Eureka 02014R0910-20241018 Sign in

02014R0910 — NL — 18.10.2024 — 002.003


Onderstaande tekst dient louter ter informatie en is juridisch niet bindend. De EU-instellingen zijn niet aansprakelijk voor de inhoud. Alleen de besluiten die zijn gepubliceerd in het Publicatieblad van de Europese Unie (te raadplegen in EUR-Lex) zijn authentiek. Deze officiële versies zijn rechtstreeks toegankelijk via de links in dit document

►B

VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 23 juli 2014

betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG

(PB L 257 van 28.8.2014, blz. 73)

Gewijzigd bij:

 

 

Publicatieblad

  nr.

blz.

datum

►M1

RICHTLIJN (EU) 2022/2555 VAN HET EUROPEES PARLEMENT EN DE RAAD  van 14 december 2022

  L 333

80

27.12.2022

►M2

VERORDENING (EU) 2024/1183 VAN HET EUROPEES PARLEMENT EN DE RAAD  van 11 april 2024

  L 1183

1

30.4.2024


Gerectificeerd bij:

►C1

Rectificatie, PB L 90645, 23.10.2024, blz.  1 (2024/1183)

►C2

Rectificatie, PB L 90317, 9.4.2025, blz.  1 (2024/1183)




▼B

VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 23 juli 2014

betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG



HOOFDSTUK I

ALGEMENE BEPALINGEN

▼M2

Artikel 1

Onderwerp

Doel van deze verordening is te zorgen voor een goede werking van de interne markt en voor een passend niveau van beveiliging van de in de hele Unie gebruikte elektronische identificatiemiddelen en vertrouwensdiensten, opdat natuurlijke en rechtspersonen in de hele Unie het recht op veilige deelname aan de digitale samenleving en de toegang tot publieke en private onlinediensten gemakkelijker kunnen uitoefenen. Daartoe wordt bij deze verordening het volgende vastgesteld:

a) 

de voorwaarden waaronder de lidstaten elektronische identificatiemiddelen van natuurlijke personen en rechtspersonen die onder een aangemeld stelsel voor elektronische identificatie van een andere lidstaat vallen, moeten erkennen, en Europese portemonnees voor digitale identiteit moeten verstrekken en erkennen;

b) 

regels voor vertrouwensdiensten, met name voor elektronische transacties;

c) 

een juridisch kader voor elektronische handtekeningen, elektronische zegels, elektronische tijdstempels, elektronische documenten, diensten voor elektronisch aangetekende bezorging en certificatendiensten voor websiteauthenticatie, elektronische archivering en elektronische attestering van attributen, middelen voor het aanmaken van elektronische handtekeningen en middelen voor het aanmaken van elektronische zegels, en elektronische registers.

▼B

Artikel 2

Toepassingsgebied

▼M2

1.  
Deze verordening is van toepassing op stelsels voor elektronische identificatie die worden aangemeld door een lidstaat, op door de lidstaten verstrekte Europese portemonnees voor digitale identiteit en op verleners van vertrouwensdiensten die in de Unie zijn gevestigd.

▼B

2.  
Deze verordening is niet van toepassing op de verlening van vertrouwensdiensten die uitsluitend in systemen die gesloten zijn als gevolg van nationaal recht of overeenkomsten tussen een welbepaalde groep deelnemers.

▼M2

3.  
Deze verordening doet geen afbreuk aan Unie- of nationaal recht dat betrekking heeft op de totstandkoming en geldigheid van contracten, andere wettelijke of procedurele vormverplichtingen dan wel sectorspecifieke vormvereisten.
4.  
Deze verordening doet geen afbreuk aan Verordening (EU) 2016/679 van het Europees Parlement en de Raad ( 1 ).

▼B

Artikel 3

Definities

Voor de doelstellingen van deze verordening, zijn de volgende definities van toepassing:

▼M2

1.

„elektronische identificatie” : het proces van het gebruiken van persoonsidentificatiegegevens in elektronische vorm die op unieke wijze een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, aanduiden;

2.

„elektronisch identificatiemiddel” : een materiële en/of immateriële eenheid die persoonsidentificatiegegevens bevat en voor authenticatie bij een onlinedienst of, in voorkomend geval, een offlinedienst wordt gebruikt;

3.

