L_202501566FI.000101.fmx.xml

KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2025/1566,

annettu 29 päivänä heinäkuuta 2025,

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 soveltamissäännöistä sen henkilön henkilöllisyyden ja attribuuttien tarkastamista koskevien viitestandardien osalta, jolle hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus on tarkoitus myöntää

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta 23 päivänä heinäkuuta 2014 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 (1) ja erityisesti sen 24 artiklan 1 c kohdan,

sekä katsoo seuraavaa:

(1)

Asetuksen (EU) N:o 910/2014 24 artiklassa edellytetään, että hyväksytyt luottamuspalvelun tarjoajat tarkastavat luonnollisen henkilön tai oikeushenkilön henkilöllisyyden ja mahdolliset muut attribuutit myöntäessään kyseiselle henkilölle hyväksyttyjä varmenteita tai hyväksyttyjä sähköisiä attribuuttitodistuksia.

(2)

Jotta voidaan varmistaa yhdenvertainen kohtelu ja kyky luottaa tarkastusprosessin tulokseen, kaikkien hyväksyttyjen luottamuspalvelun tarjoajien olisi suoritettava tarkastukset yhdenmukaisella tavalla, kun ne myöntävät hyväksytyn varmenteen tai hyväksytyn sähköisen attribuuttitodistuksen. Asetuksen (EU) N:o 910/2014 tavoitteiden mukaisesti näiden erityisvaatimusten täyttämiseksi on valittu joukko standardeja. Näiden standardien olisi heijastettava vakiintuneita käytäntöjä, ja niiden olisi oltava laajasti tunnustettuja kyseessä olevilla aloilla. Näitä standardeja olisi mukautettava siten, että niihin sisällytetään lisätarkastuksia, joilla varmistetaan hyväksytyn luottamuspalvelun turvallisuus ja luotettavuus ja helpotetaan samalla rajat ylittävää yhteentoimivuutta ja sisämarkkinoiden tehokasta toimintaa.

(3)

Hyväksytyille luottamuspalvelun tarjoajille olisi jätettävä riittävä siirtymäkausi, jotta ne voivat noudattaa asetuksen (EU) N:o 910/2014 vaatimuksia. Jotta voidaan varmistaa, että luottamuspalvelun tarjoajien tarkastamiseen tämän asetuksen vaatimusten noudattamisen osalta on riittävästi aikaa, tätä asetusta olisi sovellettava 24 kuukauden kuluttua sen voimaantulosta.

(4)

Komissio arvioi säännöllisesti uusia teknologioita, käytäntöjä, standardeja tai teknisiä eritelmiä. Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/1183 (2) johdanto-osan 75 kappaleen mukaan komission olisi tarkasteltava uudelleen ja tarvittaessa päivitettävä tätä asetusta sen pitämiseksi maailmanlaajuisen kehityksen ja uusien teknologioiden, standardien tai teknisten eritelmien mukaisena sekä sisämarkkinoiden parhaiden käytäntöjen noudattamiseksi.

(5)	Tämän asetuksen mukaisiin henkilötietojen käsittelytoimiin sovelletaan Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (3) ja tarvittaessa Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (4).

(6)	Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (5) 42 artiklan 1 kohdan mukaisesti, ja hän antoi lausuntonsa 6 päivänä kesäkuuta 2025.

(7)	Tässä asetuksessa säädetyt toimenpiteet ovat asetuksen (EU) N:o 910/2014 48 artiklalla perustetun komitean lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN ASETUKSEN:

1 artikla

Asetuksen (EY) N:o 910/2014 24 artiklan 1 c kohdassa tarkoitetut viitestandardit ja eritelmät esitetään tämän asetuksen liitteessä.

2 artikla

Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tätä asetusta sovelletaan 19 päivästä elokuuta 2027.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.

Tehty Brysselissä 29 päivänä heinäkuuta 2025.

Komission puolesta

Puheenjohtaja

Ursula VON DER LEYEN

(1) EUVL L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Euroopan parlamentin ja neuvoston asetus (EU) 2024/1183, annettu 11 päivänä huhtikuuta 2024, asetuksen (EU) N:o 910/2014 muuttamisesta eurooppalaisen digitaalisen identiteetin kehyksen vahvistamisen osalta (EUVL L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) (EYVL L 201, 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

LIITE

Viitestandardi niiden henkilöiden henkilöllisyyden ja attribuuttien tarkastamiseksi, joille hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus on tarkoitus myöntää

Standardia ETSI TS 119 461 V2.1.1 (2025-02) sovelletaan sen liitteessä C olevan C.3 kohdan noudattamiseksi seuraavin mukautuksin:

2.1 Velvoittavat viittaukset

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): ”Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers”.

C.3 Käyttötapaukset, joissa myönnetään hyväksyttyjä varmenteita tai hyväksyttyjä sähköisiä attribuuttitodistuksia asetuksen (EU) N:o 910/2014 24 artiklan 1, 1 a ja 1 b kohdan mukaisesti

—

[EHDOLLINEN] QTS-C3-01: Jos henkilöllisyyden tarkastaminen hyväksyttyä varmennetta tai hyväksyttyä sähköistä attribuuttitodistusta varten suoritetaan samassa yhteydessä kuin henkilöllisyyden tarkastaminen luotettavan todisteen myöntämistä varten, henkilöllisyyden tarkastamisprosessin on

—	oltava vertaisarvioitu tai sertifioidun vaatimustenmukaisuuden arviointilaitoksen sertifioima korkealle varmuustasolle asetuksen (EU) N:o 910/2014 mukaisesti tai

—	täytettävä lausekkeiden C3.1–C3.6 vaatimukset.

C.3.4 Käyttötapaus, jossa henkilöllisyys todistetaan muilla tunnistamismenetelmillä

—

QTS-C.3.4-06A: Lausekkeen [EHDOLLINEN] QTS-C.3.4-06 kohdassa c tarkoitetun riippumattoman vaatimustenmukaisuuden arviointilaitoksen on oltava akkreditoitu asetuksen (EU) N:o 910/2014 3 artiklan 18 alakohdan mukaisesti, ja jos kaikki sovellettavat vaatimukset täyttyvät, arvioinnin olisi johdettava sertifiointitarkastukseen perustuvan vaatimustenmukaisuustodistuksen antamiseen. Tämän virallisen sertifiointiprosessin on perustuttava turvallisuuden arviointiprosessiin, jossa viitataan asetuksen (EU) N:o 910/2014 mukaisesti ilmoitetuille sähköisen tunnistamisen menetelmille tai sertifioiduille eurooppalaisille digitaalisen identiteetin lompakoille määritettyihin varmuustasoihin, ja siihen on sisällyttävä perinpohjainen testaus, jossa arvioidaan sietokykyä mahdollisia turvallisuusuhkia vastaan. Näissä arvioinneissa on käytettävä asiaankuuluvia teknisiä standardeja tällaisten hyökkäysten sietokyvyn osoittamiseksi.

9.2.3.4 Käyttö automatisoidussa toiminnassa

—

USE-9.2.3.4-04: IPSP:n on vahvistettava väärien hyväksyntien määrän (FAR) ja väärien hylkäyksien määrän (FRR) tavoitearvot riskianalyysin ja uhkatiedustelumenettelynsä perusteella noudattaen ENISAn raportissa ”Methodology for sectoral cybersecurity assessments” [i.28] vahvistettua menetelmää tai vastaavaa menetelmää täysin automaattisissa henkilöllisyyden todistamisprosesseissa. Näiden tavoitearvojen on oltava enintään yhtä suuret kuin hybridikäyttötapauksille määritetyt arvot, jos sellaisia on. IPSP:n on säilytettävä nämä FAR:n ja FRR:n tavoitearvot johdonmukaisesti riskianalyysin ja uhkatiedustelumenettelynsä tuella.

8.3.3 Fyysisen henkilötodistuksen validointi

—

VAL-8.3.3-21: Vaatimusten VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A ja VAL-8.3.3-07X noudattamista koskevien toimenpiteiden tehokkuus on testattava akkreditoidun laboratorion tai kansallisen toimivaltaisen viranomaisen toimesta, aina kun ne on nimetty, viimeistään 19 päivänä elokuuta 2027 ja sen jälkeen joka toinen vuosi.

7.12. Toiminnan lopettaminen ja lopettamissuunnitelmat

—	OVR-7.12-02: Toiminnan lopettamissuunnitelman on oltava asetuksen (EU) N:o 910/2014 [i.1] 24 artiklan 5 kohdan nojalla hyväksytyissä täytäntöönpanosäädöksissä vahvistettujen vaatimusten mukainen.