L_202502532BG.000101.fmx.xml

РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2025/2532 НА КОМИСИЯТА

от 16 декември 2025 година

за определяне на правила за прилагането на Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета по отношение на референтни стандарти и спецификации за квалифицираните услуги за електронно архивиране

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 г. относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО (1), и по-специално член 45й, параграф 2 от него,

като има предвид, че:

(1)

С Регламент (ЕС) 2024/1183 на Европейския парламент и на Съвета (2) в Регламент (ЕС) № 910/2014 беше включен списък на новите удостоверителни услуги и квалифицираните удостоверителни услуги, включително квалифицираната услуга за електронно архивиране. Комисията трябва да състави списък с референтни стандарти и, ако е необходимо, да установи спецификации за този вид услуги.

(2)

Електронното архивиране е услуга за приемане, съхранение, извличане и заличаване на електронни данни и електронни документи за обезпечаване на тяхната дълготрайност и четливост, както и за да се запази тяхната цялост, поверителност и доказателство за произход през целия период на съхранение. Квалифицираните услуги за електронно архивиране играят решаваща роля в цифровата стопанска среда, като насърчават прехода от традиционни процеси на хартиен носител към електронни еквиваленти. За да се гарантира, че електронните данни и електронните документи запазват презумпция за цялост и произход за срока на съхранение от страна на доставчика на квалифицирани удостоверителни услуги, и за да се постигне високо равнище на прозрачност и доверие сред всички участници в жизнения цикъл на информацията, е необходимо да се установи общ набор от спецификации за квалифицираните услуги за електронно архивиране.

(3)

За да се повиши доказателствената стойност, сигурността и надеждността на квалифицираните услуги за електронно архивиране, когато се използват електронни подписи, електронни печати или електронни времеви печати за създаване, подписване, печат или удостоверяване на датата и часа например на архивирането на доказателства, записи от доказателства, записи на събития, записи за правилното прилагане на процедури или архивиране на доклади за потвърждение, следва да се използват квалифицирани удостоверителни услуги.

(4)

Презумпцията за съответствие, предвидена в член 45й, параграф 2 от Регламент (ЕС) № 910/2014, следва да е валидна само когато квалифицираните услуги за електронно архивиране спазват изискванията, определени в настоящия регламент. Референтните стандарти за квалифицирани услуги за електронно архивиране следва да отразяват установените практики и да бъдат широко признати в съответните сектори. Те следва да бъдат адаптирани така, че да включват допълнителни проверки, гарантиращи сигурността и надеждността на квалифицираните услуги за електронно архивиране.

(5)

Ако доставчик на удостоверителни услуги спазва изискванията, посочени в настоящия регламент, надзорните органи следва да приемат, че са спазени съответните изисквания на Регламент (ЕС) № 910/2014, и надлежно да се съобразят с тази презумпция за предоставяне или потвърждаване на квалифицирания статут на удостоверителната услуга. Същевременно, доставчикът на квалифицирани удостоверителни услуги може да използва и други практики, за да докаже съответствие с изискванията на Регламент (ЕС) № 910/2014.

(6)

За да се запазят целостта и доказателството за произход на електронните данни и електронните документи, съдържащи един или повече квалифицирани електронни подписи или печати, квалифицираните услуги за електронно архивиране следва да използват процедури и технологии, които могат да удължават надеждността на тези електронни подписи и печати след срока на технологична валидност, най-малкото за целия период на съхранение.

(7)

Комисията редовно оценява нови технологии, практики, стандарти или технически спецификации. В съответствие със съображение 75 от Регламент (ЕС) 2024/1183 Комисията следва да преразгледа и при необходимост да актуализира настоящия регламент, за да бъде той в съответствие с глобалното развитие, новите технологии, практики, стандарти или технически спецификации и да следва най-добрите практики на вътрешния пазар.

(8)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (3) и, когато е целесъобразно, Директива 2002/58/ЕО на Европейския парламент и на Съвета (4) се прилагат по отношение на дейностите по обработване на лични данни съгласно настоящия регламент.

(9)	Беше проведена консултация с Европейския надзорен орган по защита на данните в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (5), който предостави своето становище на 21 октомври 2025 г. (6)

(10)	Мерките, предвидени в настоящия регламент, са в съответствие със становището на комитета, създаден съгласно член 48 от Регламент (ЕС) № 910/2014,

ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:

Член 1

Електронно архивиране на документи, които съдържат квалифициран електронен подпис или квалифициран електронен печат

1. При архивирането на електронни данни или електронни документи, които съдържат квалифицирани електронни подписи или квалифицирани електронни печати, доставчиците на квалифицирани услуги за електронно архивиране гарантират, че надеждността на тези квалифицирани електронни подписи или квалифицирани електронни печати се запазва, включително след технологичния им срок на валидност, и че целостта и точността на произхода на квалифицираните електронни подписи и печати се поддържа най-малко до края на законния или договорния срок на съхранение.