„persoonsidentificatiegegevens” : een reeks gegevens die overeenkomstig het Unie- of nationaal recht is uitgegeven en aan de hand waarvan de identiteit van een natuurlijke of rechtspersoon, of van een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, kan worden vastgesteld;

4.

„stelsel voor elektronische identificatie” : een stelsel voor elektronische identificatie waarbinnen elektronische identificatiemiddelen worden uitgegeven aan natuurlijke personen, rechtspersonen of natuurlijke personen die andere natuurlijke of rechtspersonen vertegenwoordigen;

5.

„authenticatie” : een elektronisch proces dat de bevestiging van de elektronische identificatie van een natuurlijke of rechtspersoon, of de bevestiging van de oorsprong en integriteit van gegevens in elektronische vorm mogelijk maakt;

▼M2

5a.

„gebruiker” : een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, die gebruikmaakt van overeenkomstig deze verordening verleende vertrouwensdiensten of verstrekte elektronische identificatiemiddelen;

▼M2

6.

„vertrouwende partij” : een natuurlijke of rechtspersoon die vertrouwt op elektronische identificatie, Europese portemonnees voor digitale identiteit of andere elektronische identificatiemiddelen, of op een vertrouwensdienst;

▼B

7.

„openbare instantie” : een staat, regionale of lokale overheden, publiekrechtelijke instellingen en samenwerkingsverbanden bestaand uit één of meer van deze overheidsinstanties of een of meer van deze publiekrechtelijke instellingen, of een private entiteit die door ten minste een van deze autoriteiten, publiekrechtelijke instellingen of verenigingen is gemachtigd tot het verlenen van openbare diensten, wanneer zij in die hoedanigheid optreden;

8.

„publiekrechtelijke instelling” : een instelling volgens de definitie in punt 4 van artikel 2, lid 1, van Richtlijn 2014/24/EU van het Europees Parlement en de Raad ( 2 );

9.

„ondertekenaar” : een natuurlijke persoon die een elektronische handtekening aanmaakt;

10.

„elektronische handtekening” : gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die door de ondertekenaar worden gebruikt om te ondertekenen;

11.

„geavanceerde elektronische handtekening” : een elektronische handtekening die voldoet aan de eisen in artikel 26;

12.

„gekwalificeerde elektronische handtekening” : een geavanceerde elektronische handtekening die is aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen en die gebaseerd is op een gekwalificeerd certificaat voor elektronische handtekeningen;

13.

„gegevens voor het aanmaken van elektronische handtekeningen” : unieke gegevens die door de ondertekenaar worden gebruikt om een elektronische handtekening aan te maken;

14.

„certificaat voor elektronische handtekeningen” : een elektronische attestering die valideringsgegevens voor elektronische handtekeningen aan een natuurlijke persoon koppelt en ten minste de naam of het pseudoniem van die persoon bevestigt;

15.

„gekwalificeerd certificaat voor elektronische handtekeningen” : een certificaat voor elektronische handtekeningen, dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage I;

▼M2

16.

„vertrouwensdienst” :

een elektronische dienst die gewoonlijk tegen betaling wordt verricht en uit een van de volgende elementen bestaat:

a) 

het uitgeven van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;

b) 

het valideren van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;

c) 

het aanmaken van elektronische handtekeningen of elektronische zegels;

d) 

het valideren van elektronische handtekeningen of elektronische zegels;

e) 

het bewaren van elektronische handtekeningen, elektronische zegels, certificaten voor elektronische handtekeningen of certificaten voor elektronische zegels;

f) 

het beheer van middelen voor het op afstand aanmaken van elektronische handtekeningen of middelen voor het op afstand aanmaken van elektronische zegels;

g) 

het uitgeven van elektronische attesteringen van attributen;

h) 

het valideren van elektronische attesteringen van attributen;

i) 

het aanmaken van elektronische tijdstempels;

j) 

het valideren van elektronische tijdstempels;

k) 

het verlenen van diensten voor elektronisch aangetekende bezorging;

l) 

het valideren van gegevens die via diensten voor elektronisch aangetekende bezorging zijn verzonden en het bewijs daarvoor;

m) 

het elektronisch archiveren van elektronische gegevens en elektronische documenten;

n) 

het opslaan van elektronische gegevens in elektronische registers;

▼B

17.

„gekwalificeerde vertrouwensdienst” : een vertrouwensdienst die voldoet aan de toepasselijke eisen zoals vastgelegd in deze verordening;

▼M2

18.

