1)

Asetuksella (EU) N:o 910/2014 luodaan oikeudellinen kehys sähköisten attribuuttitodistusten myöntämiselle ja validoinnille, mukaan lukien sähköisten attribuuttitodistusten tarjoajien velvoite tarjota eurooppalaisen digitaalisen identiteetin lompakon, jäljempänä ’lompakko’, käyttäjille mahdollisuus pyytää, saada, tallentaa ja hallinnoida sähköisiä attribuuttitodistuksia riippumatta siitä, missä jäsenvaltiossa lompakot tarjotaan. Sähköiset attribuuttitodistukset ovat keskeinen osatekijä turvallisen ja yhteentoimivan eurooppalaisen digitaalisen identiteetin lompakon ekosysteemin, jäljempänä ’lompakkoekosysteemi’ luomisessa. Niiden avulla käyttäjät voivat jakaa tietoja luottavien osapuolten kanssa luotettavalla tavalla erilaisissa käyttötapauksissa.

2)

Asetuksen (EU) N:o 910/2014 45 g artiklan mukaan hyväksyttyjen sähköisten attribuuttitodistusten tarjoajien on tarjottava rajapinta eurooppalaisiin digitaalisen identiteetin lompakoihin; tämä rajapinta korostaa sähköisten attribuuttitodistusten merkitystä lompakkoekosysteemille ja helpottaa lompakoiden nopeaa käyttöönottoa.

3)

Komissio arvioi säännöllisesti uusia teknologioita, käytäntöjä, standardeja ja teknisiä eritelmiä. Jotta lompakoiden kehittämisessä ja sertifioinnissa voidaan varmistaa mahdollisimman suuri yhdenmukaistaminen jäsenvaltioiden kesken, tässä asetuksessa vahvistetut tekniset eritelmät perustuvat työhön, jota on tehty unionin yhteisestä välineistöstä eurooppalaista digitaalisen identiteetin kehystä koskevaa koordinoitua lähestymistapaa varten 3 päivänä kesäkuuta 2021 annetun komission suosituksen (EU) 2021/946 (2) nojalla, ja erityisesti siihen kuuluvaan arkkitehtuuriin ja viitekehykseen. Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/1183 (3) johdanto-osan 75 kappaleen mukaan komission olisi tarkasteltava uudelleen ja tarvittaessa päivitettävä tätä täytäntöönpanoasetusta sen pitämiseksi maailmanlaajuisen kehityksen ja arkkitehtuurin ja viitekehyksen mukaisena sekä sisämarkkinoiden parhaiden käytäntöjen noudattamiseksi erityisesti siltä osin, kuin on kyse sähköisten attribuuttitodistusten myöntämisestä ja attribuuttien tarkastamisesta virallisista lähteistä tai nimettyjen välittäjien kautta.

4)

Kun hyväksyttyjen sähköisten attribuuttitodistusten ja virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisten attribuuttitodistusten tarjoajat väittävät noudattavansa luetteloon kirjattujen attribuuttitodistusten myöntämisjärjestelmien vaatimuksia, näiden järjestelmien vaatimusten noudattamista koskevien politiikkojen ja menettelyjen olisi oltava osa asetuksessa (EU) N:o 910/2014 vahvistettua vaatimustenmukaisuuden arviointia.

5)

Suojautuminen epäluotettavilta tiedoilta on erittäin tärkeää todistusten digitalisoinnin kannalta. Sen vuoksi hyväksytyt sähköiset attribuuttitodistukset ja virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämät tai sen puolesta myönnetyt sähköiset attribuuttitodistukset olisi voitava peruuttaa tai olisi toteutettava vaihtoehtoisia toimenpiteitä peruuttamattomuuteen liittyvien riskien kompensoimiseksi. Tiettyjen olosuhteiden, kuten sen henkilön nimenomaisen pyynnön, jolle sähköinen attribuuttitodistus on myönnetty, tai jos tarjoajan tiedossa on, että hyväksyttyjen sähköisten attribuuttitodistusten turvallisuus tai luotettavuus on vaarantunut, tai jos unionin tai kansallisessa lainsäädännössä niin edellytetään, olisi johdettava siihen, että sähköisen attribuuttitodistuksen tarjoaja peruuttaa sen. Jotta voidaan turvata käyttäjän yksityisyyttä ja tietosuojaa koskevat perusoikeudet erityisesti minimoimalla riittävällä tavalla tietojen yhdistelyyn ja jäljitettävyyteen liittyvät riskit, hyväksyttyjen sähköisten attribuuttitodistusten ja virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisten attribuuttitodistusten tarjoajien olisi perustettava peruutusten hallintapolitiikkoja, jotka ovat yksityisyyttä suojaavia.