2. За целите на параграф 1 доставчиците на квалифицирани услуги за електронно архивиране могат да разчитат на услуга по квалифицирано съхраняване на квалифицирани електронни подписи или на услуга по квалифицирано съхраняване на квалифицирани електронни печати.

Член 2

Референтни стандарти и спецификации за предоставяне на квалифицирани услуги за електронно архивиране

Референтните стандарти и спецификации, посочени в член 45й, параграф 2 от Регламент (ЕС) № 910/2014, са определени в приложението към настоящия регламент.

Член 3

Влизане в сила

Настоящият регламент влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.

Съставено в Брюксел на 16 декември 2025 година.

За Комисията

Председател

Ursula VON DER LEYEN

(1) ОВ L 257, 28.8.2014 г., стр. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Регламент (ЕС) 2024/1183 на Европейския парламент и на Съвета от 11 април 2024 г. за изменение на Регламент (ЕС) № 910/2014 по отношение на създаването на европейска рамка за цифрова самоличност (ОВ L, 2024/1183, 30.4.2024 г., ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3) Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4) Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 31.7.2002 г., стр. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5) Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 21.11.2018 г., стр. 39, ELI: http://data. europa.eu/eli/reg/2018/1725/oj).

(6) Официални коментари на ЕНОЗД по проекта за регламент за изпълнение за определяне на правила за прилагането на Регламент (ЕС) № 910/2014 по отношение на референтните стандарти и спецификации за квалифицирани услуги за електронно архивиране.

ПРИЛОЖЕНИЕ

Списък на референтните стандарти и спецификации за квалифицираните услуги за електронно архивиране

Прилага се CEN/TS 18170:2025 („CEN/TS 18170“) със следните адаптации:

а)

Нормативни препратки (точка 2)

—	ETSI EN 319 401 V3.1.1 (2024-06) „Електронни подписи и доверителна инфраструктура за удостоверяване (ESI); Общи изисквания на политиката за доставчиците на удостоверителни услуги

—	ETSI EN 319 421 V1.3.1 (2025-07), „Електронни подписи и инфраструктури (ESI); Изисквания на политиката и изисквания за сигурност за доставчиците на удостоверителни услуги, издаващи времеви печати

—	ISO 14721:2025, Практики за системата за космически данни — Референтен модел за отворена система за архивна информация (OAIS)

—	ACM-ECCG, Европейска група за сертифициране на киберсигурността, подгрупа по криптография: „Договорени криптографски механизми“, публикувани от Агенцията на Европейския съюз за киберсигурност (ENISA).

—	CIR (EU) 2024/482, Регламент за изпълнение (ЕС) 2024/482 на Комисията (1).

—	CIR (EU) 2024/3144, Регламент за изпълнение (ЕС) 2024/3144 на Комисията (2).

—	ISO/IEC 15408:2022 (части 1—5) „Информационна сигурност, киберсигурност и защита на неприкосновеността на личния живот — критерии за оценка на сигурността на информационните технологии“

—	FIPS PUB 140-3 (2019) „Изисквания за сигурността на криптографските модули“.

б)

Декларация за политиката и практиките (клауза 6.1)

—	Прилагат се изискванията на CEN/TS 18170, точка 6.1.

—	Прилагат се изискванията на ETSI EN 319 401, точка 5.

—

Доставчикът на удостоверителни услуги по електронно архивиране (EATSP) установява процедури за уведомяване на надзорния орган за всички промени в предоставянето на удостоверителната услуга за електронно архивиране и за намерението за прекратяване на тези дейности в съответствие със стопанските изисквания и съответните законови и подзаконови актове, включително в съответствие с изискванията на актовете за изпълнение, приети съгласно член 24, параграф 5 от Регламент (ЕС) № 910/2014 [i.2].

—

EATSP уведомява компетентния надзорен орган най-малко:

—	един месец преди извършването на каквато и да е промяна;

—	три месеца преди планираното прекратяване на предоставянето на удостоверителна услуга.

в)

Общи условия (точка 6.2)

—	Прилагат се изискванията на CEN/TS 18170, точка 6.2.

—	Абонатите и страните, които разчитат на удостоверителната услуга за електронно архивиране, се информират по ясен, изчерпателен и леснодостъпен начин, на публично достъпно място и поотделно, за конкретните общи условия, преди да встъпят в договорни отношения.

г)

Човешки ресурси (точка 7.3)

—	Прилагат се изискванията на CEN/TS 18170, точка 7.3.

—

Персоналът на EATSP с доверителни функции и, ако е приложимо, неговите подизпълнители с доверителни функции, трябва да са способни да изпълнят изискването за „експертни знания, опит и квалификации“ вследствие официално обучение и квалификация, или практически опит, или комбинация от двете. Това включва редовни актуализации (най-малко на всеки 12 месеца) във връзка с новите заплахи и настоящите практики в областта на сигурността.