„conformiteitsbeoordelingsinstantie” : een conformiteitsbeoordelingsinstantie zoals gedefinieerd in artikel 2, punt 13, van Verordening (EG) nr. 765/2008, die in overeenstemming met genoemde verordening is geaccrediteerd om een conformiteitsbeoordeling van een gekwalificeerde verlener van vertrouwensdiensten en van de door hem verleende gekwalificeerde vertrouwensdiensten te verrichten, of om Europese portemonnees voor digitale identiteit of elektronische identificatiemiddelen te certificeren;

▼B

19.

„verlener van vertrouwensdiensten” : een natuurlijke persoon of rechtspersoon die een of meer vertrouwensdiensten verleent als een gekwalificeerde of als een niet-gekwalificeerde verlener van vertrouwensdiensten;

20.

„gekwalificeerde verlener van vertrouwensdiensten” : een verlener van vertrouwensdiensten die één of meerdere gekwalificeerde vertrouwensdiensten verleent en van het toezichthoudende orgaan de status van gekwalificeerde heeft gekregen;

▼M2

21.

„product” : software of hardware, of relevante componenten van hardware of software, die bedoeld zijn om te worden gebruikt voor de verlening van elektronische identificatie- en vertrouwensdiensten;

▼B

22.

„middel voor het aanmaken van elektronische handtekeningen” : geconfigureerde software of hardware die wordt gebruikt om een elektronische handtekening aan te maken;

23.

„gekwalificeerd middel voor het aanmaken van elektronische handtekeningen” : een middel voor het aanmaken van elektronische handtekeningen dat voldoet aan de eisen van bijlage II;

▼M2

23 bis.

„gekwalificeerd middel voor het op afstand aanmaken van elektronische handtekeningen” : een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen dat overeenkomstig artikel 29 bis namens een ondertekenaar wordt beheerd door een gekwalificeerde verlener van vertrouwensdiensten;

23 ter.

„gekwalificeerd middel voor het op afstand aanmaken van elektronische zegels” : een gekwalificeerd middel voor het aanmaken van elektronische zegels dat overeenkomstig artikel 39 bis namens een zegelaanmaker wordt beheerd door een gekwalificeerde verlener van vertrouwensdiensten;

▼B

24.

„aanmaker van een zegel” : een rechtspersoon die een elektronisch zegel aanmaakt;

25.

„elektronisch zegel” : gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die worden gebruikt om de oorsprong en integriteit daarvan te waarborgen;

26.

„geavanceerd elektronisch zegel” : een elektronisch zegel dat voldoet aan de eisen in artikel 36;

27.

„gekwalificeerd elektronisch zegel” : een geavanceerd elektronisch zegel dat aangemaakt is door een gekwalificeerd middel voor het aanmaken van elektronische zegels en dat gebaseerd is op een gekwalificeerd certificaat voor elektronische zegels;

28.

„gegevens voor het aanmaken van elektronische zegels” : unieke gegevens die door de aanmaker van het elektronische zegel worden gebruikt om een elektronisch zegel aan te maken;

29.

„certificaat voor elektronische zegels” : een elektronische attestering die valideringsgegevens van elektronische zegels aan een rechtspersoon verbindt en de naam van die rechtspersoon bevestigt;

30.

„gekwalificeerd certificaat voor elektronische zegels” : een certificaat voor een elektronische zegel dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage III;

31.

„middel voor het aanmaken van elektronische zegels” : geconfigureerde software of hardware die wordt gebruikt om een elektronisch zegel aan te maken;

32.

„gekwalificeerd middel voor het aanmaken van elektronische zegels” : een middel voor het aanmaken van elektronische zegels dat mutatis mutandis voldoet aan de eisen van bijlage II;

33.

„elektronische tijdstempel” : gegevens in elektronische vorm die andere gegevens in elektronische vorm verbinden aan een bepaald tijdstip en die bewijzen dat die laatstgenoemde gegevens op dat tijdstip bestonden;

34.

„gekwalificeerde elektronische tijdstempel” : een elektronische tijdstempel die voldoet aan de in artikel 42 vastgelegde eisen;

35.

„elektronisch document” : elke inhoud die is opgeslagen in elektronische vorm, in het bijzonder tekst of geluid, beeld of audiovisuele opname;

36.

