L_202501567SK.000101.fmx.xml

VYKONÁVACIE NARIADENIE KOMISIE (EÚ) 2025/1567

z 29. júla 2025,

ktorým sa stanovujú pravidlá uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014, pokiaľ ide o správu zariadení na vyhotovenie kvalifikovaného elektronického podpisu na diaľku a zariadení na vyhotovenie kvalifikovanej elektronickej pečate na diaľku ako kvalifikovaných dôveryhodných služieb

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES (1), a najmä na jeho článok 29a ods. 2 a článok 39a,

keďže:

(1)

Kvalifikované dôveryhodné služby na správu zariadení na vyhotovenie kvalifikovaného elektronického podpisu na diaľku a na správu zariadení na vyhotovenie kvalifikovanej elektronickej pečate na diaľku zohrávajú kľúčovú úlohu v digitálnom podnikateľskom prostredí tým, že podporujú prechod od tradičných procesov využívajúcich papierové dokumenty k ich elektronickým ekvivalentom. Tieto kvalifikované dôveryhodné služby prispievajú k bezpečnej a dôveryhodnej správe uvedených diaľkových zariadení v mene podpisovateľov a pôvodcov pečatí spôsobom, ktorý zaručuje splnenie podmienok pre kvalifikované elektronické podpisy a kvalifikované elektronické pečate.

(2)

S cieľom posilniť právnu istotu a dôveryhodnosť kvalifikovaných dôveryhodných služieb na správu zariadení na vyhotovenie kvalifikovaného elektronického podpisu na diaľku a kvalifikovaných dôveryhodných služieb na správu zariadení na vyhotovenie kvalifikovanej elektronickej pečate na diaľku by kvalifikovaní poskytovatelia dôveryhodných služieb poskytujúci tieto kvalifikované služby mali dodržiavať normy stanovené v tomto nariadení.

(3)

Tieto normy by mali odrážať zavedené postupy a mali by byť všeobecne uznávané v príslušných odvetviach. Mali by sa prispôsobiť tak, aby zahŕňali kontroly, ktoré zabezpečia bezpečnosť a dôveryhodnosť kvalifikovaných dôveryhodných služieb, ako aj to, aby podpisovatelia mali s vysokou mierou dôveryhodnosti výlučnú kontrolu nad používaním svojich údajov na vyhotovenie elektronického podpisu a aby pôvodcovia pečate mali kontrolu nad používaním svojich údajov na vytvorenie elektronickej pečate.

(4)	S cieľom zabezpečiť primeraný časový rámec na audit poskytovateľov dôveryhodných služieb, pokiaľ ide o súlad s novými požiadavkami, by sa toto nariadenie malo začať uplatňovať 24 mesiacov po nadobudnutí jeho účinnosti.

(5)

Komisia pravidelne posudzuje nové technológie, postupy, normy alebo technické špecifikácie. V súlade s odôvodnením 75 nariadenia Európskeho parlamentu a Rady (EÚ) 2024/1183 (2) by Komisia mala toto nariadenie podľa potreby preskúmať a aktualizovať, aby bolo v súlade s globálnym vývojom, novými technológiami, normami alebo technickými špecifikáciami a aby sa na vnútornom trhu dodržiavali najlepšie postupy.

(6)	Na všetky činnosti spracúvania osobných údajov podľa tohto nariadenia by sa malo vzťahovať nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (3) a v relevantných prípadoch smernica Európskeho parlamentu a Rady 2002/58/ES (4).

(7)	V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (5) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 6. júna 2025 svoje stanovisko.

(8)	Opatrenia ustanovené v tomto nariadení sú v súlade so stanoviskom výboru uvedeného v článku 48 nariadenia (EÚ) č. 910/2014,

PRIJALA TOTO NARIADENIE:

Článok 1

Referenčné normy a špecifikácie

Referenčné normy a špecifikácie na správu zariadení na vyhotovenie kvalifikovaného elektronického podpisu na diaľku a zariadení na vyhotovenie kvalifikovanej elektronickej pečate na diaľku ako kvalifikovaných dôveryhodných služieb uvedené v článku 29a ods. 2 a článku 39a nariadenia (EÚ) č. 910/2014 sú stanovené v prílohe k tomuto nariadeniu.

Článok 2

Nadobudnutie účinnosti a uplatňovanie

Toto nariadenie nadobúda účinnosť dvadsiatym dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.