д)

Криптографски контрол и наблюдение (точка 7.6)

—	Системата за архивиране трябва да гарантира поверителността на данните и документите през жизнения цикъл на архива от депозирането му до премахването му.

—	Прилагат се изискванията, посочени в ETSI EN 319 401, подточка 7.5 „Криптографски контрол“.

—	Произходът на данните, които се архивират в системата за електронно архивиране, се установява от EATSP. Ако за целта те използват електронни подписи или електронни печати, тези електронни подписи или електронни печати трябва да са квалифицирани.

—

Когато EATSP подписва цифрово (част от) цифров обект или запис, частният ключ за подпис на EATSP се съхранява и използва или в устройство за създаване на квалифициран електронен подпис или печат, или в защитено криптографско устройство, което е надеждна система, сертифицирана в съответствие със:

а)

Общи критерии за оценяване на сигурността на информационните технологии, както са определени в ISO/IEC 15408 или в Общи критерии за оценяване на сигурността на информационните технологии, версия CC:2022, части 1—5, публикувани от участниците в Споразумението за признаване на основани на общи критерии сертификати в областта на ИТ сигурността, и сертифицирана като EAL 4 или по-високо; или

б)	Европейската схема за сертифициране на киберсигурността, основана на общи критерии (CIR (EU) 2024/482, CIR (EU) 2024/3144), и сертифицирана като EAL 4 или по-високо; или

в)	до 31.12.2030 г., FIPS PUB 140-3 ниво 3.

—	Това сертифициране е спрямо целево ниво за сигурност или защитен профил, или документация за проект и сигурност на модула, която отговаря на изискванията на настоящия документ, въз основа на анализ на риска и като се вземат предвид физическите и други нетехнически мерки за сигурност.

—	Ако защитеното криптографско устройство е сертифицирано по ЕССК (IR (EU) 2024/482, CIR (EU) 2024/3144), то се конфигурира и използва в съответствие с тази сертификация.

—

EATSP наблюдава силата на криптографския алгоритъм, който е бил използван и се използва. Ако един от използваните алгоритми или параметри бъде сметнат за неподходящ, съгласно с определеното за управлението на риска, EATSP или актуализира съответната политика за архивиране, или създава нов архивен профил за работа с пакети архивна информация (ПАИ) и определя и предприема подходящи мерки.

—	Оценката на криптографските алгоритми и тяхното използване от EATSP отговарят на съгласуваните криптографски механизми, одобрени от Европейската група за сертифициране на киберсигурността и публикувани от ENISA (ACM-ECCG).

—	Преди комуникация техническите компоненти на удостоверителните услуги по електронно архивиране (EATS) трябва да се удостоверяват взаимно въз основа на криптографски техники.

е)

Мрежа (точка 7.9)

—	Прилагат се изискванията, посочени в ETSI EN 319 401, подточка 7.8 „Мрежова сигурност“.

—	Проверката на уязвимостта, изисквана по REQ-7.8-13 на ETSI EN 319 401, се извършва поне веднъж на тримесечие.

—	Изпитването за пробив, изисквано по REQ-7.8-17X на ETSI EN 319 401, се извършва поне веднъж годишно.

—	Защитните стени трябва да бъдат конфигурирани така, че да предотвратяват всякакви протоколи и достъп, които не са необходими за функционирането на EATSP.

ж)

Събиране на доказателства (точка 7.11)

—	Прилагат се изискванията, определени в ETSI EN 319 401, подточка 7.10 „Събиране на доказателства“, включително за критични и некритични събития (вж. подточка 13.2)

з)

Прекратяване на дейност на EATSP и план на EATSP за прекратяване (клауза 7.13)

—	Прилагат се изискванията на CEN/TS 18170, точка 7.13.

—	Планът на EATSP за прекратяване е съобразен с изискванията, определени в актовете за изпълнение, приети съгласно член 24, параграф 5 от Регламент (ЕС) № 910/2014.

и)

Надеждно време на събитията (точка 13.3.1)

—	Прилагат се изискванията на CEN/TS 18170, точка 13.3.1.

—	При използването на времеви печати EATSP използва квалифициран времеви печат.

(1) Регламент за изпълнение (ЕС) 2024/482 на Комисията от 31 януари 2024 година за определяне на правила за прилагането на Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета по отношение на приемането на европейската схема за сертифициране на киберсигурността, основана на общи критерии (ЕССК) (OВ L, 2024/482, 7.2.2024 г., ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(2) Регламент за изпълнение (ЕС) 2024/3144 на Комисията от 18 декември 2024 година за изменение на Регламент за изпълнение (ЕС) 2024/482 по отношение на приложимите международни стандарти и за поправка на посочения регламент за изпълнение (OВ L, 2024/3144, 19.12.2024 г., ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj).