(1)

A 910/2014/EU rendelet létrehozza az elektronikus attribútumtanúsítványok kibocsátásának és érvényesítésének jogi keretét, egyebek mellett előírva az elektronikus attribútumtanúsítványok szolgáltatóinak, hogy az adattárca kibocsátásának helye szerinti tagállamtól függetlenül kötelesek lehetővé tenni az európai digitális személyiadat-tárcák felhasználói számára elektronikus attribútumtanúsítványok igénylését, beszerzését, tárolását és kezelését. Az elektronikus attribútumtanúsítványok kulcsfontosságú alapelemei az európai digitális személyiadat-tárca Unió-szerte létrehozandó biztonságos és interoperábilis ökoszisztémájának (a továbbiakban: adattárca-ökoszisztéma). Lehetővé teszik a felhasználók számára, hogy különféle felhasználási helyzetekben biztonságos módon tudjanak adatokat megosztani az igénybe vevő felekkel.

(2)

Az európai digitális személyiadat-tárcához a minősített elektronikus attribútumtanúsítványok szolgáltatói által a 910/2014/EU rendelet 45g. cikkének megfelelően biztosítandó felületek jól szemléltetik az elektronikus attribútumtanúsítványoknak az adattárca-ökoszisztémában játszott fontos szerepét, és segítik annak gyors elterjedését.

(3)

A Bizottság rendszeresen értékel új technológiákat, gyakorlatokat, szabványokat és technikai specifikációkat. Az adattárcák fejlesztése és tanúsítása terén a tagállamok közötti lehető legmagasabb szintű harmonizáció biztosítása érdekében az e rendeletben meghatározott technikai specifikációk az európai digitális személyazonossági keretre irányuló összehangolt megközelítés közös uniós eszköztáráról szóló, 2021. június 3-i (EU) 2021/946 bizottsági ajánlás (2) keretében elvégzett munkára támaszkodnak, különösen a keret részét képező architektúra és referenciakeret tekintetében. Az (EU) 2024/1183 európai parlamenti és tanácsi rendelet (75) preambulumbekezdése értelmében (3) a Bizottságnak rendszeresen felül kell vizsgálnia és szükség esetén aktualizálnia kell ezt a végrehajtási rendeletet, hogy az összhangban maradjon a globális fejleményekkel, az architektúrával és a referenciakerettel, valamint igazodjon a belső piaci bevált gyakorlatokhoz, különösen az elektronikus attribútumtanúsítványok kibocsátásának, valamint a hiteles források alapján vagy kijelölt köztes szereplőkön keresztül történő attribútumellenőrzés tekintetében.

(4)

Amennyiben a minősített elektronikus attribútumtanúsítványok és a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványok szolgáltatói azt állítják, hogy az általuk kibocsátott tanúsítványok megfelelnek az attribútumtanúsítási rendszerek katalógusában felsorolt rendszerek követelményeinek, a 910/2014/EU rendeletben előírt megfelelőségértékelésbe be kell vonni azon szabályzatokat és eljárásokat is, amelyek biztosítják az említett rendszerek követelményeinek való megfelelést.

(5)

A nem megbízható adatokkal szembeni védelem rendkívül fontos a digitalizált tanúsítványok esetében. Ezért lehetővé kell tenni, hogy a szolgáltató érvényteleníthesse a minősített elektronikus attribútumtanúsítványokat, illetve a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványokat, vagy pedig az érvénytelenítés lehetetlensége esetén alternatív intézkedéseket kell hozni a kockázatok ellensúlyozására. Bizonyos körülmények fennállása esetén – például ha az a személy, akinek a részére az elektronikus attribútumtanúsítványt kiállították, ezt kifejezetten kéri; ha a szolgáltató tudomására jut, hogy a minősített elektronikus attribútumtanúsítványok biztonsága vagy megbízhatósága veszélybe került; vagy pedig ha az uniós vagy a nemzeti jog azt előírja – a szolgáltatónak érvénytelenítenie kell az elektronikus attribútumtanúsítványt. A felhasználó magánélethez és adatvédelemhez való alapvető jogainak védelme érdekében a minősített elektronikus attribútumtanúsítványok és a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványok szolgáltatóinak olyan érvénytelenítési szabályzatokat kell kidolgozniuk, amelyek biztosítják a magánélet védelmét, elsősorban az összekapcsolhatóság és a nyomonkövethetőség kockázatának adekvát minimalizálása révén.

