised kvalifitseeritud usaldusteenused aitavad kaasa nende kaugloomise vahendite turvalisele ja usaldusväärsele haldamisele allkirja andjate ja templi loojate nimel, nii et kvalifitseeritud e-allkirjade ja kvalifitseeritud e-templite tingimused on täidetud.

(2)

Selleks et suurendada kvalifitseeritud e-allkirja kaugloomise vahendite ja kvalifitseeritud e-templi kaugloomise vahendite haldamiseks ette nähtud kvalifitseeritud usaldusteenuste õiguskindlust ja usaldusväärsust, peaksid neid teenuseid osutavad kvalifitseeritud usaldusteenuse osutajad järgima käesolevas määruses esitatud standardeid.

(3)

Need standardid peaksid kajastama väljakujunenud tavasid ja olema asjaomastes sektorites laialdaselt tunnustatud. Standardeid tuleks kohandada, et need hõlmaksid kontrolle, millega tagatakse kvalifitseeritud usaldusteenuste turvalisus ja usaldusväärsus ning see, et allkirja andjatel on kõrge usaldusväärsusega ainukontroll oma e-allkirja andmise andmete kasutamise üle ja et templi loojatel on vastavalt kontroll oma e-templi loomise andmete kasutamise üle.

(4)	Selleks et anda piisavalt aega usaldusteenuse osutajate auditeerimiseks seoses uute nõuete täitmisega, peaks käesoleva määruse kohaldamine algama 24 kuud pärast selle jõustumist.

(5)

Komisjon hindab regulaarselt uusi tehnoloogialahendusi, tavasid, standardeid ja tehnilisi spetsifikatsioone. Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1183 (2) põhjenduse 75 kohaselt peaks komisjon käesoleva määruse läbi vaatama ja seda vajaduse korral ajakohastama, et tagada selle kooskõla üleilmsete arengusuundumustega ja uute tehnoloogiate, standardite või tehniliste kirjeldustega ning järgida siseturu parimaid tavasid.

(6)	Igasuguse isikuandmete sellise töötlemise suhtes, mis toimub käesoleva määruse raames, tuleks kohaldada Euroopa Parlamendi ja nõukogu määrust (EL) 2016/679 (3) ja vajaduse korral Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (4).

(7)	Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (5) artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 6. juunil 2025.

(8)	Käesoleva määrusega ette nähtud meetmed on kooskõlas määruse (EL) nr 910/2014 artikliga 48 loodud komitee arvamusega,

ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE:

Artikkel 1

Võrdlusstandardid ja kirjeldused

Määruse (EL) nr 910/2014 artikli 29a lõikes 2 ja artiklis 39a osutatud kvalifitseeritud e-allkirja kaugloomise vahendite ja kvalifitseeritud e-templi kaugloomise vahendite haldamise võrdlusstandardid ja kirjeldused on esitatud käesoleva määruse lisas.

Artikkel 2

Jõustumine ja kohaldatavus

Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Käesolevat määrust kohaldatakse alates 19. augustist 2027.

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

Brüssel, 29. juuli 2025

Komisjoni nimel

president

Ursula VON DER LEYEN

(1) ELT L 257, 28.8.2014, lk 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Euroopa Parlamendi ja nõukogu 11. aprilli 2024. aasta määrus (EL) 2024/1183, millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (ELT L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT L 201, 31.7.2002, lk 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

LISA

Kvalifitseeritud e-allkirja kaugloomise vahendite ja kvalifitseeritud e-templi kaugloomise vahendite haldamise võrdlusstandardite ja kirjelduste loetelu

Standardit ETSI TS 119 431-1 V1.3.1 (2024-12) (edaspidi „ETSI TS 119 431-1“) kohaldatakse selleks, et hinnata vastavust EU Server Signing Application Service v2 (ELi serveri allkirjarakenduse teenus) poliitikale kooskõlas kõnealuse standardi A lisaga, koos järgmiste kohandustega:

2.1. Normatiivsed viited

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers“;

—	[7] Euroopa küberturvalisuse sertifitseerimise rühm, krüptograafia alarühm: „Agreed Cryptographic Mechanisms“, mille on avaldanud Euroopa Liidu Küberturvalisuse Amet (ENISA) (1).

6.1. Avaldamine ja hoidla kohustused

—	OVR-6.1-04: Komponendis OVR-6.1-01 nimetatud teave peab olema avalikult ja rahvusvaheliselt kättesaadav.

6.4.4. Töötajate kontroll

—

OVR-6.4.4-02: Serveri allkirjarakenduse teenuseosutaja (SSASP) võtab tööle usaldusrolle täitvaid töötajaid ja vajaduse korral usaldusrolle täitvaid alltöövõtjaid, kellel on vajalikud erialased teadmised, kogemused ja kvalifikatsioon ametliku koolituse ja kvalifikatsiooni, töökogemuse või nende kahe kombinatsiooni kaudu.

—	OVR-6.4.4-03: Vastavus komponendi OVR-6.4.4-02 nõuetele hõlmab korrapäraseid (vähemalt iga 12 kuu järel) ajakohastusi uute ohtude ja kehtivate turbetavade kohta.

6.4.9. SSASP teenuse lõpetamine

—	OVR-6.4.9-02: SSASP lõpetamiskava peab olema kooskõlas määruse (EL) nr 910/2014 artikli 24 lõike 5 kohaselt vastu võetud rakendusaktidega [i.1].

6.5.5. Võrguturbemeetmed

—	OVR-6.5.5-02: Standardi ETSI EN 319401 [1] komponendiga REQ-7.8-13 nõutud nõrkuseotsing tehakse vähemalt üks kord kvartalis.

—	OVR-6.5.5-03: Tulemüürid peavad olema konfigureeritud nii, et oleks välistatud kõik protokollid ja juurdepääsud, mis ei ole usaldusteenuse osutaja tööks vajalikud.

6.8.5. Krüptograafiline kontroll

—	OVR-6.8.5-01: SSASP mis tahes krüptograafiliste meetodite haldamiseks kogu nende elutsükli jooksul kehtestatakse asjakohased turvameetmed.

—	OVR-6.8.5-02: Komponendi OVR-6.8.5-01 puhul valib SSASP sobivad krüptotehnikad, mis vastavad kokkulepitud krüptograafiamehhanismidele, mille on heaks kiitnud Euroopa küberturvalisuse sertifitseerimise rühm ja mille on avaldanud ENISA [7], ja kasutab neid.

A lisa punkt A.3 „Üldnõuded“

—	OVR-A.3-02 [EUSPv2]: Usaldusteenuse osutaja tavade määrang peab sisaldama viidet kasutatava kvalifitseeritud e-allkirja andmise / e-templi loomise vahendi sertifitseerimisele vastavalt määruse (EL) nr 910/2014 II lisa nõuetele [i.1].

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.