L_202501567HR.000101.fmx.xml

PROVEDBENA UREDBA KOMISIJE (EU) 2025/1567

оd 29. srpnja 2025.

o utvrđivanju pravila za primjenu Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća u pogledu upravljanja kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu i kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu kao kvalificiranim uslugama povjerenja

EUROPSKA KOMISIJA,

uzimajući u obzir Ugovor o funkcioniranju Europske unije,

uzimajući u obzir Uredbu (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (1), a posebno njezin članak 29.a stavak 2. i članak 39.a,

budući da:

(1)

Kvalificirane usluge povjerenja za upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu i za upravljanje kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu imaju bitnu ulogu u digitalnom poslovnom okruženju jer pospješuju prelazak s tradicionalnih procesa koji koriste papir na elektroničke ekvivalente. Način na koji kvalificirane usluge povjerenja doprinose sigurnom i pouzdanom upravljanju tim daljinskim uređajima u ime potpisnika i autora pečata jamči da su uvjeti za kvalificirane elektroničke potpise i kvalificirane elektroničke pečate ispunjeni.

(2)

Radi veće pravne sigurnosti i pouzdanosti kvalificiranih usluga povjerenja za upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu i kvalificiranih usluga povjerenja za upravljanje kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu, kvalificirani pružatelji usluga povjerenja koji pružaju te kvalificirane usluge trebali bi se pridržavati normi utvrđenih u ovoj Uredbi.

(3)

Te bi norme trebale odražavati ustaljenu praksu i biti općepriznate u relevantnim sektorima. Trebalo bi ih prilagoditi tako da obuhvate mjere kojima se jamči sigurnost i pouzdanost kvalificiranih usluga povjerenja i isključiva kontrola potpisnika, s visokom razinom pouzdanosti, nad upotrebom svojih podataka za izradu elektroničkog potpisa te kontrola autora pečata nad upotrebom svojih podataka za izradu elektroničkog pečata.

(4)	Kako bi bilo dovoljno vremena za reviziju pružatelja usluga povjerenja s obzirom na sukladnost s novim zahtjevima, ova bi se Uredba trebala početi primjenjivati 24 mjeseca nakon što stupi na snagu.

(5)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme ili tehničke specifikacije. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (2) Komisija bi ovu uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, novim tehnologijama, normama ili tehničkim specifikacijama te provjerenim praksama na unutarnjem tržištu.

(6)	Na sve aktivnosti obrade osobnih podataka na temelju ove Uredbe trebale bi se primjenjivati Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (3) i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (4).

(7)	Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (5) te je on dao mišljenje 6. lipnja 2025.

(8)	Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora osnovanog člankom 48. Uredbe (EU) br. 910/2014,

DONIJELA JE OVU UREDBU:

Članak 1.

Referentne norme i specifikacije

Referentne norme i specifikacije za upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu i kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu kao kvalificiranim uslugama povjerenja iz članka 29.a stavka 2. i članka 39.a Uredbe (EU) br. 910/2014 utvrđene su u Prilogu ovoj Uredbi.

Članak 2.

Stupanje na snagu i primjena

Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Ova Uredba primjenjuje se od 19. kolovoza 2027.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Bruxellesu 29. srpnja 2025.

Za Komisiju

Predsjednica

Ursula VON DER LEYEN

(1) SL L 257, 28.8.2014., str. 73., ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Uredba (EU) 2024/1183 Europskog parlamenta i Vijeća od 11. travnja 2024. o izmjeni Uredbe (EU) br. 910/2014 u pogledu uspostave europskog okvira za digitalni identitet (SL L, 2024/1183, 30.4.2024., ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1., ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37., ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

PRILOG

Popis referentnih normi i specifikacija za upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu i kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu

Norma ETSI TS 119 431-1 V1.3.1 (2024-12) („ETSI TS 119 431-1) primjenjuje se za potrebe ocjenjivanja sukladnosti s pravilima EU Server Signing Application Service v2 u skladu s Prilogom A toj normi, uz sljedeće prilagodbe:

2.1. Normativna upućivanja

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „Elektronički potpisi i infrastruktura povjerenja (ESI) – Zahtjevi općih pravila za pružatelje usluga povjerenja”,

—	[7] Europska skupina za kibernetičkosigurnosnu certifikaciju, podskupina za kriptografiju: „Dogovoreni kriptografski mehanizmi”, publikacija Agencije Europske unije za kibersigurnost („ENISA”) (1).

6.1. Dužnosti povezane s objavljivanjem i repozitorijima

—	OVR-6.1-04: Informacije utvrđene u OVR-6.1-01 moraju biti javno i međunarodno dostupne.

6.4.4. Mjere za osoblje

—	OVR-6.4.4-02: SSASP-i na pouzdane funkcije zapošljavaju osoblje i, ako je primjenjivo, podugovaratelje koji posjeduju potrebno stručno znanje, iskustvo i kvalifikacije proizišle iz formalnog osposobljavanja i relevantnih potvrda, ili praktičnog iskustva, ili kombinacije toga.

—	OVR-6.4.4-03: Sukladnost s OVR-6.4.4-02 uključuje redovita (najmanje svakih 12 mjeseci) informiranja o novim prijetnjama i aktualnim sigurnosnim praksama.

6.4.9. Prekid usluge SSASP-a

—	OVR-6.4.9-02: SSASP-ov plan prekida mora ispunjavati zahtjeve iz provedbenih akata donesenih na temelju članka 24. stavka 5. Uredbe (EU) br. 910/2014 [i.1].

6.5.5. Mjere mrežne sigurnosti

—	OVR-6.5.5-02: Potraga za ranjivim točkama koja je obvezna prema REQ-7.8-13 norme ETSI EN 319 401 [1] obavlja se najmanje svaka tri mjeseca.

—	OVR-6.5.5-03: Vatrozidovi se konfiguriraju tako da sprečavaju sve protokole i pristupe koji nisu potrebni za rad TSP-a.

6.8.5. Kriptografske mjere

—	OVR-6.8.5-01: Moraju se uspostaviti odgovarajuće sigurnosne mjere za upravljanje svim kriptografskim tehnikama SSASP-a tijekom njihova životnog ciklusa.

—	OVR-6.8.5-02: Kad je riječ o OVR-6.8.5-01, SSASP odabire i primjenjuje odgovarajuće kriptografske tehnike sukladne s „Dogovorenim kriptografskim mehanizmima” koje je potvrdila Europska skupina za kibernetičkosigurnosnu certifikaciju i objavila ENISA [7].

Prilog A, odjeljak A.3. Opći zahtjevi

—	OVR-A.3-02 [EUSPv2]: Izjava o praksi TSP-a mora sadržavati upućivanje na certifikaciju primijenjenog QSCD-a u skladu sa zahtjevima iz Priloga II. Uredbi (EU) br. 910/2014 [i.1].

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.