6)

Jotta voidaan helpottaa jäsenvaltioiden välistä yhteistyötä ja turvallisen ja yhteentoimivan digitaalisen identiteetin ekosysteemin luomista, mukaan lukien hyväksyttyjen sähköisten attribuuttitodistusten ja virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisten attribuuttitodistusten rajatylittävä tunnustaminen ja yhteentoimivuus, on syytä ottaa käyttöön yksinkertaistetut hallinnolliset tiedonvaihtomenettelyt asianomaisten sidosryhmien kesken, mukaan lukien tietojen julkaiseminen, jotta asianomaiset julkisen sektorin elimet voidaan tunnistaa nopeasti. Jäsenvaltioiden olisi ilmoitettava asiaa koskevat attribuutit komissiolle. Näiden attribuuttien viiveettömän, tehokkaan ja yhteentoimivan tarkastamisen varmistamiseksi komissiolle tehtävät asiaa koskevat ilmoitusten olisi laadittava ainakin englanniksi, koska tämä helpottaa niiden laajaa saatavuutta, arviointia ja ymmärrettävyyttä ja samalla tehostaa asiaankuuluvien sidosryhmien välistä yhteistyötä. Jo olemassa olevien asiakirjojen kääntäminen ei kuitenkaan saisi aiheuttaa kohtuutonta hallinnollista tai taloudellista rasitetta.

7)

Jotta käyttäjät ja palveluntarjoajat voisivat tarkistaa, että virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämät tai sen puolesta myönnetyt sähköiset attribuuttitodistukset on todella myöntänyt kyseinen julkisen sektorin elin tai ne on myönnetty sen puolesta, jäsenvaltioiden olisi ilmoitettava nämä julkisen sektorin elimet komissiolle. Kun jäsenvaltiot ilmoittavat julkisen sektorin elimiä, jotka myöntävät sähköisiä attribuuttitodistuksia asetuksen (EU) N:o 910/2014 45 f artiklan ja liitteen VII mukaisesti, niiden on toimitettava vaatimustenmukaisuuden arviointiraportti, jossa vahvistetaan hyväksyttyjä luottamuspalvelujen tarjoajia vastaava luotettavuustaso. Toisin kuin hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien tapauksessa, näiden julkisen sektorin elinten osalta on kuitenkin jäsenvaltioiden vastuulla varmistaa, että palveluntarjoajat täyttävät vaatimukset ajan mittaan. Jotta luottamus julkisen sektorin todistuksiin säilyisi korkeana kaikkialla unionissa, jäsenvaltioita kannustetaan jakamaan parhaita käytäntöjään siitä, miten ne varmistavat jatkuvan luotettavuuden, asetuksen (EU) N:o 910/2014 46 e artiklan 1 kohdan nojalla perustetun eurooppalaisen digitaalisen identiteetin yhteistyöryhmän, jäljempänä ’yhteistyöryhmä’, kautta. Komission olisi laadittava, ylläpidettävä ja julkaistava luettelo tarjoajista ja varmistettava, että luettelo on helposti yleisön saatavilla.

8)

Komission olisi yhteistyöryhmän avustuksella laadittava attribuuttiluettelo, jotta hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien olisi helpompi tarkastaa attribuutit aidoista lähteistä. Attribuuttiluetteloon rekisteröinnin olisi oltava pakollista asetuksen (EU) N:o 910/2014 liitteessä VI lueteltujen attribuuttien osalta. Muiden attribuuttien rekisteröinti olisi vapaaehtoista.

9)

Komission olisi yhteistyöryhmän avustuksella laadittava attribuuttitodistusten myöntämisjärjestelmien luettelo, jotta voidaan helpottaa hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien ja virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisten attribuuttitodistusten tarjoajien myöntämien todistusten myöntämistä sekä helpottaa näiden todistusten yhdenmukaistamista ja rajatylittävää yhteentoimivuutta. Järjestelmien rekisteröinnin myöntämisjärjestelmien luetteloon olisi oltava vapaaehtoista. Attribuuttitodistusten myöntämisjärjestelmän omistajan olisi tehtävä rekisteröintipyynnöt tai luettelon muutokset, ja niihin voi sisältyä attribuuttiluetteloon kuulumattomia attribuutteja. Komission olisi arvioitava nämä pyynnöt ottaen huomioon yhteentoimivuus- ja yhdenmukaistamistarpeet.