Toto nariadenie sa uplatňuje od 19. augusta 2027.

Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.

V Bruseli 29. júla 2025

Za Komisiu

predsedníčka

Ursula VON DER LEYEN

(1) Ú. v. EÚ L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Nariadenie Európskeho parlamentu a Rady (EÚ) 2024/1183 z 11. apríla 2024, ktorým sa mení nariadenie (EÚ) č. 910/2014, pokiaľ ide o zriadenie európskeho rámca digitálnej identity (Ú. v. EÚ L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Smernica Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

PRÍLOHA

Zoznam referenčných noriem a špecifikácií na správu zariadení na vyhotovenie kvalifikovaného elektronického podpisu na diaľku a zariadení na vyhotovenie kvalifikovanej elektronickej pečate na diaľku

Uplatňuje sa norma ETSI TS 119 431-1 V1.3.1 (2024-12) na účely posúdenia súladu s politikou EÚ Server Signing Application Service v2 Policy (politika EÚ týkajúca sa služby aplikácie serverového podpisovania, verzia 2) v súlade s prílohou A k uvedenej norme s týmito úpravami:

2.1. Normatívne odkazy

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „elektronické podpisy a infraštruktúry dôvery (ESI); všeobecné požiadavky týkajúce sa politiky pre poskytovateľov dôveryhodných služieb“,

—	[7] Európska skupina pre certifikáciu kybernetickej bezpečnosti, podskupina pre kryptografiu: Agreed Cryptographic Mechanisms (Dohodnuté kryptografické mechanizmy), uverejnené Agentúrou Európskej únie pre kybernetickú bezpečnosť (ENISA) (1).

6.1. Zodpovednosti v oblasti uverejňovania a uchovávania informácií

—	OVR-6.1-04: Informácie identifikované v uvedenej požiadavke OVR-6.1-01 sú verejne a medzinárodne dostupné.

6.4.4. Personálne opatrenia

—

OVR-6.4.4-02: Poskytovatelia služby aplikácie serverového podpisovania (Server Signing Application Service Provider – SSASP) zamestnávajú v dôveryhodných rolách personál a prípadne subdodávateľov, ktorí majú potrebné odborné znalosti, skúsenosti a kvalifikáciu na základe formálnej odbornej prípravy a poverení alebo skúseností, alebo kombinácie oboch možností.

—	OVR-6.4.4-03: Splnenie požiadavky OVR-6.4.4-02 zahŕňa pravidelné (aspoň každých 12 mesiacov) aktuálne informácie o nových hrozbách a súčasných bezpečnostných postupoch.

6.4.9. Ukončenie služby SSASP

—	OVR-6.4.9-02: Plán ukončenia činnosti SSASP je v súlade s vykonávacími aktmi prijatými podľa článku 24 ods. 5 nariadenia (EÚ) č. 910/2014 [i.1].

6.5.5. Kontroly sieťovej bezpečnosti

—	OVR-6.5.5-02: Skenovanie zraniteľnosti požadované v rámci požiadavky REQ-7.8-13 normy ETSI EN 319 401 [1] sa vykonáva aspoň raz za štvrťrok.

—	OVR-6.5.5-03: Firewally musia byť konfigurované tak, aby sa zabránilo všetkým protokolom a prístupom, ktoré nie sú potrebné na prevádzku poskytovateľa dôveryhodných služieb.

6.8.5. Kryptografické kontroly

—	OVR-6.8.5-01: Zavedú sa primerané bezpečnostné kontroly na riadenie všetkých kryptografických techník SSASP počas ich životného cyklu.

—	OVR-6.8.5-02: Pokiaľ ide o požiadavku OVR-6.8.5-01, SSASP vyberá a používa vhodné kryptografické techniky, ktoré sú v súlade s dohodnutými kryptografickými mechanizmami schválenými európskou skupinou pre certifikáciu kybernetickej bezpečnosti a uverejnenými agentúrou ENISA [7].

Príloha A oddiel A.3 Všeobecné požiadavky

—

OVR-A.3-02 [EUSPv2]: Vyhlásenie poskytovateľa dôveryhodných služieb o postupoch obsahuje odkaz na certifikáciu použitého zariadenia na vyhotovenie kvalifikovaného elektronického podpisu/kvalifikovanej elektronickej pečate v súlade s požiadavkami uvedenými v prílohe II k nariadeniu (EÚ) č. 910/2014 [i.1].

(1) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.