L_202501566EL.000101.fmx.xml

ΕΚΤΕΛΕΣΤΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/1566 ΤΗΣ ΕΠΙΤΡΟΠΗΣ

της 29ης Ιουλίου 2025

για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα πρότυπα αναφοράς για την επαλήθευση της ταυτότητας και των χαρακτηριστικών του προσώπου στο οποίο πρόκειται να εκδοθεί το εγκεκριμένο πιστοποιητικό ή η εγκεκριμένη ηλεκτρονική βεβαίωση χαρακτηριστικών

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη τον κανονισμό (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Ιουλίου 2014, σχετικά με την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της οδηγίας 1999/93/ΕΚ (1), και ιδίως το άρθρο 24 παράγραφος 1γ,

Εκτιμώντας τα ακόλουθα:

(1)

Το άρθρο 24 του κανονισμού (ΕΕ) αριθ. 910/2014 απαιτεί από τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης να επαληθεύουν την ταυτότητα και, κατά περίπτωση, τυχόν συγκεκριμένα χαρακτηριστικά φυσικού ή νομικού προσώπου κατά την έκδοση εγκεκριμένων πιστοποιητικών ή εγκεκριμένων ηλεκτρονικών βεβαιώσεων χαρακτηριστικών στο εν λόγω πρόσωπο.

(2)

Προκειμένου να διασφαλιστούν η ίση μεταχείριση και η ικανότητα εμπιστοσύνης στο αποτέλεσμα της διαδικασίας επαλήθευσης, οι επαληθεύσεις θα πρέπει να διενεργούνται με ισοδύναμο τρόπο από όλους τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης κατά την έκδοση εγκεκριμένου πιστοποιητικού ή εγκεκριμένης ηλεκτρονικής βεβαίωσης χαρακτηριστικών. Σύμφωνα με τους στόχους του κανονισμού (ΕΕ) αριθ. 910/2014, επιλέχθηκαν ορισμένα πρότυπα για την εκπλήρωση των εν λόγω ειδικών απαιτήσεων. Τα πρότυπα αυτά θα πρέπει να αντικατοπτρίζουν καθιερωμένες πρακτικές και να είναι ευρέως αναγνωρισμένα στους σχετικούς τομείς. Τα εν λόγω πρότυπα θα πρέπει να προσαρμόζονται ώστε να συμπεριλαμβάνονται πρόσθετοι έλεγχοι που να κατοχυρώνουν την ασφάλεια και την αξιοπιστία της εγκεκριμένης υπηρεσίας εμπιστοσύνης, διευκολύνοντας παράλληλα τη διασυνοριακή διαλειτουργικότητα και την αποτελεσματική λειτουργία της εσωτερικής αγοράς.

(3)

Θα πρέπει να προβλεφθεί επαρκής μεταβατική περίοδος για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης ώστε να είναι σε θέση να συμμορφωθούν με τις απαιτήσεις του κανονισμού (ΕΕ) αριθ. 910/2014. Προκειμένου να διασφαλιστεί επαρκές χρονικό διάστημα για τον έλεγχο των παρόχων υπηρεσιών εμπιστοσύνης όσον αφορά τη συμμόρφωση με τις απαιτήσεις του παρόντος κανονισμού, ο παρών κανονισμός θα πρέπει να εφαρμόζεται μετά την παρέλευση 24 μηνών από την έναρξη ισχύος του.

(4)

Η Επιτροπή αξιολογεί τακτικά νέες τεχνολογίες, πρακτικές, πρότυπα ή τεχνικές προδιαγραφές. Σύμφωνα με την αιτιολογική σκέψη 75 του κανονισμού (ΕΕ) 2024/1183 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), η Επιτροπή θα πρέπει να επανεξετάζει και, εάν χρειάζεται, να επικαιροποιεί τον παρόντα κανονισμό, ώστε να συμβαδίζει με τις παγκόσμιες εξελίξεις, τις νέες τεχνολογίες, τα πρότυπα ή τις τεχνικές προδιαγραφές, και να ακολουθούνται οι βέλτιστες πρακτικές στην εσωτερική αγορά.

