L_202501566HR.000101.fmx.xml

PROVEDBENA UREDBA KOMISIJE (EU) 2025/1566

оd 29. srpnja 2025.

o utvrđivanju pravila za primjenu Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća u pogledu referentnih normi za provjeru identiteta i atributa osobe kojoj se izdaje kvalificirani certifikat ili kvalificirana elektronička potvrda atributa

EUROPSKA KOMISIJA,

uzimajući u obzir Ugovor o funkcioniranju Europske unije,

uzimajući u obzir Uredbu (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (1), a posebno njezin članak 24. stavak 1.c,

budući da:

(1)	U članku 24. Uredbe (EU) br. 910/2014 propisano je da kvalificirani pružatelji usluga povjerenja provjeravaju identitet i, prema potrebi, specifične atribute fizičke ili pravne osobe kad toj osobi izdaju kvalificirane certifikate ili kvalificirane elektroničke potvrde atributa.

(2)

Kako bi se zajamčili jednak tretman i mogućnost pouzdavanja u rezultat postupka provjere, svi bi kvalificirani pružatelji usluga povjerenja provjere pri izdavanju kvalificiranog certifikata ili kvalificirane elektroničke potvrde atributa trebali provoditi na ekvivalentan način. U skladu s ciljevima Uredbe (EU) br. 910/2014 odabran je niz normi kako bi se ispunili ti specifični zahtjevi. Te bi norme trebale odražavati ustaljenu praksu i biti općepriznate u relevantnim sektorima. Norme bi trebalo prilagoditi tako da uključuju dodatne mjere kako bi se zajamčile sigurnost i vjerodostojnost kvalificirane usluge povjerenja i ujedno olakšali prekogranična interoperabilnost i učinkovito funkcioniranje unutarnjeg tržišta.

(3)

Trebalo bi odrediti odgovarajuće prijelazno razdoblje da kvalificirani pružatelji usluga povjerenja mogu ispuniti zahtjeve Uredbe (EU) br. 910/2014. Kako bi bilo dovoljno vremena za reviziju pružatelja usluga povjerenja s obzirom na sukladnost sa zahtjevima ove Uredbe, ova bi se Uredba trebala početi primjenjivati 24 mjeseca nakon što stupi na snagu.

(4)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme ili tehničke specifikacije. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (2) Komisija bi ovu uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, novim tehnologijama, normama ili tehničkim specifikacijama te provjerenim praksama na unutarnjem tržištu.

(5)	Na aktivnosti obrade osobnih podataka na temelju ove Uredbe primjenjuju se Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (3) i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (4).

(6)	Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (5) te je on dao mišljenje 6. lipnja 2025.

(7)	Mjere predviđene u ovoj Uredbi u skladu su s mišljenjem Odbora osnovanog člankom 48. Uredbe (EU) br. 910/2014,

DONIJELA JE OVU UREDBU:

Članak 1.

Referentne norme i specifikacije iz članka 24. stavka 1.c Uredbe (EU) br. 910/2014 utvrđene su u Prilogu ovoj Uredbi.

Članak 2.

Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Ova Uredba primjenjuje se od 19. kolovoza 2027.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Bruxellesu 29. srpnja 2025.

Za Komisiju

Predsjednica

Ursula VON DER LEYEN

(1) SL L 257, 28.8.2014., str. 73., ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Uredba (EU) 2024/1183 Europskog parlamenta i Vijeća od 11. travnja 2024. o izmjeni Uredbe (EU) br. 910/2014 u pogledu uspostave europskog okvira za digitalni identitet (SL L, 2024/1183, 30.4.2024., ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1., ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37., ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

PRILOG

Referentna norma za provjeru identiteta i atributa osoba kojima se izdaje kvalificirani certifikat ili kvalificirana elektronička potvrda atributa

Primjenjuje se norma ETSI TS 119 461 V2.1.1 (2025-02) za sukladnost s točkom C.3. Priloga C, uz sljedeće prilagodbe:

2.1. Normativna upućivanja

—	[1] ETSI EN 319 401 V3.1.1 (2024-06): „Elektronički potpisi i infrastruktura povjerenja (ESI) – Zahtjevi općih pravila za pružatelje usluga povjerenja”.

C.3. Slučajevi upotrebe za izdavanje kvalificiranog certifikata ili kvalificiranih elektroničkih potvrda atributa u skladu s člankom 24. stavcima 1., 1.a i 1.b Uredbe (EU) br. 910/2014

—

[UVJETNO] QTS-C3-01: Ako se provjera identiteta za kvalificirani certifikat ili kvalificiranu elektroničku potvrdu provodi zajedno s provjerom identiteta radi izdavanja vjerodostojnih dokaza, taj postupak provjere identiteta:

—	akreditirano tijelo za ocjenjivanje sukladnosti mora stručno ocijeniti ili certificirati da je sukladan s visokom razinom osiguranja identiteta u skladu s Uredbom (EU) br. 910/2014, ili

—	mora biti sukladan sa zahtjevima iz točaka od C3.1. do C3.6.

C.3.4 Slučaj upotrebe za dokazivanje identiteta drugim sredstvima identifikacije

—

QTS-C.3.4-06A: Neovisno tijelo za ocjenjivanje sukladnosti iz [UVJETNO] QTS-C.3.4.-06, točke (c) mora biti akreditirano u skladu s člankom 3. stavkom 18. Uredbe (EU) br. 910/2014 i, ako su ispunjeni svi primjenjivi zahtjevi, ocjenjivanje bi trebalo rezultirati potvrdom o sukladnosti na temelju certifikacijske revizije. Taj formalni postupak certifikacije mora se temeljiti na postupku sigurnosne evaluacije koji se odnosi na razine osiguranja definirane za prijavljena sredstva elektroničke identifikacije ili certificirane europske lisnice za digitalni identitet na temelju Uredbe (EU) br. 910/2014 i obuhvaćati rigorozno testiranje kako bi se ocijenila otpornost na potencijalne sigurnosne prijetnje. U tim se evaluacijama primjenjuju odgovarajući tehnički standardi za dokazivanje otpornosti na takve napade.

9.2.3.4. Slučaj upotrebe za automatizirani rad

—

USE-9.2.3.4-04: IPSP utvrđuje ciljne vrijednosti FAR-a i FRR-a na temelju analize rizika i svojeg postupka za obavještajne podatke o prijetnjama prema metodologiji utvrđenoj u izvješću ENISA-e „Metodologija za sektorske procjene kibernetičke sigurnosti” [i.28] ili ekvivalentnoj metodologiji u potpuno automatiziranim postupcima provjere identiteta. Te ciljne vrijednosti moraju biti jednake ili niže od onih određenih za hibridne slučajeve upotrebe, ako postoje. IPSP sustavno održava te ciljne vrijednosti FAR-a i FRR-a, vodeći se analizom rizika i svojim postupkom za obavještajne podatke o prijetnjama.

8.3.3. Validacija fizičke identifikacijske isprave

—

VAL-8.3.3-21: Djelotvornost mjera za ispunjavanje zahtjeva VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A i VAL-8.3.3-07X testira akreditirani laboratorij ili nacionalno nadležno tijelo, nakon što budu imenovani, najkasnije do 19. kolovoza 2027. i zatim svake druge godine.

7.12. Prekid i planovi prekida

—	OVR-7.12-02: Plan prekida mora ispunjavati zahtjeve utvrđene u provedbenim aktima donesenima na temelju članka 24. stavka 5. Uredbe (EU) br. 910/2014 [i.1].