L_202501569HR.000101.fmx.xml

PROVEDBENA UREDBA KOMISIJE (EU) 2025/1569

оd 29. srpnja 2025.

o utvrđivanju pravila za primjenu Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća u pogledu kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime

EUROPSKA KOMISIJA,

uzimajući u obzir Ugovor o funkcioniranju Europske unije,

uzimajući u obzir Uredbu (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (1), a posebno njezin članak 45.d stavak 5., članak 45.e stavak 2. te članak 45.f stavke 6. i 7.,

budući da:

(1)

Uredbom (EU) br. 910/2014 uspostavljen je pravni okvir za izdavanje i validaciju elektroničkih potvrda atributa, uključujući obvezu pružatelja elektroničkih potvrda atributa da korisnicima europske lisnice za digitalni identitet („lisnica”) omoguće da zatraže, dobiju i pohrane elektroničku potvrdu atributa te da njome upravljaju bez obzira na to u kojoj je državi članici lisnica stavljena na raspolaganje. Elektroničke potvrde atributa presudan su element za uspostavu sigurnog i interoperabilnog ekosustava europskih lisnica za digitalni identitet („ekosustav lisnica”). One korisnicima omogućuju da u raznim scenarijima na pouzdan način razmjenjuju informacije s pouzdajućim stranama.

(2)

Sučelja s europskim lisnicama za digitalni identitet koja pružatelji kvalificiranih elektroničkih potvrda atributa trebaju staviti na raspolaganje kako je utvrđeno u članku 45.g Uredbe (EU) br. 910/2014 naglašavaju važnost elektroničkih potvrda atributa za ekosustav lisnica i olakšavaju njihovo brzo prihvaćanje.

(3)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme i tehničke specifikacije. Kako bi države članice u najvećoj mogućoj mjeri usklađeno razvijale i certificirale lisnice, tehničke specifikacije utvrđene u ovoj Uredbi temelje se na Preporuci Komisije (EU) 2021/946 od 3. lipnja 2021. o zajedničkom Unijinu paketu alata za koordinirani pristup europskom okviru za digitalni identitet (2), osobito na njezinu arhitekturnom i referentnom okviru. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (3) Komisija bi ovu Uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, arhitekturnim i referentnim okvirom te provjerenim praksama na unutarnjem tržištu, osobito kad je riječ o izdavanju elektroničkih potvrda atributa i provjeri atributa usporedbom s autentičnim izvorima ili preko imenovanih posrednika.

(4)

Ako pružatelji kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime izdaju potvrde u kojima je deklarirano da ispunjavaju zahtjeve sustavâ za potvrdu atributa registriranih u katalogu, pravila i postupke za sukladnost sa zahtjevima tih sustava trebalo bi uzeti u obzir pri ocjenjivanju sukladnosti u skladu s Uredbom (EU) br. 910/2014.

(5)

Zaštita od nevjerodostojnih informacija vrlo je važna za digitalizaciju potvrda. Stoga bi kvalificirane elektroničke potvrde atributa i elektroničke potvrde atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime trebalo biti moguće opozvati ili bi trebalo poduzeti alternativne mjere kako bi se neutralizirali rizici povezani s neopozivošću. Pružatelj bi trebao opozvati elektroničku potvrdu atributa u određenim okolnostima, primjerice na izričit zahtjev osobe kojoj je elektronička potvrda atributa izdana, ili ako je pružatelju poznato da je ugrožena sigurnost ili vjerodostojnost kvalificiranih elektroničkih potvrda atributa, ili ako je to propisano pravom Unije ili nacionalnim pravom. Kako bi se zaštitila temeljna prava korisnika na privatnost i zaštitu podataka, prije svega odgovarajućim smanjenjem rizika od povezivosti i sljedivosti, pružatelji kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime trebali bi uspostaviti pravila za upravljanje opozivanjem u kojima se vodi računa o očuvanju privatnosti.