„dienst voor elektronisch aangetekende bezorging” : een dienst die het mogelijk maakt gegevens via elektronische middelen tussen derden te verzenden en die bewijs verschaft ten aanzien van het hanteren van de verzonden gegevens, met inbegrip van bewijs van het verzenden en ontvangen van de gegevens, en die de verzonden gegevens beschermt tegen het risico van verlies, diefstal, beschadiging of onbevoegde wijzigingen;

37.

„gekwalificeerde dienst voor elektronisch aangetekende bezorging” : een dienst voor elektronisch aangetekende bezorging die voldoet aan de in artikel 44 vastgestelde eisen;

▼M2

38.

„certificaat voor websiteauthenticatie” : elektronische attestering die het mogelijk maakt de authenticiteit van een website vast te stellen en die de website verbindt aan de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven;

▼B

39.

„gekwalificeerd certificaat voor websiteauthenticatie” : certificaat voor websiteauthenticatie dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage IV;

40.

„valideringsgegevens” : gegevens die worden gebruikt om een elektronische handtekening of elektronisch zegel te valideren;

▼M2

41.

„validering” : proces waarmee wordt nagegaan of, en wordt bevestigd dat, gegevens in elektronische vorm overeenkomstig deze verordening geldig zijn;

▼M2

42.

„Europese portemonnee voor digitale identiteit” : een elektronisch identificatiemiddel dat de gebruiker in staat stelt gegevens voor persoonsidentificatie en elektronische attesteringen van attributen veilig op te slaan, te beheren en te valideren met het oog op de verstrekking ervan aan vertrouwende partijen en andere gebruikers van Europese portemonnees voor digitale identiteit, en te ondertekenen middels gekwalificeerde elektronische handtekeningen of te verzegelen middels gekwalificeerde elektronische zegels;

43.

„attribuut” : een eigenschap, hoedanigheid, recht of toestemming van een natuurlijke of rechtspersoon of van een object;

44.

„elektronische attestering van attributen” : een attestering in elektronisch formaat aan de hand waarvan attributen kunnen worden geauthenticeerd;

45.

„gekwalificeerde elektronische attestering van attributen” : een elektronische attestering van attributen die is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en die voldoet aan de eisen van bijlage V;

46.

„elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron” : een elektronische attestering van attributen uitgegeven door een openbare instantie die verantwoordelijk is voor een authentieke bron of door een openbare instantie die door de lidstaat is aangewezen voor het uitgeven van dergelijke attesteringen van attributen namens de openbare instanties die verantwoordelijk zijn voor authentieke bronnen overeenkomstig artikel 45 septies en bijlage VII;

47.

„authentieke bron” : een register of systeem, onder de verantwoordelijkheid van een openbare instantie of private entiteit, dat attributen omtrent een natuurlijke of rechtspersoon of een voorwerp bevat en verstrekt, en als een primaire bron van die informatie wordt beschouwd of krachtens Unie- of nationaal recht, met inbegrip van de bestuursrechtelijke praktijken, als authentiek wordt erkend;

48.

„elektronische archivering” : een dienst die de ontvangst, opslag, opvraging en verwijdering van elektronische gegevens en elektronische documenten verzorgt om de duurzaamheid en leesbaarheid ervan te garanderen alsook de integriteit, de vertrouwelijkheid en het bewijs van de oorsprong ervan gedurende de volledige bewaartermijn te vrijwaren;

49.

„gekwalificeerde elektronische archiveringsdienst” : een elektronische archiveringsdienst die wordt verstrekt door een verlener van gekwalificeerde vertrouwensdiensten en die voldoet aan de eisen die zijn vastgelegd in artikel 45 undecies;

50.

„EU-betrouwbaarheidskeurmerk van de portemonnee voor digitale identiteit” : een verifieerbare eenvoudige, herkenbare en op een duidelijke wijze meegedeelde indicatie dat een Europese portemonnee voor digitale identiteit is verstrekt overeenkomstig deze verordening;

51.

„sterke gebruikersauthenticatie” : een authenticatie op basis van ten minste twee authenticatiefactoren uit verschillende categorieën, hetzij kennis, iets wat alleen de gebruiker weet, bezit, iets wat alleen de gebruiker bezit, of een inherente eigenschap, iets wat de gebruiker is, die los van elkaar staan, zodat een inbreuk op een ervan de betrouwbaarheid van de andere niet in gevaar brengt, en die zo zijn ontworpen dat de vertrouwelijkheid van de authenticatiegegevens wordt beschermd;

52.