(5)	Στις δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του παρόντος κανονισμού εφαρμόζεται ο κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3) και, κατά περίπτωση, η οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4).

(6)	Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 6 Ιουνίου 2025.

(7)	Τα μέτρα που προβλέπονται στον παρόντα κανονισμό είναι σύμφωνα με τη γνώμη της επιτροπής που έχει συσταθεί βάσει του άρθρου 48 του κανονισμού (ΕΕ) αριθ. 910/2014,

ΕΞΕΔΩΣΕ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:

Άρθρο 1

Τα πρότυπα αναφοράς και οι προδιαγραφές που αναφέρονται στο άρθρο 24 παράγραφος 1γ του κανονισμού (ΕΕ) αριθ. 910/2014 παρατίθενται στο παράρτημα του παρόντος κανονισμού.

Άρθρο 2

Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Ο παρών κανονισμός εφαρμόζεται από τις 19 Αυγούστου 2027.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

Βρυξέλλες, 29 Ιουλίου 2025.

Για την Επιτροπή

Η Πρόεδρος

Ursula VON DER LEYEN

(1) ΕΕ L 257 της 28.8.2014, σ. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Κανονισμός (ΕΕ) 2024/1183 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 11ης Απριλίου 2024, για την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 όσον αφορά τη θέσπιση ευρωπαϊκού πλαισίου για την ψηφιακή ταυτότητα (ΕΕ L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (ΕΕ L 201 της 31.7.2002, σ. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ΠΑΡΑΡΤΗΜΑ

Πρότυπο αναφοράς για την επαλήθευση της ταυτότητας και των χαρακτηριστικών των προσώπων στα οποία πρόκειται να εκδοθεί εγκεκριμένο πιστοποιητικό ή εγκεκριμένη ηλεκτρονική βεβαίωση χαρακτηριστικών

Για τη συμμόρφωση με το παράρτημα C ρήτρα C.3 εφαρμόζεται το πρότυπο ETSI TS 119 461 V2.1.1 (2025-02), με τις ακόλουθες προσαρμογές:

2.1 Κανονιστικές παραπομπές

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [Ηλεκτρονικές υπογραφές και υποδομές εμπιστοσύνης (ESI)· Απαιτήσεις γενικής πολιτικής για τους παρόχους υπηρεσιών εμπιστοσύνης].

C.3 Περιπτώσεις χρήσης για την έκδοση εγκεκριμένου πιστοποιητικού ή εγκεκριμένων ηλεκτρονικών βεβαιώσεων χαρακτηριστικών σύμφωνα με το άρθρο 24 παράγραφοι 1, 1α και 1β του κανονισμού (ΕΕ) αριθ. 910/2014

—

[ΥΠΟ ΟΡΟΥΣ] QTS-C3-01: Εάν η επαλήθευση ταυτότητας για εγκεκριμένο πιστοποιητικό ή εγκεκριμένη ηλεκτρονική βεβαίωση πραγματοποιείται σε συνδυασμό με επαλήθευση ταυτότητας για την έκδοση έγκυρων αποδεικτικών στοιχείων, η εν λόγω διαδικασία επαλήθευσης ταυτότητας πρέπει:

—	να έχει υποβληθεί σε αξιολόγηση από ομοτίμους ή να έχει πιστοποιηθεί από διαπιστευμένο οργανισμό αξιολόγησης της συμμόρφωσης ώστε να συμμορφώνεται με το υψηλό επίπεδο διασφάλισης σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 910/2014, ή

—	να πληροί τις απαιτήσεις που ορίζονται στις ρήτρες C3.1 έως C3.6.