(6)

Radi lakše suradnje među državama članicama i uspostave sigurnog i interoperabilnog ekosustava digitalnog identiteta, uključujući prekogranično priznavanje i interoperabilnost kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime, potrebno je uspostaviti pojednostavnjene administrativne postupke za komunikaciju među relevantnim dionicima, uključujući objavu informacija radi brze identifikacije relevantnih tijela javnog sektora. Države članice trebale bi relevantne atribute prijaviti Komisiji. Kako bi se osigurala pravodobna, učinkovita i interoperabilna provjera tih atributa, relevantne prijave Komisiji stoga bi trebale biti barem na engleskom jeziku jer se time olakšava njihova široka dostupnost, procjena i razumijevanje te se poboljšava suradnja među relevantnim dionicima. Međutim, prevođenje već postojeće dokumentacije ne bi smjelo uzrokovati nerazumna administrativna ili financijska opterećenja.

(7)

Kako bi korisnici i pružatelji usluga mogli provjeriti je li elektroničke potvrde atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime doista izdalo to tijelo javnog sektora ili su izdane u njegovo ime, države članice trebale bi predmetna tijela javnog sektora prijaviti Komisiji. Kad prijavljuju tijela javnog sektora koja izdaju elektroničke potvrde atributa u skladu s člankom 45.f i Prilogom VII. Uredbi (EU) br. 910/2014, države članice moraju dostaviti izvješće o ocjenjivanju sukladnosti kojim se potvrđuje razina pouzdanosti i vjerodostojnosti istovjetna onoj koju imaju kvalificirani pružatelji usluga povjerenja. Međutim, za razliku od kvalificiranih pružatelja usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa, na državama članicama je da odluče na koji će se način pobrinuti da ta tijela javnog sektora kontinuirano ispunjavaju zahtjeve. Kako bi se zadržala visoka razina povjerenja u potvrde javnog sektora u cijeloj Uniji, države članice potiču se na razmjenu najboljih načina za osiguravanje kontinuirane pouzdanosti i vjerodostojnosti u okviru Europske skupine za suradnju u području digitalnog identiteta osnovane u skladu s člankom 46.e stavkom 1. Uredbe (EU) br. 910/2014 („Skupina za suradnju”). Komisija bi trebala sastaviti, voditi i objaviti popis pružatelja usluga i pobrinuti se da bude lako dostupan javnosti.

(8)

Komisija bi trebala uz pomoć skupine za suradnju uspostaviti katalog atributa kako bi kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa mogli lakše provjeravati atribute usporedbom s autentičnim izvorima. Registracija u katalogu atributa trebala bi biti obvezna za atribute iz Priloga VI. Uredbi (EU) br. 910/2014. Za druge atribute registracija ne bi trebala biti obvezna.

(9)

Komisija bi uz pomoć skupine za suradnju trebala uspostaviti katalog sustava za potvrdu atributa kako bi se kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa i pružateljima elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime olakšalo izdavanje potvrda te kako bi se potaknulo usklađivanje i prekogranična interoperabilnost tih potvrda. Registracija sustava u katalogu sustava ne bi trebala biti obvezna. Zahtjeve za registraciju ili izmjene u katalogu trebao bi podnositi vlasnik sustava za potvrdu atributa, a smjeli bi se podnositi i za atribute koji nisu navedeni u katalogu atributa. Komisija bi te zahtjeve trebala procjenjivati uzimajući u obzir potrebe za interoperabilnošću i usklađivanjem.

(10)

Kako bi informacije u katalogu atributa bile svrsishodne i u velikoj mjeri interoperabilne u ekosustavu elektroničkih potvrda atributa, taj bi katalog trebao sadržavati barem minimalni skup informacija, kao što su semantički opis atributa, imenski prostor za njegov identifikator i vrstu podataka u koju atribut spada. U istu svrhu katalog sustava za potvrdu atributa trebao bi sadržavati opise uobičajenih vrsta elektroničkih potvrda atributa i opis modela povjerenja i mehanizama upravljanja koji se primjenjuju u okviru pojedinog sustava za potvrdu. Katalozi bi trebali sadržavati i informacije o verzijama atributâ i sustavâ kako njihove izmjene ne bi utjecale na potvrde izdane u skladu s određenim verzijama.