„elektronisch register” : een opeenvolging van elektronische gegevensbestanden die de integriteit van die bestanden en de nauwkeurigheid van de chronologische volgorde van die bestanden waarborgt;

53.

„gekwalificeerd elektronisch register” : een elektronisch register dat wordt verstrekt door een verlener van gekwalificeerde vertrouwensdiensten en dat voldoet aan de eisen die zijn vastgelegd in artikel 45 terdecies;

54.

„persoonsgegevens” : alle informatie zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) 2016/679;

55.

„identiteitsmatching” : een proces waarbij persoonsidentificatiegegevens of elektronische identificatiemiddelen met een bestaande account van dezelfde persoon worden gematcht of gekoppeld;

56.

„gegevensbestand” : elektronische gegevens die samen met daaraan gerelateerde metagegevens zijn opgeslagen ter ondersteuning van de verwerking van de gegevens;

57.

„offlinemodus” : wat het gebruik van Europese portemonnees voor digitale identiteit betreft, een interactie tussen een gebruiker en een derde op een fysieke locatie, waarbij de Europese portemonnee voor digitale identiteit door het gebruik van korteafstandtechnologieën geen toegang tot systemen op afstand via elektronische communicatienetwerken hoeft te hebben ten behoeve van de interactie.

▼B

Artikel 4

Internemarktbeginsel

1.  
Aan de verlening van vertrouwensdiensten op het grondgebied van een lidstaat door een verlener van vertrouwensdiensten die in een andere lidstaat gevestigd is mogen geen beperkingen worden opgelegd om redenen die behoren tot de gebieden waarop deze verordening betrekking heeft.
2.  
Producten en vertrouwensdiensten die aan deze verordening voldoen, kunnen in de interne markt in het vrije verkeer worden gebracht.

▼M2

Artikel 5

Pseudoniemen in elektronische transacties

Onverminderd specifieke regels van het Unie- of nationale recht op grond waarvan gebruikers zichzelf moeten identificeren of onverminderd het rechtsgevolg dat op grond van het nationaal recht aan het gebruik van pseudoniemen wordt toegekend, wordt het gebruik van pseudoniemen die door de gebruiker zijn gekozen, niet verboden.

▼B

HOOFDSTUK II

ELEKTRONISCHE IDENTIFICATIE

▼M2

AFDELING 1

Europese portemonnee voor digitale identiteit

Artikel 5 bis

Europese portemonnees voor digitale identiteit

1.  
Opdat alle natuurlijke personen en rechtspersonen in de Unie veilige, betrouwbare en naadloze grensoverschrijdende toegang tot publieke en private diensten krijgen, met volledige controle over hun gegevens, verstrekken alle lidstaten ten minste één Europese portemonnee voor digitale identiteit binnen 24 maanden na de datum van inwerkingtreding van de in lid 23 van dit artikel en in artikel 5 quater, lid 6, bedoelde uitvoeringshandelingen.
2.  

Europese portemonnees voor digitale identiteit worden op een of meer van de volgende manieren verstrekt:

a) 

rechtstreeks door een lidstaat;

b) 

krachtens een mandaat van een lidstaat;

c) 

onafhankelijk van een lidstaat, maar erkend door die lidstaat.

3.  
De broncode van de applicatiesoftwarecomponenten van Europese portemonnees voor digitale identiteit wordt onder een opensourcelicentie geplaatst. De lidstaten kunnen bepalen dat de broncode van andere specifieke componenten dan die welke op apparaten van gebruikers zijn geïnstalleerd, om terdege gemotiveerde redenen niet openbaar wordt gemaakt.
4.  

Met een Europese portemonnee voor digitale identiteit kunnen gebruikers op […] gebruiksvriendelijke, transparante en voor hen traceerbare wijze:

a) 

veilig, met volledige controle door de gebruiker, persoonsidentificatiegegevens aanvragen, verkrijgen, selecteren, combineren, opslaan, verwijderen, delen en aanbieden, en, indien van toepassing, in combinatie met elektronische attesteringen van attributen, zich online en, indien passend, in offlinemodus authenticeren bij vertrouwende partijen, om toegang te krijgen tot publieke en private diensten, waarbij ervoor wordt gezorgd dat een selectieve verstrekking van gegevens mogelijk is;

b) 

pseudoniemen genereren en versleuteld en lokaal opslaan in de Europese portemonnee voor digitale identiteit;

c) 

veilig de Europese portemonnee voor digitale identiteit van een andere persoon authenticeren en persoonsidentificatiegegevens en elektronische attesteringen van attributen op beveiligde wijze tussen de twee Europese portemonnees voor digitale identiteit ontvangen en delen;

d) 

toegang krijgen tot een log van alle transacties die met de Europese portemonnee voor digitale identiteit worden uitgevoerd via een gemeenschappelijk dashboard waarmee de gebruiker:

i) 

een actuele lijst van vertrouwende partijen waarmee de gebruiker een verbinding tot stand heeft gebracht en, indien van toepassing, alle uitgewisselde gegevens kan bekijken;

ii) 

gemakkelijk kan verzoeken om het wissen door een vertrouwende partij van persoonsgegevens overeenkomstig artikel 17 van Verordening (EU) 2016/679;

iii) 

gemakkelijk aan de bevoegde nationale gegevensbeschermingsautoriteit een vertrouwende partij kan aangeven, wanneer een vermeend onrechtmatig of verdacht verzoek om gegevens is ontvangen;

e) 

ondertekenen middels gekwalificeerde elektronische handtekeningen of verzegelen middels gekwalificeerde elektronische zegels;

f) 

voor zover technisch haalbaar, de gegevens van de gebruiker, de elektronische attestering van attributen en configuraties downloaden;

g) 

de rechten van de gebruiker op gegevensoverdraagbaarheid uitoefenen.

5.  

Europese portemonnees voor digitale identiteit moeten in het bijzonder:

a) 

gemeenschappelijke protocollen en interfaces ondersteunen:

i) 

voor het uitgeven van persoonsidentificatiegegevens, gekwalificeerde en niet-gekwalificeerde elektronische attesteringen van attributen of gekwalificeerde en niet-gekwalificeerde certificaten aan de Europese portemonnee voor digitale identiteit;

ii) 

voor vertrouwende partijen om persoonsidentificatiegegevens en elektronische attesteringen van attributen aan te vragen en te valideren;

iii) 

om online en, indien passend, ook in offlinemodus persoonsidentificatiegegevens, elektronische attestering van attributen of van selectief verstrekte gegevens met […] vertrouwende partijen te delen en hun aan te bieden;

iv) 

opdat de gebruiker met de Europese portemonnee voor digitale identiteit kan communiceren en om een EU-betrouwbaarheidskeurmerk van de portemonnee voor digitale identiteit te kunnen weergeven;

v) 

om de gebruiker een veilige instap te garanderen door gebruik van een elektronisch identificatiemiddel overeenkomstig artikel 5 bis, lid 24;

vi) 

om tussen de Europese portemonnees voor digitale identiteit van twee personen te communiceren teneinde op beveiligde wijze persoonsidentificatiesgegevens en elektronische attesteringen van attributen te ontvangen, te valideren en te delen;

vii) 

om vertrouwende partijen te authenticeren en identificeren door de toepassing van authenticatiemechanismen overeenkomstig artikel 5 ter;

viii) 

opdat vertrouwende partijen de authenticiteit en geldigheid van Europese portemonnees voor digitale identiteit kunnen verifiëren;

ix) 

om een vertrouwende partij te kunnen verzoeken om het wissen van persoonsgegevens overeenkomstig artikel 17 van Verordening (EU) 2016/679;

x) 

om het aan de bevoegde nationale gegevensbeschermingsautoriteit te melden wanneer van een vertrouwende partij een vermeend onrechtmatig of verdacht verzoek om gegevens is ontvangen;

xi) 

voor het aanmaken van gekwalificeerde elektronische handtekeningen of elektronische zegels door middel van middelen voor het aanmaken van gekwalificeerde elektronische handtekeningen of elektronische zegels;

b) 

verleners van vertrouwensdiensten van elektronische attesteringen van attributen geen informatie verstrekken over het gebruik van die elektronische attesteringen;

c) 

ervoor zorgen dat vertrouwende partijen kunnen worden geauthenticeerd en geïdentificeerd door toepassing van authenticatiemechanismen overeenkomstig artikel 5 ter;

d) 

aan de voorwaarden van artikel 8 voldoen wat het betrouwbaarheidsniveau „hoog” betreft, met name betreffende de vereisten voor het bewijzen en verifiëren van identiteit, en het beheer en de authenticatie van elektronische identificatiemiddelen;