C.3.4 Περίπτωση χρήσης για την απόδειξη ταυτότητας με άλλα μέσα ταυτοποίησης

—

QTS-C.3.4-06A: Ο ανεξάρτητος οργανισμός αξιολόγησης της συμμόρφωσης που αναφέρεται στο σημείο [ΥΠΟ ΟΡΟΥΣ] QTS-C.3.4-06 στοιχείο c) είναι διαπιστευμένος σύμφωνα με το άρθρο 3 παράγραφος 18 του κανονισμού (ΕΕ) αριθ. 910/2014 και, εάν πληρούνται όλες οι εφαρμοστέες απαιτήσεις, η αξιολόγηση θα πρέπει να καταλήγει σε πιστοποιητικό συμμόρφωσης βάσει ελέγχου πιστοποίησης. Η εν λόγω επίσημη διαδικασία πιστοποίησης βασίζεται σε διαδικασία αξιολόγησης της ασφάλειας η οποία αναφέρεται στα επίπεδα διασφάλισης που ορίζονται για τα κοινοποιημένα μέσα ηλεκτρονικής ταυτοποίησης ή τα πιστοποιημένα ευρωπαϊκά πορτοφόλια ψηφιακής ταυτότητας βάσει του κανονισμού (ΕΕ) αριθ. 910/2014 και περιλαμβάνει αυστηρές δοκιμές για την αξιολόγηση της ανθεκτικότητας έναντι πιθανών απειλών κατά της ασφάλειας. Οι αξιολογήσεις αυτές χρησιμοποιούν κατάλληλα τεχνικά πρότυπα για να αποδειχθεί η ανθεκτικότητα έναντι τέτοιων επιθέσεων.

9.2.3.4 Περίπτωση χρήσης για αυτοματοποιημένη λειτουργία

—

USE-9.2.3.4-04: Ο πάροχος υπηρεσίας απόδειξης ταυτότητας (IPSP) καθορίζει τιμές-στόχους για το ποσοστό εσφαλμένης αποδοχής (FAR) και το ποσοστό εσφαλμένης απόρριψης (FRR), βάσει ανάλυσης κινδύνων και της οικείας διαδικασίας πληροφοριών για απειλές, ακολουθώντας τη μεθοδολογία που ορίζεται στην έκθεση του ENISA με τίτλο «Methodology for sectoral cybersecurity assessments» (Μεθοδολογία για τομεακές αξιολογήσεις της κυβερνοασφάλειας) [i.28] ή ισοδύναμη μεθοδολογία, στο πλαίσιο πλήρως αυτοματοποιημένων διαδικασιών απόδειξης ταυτότητας. Οι εν λόγω τιμές-στόχοι είναι ίσες με ή χαμηλότερες από εκείνες που καθορίζονται για περιπτώσεις υβριδικής χρήσης, όταν υπάρχουν. Ο IPSP διατηρεί τις εν λόγω τιμές-στόχους για το FAR και το FRR με συνέπεια, βάσει ανάλυσης κινδύνων και της οικείας διαδικασίας πληροφοριών για απειλές.

8.3.3 Επικύρωση φυσικού εγγράφου ταυτότητας

—

VAL-8.3.3-21: Η αποτελεσματικότητα των μέτρων για συμμόρφωση με τις απαιτήσεις VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A και VAL-8.3.3-07X ελέγχεται με δοκιμές από διαπιστευμένο εργαστήριο ή εθνική αρμόδια αρχή, εφόσον έχουν οριστεί, το αργότερο έως τις 19 Αυγούστου 2027 και στη συνέχεια ο έλεγχος αυτός επαναλαμβάνεται ανά διετία.

7.12. Τερματισμός και σχέδια τερματισμού

—	OVR-7.12-02: Το σχέδιο τερματισμού συμμορφώνεται με τις απαιτήσεις που ορίζονται στις εκτελεστικές πράξεις οι οποίες εκδίδονται δυνάμει του άρθρου 24 παράγραφος 5 του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1].