(11)

Kako bi kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa, među ostalim preko imenovanih posrednika koji pružateljima usluga stavljaju na raspolaganje mehanizme neizravne provjere, efektivno provjeravali atribute usporedbom s autentičnim izvorima, države članice trebale bi u roku iz članka 45.e stavka 1. Uredbe (EU) br. 910/2014 uspostaviti mehanizme koji kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa omogućuju da zatraže provjeru atributa. Ti bi mehanizmi pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa trebali omogućivati da odrede koji se atributi mogu provjeravati i na koji način. Mehanizmi bi trebali uključivati pojedinosti o pristupnim točkama i servisnim protokolima za provjeru valjanosti i točnosti atributa te bi trebalo razmotriti mogućnost da se na raspolaganje stavi jedinstvena točka za provjeru na nacionalnoj razini.

(12)

Konkretnije, države članice trebale bi kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa na raspolaganje staviti mehanizme za pristup i korištenje točaka za provjeru na nacionalnoj razini za svaki od atributa iz Priloga VI. Uredbi (EU) br. 910/2014. Ti bi mehanizmi kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa trebali omogućiti da na zahtjev korisnika u svrhu izdavanja potvrde i tijekom njezina životnog vijeka točki za provjeru dostave određene atribute. Mehanizmi provjere trebali bi koristiti elektronička sredstva prikladna za automatsku obradu i za što žurnije primanje odgovora od točke za provjeru. Taj bi odgovor trebao potvrditi odgovaraju li atributi koje su dostavili kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa atributima koji su za tog korisnika pohranjeni u relevantnom autentičnom izvoru i u njemu bi trebalo navesti autentični izvor usporedbom s kojim je provjera provedena. Kako se to ne bi neprimjereno iskorištavalo, npr. slanjem nezakonitih ili očito pretjeranih zahtjeva za provjeru, države članice mogu uvesti mehanizme za kontrolu korištenja točaka za provjeru ako to smatraju primjerenim nakon što su u obzir uzele relevantne čimbenike, među ostalim sadržavaju li autentični izvori informacije koje bi se trebale smatrati osobnim podacima ili koje su na drugi način povjerljive ili osjetljive prirode u skladu s pravom Unije ili nacionalnim pravom.

(13)

U skladu s načelima iz Akta o interoperabilnoj Europi (4), kako bi se olakšala uspostava kataloga atributa i kataloga sustavâ za potvrdu atributa i, u mjeri u kojoj je to moguće, korištenje postojećih kataloga, sustava i informacija, Komisija bi trebala, ako je to primjereno, iskoristiti sinergije sa zajedničkim uslugama tehničkog sustava iz Uredbe (EU) 2018/1724 Europskog parlamenta i Vijeća o uspostavi jedinstvenog digitalnog pristupnika i izmjeni Uredbe (EU) br. 1024/2012. (5)

(14)	Kako bi se poboljšala interoperabilnost elektroničkih potvrda atributa koje izdaju nekvalificirani pružatelji usluga povjerenja, izdavatelji potvrda mogu primjenjivati načela i zahtjeve utvrđene u ovoj Uredbi na nekvalificirane elektroničke potvrde atributa.

(15)	Na sve aktivnosti obrade osobnih podataka na temelju ove Uredbe primjenjuju se Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (6) i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (7).

(16)

Kako bi Komisija i države članice imale dovoljno vremena za sastavljanje popisa pružatelja elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime, zahtjevi iz ove Uredbe koji se odnose na katalog atributa, katalog sustava za potvrde atributa i točke za provjeru atributa trebali bi se početi primjenjivati 12 mjeseci nakon datuma stupanja na snagu ove Uredbe.

(17)	Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (8) te je on dao mišljenje 31. siječnja 2025.

(18)	Mjere predviđene ovom Uredbom u skladu su s mišljenjem Odbora osnovanog člankom 48. Uredbe (EU) br. 910/2014,

DONIJELA JE OVU UREDBU:

Članak 1.

Predmet i područje primjene

Ovom se Uredbom utvrđuju referentne norme, specifikacije i postupci, koji će se redovito ažurirati kako bi bili u skladu s razvojem tehnologije i normi te s radom na temelju Preporuke Komisije (EU) 2021/946, osobito na temelju arhitekturnog i referentnog okvira, a koji se odnose na:

(1)	kvalificirane elektroničke potvrde atributa;

(2)	elektroničke potvrde atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime;

(3)	popis pružatelja elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime;

(4)	katalog atributa i katalog sustava za potvrde atributa iz točaka (1) i (2);

(5)	provjeru atributa usporedbom s autentičnim izvorima ili preko imenovanih posrednika.

Članak 2.

Definicije

Za potrebe ove Uredbe primjenjuju se sljedeće definicije:

(1)	„jedinica lisnice” znači jedinstvena konfiguracija izvedbe lisnice, koja obuhvaća instance lisnice, sigurne kriptografske aplikacije lisnice i sigurne kriptografske uređaje lisnice i koju pružatelj lisnice daje pojedinačnom korisniku lisnice;

(2)	„korisnik lisnice” znači korisnik koji ima kontrolu nad jedinicom lisnice;

(3)	„katalog atributa” znači digitalni repozitorij atributa koji vodi i na internetu objavljuje Komisija;

(4)	„sustav za potvrdu atributa” znači skup pravila koja se primjenjuju na jednu ili više vrsta elektroničke potvrde atributa;

(5)	„vrsta elektroničke potvrde atributa” znači posebno imenovana i semantički opisana skupina elektroničkih potvrda atributa;

(6)	„katalog sustava za potvrdu atributa” znači digitalni repozitorij s popisom sustava za potvrdu atributa registriranih u skladu s ovom Uredbom koji vodi [i na internetu objavljuje] Komisija;

(7)	„izvedba lisnice” znači kombinacija softvera, hardvera, usluga, postavki i konfiguracija, uključujući instance lisnice, najmanje jednu sigurnu kriptografsku aplikaciju lisnice i najmanje jedan sigurni kriptografski uređaj lisnice;

(8)	„instanca lisnice” znači aplikacija koja je instalirana i konfigurirana na uređaju ili u okruženju korisnika lisnice, dio je jedinice lisnice i korisniku lisnice služi za interakciju s jedinicom lisnice;

(9)	„sigurna kriptografska aplikacija lisnice” znači aplikacija za upravljanje ključnim resursima povezana sa sigurnim kriptografskim uređajem lisnice čije kriptografske i nekriptografske funkcije koristi;

(10)

„sigurni kriptografski uređaj lisnice” znači uređaj zaštićen od neovlaštenih radnji koji osigurava okruženje povezano sa sigurnom kriptografskom aplikacijom lisnice koje ona koristi za zaštitu ključnih resursa i u kojem se za nju izvršavaju kriptografske funkcije za sigurno izvođenje ključnih operacija;

(11)	„pružatelj lisnice” znači fizička ili pravna osoba koja stavlja na raspolaganje izvedbe lisnice;

(12)	„ključni resursi” znači resursi unutar lisnice ili povezani s njom koji su toliko izvanredno važni da bi zbog ugrožavanja njihove dostupnosti, povjerljivosti ili cjelovitosti mogućnost pouzdavanja u jedinicu lisnice bila ozbiljno narušena;

(13)	„vlasnik sustava za potvrdu atributa” znači subjekt odgovoran za uspostavu i održavanje sustava za potvrdu atributa.

Članak 3.

Izdavanje kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime

1. Pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime pridržavaju se popisa referentnih normi i specifikacija iz Priloga I. i osiguravaju da su elektroničke potvrde atributa koje izdaju sukladne s tehničkim specifikacijama iz Priloga II.

2. Ako pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime izdaju elektroničke potvrde atributa koje su uvrštene u sustave registrirane u katalogu sustava za potvrdu atributa, te potvrde moraju ispunjavati zahtjeve odgovarajućeg sustava za potvrdu atributa. Pravila i postupci koje izdavatelji potvrda uvedu kako bi postigli sukladnost sa zahtjevima programa za potvrdu atributa moraju se uzeti u obzir pri ocjenjivanju sukladnosti u skladu s Uredbom (EU) br. 910/2014.

Članak 4.

Opoziv kvalificiranih elektroničkih potvrda atributa i elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime

1. Pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime obvezni su imati pisana i javno dostupna pravila za upravljanje statusom valjanosti ili opoziva. Ta pravila moraju uključivati, prema potrebi, uvjete pod kojima se elektroničke potvrde atributa mogu opozvati bez odgode i mjere za osiguravanje dostupnosti informacija o statusu valjanosti.

2. Pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime jedini su subjekti koji mogu opozvati elektroničke potvrde atributa koje izdaju.

3. Potvrde koje su izdane na razdoblje valjanosti dulje od 24 sata pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime opozivaju barem u sljedećim okolnostima:

(a)	na izričit zahtjev osobe kojoj je elektronička potvrda atributa izdana, ili, prema potrebi, subjekta na koji se potvrda odnosi;

(b)	ako je pružatelju poznato da je ugrožena sigurnost ili vjerodostojnost kvalificiranih elektroničkih potvrda atributa ili elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime;

(c)	u drugim situacijama kako je propisano pravom Unije ili nacionalnim pravom ili kako su ih definirali pružatelji u svojim pravilima iz stavka 1.

4. Pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime primjenjuju tehnike i metode upravljanja opozivanjem koje štite privatnost i sprečavaju povezivost i sljedivost.

5. Pružatelji kvalificiranih elektroničkih potvrda atributa i pružatelji elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime pouzdajućim stranama stavljaju na raspolaganje informacije o statusu valjanosti ili opoziva elektroničkih potvrda atributa koje su izdali na način koji jamči cjelovitost i autentičnost tih informacija.

Članak 5.

Prijava tijela javnog sektora

1. Države članice Komisiji putem njezina sigurnog elektroničkog sustava za prijave dostavljaju barem informacije navedene u Prilogu III. o tijelima javnog sektora u skladu s člankom 45.f stavkom 3. Uredbe (EU) br. 910/2014.

2. Države članice dostavljaju i obavijesti o svim izmjenama dostavljenih informacija.

3. Države članice prijave podnose barem na engleskom jeziku. Nisu obvezne prevoditi dokumente kojima potkrepljuju prijave ako bi to uzrokovalo neopravdano administrativno ili financijsko opterećenje.

4. Komisija može, prema potrebi, zatražiti od država članica da dostave dodatne informacije.

Članak 6.

Objava popisa tijela javnog sektora

1. Na temelju informacija koje države članice dostave u skladu s člankom 5. Komisija sastavlja, vodi i objavljuje popis pružatelja elektroničkih potvrda atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime.

2. Komisija osigurava da se popisu iz stavka 1. može pristupiti:

(a)	i u elektronički potpisanom ili zapečaćenom obliku prikladnom za automatiziranu obradu i na internetskoj stranici čitljivoj čovjeku;

(b)	bez potrebe za registracijom ili autentifikacijom;

(c)	samo primjenom najsuvremenije sigurnosti transportnog sloja.

3. Komisija putem sigurnog kanala i bez nepotrebne odgode objavljuje:

(a)	tehničke specifikacije popisa;

(b)	pojedinosti o URL-u na kojem je popis objavljen;

(c)	certifikate koji se koriste za provjeru elektroničkog potpisa ili pečata na popisu;

(d)	pojedinosti o mehanizmima koji se koriste za validaciju budućih promjena lokacije iz točke (b) ili certifikata iz točke (c).

Članak 7.

Izrada i vođenje kataloga atributa

1. Komisija uspostavlja i objavljuje katalog atributa i uspostavlja siguran sustav za podnošenje zahtjeva za uvrštavanje ili izmjenu atributa u katalogu atributa.