(6)

A tagállamok közötti együttműködés, valamint a biztonságos és interoperábilis digitális személyazonossági ökoszisztéma létrehozásának elősegítése érdekében, beleértve a minősített elektronikus attribútumtanúsítvány és a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott minősített elektronikus attribútumtanúsítványok határokon átnyúló elismerését és interoperabilitását, egyszerűsített közigazgatási kommunikációs eljárásokat kell kialakítani az érintett érdekelt felek között, amely kiterjed azon információk közzétételére is, amelyekkel az érintett közigazgatási szervek gyorsan azonosíthatók. A tagállamok kötelesek közölni a Bizottsággal a releváns attribútumokat. Ezért az említett attribútumok kellő időben történő, hatékony és interoperábilis ellenőrzésének garantálása érdekében a Bizottságnak küldött értesítéseket legalább angol nyelven be kell nyújtani, mivel ez megkönnyíti azok széles körű hozzáférhetőségét, értékelését és értelmezését, és ugyanakkor fokozza az érintett érdekelt felek közötti együttműködést. A már meglévő dokumentumok fordítása ugyanakkor nem jelenthet észszerűtlen adminisztratív vagy pénzügyi terheket.

(7)

Annak érdekében, hogy a felhasználók és a szolgáltatók ellenőrizhessék, hogy a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványokat valóban az adott közigazgatási szerv bocsátotta-e ki, a tagállamoknak be kell jelenteniük a Bizottságnak az említett közigazgatási szerveket. Az elektronikus attribútumtanúsítványokat a 910/2014/EU rendelet 45f. cikkével és VII. mellékletével összhangban kibocsátó közigazgatási szervek bejelentésekor a tagállamoknak megfelelőségértékelési jelentést kell benyújtaniuk, amelyben megerősítik, hogy a szóban forgó szervek megbízhatósági és hitelességi szintje a minősített bizalmi szolgáltatókéval egyenértékű. A minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatókkal ellentétben ugyanakkor a szóban forgó közigazgatási szervek esetében a tagállamok feladata gondoskodni arról, hogy ez utóbbiak idővel teljesíteni tudják a követelményeket. Ezért a közigazgatási szervek által kibocsátott tanúsítványok iránti magas szintű bizalom egész Unióban történő fenntartása érdekében a Bizottság arra biztatja a tagállamokat, hogy a 910/2014/EU rendelet 46e. cikkének (1) bekezdése alapján létrehozott, az európai digitális személyazonossággal foglalkozó együttműködési csoport (a továbbiakban: együttműködési csoport) keretében osszák meg egymással a megbízhatóság és hitelesség folyamatos fenntartására vonatkozó bevált gyakorlataikat. A Bizottságnak össze kell állítania, fenn kell tartania és közzé kell tennie a szolgáltatók jegyzékét, és gondoskodnia kell arról, hogy ez a jegyzék a nyilvánosság számára könnyen hozzáférhető legyen.

(8)

A Bizottságnak az együttműködési csoport segítségével attribútumkatalógust kell összeállítania, hogy megkönnyítse a hiteles források alapján történő attribútumellenőrzést a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók számára. A 910/2014/EU rendelet VI. mellékletében felsorolt attribútumok esetében az attribútumkatalógusban való regisztrációt kötelezővé kell tenni. Más attribútumok esetében a regisztráció opcionális lehet.

(9)

A Bizottságnak az együttműködési csoport segítségével össze kell állítania az attribútumtanúsítványok rendszereinek katalógusát, hogy megkönnyítse a minősített bizalmi szolgáltatók és az elektronikus attribútumtanúsítványok szolgáltatói számára a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott minősített elektronikus attribútumtanúsítványok kibocsátását, valamint e tanúsítványok harmonizációját és határokon átnyúló interoperabilitását. A rendszereknek a rendszerek katalógusába való felvétele nem kötelező. A regisztrációra, illetve a katalógus módosítására irányuló kérelmet az attribútumtanúsítási rendszer tulajdonosának kell benyújtania, és az olyan attribútumokat is tartalmazhat, amelyek nem szerepelnek az attribútumkatalógusban. A Bizottságnak ezeket a kérelmeket az interoperabilitási és harmonizációs igények figyelembevételével kell értékelnie.

(10)

Ahhoz, hogy az attribútumkatalógus érdemi információk forrásaként szolgálhasson és magas szintű interoperabilitást biztosítson az elektronikus attribútumtanúsítványok ökoszisztémáján belül, elő kell írni a benne foglalt információk minimális körét, például az attribútum szemantikai leírását, azonosítójának névterét és az attribútum adattípusát. Ugyanezen célból az attribútumtanúsítási rendszerek katalógusának tartalmaznia kell a közös elektronikus attribútumtanúsítvány-típusok leírását, valamint a megbízhatósági modell és a tanúsítási rendszer keretében alkalmazott irányítási mechanizmusok leírását. A katalógusokban megtalálható információk között szerepelniük kell az attribútumok és rendszerek verzióinak annak érdekében, hogy az egyes verziók szerint kibocsátott tanúsítványokat ne befolyásolják az említett attribútumok és rendszerek változásai.

(11)

Annak garantálása céljából, hogy a minősített elektronikus attribútumtanúsítványokat – akár a szolgáltatók számára közvetett ellenőrzési mechanizmusokat biztosító kijelölt köztes szereplőkön keresztül – kibocsátó minősített bizalmi szolgáltatók hiteles források alapján hatékonyan ellenőrizni tudják az attribútumokat, a tagállamoknak a 910/2014/EU rendelet 45e. cikkének (1) bekezdésében meghatározott határidőn belül olyan mechanizmusokat kell létrehozniuk, amelyek lehetővé teszik a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók számára az attribútumellenőrzés kérelmezését. E mechanizmusoknak lehetővé kell tenniük a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók számára, hogy megállapítsák, mely attribútumok ellenőrizhetők és milyen módon. Részletesen ismertetniük kell a hozzáférési pontokat és az attribútumok érvényességének és pontosságának ellenőrzésére szolgáló szolgáltatási protokollokat, illetve mérlegelni kell egy nemzeti szintű egyetlen ellenőrzési pont kialakításának a lehetőségét is.

(12)

Konkrétabban, a tagállamoknak a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók rendelkezésére kell bocsátaniuk a 910/2014/EU rendelet VI. mellékletében felsorolt minden egyes attribútum tekintetében az ellenőrzési pontokhoz való hozzáférésre és azok használatára szolgáló nemzeti szintű mechanizmusokat. E mechanizmusoknak lehetővé kell tenniük a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók számára, hogy a felhasználó kérésére az egyes attribútumokat a tanúsítvány kiadása céljából, illetve annak élettartama alatt bármikor egy ellenőrzési ponton bemutathassák ellenőrzés céljára. Az ellenőrzési mechanizmusoknak olyan elektronikus eszközöket kell használniuk, amelyek alkalmasak az automatikus adatfeldolgozásra, és az ellenőrzési pont válaszidejét a lehető legnagyobb mértékben lerövidítik. Az ellenőrzési pont által adott válasznak meg kell erősítenie, hogy a minősített elektronikus attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók által bemutatott attribútumok megfelelnek-e az adott felhasználóról a releváns hiteles forrásban eltárolt attribútumoknak, azon hiteles forrás megjelölésével, amely alapján az ellenőrzés elvégzésre került. A visszaélések, például a jogellenes vagy nyilvánvalóan túlzó ellenőrzési kérelmek kiküszöbölésére a tagállamok – amennyiben azt célszerűnek ítélik – kontrollmechanizmusokat vezethetnek be az ellenőrzési pontok használatára vonatkozóan, figyelembe véve a releváns tényezőket, így többek között azt, hogy a hiteles források tartalmaznak-e olyan információkat, amelyek személyes adatnak minősülnek, vagy amelyek az uniós vagy a nemzeti jog szerint más módon bizalmasnak vagy érzékenynek tekinthetők.

(13)

Az interoperábilis Európáról szóló rendeletben (4) lefektetett elvekkel összhangban az attribútumkatalógus és az attribútumtanúsításirendszer-katalógus létrehozásának, illetve a meglévő katalógusok, rendszerek és információk lehető legnagyobb mértékű újrafelhasználásának megkönnyítése céljából a Bizottságnak adott esetben ki kell aknáznia az egységes digitális kapu létrehozásáról és az 1024/2012/EU rendelet módosításáról szóló (EU) 2018/1724 európai parlamenti és tanácsi rendelet (5) szerinti technikai rendszer közös szolgáltatásaival fennálló szinergiákat.

(14)

A nem minősített bizalmi szolgáltatók által kibocsátott elektronikus attribútumtanúsítványok interoperabilitásának javítása érdekében a tanúsítványok kibocsátói követhetik az e rendeletben meghatározott elveket és követelményeket a nem minősített elektronikus attribútumtanúsítványok tekintetében is.

(15)

Az e rendelet szerinti személyesadat-kezelési tevékenységre az (EU) 2016/679 európai parlamenti és tanácsi rendelet (6) és adott esetben a 2002/58/EK európai parlamenti és tanácsi irányelv (7) alkalmazandó.

(16)

Annak érdekében, hogy a Bizottság és a tagállamok számára elegendő idő álljon rendelkezésre a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványok szolgáltatói jegyzékének összeállítására, az e rendeletben foglalt, az attribútumkatalógusra, az attribútumtanúsítási rendszerek katalógusára és az attribútumok ellenőrzési pontjaira vonatkozó követelményeket e rendelet hatálybalépésétől számított 12 hónap elteltével kell alkalmazni.

(17)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (8) 42. cikkének (1) bekezdésével összhangban konzultációra került sor az európai adatvédelmi biztossal, aki 2025. január 31-én véleményt nyilvánított.

(18)

Az e rendeletben előírt intézkedések összhangban vannak a 910/2014/EU rendelet 48. cikkével létrehozott bizottság véleményével,

1.

minősített elektronikus attribútumtanúsítványok;

2.

a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványok;

3.

a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott elektronikus attribútumtanúsítványok szolgáltatóinak jegyzéke;

4.

az attribútumkatalógusok és az 1. és 2. pontban említett attribútumtanúsítványok tanúsítási rendszereinek katalógusai;

5.

hiteles források alapján vagy kijelölt köztes szereplők révén végrehajtott attribútumellenőrzések.

1.

„adattárcaegység”: az adattárca-megoldás egyedi konfigurációja, amely olyan adattárcapéldányokat, adattárca-biztonsági kriptográfiai alkalmazásokat és adattárca-biztonsági kriptográfiai eszközöket foglal magában, amelyeket az adattárca-szolgáltató nyújt egy adott adattárca-felhasználónak;

2.

„adattárca-felhasználó”: az a felhasználó, aki az adattárcaegység felett ellenőrzést és irányítást gyakorol;

3.

„attribútumkatalógus”: a Bizottság által fenntartott és közzétett digitális attribútumtár;

4.

„attribútumtanúsítási rendszer”: egy vagy több elektronikus attribútumtanúsítvány-típusra alkalmazandó szabályok összessége;

5.

„elektronikus attribútumtanúsítvány-típus”: az elektronikus attribútumtanúsítványok egyedi megnevezéssel illetett és szemantikailag leírt csoportja;

6.

„az attribútumtanúsítási rendszerek katalógusa”: az e rendelettel összhangban nyilvántartásba vett attribútumtanúsítási rendszereknek a Bizottság által fenntartott [és online közzétett] digitális adattára;

7.

„adattárca-megoldás”: szoftverek, hardverek, szolgáltatások, beállítások és konfigurációk kombinációja, beleértve az adattárcapéldányokat, egy vagy több adattárca-biztonsági kriptográfiai alkalmazást és egy vagy több adattárca-biztonsági kriptográfiai eszközt;

8.

„adattárcapéldány”: az adattárca-felhasználó eszközére vagy környezetére telepített és konfigurált alkalmazás, amely egy adattárcaegység részét képezi, és amelyet az adattárca-felhasználó az adattárcaegységgel folytatott interakcióhoz használ;

9.

„adattárca-biztonsági kriptográfiai alkalmazás”: olyan alkalmazás, amely kritikus eszközöket kezel az adattárca-biztonsági kriptográfiai eszközhöz kapcsolódva és az eszköz kriptográfiai és nem kriptográfiai funkcióinak használatával;

10.

„adattárca-biztonsági kriptográfiai eszköz”: olyan, manipulálás ellen védett eszköz, amely egy, az adattárca-biztonsági kriptográfiai alkalmazásához kapcsolódó és általa használt környezetet biztosít a kritikus eszközök védelme és a kritikus műveletek biztonságos végrehajtásához szükséges kriptográfiai funkciók biztosítása érdekében;

11.

„adattárca-szolgáltató”: adattárca-megoldásokat kínáló természetes vagy jogi személy;

12.

„kritikus eszközök”: az adattárcaegységen belüli vagy azzal kapcsolatban álló olyan rendkívüli jelentőségű adatok, eszközök, amelyek rendelkezésre állásának, titkosításának és integritásának sérülése nagyon súlyosan károsítaná az adattárcaegység megbízhatóságát;

13.

„az attribútumtanúsítási rendszer tulajdonosa”: az attribútumtanúsítási rendszer létrehozásáért és fenntartásáért felelős szervezet.