(1)

Verordening (EU) nr. 910/2014 biedt een rechtskader voor de afgifte en de validering van elektronische attesteringen van attributen, met inbegrip van een verplichting voor aanbieders van elektronische attesteringen van attributen, om gebruikers van de Europese portemonnee voor digitale identiteit (“portemonnee”) de mogelijkheid te bieden de elektronische attestering van attributen aan te vragen, te verkrijgen, op te slaan en te beheren, ongeacht de lidstaat waar de portemonnee is verstrekt. Elektronische attesteringen van attributen zijn cruciale componenten voor de totstandbrenging van een veilig en interoperabel ecosysteem van de Europese portemonnee voor digitale identiteit (“ecosysteem van de portemonnee”). Hiermee kunnen gebruikers in uiteenlopende gevallen op betrouwbare wijze informatie delen met vertrouwende partijen.

(2)

De interfaces met Europese portemonnees voor digitale identiteit die moeten worden verstrekt door verleners van gekwalificeerde diensten voor elektronische attestering overeenkomstig artikel 45 octies van Verordening (EU) nr. 910/2014 benadrukken het belang van de elektronische attesteringen van attributen foor het ecosysteem van de portemonnee en faciliteren de snelle implementatie ervan.

(3)

De Commissie voert regelmatig beoordelingen uit van nieuwe technologieën, praktijken, normen en technische specificaties. Om het hoogste niveau van harmonisatie tussen de lidstaten te waarborgen voor de ontwikkeling en de certificering van de portemonnees, berusten de in deze verordening vastgestelde technische specificaties op de werkzaamheden die zijn verricht op basis van Aanbeveling (EU) 2021/946 van de Commissie van 3 juni 2021 betreffende een gemeenschappelijke EU-toolbox voor een gecoördineerde aanpak ten behoeve van een Europees kader voor digitale identiteit (2), en met name de architectuur en het referentiekader die er deel van uitmaken. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (3) moet de Commissie deze verordening indien nodig evalueren en actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen, de architectuur en het referentiekader en om de beste praktijken op de interne markt te volgen, met name ten aanzien van de afgifte van elektronische attesteringen van attributen en de verificatie van attributen aan de hand van authentieke bronnen of aangewezen intermediairs.

(4)

Indien aanbieders van gekwalificeerde elektronische attesteringen van attributen of elektronische attesteringen van attributen die zijn afgegeven door of namens een voor een authentieke bron verantwoordelijke openbare instantie attesteringen afgeven die beweren aan de vereisten van regelingen voor de attestering van in de catalogus geregistreerde attributen te voldoen, moeten processen en procedures voor de naleving van de vereisten van die regelingen deel uitmaken van de conformiteitsbeoordeling die is vastgesteld in Verordening (EU) nr. 910/2014.

(5)

Bescherming tegen onbetrouwbare informatie is van groot belang voor de digitalisering van attesteringen. Daarom moeten door of namens een voor een authentieke bron verantwoordelijke openbare instantie afgegeven gekwalificeerde elektronische attesteringen van attributen en elektronische attesteringen van attributen kunnen worden ingetrokken, of moeten alternatieve maatregelen worden getroffen om de risico’s in verband met de niet-herroepbaarheid te compenseren. Bepaalde omstandigheden, zoals het uitdrukkelijke verzoek van de persoon aan wie de elektronische attestering van attributen is afgegeven, of indien de aanbieder weet dat inbreuk is gepleegd op de beveiliging of de betrouwbaarheid van de gekwalificeerde elektronische attesteringen van attributen, of indien het Unierecht of het nationale recht dat vereist, moeten leiden tot de intrekking door de aanbieder van een elektronische attestering van attributen. Om de grondrechten op privacy en gegevensbescherming van de gebruiker te waarborgen, met name door het risico op koppelbaarheid en traceerbaarheid naar behoren tot een minimum te beperken, moeten aanbieders van gekwalificeerde elektronische attesteringen van attributen en door of namens een voor een authentieke bron verantwoordelijke openbare instantie afgegeven elektronische attesteringen van attributen beleidsregels voor intrekkingsbeheer opzetten die privacybeschermend zijn.

(6)

Ter vereenvoudiging van de samenwerking tussen de lidstaten en voor de totstandbrenging van een veilig en interoperabel ecosysteem voor digitale identiteit, inclusief de grensoverschrijdende erkenning en de interoperabiliteit van door of namens een voor een authentieke bron verantwoordelijk openbare instantie afgegeven gekwalificeerde elektronische attesteringen van attributen en elektronische attesteringen van attributen, moeten er vereenvoudigde administratieve communicatieprocedures tussen belanghebbenden worden opgezet, inclusief de publicatie van informatie om de betrokken openbare instanties te bepalen. De lidstaten moeten de relevante attributen bij de Commissie aanmelden. Om de tijdige, efficiënte en interoperabele verificatie van deze attributen te waarborgen, moeten de desbetreffende aanmeldingen aan de Commissie daarom ten minste in het Engels zijn, aangezien dit de brede toegankelijkheid, beoordeling en begrijpelijkheid ervan vergemakkelijkt en de samenwerking tussen de belanghebbenden versterkt. De vertaling van reeds bestaande documentatie mag echter geen onredelijke administratieve of financiële lasten met zich meebrengen.

(7)

Opdat gebruikers en dienstverleners kunnen nagaan of elektronische attesteringen van attributen die door of namens een voor een authentieke bron verantwoordelijk openbare instantie zijn afgegeven, daadwerkelijk door dat openbare instantiezijn afgegeven, moeten de lidstaten die openbare instanties bij de Commissie aanmelden. Indien de lidstaten openbare instanties die elektronische attesteringen van attributen afgeven overeenkomstig artikel 45 septies van en bijlage VII bij Verordening (EU) nr. 910/2014 aanmelden, moeten zij een conformiteitsbeoordelingsverslag verstrekken waaruit een betrouwbaarheidsniveau blijkt dat gelijkwaardig is aan dat van gekwalificeerde verleners van vertrouwensdiensten. In tegenstelling tot gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, is het voor die openbare instanties echter aan de lidstaten hoe waarborgen dat de aanbieders mettertijd aan de voorwaarden voldoen. Om een hoog niveau van vertrouwen in overheidsattesten in de Unie te behouden, worden de lidstaten daarom aangemoedigd om hun beste praktijken uit te wisselen over de wijze waarop zij de blijvende betrouwbaarheid waarborgen middels de bij artikel 46 sexies, lid 1, van Verordening (EU) nr. 910/2014 opgerichte Europese samenwerkingsgroep voor digitale identiteit (“samenwerkingsgroep”). De Commissie moet een lijst van aanbieders opstellen, bijhouden en publiceren zodat die lijst gemakkelijk toegankelijk is voor het grote publiek.

(8)

De Commissie moet met de hulp van de samenwerkingsgroep een catalogus van attributen opstellen om de verificatie van attributen aan de hand van authentieke bronnen door gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven te vergemakkelijken. De in bijlage VI bij Verordening (EU) nr. 910/2014 opgenomen attributen moeten verplicht in de catalogus van attributen worden geregistreerd. Voor andere attributen is registratie facultatief.

(9)

De Commissie moet met de hulp van de samenwerkingsgroep een catalogus van regelingen voor de attestering van attributen opstellen om de afgifte van attesteringen door gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven en elektronische attesteringen van attributen die door of namens een voor een authentieke bron verantwoordelijk openbare instantie zijn afgegeven, te faciliteren en de harmonisatie en grensoverschrijdende interoperabiliteit van die attesteringen te vergemakkelijken. De registratie van regelingen in de catalogus van regelingen moet facultatief zijn. Verzoeken om registratie of wijzigingen in de catalogus moeten worden ingediend door de eigenaar van de regeling voor de attestering van attributen en kunnen attributen omvatten die niet in de catalogus van attributen zijn opgenomen. De Commissie moet die verzoeken beoordelen met inachtneming van de behoeften op het gebied van interoperabiliteit en harmonisatie.

(10)

Opdat de catalogus van attributen zinvolle informatie bevat en een hoog niveau van interoperabiliteit binnen het ecosysteem voor elektronische attestering van attributen bereikt, moet die ten minste minimale informatie bevatten, zoals een semantische beschrijving van het attribuut, de benaming van de identificatiecode en het gegevenstype van het attribuut. In gelijke zin moet de catalogus van regelingen voor de attestering van attributen een beschrijving bevatten van gemeenschappelijke soorten elektronische attesteringen van attributen alsmede een beschrijving van het vertrouwensmodel en de in het kader van de attesteringsregeling toegepaste governancemechanismen. De informatie in de catalogi moet versiebeheer van attributen en regelingen omvatten, zodat overeenkomstig specifieke versies uitgegeven attesteringen niet door wijzigingen in die attributen en regelingen worden getroffen.

(11)

Met het oog op de doeltreffendheid van de verificatie van attributen aan de hand van authentieke bronnen door gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, onder meer via aangewezen intermediairs die indirecte verificatiemechanismen voor dienstverleners aanbieden, moeten de lidstaten binnen de in artikel 45 sexies, lid 1, van Verordening (EU) nr. 910/2014 vastgestelde termijn mechanismen opzetten waarmee gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, om verificatie van attributen kunnen verzoeken. Middels de mechanismen moeten gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, kunnen bepalen welke attributen kunnen worden geverifieerd en hoe die kunnen worden geverifieerd. Deze mechanismen moeten details bevatten over toegangspunten en dienstprotocollen voor het controleren van de geldigheid en de nauwkeurigheid van attributen en op nationaal niveau één enkel verificatiepunt aan kunnen bieden.

(12)

Meer in het bijzonder moeten de lidstaten aan gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, mechanismen beschikbaar stellen voor de toegang tot en het gebruik van verificatiepunten op nationaal niveau voor elk van de in bijlage VI bij Verordening (EU) nr. 910/2014 vermelde attributen. Die mechanismen moeten gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven, in staat stellen om op verzoek van de gebruiker specifieke attributen aan een verificatiepunt aan te bieden voor de afgifte van de attestering en tijdens de levensduur ervan. De verificatiemechanismen moeten gebruikmaken van elektronische middelen die geschikt zijn voor automatische verwerking en voor het zo snel mogelijk verkrijgen van antwoorden van het verificatiepunt. In dat antwoord moet worden bevestigd of de attributen die worden aangeboden door de gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde elektronische attesteringen van attributen afgeven overeenstemmen met de attributen die met betrekking tot die gebruiker in de relevante authentieke bron zijn opgeslagen, en moet worden vermeld aan de hand van welke authentieke bron de verificatie is uitgevoerd. Om misbruik, zoals onrechtmatige of kennelijk buitensporige verificatieverzoeken, te voorkomen, kunnen de lidstaten controlemechanismen opleggen voor het gebruik van de verificatiepunten, indien zij dit passend achten, met inachtneming van relevante factoren, waaronder de vraag of de authentieke bronnen inlichtingen bevatten die als persoonsgegevens moeten worden beschouwd of op andere wijze vertrouwelijk of gevoelig van aard zijn overeenkomstig het Unierecht of het nationale recht.

(13)

Overeenkomstig de beginselen van de verordening Interoperabel Europa (4) moet de Commissie, om de opstelling van een catalogus van attributen en een catalogus van regelingen voor de attestering van attributen en het hergebruik, voor zover mogelijk, van bestaande catalogi, regelingen en informatie te vergemakkelijken, waar passend gebruikmaken van synergie met de gemeenschappelijke diensten van het technische systeem overeenkomstig Verordening (EU) 2018/1724 van het Parlement en de Raad tot oprichting van één digitale toegangspoort en houdende wijziging van Verordening (EU) nr. 1024/2012 (5).

(14)

Om de interoperabiliteit voor elektronische attesteringen van attributen die zijn uitgegeven door niet-gekwalificeerde verleners van vertrouwensdiensten te verbeteren, kunnen de in deze verordening vastgestelde beginselen en vereisten worden gevolgd door uitgevers van attesteringen met betrekking tot niet-gekwalificeerde elektronische attestering van attributen.

(15)

Verordening (EU) 2016/679 van het Europees Parlement en de Raad (6) en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (7) zijn van toepassing op activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening.

(16)

Om de Commissie en de lidstaten voldoende tijd te geven om de lijst op te stellen van aanbieders van elektronische attesteringen van attributen die door of namens een voor een authentieke bron verantwoordelijk openbare instantie zijn afgegeven, moeten de vereisten van deze verordening betreffende de catalogus van attributen, de catalogus van regelingen voor de attesteringen van attributen en de verificatiepunten voor attributen twaalf maanden na de datum van inwerkingtreding van deze verordening van toepassing worden.

(17)

De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (8) geraadpleegd en heeft op 31 januari 2025 een advies uitgebracht.

(18)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 48 van Verordening (EU) nr. 910/2014 ingestelde comité,

(1)

gekwalificeerde elektronische attestering van attributen;

(2)

elektronische attesteringen van attributen afgegeven door of namens een voor een authentieke bron verantwoordelijk openbare instantie;

(3)

de lijst van aanbieders van elektronische attesteringen van attributen, afgegeven door of namens een voor een authentieke bron verantwoordelijke openbare instantie;

(4)

een catalogus van attributen en een catalogus van regelingen voor de attesteringen van attributen, bedoeld in de punten 1 en 2;

(5)

de verificatie van attributen met betrekking tot authentieke bronnen of aangewezen intermediairs.

(1)

“portemonnee”: een unieke configuratie van een portemonnee-oplossing die bestaat uit portemonnee-instanties, beveiligde cryptografische toepassingen voor portemonnees en beveiligde cryptografische middelen voor portemonnees die door een aanbieder van portemonnees aan een individuele portemonneegebruiker worden verstrekt;

(2)

“portemonneegebruiker”: een gebruiker die de controle heeft over de portemonnee-eenheid;

(3)

“catalogus van attributen”: een digitaal register van attributen dat door de Commissie wordt bijgehouden en online openbaar wordt gemaakt;

(4)

“regeling voor de attestering van attributen”: de regels die van toepassing zijn op een of meer soorten elektronische attesteringen van attributen;

(5)

“soort elektronische attestering van attributen”: een specifiek genoemde en semantisch beschreven groep van elektronische attesteringen van attributen;

(6)

“catalogus van regelingen voor de attestering van attributen”: een digitaal register met regelingen voor de attestering van attributen die overeenkomstig deze verordening zijn geregistreerd en dat door de Commissie wordt bijgehouden [en online openbaar wordt gemaakt];

(7)

“portemonnee-oplossing”: een combinatie van software, hardware, diensten, instellingen en configuraties, met inbegrip van portemonnee-instanties, een of meer beveiligde cryptografische toepassingen voor portemonnees en een of meer beveiligde cryptografische middelen voor portemonnees;

(8)

“portemonnee-instantie”: de toepassing die is geïnstalleerd en geconfigureerd op het apparaat of in de omgeving van een portemonneegebruiker, die deel uitmaakt van een portemonnee-eenheid, en die de portemonneegebruiker gebruikt voor de interactie met de portemonnee-eenheid;

(9)

“beveiligde cryptografische toepassing voor portemonnees”: een toepassing die kritieke activa beheert door middel van koppeling aan en gebruikmaking van de cryptografische en niet-cryptografische functies van het beveiligd cryptografisch middel voor portemonnees;

(10)

“beveiligd cryptografisch middel voor portemonnees”: een manipulatiebestendig apparaat dat een omgeving biedt die gekoppeld is aan en wordt gebruikt door de beveiligde cryptografische toepassing voor portemonnees om kritieke activa te beschermen en cryptografische functies te bieden voor de veilige uitvoering van kritieke activiteiten;

(11)

“portemonneeaanbieder”: een natuurlijke of rechtspersoon die portemonnee-oplossingen aanbiedt;

(12)

“kritieke activa”: activa in of met betrekking tot een portemonnee-eenheid die van dermate groot belang zijn dat, als de beschikbaarheid, de authenticiteit of de integriteit ervan in gevaar zou komen, dat een zeer ernstig, verzwakkend effect zou hebben op het vermogen om de portemonnee-eenheid te kunnen gebruiken;

(13)

“eigenaar van een regeling voor de attestering van attributen”: een entiteit die verantwoordelijk is voor het opzetten en onderhouden van een regeling voor de attestering van attributen.