2. Komisija ocjenjuje zahtjeve za uvrštavanje ili izmjenu atributa u katalogu atributa podnesene putem sustava iz stavka 1. uzimajući u obzir eventualne savjete Skupine za suradnju. U toj ocjeni Komisija uzima u obzir doprinosi li uvrštavanje atributa poticanju interoperabilnosti i zajedničkom temelju za sigurnu elektroničku interakciju građana, poduzeća i javnih tijela uz poštovanje privatnosti. Prema potrebi Komisija u obzir uzima i sektorske propise.

3. Države članice obvezne su zatražiti da se u katalog atributa uvrste svi atributi iz Priloga VI. Uredbi (EU) br. 910/2014 koji se za potrebe provjere koju provode kvalificirani pružatelji usluga povjerenja pozivaju na autentične izvore.

4. Uz to, države članice mogu zatražiti da se u katalog atributa uvrste atributi koji nisu navedeni u Prilogu VI. ako se pozivaju na autentične izvore iz javnog sektora. Privatni subjekti koji se smatraju primarnim izvorom informacija ili su priznati kao autentični u skladu s pravom Unije ili nacionalnim pravom, uključujući administrativnu praksu, mogu zatražiti da se u katalog atributa uvrste atributi koji nisu navedeni u Prilogu VI. ako je za te atribute odgovoran subjekt koji podnosi zahtjev.

5. Zahtjev za uvrštavanje ili izmjenu atributa u katalogu mora sadržavati barem sljedeće informacije:

(a)	identifikacijske podatke subjekta koji podnosi zahtjev;

(b)	prema potrebi, upućivanje na pravo Unije ili nacionalno pravo ili administrativnu praksu na temelju kojih se subjekt koji podnosi zahtjev smatra primarnim izvorom informacija ili priznatim autentičnim izvorom;

(c)	odnosi li se zahtjev na atribut koji već postoji u katalogu ili na novi atribut;

(d)	imenski prostor za identifikator atributa čija je vrijednost jedinstvena unutar kataloga atributa;

(e)	identifikator atributa koji je jedinstven unutar imenskog prostora i verziju atributa;

(f)	semantički opis atributa;

(g)	vrstu podataka u koju atribut spada;

(h)	točku za provjeru atributa na nacionalnoj razini ili poveznicu na upute za podnošenje zahtjeva za provjeru.

6. Zahtjev za uvrštavanje ili izmjenu atributa podnositelj ovjerava kvalificiranim elektroničkim potpisom ili pečatom ili naprednim elektroničkim potpisom ili pečatom koji se temelji na kvalificiranom certifikatu.

7. Nakon što donese ocjenu iz stavka 2. i provjeri sadržava li zahtjev za uvrštavanje ili izmjenu atributa sve informacije iz stavka 5., Komisija može uvrstiti zatraženi atribut ili unijeti izmjenu u katalog atributa.

8. Katalog atributa koji je Komisija zapečatila mora biti dostupan javno putem sigurnog kanala, besplatno i bez prethodne identifikacije ili autentifikacije te mora biti objavljen u formatu čitljivom strojno i čovjeku. Mora imati i mogućnost pretraživanja.

9. Komisija objavljuje tehničke specifikacije koje koristi za katalog atributa.

10. Komisija izdaje jedinstveni identifikator za svaki registrirani atribut.

Članak 8.

Izrada i vođenje kataloga sustava za potvrdu atributa

1. Komisija uspostavlja i objavljuje katalog sustava za potvrdu atributa i uspostavlja siguran sustav za podnošenje zahtjeva za uvrštavanje ili izmjenu sustava za potvrdu atributa u katalogu sustava za potvrdu atributa.

2. Zahtjeve za uvrštavanje ili izmjenu sustava za potvrdu atributa u katalogu sustava za potvrdu atributa ocjenjuje Komisija uzimajući u obzir eventualne savjete Skupine za suradnju. U toj ocjeni Komisija uzima u obzir doprinosi li sustav poticanju interoperabilnosti i zajedničkom temelju za sigurnu elektroničku interakciju građana, poduzeća i javnih tijela uz poštovanje privatnosti. Prema potrebi Komisija u obzir uzima i sektorske propise.