10)

Sen varmistamiseksi, että attribuuttiluettelossa annetaan merkityksellisiä tietoja ja sillä saavutetaan korkea yhteentoimivuuden taso sähköisten attribuuttitodistusten ekosysteemissä, siinä olisi annettava vähintään vähimmäistiedot, kuten attribuutin semanttinen kuvaus, sen tunnisteen nimitila ja attribuutin datatyyppi. Samaa tarkoitusta varten attribuuttitodistusten myöntämisjärjestelmien luetteloon olisi sisällyttävä kuvaukset yhteisistä sähköisten attribuuttitodistusten tyypeistä sekä kuvaus todistusten myöntämisjärjestelmässä sovellettavista luottamusmallista ja hallintomekanismeista. Luetteloihin sisältyviin tietoihin olisi sisällyttävä attribuuttien ja järjestelmien versiohistoria siten, että näiden attribuuttien ja järjestelmien muutokset eivät vaikuta tiettyjen versioiden mukaisesti myönnettyihin todistuksiin.

11)

Sen varmistamiseksi, että hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävät hyväksytyt luottamuspalvelun tarjoajat voivat tehokkaasti tarkastaa attribuutteja virallisista lähteistä, myös sellaisten nimettyjen välittäjien kautta, jotka tarjoavat epäsuoria tarkastusmekanismeja palveluntarjoajille, jäsenvaltioiden olisi otettava asetuksen (EU) N:o 910/2014 45 e artiklan 1 kohdassa säädetyssä määräajassa käyttöön mekanismeja, joiden avulla hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävät hyväksytyt luottamuspalvelun tarjoajat voivat pyytää attribuuttien tarkastamista. Mekanismien olisi mahdollistettava se, että hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävät hyväksytyt luottamuspalvelun tarjoajat voivat määrittää, mitkä attribuutit voidaan tarkastaa ja miten ne tarkastetaan. Näihin mekanismeihin olisi sisällyttävä yksityiskohtaiset tiedot yhteyspisteistä ja palveluprotokollista attribuuttien voimassaolon ja oikeellisuuden tarkistamiseksi, ja niissä olisi otettava huomioon mahdollisuus tarjota kansallisella tasolla keskitettyä tarkastuspistettä.

12)

Jäsenvaltioiden olisi erityisesti asetettava hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien saataville kansallisella tasolla mekanismit, joiden avulla ne voivat saada pääsyn tarkastuspisteisiin ja käyttää niitä kunkin asetuksen (EU) N:o 910/2014 liitteessä VI luetellun attribuutin osalta. Näiden mekanismien olisi mahdollistettava se, että hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävät hyväksytyt luottamuspalvelun tarjoajat voivat käyttäjän pyynnöstä esittää tietyt attribuutit tarkastuspisteelle todistuksen myöntämistä varten ja sen voimassaoloaikana. Tarkastusmekanismeissa olisi käytettävä sähköisiä keinoja, jotka soveltuvat automaattiseen käsittelyyn ja joiden avulla vastaus tarkastuspisteestä voidaan saada mahdollisimman pian. Tässä vastauksessa olisi vahvistettava, vastaavatko hyväksyttyjä sähköisiä attribuuttitodistuksia myöntävien hyväksyttyjen luottamuspalvelun tarjoajien esittämät attribuutit kyseisen käyttäjän osalta asianomaiseen viralliseen lähteeseen tallennettuja attribuutteja, ja siinä olisi täsmennettävä virallinen lähde, josta tarkastaminen suoritettiin. Väärinkäytösten, kuten laittomien tai ilmeisen liiallisten tarkastuspyyntöjen, välttämiseksi jäsenvaltiot voivat määrätä tarkastuspisteiden käyttöä koskevista valvontamekanismeista, jos ne katsovat sen asianmukaiseksi ottaen huomioon merkitykselliset tekijät, kuten sen, sisältävätkö viralliset lähteet tietoja, joita olisi pidettävä henkilötietoina tai jotka ovat muutoin unionin tai kansallisen lainsäädännön nojalla luottamuksellisia tai arkaluonteisia.

13)

Jotta voitaisiin helpottaa attribuuttiluettelon ja attribuuttitodistusten myöntämisjärjestelmien luettelon laatimista ja käyttää mahdollisimman pitkälle uudelleen olemassa olevia luetteloja, järjestelmiä ja tietoja, komission olisi Yhteentoimiva Eurooppa -säädöksessä (4) vahvistettujen periaatteiden mukaisesti hyödynnettävä tarvittaessa synergioita yhteisen digitaalisen palveluväylän perustamisesta ja asetuksen (EU) N:o 1024/2012 muuttamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1724 (5) mukaisen teknisen järjestelmän yhteisten palvelujen kanssa.

14)

Jotta voidaan parantaa ei-hyväksyttyjen luottamuspalvelun tarjoajien myöntämien sähköisten attribuuttitodistusten yhteentoimivuutta, todistusten myöntäjät voivat noudattaa tässä asetuksessa vahvistettuja periaatteita ja vaatimuksia ei-hyväksyttyjen sähköisten attribuuttitodistusten osalta.

15)

Tämän asetuksen mukaisiin henkilötietojen käsittelytoimiin sovelletaan Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (6) ja tarvittaessa Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (7).

16)

Jotta komissiolla ja jäsenvaltioilla olisi riittävästi aikaa laatia luettelo virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisten attribuuttitodistusten tarjoajista, attribuuttiluetteloa, attribuuttitodistusten myöntämisjärjestelmien luetteloa ja attribuuttien tarkastuspisteitä koskevia tämän asetuksen vaatimuksia olisi alettava soveltaa 12 kuukauden kuluttua tämän asetuksen voimaantulopäivästä.

17)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (8) 42 artiklan 1 kohdan mukaisesti, ja hän antoi lausuntonsa 31 päivänä tammikuuta 2025.

18)

Tässä asetuksessa säädetyt toimenpiteet ovat asetuksen (EU) N:o 910/2014 48 artiklalla perustetun komitean lausunnon mukaiset,

1)

hyväksyttyjä sähköisiä attribuuttitodistuksia,

2)

virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämiä tai sen puolesta myönnettyjä sähköisiä attribuuttitodistuksia,

3)

luetteloa virallisesta lähteestä vastaavan julkisen sektorin elimen myöntämien tai sen puolesta myönnettyjen sähköisen attribuuttitodistusten tarjoajista,

4)

1 ja 2 alakohdassa tarkoitettujen attribuuttien luetteloa ja attribuuttitodistusten myöntämisjärjestelmien luetteloa,

5)

attribuuttien tarkastamista virallisista lähteistä tai nimettyjen välittäjien kautta.

1)

’lompakkoyksiköllä’ lompakkoratkaisun ainutlaatuista konfiguraatiota, johon kuuluvat lompakon ilmentymät, lompakon suojatut salaussovellukset ja lompakon suojatut salauslaitteet ja jonka lompakon tarjoaja tarjoaa yksittäiselle lompakon käyttäjälle;

2)

’lompakon käyttäjällä’ käyttäjää, jonka hallinnassa lompakkoyksikkö on;

3)

’attribuuttiluettelolla’ komission ylläpitämää ja verkossa julkaisemaa digitaalista rekisteriä attribuuteista;

4)

’attribuuttitodistusten myöntämisjärjestelmällä’ sääntöjen kokonaisuutta, jota sovelletaan yhteen tai useampaan sähköisten attribuuttitodistusten tyyppiin;

5)

’sähköisen attribuuttitodistuksen tyypillä’ erikseen nimettyä ja semanttisesti kuvattua sähköisten attribuuttitodistusten ryhmää;

6)

’attribuuttitodistusten myöntämisjärjestelmien luettelolla’ komission ylläpitämää [ja verkossa julkaisemaa] digitaalista rekisteriä, jossa luetellaan tämän asetuksen mukaisesti rekisteröidyt attribuuttitodistusten myöntämisjärjestelmät;

7)

’lompakkoratkaisulla’ ohjelmistojen, laitteiden, palvelujen, asetusten ja konfiguraatioiden yhdistelmää, mukaan lukien lompakon ilmentymät, yksi tai useampi lompakon suojattu salaussovellus ja yksi tai useampi lompakon suojattu salauslaite;

8)

’lompakon ilmentymällä’ sovellusta, joka on asennettu ja konfiguroitu lompakon käyttäjän laitteeseen tai ympäristöön ja on osa lompakkoyksikköä ja jota lompakon käyttäjä käyttää ollakseen vuorovaikutuksessa lompakkoyksikön kanssa;

9)

’lompakon suojatulla salaussovelluksella’ sovellusta, joka hallitsee kriittisiä resursseja linkittymällä lompakon suojatun salauslaitteen tarjoamiin salausteknisiin ja muihin toimintoihin ja käyttämällä näitä toimintoja;

10)

’lompakon suojatulla salauslaitteella’ väärinkäytöltä suojattua laitetta, joka tarjoaa lompakon suojattuun salaussovellukseen liitetyn ja sen käyttämän ympäristön kriittisten resurssien suojaamiseksi ja salaustoimintojen tarjoamiseksi kriittisten toimintojen turvallista suorittamista varten;

11)

’lompakon tarjoajalla’ lompakkoratkaisuja tarjoavaa luonnollista henkilöä tai oikeushenkilöä;

12)

’kriittisillä resursseilla’ lompakkoyksikössä olevia tai siihen liittyviä resursseja, jotka ovat niin merkittäviä, että niiden saatavuuden, luottamuksellisuuden tai eheyden vaarantuminen erittäin vakavasti heikentäisi kykyä luottaa lompakkoyksikköön;

13)

’attribuuttitodistusten myöntämisjärjestelmän omistajalla’ tahoa, joka vastaa attribuuttitodistusten myöntämisjärjestelmän perustamisesta ja ylläpidosta.