3. Vlasnici sustava za potvrdu atributa mogu zatražiti uvrštavanje sustava u katalog sustava. Zahtjev za uvrštavanje ili izmjenu sustava u katalogu sustava za potvrdu atributa mora sadržavati barem sljedeće:

(a)	ime sustava koje je odabrao vlasnik sustava za potvrdu atributa i koje je jedinstveno u katalogu sustava za potvrdu atributa;

(b)	ime i podatke za kontakt vlasnika sustava za potvrdu atributa;

(c)	status i verziju sustava;

(d)	upućivanje na propise, norme ili smjernice koji se primjenjuju na izdavanje, validaciju ili korištenje određene elektroničke potvrde atributa u okviru područja primjene dotičnog sustava;

(e)	format ili formate elektroničke potvrde atributa u okviru područja primjene dotičnog sustava;

(f)

jedan ili više imenskih prostora, identifikatora atributa, semantičkih opisa, i vrsta podataka za svaki atribut koji je dio elektroničke potvrde atributa u okviru područja primjene sustava, bilo upućivanjem na atribut u katalogu atributa iz članka 7. ili na atribut definiran na analogan način u okviru područja primjene sustava;

(g)	opis modela povjerenja i mehanizama upravljanja koji se primjenjuju u okviru sustava, uključujući mehanizme opoziva;

(h)	zahtjeve koji se primjenjuju na pružatelje elektroničkih potvrda atributa ili na izvore informacija na koje se ti pružatelji oslanjaju pri izdavanju elektroničkih potvrda atributa, uključujući, prema potrebi, sve autentične izvore;

(i)	izjavu o tome izdaju li se elektroničke potvrde atributa u okviru područja primjene dotičnog sustava kao kvalificirane elektroničke potvrde atributa, kao elektroničke potvrde atributa koje izdaje tijelo javnog sektora odgovorno za autentični izvor ili koje se izdaju u njegovo ime, ili kao oboje.

4. Sustavi za koje se traži uvrštavanje u katalog smiju sadržavati samo atribute koji se mogu identificirati na temelju jedinstvenih identifikatora. Zahtjev za uvrštavanje ili izmjenu sustava za potvrdu atributa podnositelj zahtjeva ovjerava kvalificiranim elektroničkim potpisom ili pečatom ili naprednim elektroničkim potpisom ili pečatom koji se temelji na kvalificiranom certifikatu.

5. Nakon što donese ocjenu iz stavka 2. i provjeri sadržava li zahtjev za uvrštavanje ili izmjenu sustava za potvrdu sve informacije iz stavaka 3. i 4., Komisija može uvrstiti zatraženi sustav ili unijeti izmjenu u katalog sustava za potvrdu atributa.

6. Katalog sustava za potvrdu atributa koji je Komisija zapečatila mora biti dostupan javno putem sigurnog kanala, besplatno i bez prethodne identifikacije ili autentifikacije te mora biti čitljiv strojno i čovjeku. Mora imati i mogućnost pretraživanja te biti u formatu koji jamči cjelovitost i autentičnost.

7. Komisija objavljuje tehničke specifikacije koje koristi za katalog sustava za provjeru atributa.

8. Komisija izdaje jedinstveni identifikator za svaki registrirani sustav za provjeru atributa.

Članak 9.

Provjera atributa usporedbom s autentičnim izvorima ili preko imenovanih posrednika

1. Kako bi se omogućila elektronička provjera atributa iz članka 45.e stavka 1. Uredbe (EU) br. 910/2014 koju na zahtjev korisnika provode kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa, države članice uspostavljaju mehanizme koji omogućuju tu provjeru i mogu staviti na raspolaganje jedinstvene točke za provjeru atributa iz Priloga VI. toj uredbi ako se ti atributi zasnivaju na autentičnim izvorima iz javnog sektora. Države članice objavljuju informacije o postupcima za podnošenje zahtjeva za provjeru i za dostavljanje rezultata provjere.

2. Mehanizam provjere mora imati pristupnu točku putem koje kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa mogu elektroničkim putem zatražiti provjeru atributa iz članka 45.e stavka 1. Uredbe (EU) br. 910/2014 usporedbom s autentičnim izvorima ili preko imenovanih posrednika priznatih na nacionalnoj razini. Kvalificirani pružatelj usluga povjerenja na zahtjev korisnika točki za provjeru dostavlja atribute za provjeru. Tijelo javnog sektora ili imenovani posrednik putem točke za provjeru dostavlja rezultate provjere kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane elektroničke potvrde atributa.

3. U zahtjevu za provjeru navode se atributi i identifikacijski podaci subjekta atributa za koji kvalificirani pružatelj usluga povjerenja zahtijeva provjeru.

4. U rezultatu provjere navodi se isključivo je li atribut provjeren i tijelo javnog sektora odgovorno za autentični izvor ili, ako je to primjenjivo, tijelo javnog sektora imenovano da djeluje u ime autentičnog izvora s kojim je atribut uspoređen radi provjere.

5. Države članice mogu uvesti kontrole pristupa ili druge mehanizme provjere kojima se osigurava cjelovitost, autentičnost i povjerljivost i kojima se utvrđuje je li podnositelj zahtjeva kvalificirani pružatelj usluga povjerenja i djeluje li na zahtjev legitimnog korisnika. Ako to smatraju primjerenim, države članice mogu uvesti i mehanizme za kontrolu primjene metoda provjere, uzimajući u obzir relevantne čimbenike, među ostalim sadržavaju li autentični izvori osobne povjerljive ili osjetljive podatke. Ako države članice uspostave te mehanizme kontrole, u okviru informacija iz stavka 1. objavljuju informacije o njihovu opsegu.

Članak 10.

Interoperabilnost i iskorištavanje postojećih resursa

1. Za potrebe članaka od 3. do 9. države članice mogu se osloniti na i koristiti zajedničke usluge tehničkog sustava iz članka 14. Uredbe (EU) 2018/1724 i nacionalne komponente koje su s njima povezane.

2. Pri uspostavi sigurnog sustava za prijave i popisa tijela javnog sektora iz članaka 5. i 6. te katalogâ iz članaka 7. i 8. ove Uredbe Europska komisija oslanja se na i, prema potrebi, koristi zajedničke usluge tehničkog sustava iz Uredbe (EU) 2018/1724.

Članak 11.

Stupanje na snagu i primjena

Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Međutim, članci 6. i 9. primjenjuju se od 19. kolovoza 2026.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Bruxellesu 29. srpnja 2025.

Za Komisiju

Predsjednica

Ursula VON DER LEYEN

(1) SL L 257, 28.8.2014., str. 73., ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) SL L 210, 14.6.2021., str. 51., ELI: http://data.europa.eu/eli/reco/2021/946/oj.

(3) Uredba (EU) 2024/1183 Europskog parlamenta i Vijeća od 11. travnja 2024. o izmjeni Uredbe (EU) br. 910/2014 u pogledu uspostave europskog okvira za digitalni identitet (SL L, 2024/1183, 30.4.2024., ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(4) Uredba (EU) 2024/903 Europskog parlamenta i Vijeća od 13. ožujka 2024. o utvrđivanju mjera za visoku razinu interoperabilnosti javnog sektora u Uniji (Akt o interoperabilnoj Europi) (SL L, 2024/903, 22.3.2024., ELI: http://data.europa.eu/eli/reg/2024/903/oj).

(5) Uredba (EU) 2018/1724 Europskog parlamenta i Vijeća od 2. listopada 2018. o uspostavi jedinstvenog digitalnog pristupnika za pristup informacijama, postupcima, uslugama podrške i rješavanja problema te o izmjeni Uredbe (EU) br. 1024/2012 (SL L 295, 21.11.2018., str. 1., ELI: http://data.europa.eu/eli/reg/2018/1724/oj).

(6) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1., ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(7) Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37., ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(8) Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).