e) 

bij elektronische attestering van attributen met een ingebed openbaarmakingsbeleid, het passende mechanisme toepassen om de gebruiker ervan in kennis te stellen dat de vertrouwende partij of de gebruiker van de Europese portemonnee voor digitale identiteit die om die elektronische attestering van attributen verzoekt tot die attestering toegang heeft;

f) 

waarborgen dat de persoonsidentificatiegegevens die beschikbaar zijn uit het stelsel voor elektronische identificatie in het kader waarvan de Europese portemonnee voor digitale identiteit wordt verstrekt, op unieke wijze de natuurlijke of rechtspersoon, dan wel de natuurlijke persoon die de natuurlijke of rechtspersoon vertegenwoordigt, vertegenwoordigen en verbonden zijn met die Europese portemonnee voor digitale identiteit;

g) 

alle natuurlijke personen de mogelijkheid bieden om standaard en kosteloos met een gekwalificeerde elektronische handtekening te ondertekenen.

Niettegenstaande punt g) van de eerste alinea kunnen de lidstaten voorzien in evenredige maatregelen om ervoor te zorgen dat het gratis gebruik van gekwalificeerde elektronische handtekeningen door natuurlijke personen beperkt blijft tot niet-professionele doeleinden.

6.  
De lidstaten stellen de gebruikers onverwijld in kennis van inbreuken op de beveiliging die hun Europese portemonnee voor digitale identiteit of de inhoud ervan volledig of gedeeltelijk zouden kunnen hebben aangetast, met name indien hun Europese portemonnee voor digitale identiteit overeenkomstig artikel 5 sexies is opgeschort of ingetrokken.
7.  
Onverminderd artikel 5 septies kunnen de lidstaten overeenkomstig het nationaal recht in extra functies van de Europese portemonnees voor digitale identiteit voorzien, waaronder interoperabiliteit met bestaande nationale elektronische identificatiemiddelen. Die extra functies voldoen aan dit artikel.
8.  

De lidstaten voorzien in gratis valideringsmechanismen om:

a) 

ervoor te zorgen dat de authenticiteit en de geldigheid van Europese portemonnees voor digitale identiteit kunnen worden geverifieerd;

b) 

gebruikers in staat te stellen de authenticiteit en de geldigheid van de identiteit van vertrouwende partijen die zijn geregistreerd overeenkomstig artikel 5 ter, te verifiëren.

9.  

De lidstaten zien erop toe dat de geldigheid van de Europese portemonnee voor digitale identiteit kan worden ingetrokken in de volgende omstandigheden:

a) 

op uitdrukkelijk verzoek van de gebruiker;

b) 

wanneer de beveiliging van de Europese portemonnee voor digitale identiteit is aangetast;

c) 

wanneer de gebruiker sterft of de rechtspersoon haar activiteiten beëindigt.

10.  
Aanbieders van Europese portemonnees voor digitale identiteit zorgen ervoor dat gebruikers gemakkelijk om technische ondersteuning kunnen verzoeken en technische problemen of andere incidenten die negatieve gevolgen hebben voor het gebruik van Europese portemonnees voor digitale identiteit kunnen melden.
11.  
Europese portemonnees voor digitale identiteit worden verstrekt op grond van een stelsel voor elektronische identificatie op betrouwbaarheidsniveau „hoog”.

▼C1

12.  
De Europese portemonnees voor digitale identiteit waarborgen security-by-design.

▼M2

13.  
De uitgifte, het gebruik en de intrekking van Europese portemonnees voor digitale identiteit zijn kosteloos voor alle natuurlijke personen.
14.  
Gebruikers hebben volledige controle over het gebruik van en de gegevens in hun Europese portemonnee voor digitale identiteit. De aanbieder van de Europese portemonnee voor digitale identiteit verzamelt geen informatie over het gebruik van de Europese portemonnee voor digitale identiteit die niet noodzakelijk is voor de verlening van de diensten in verband met Europese portemonnees voor digitale identiteit, noch combineert hij of zij persoonsidentificatiegegevens of enige andere persoonsgegevens die zijn opgeslagen of betrekking hebben op het gebruik van de Europese portemonnee voor digitale identiteit met persoonsgegevens van andere door die aanbieder of derden aangeboden diensten als die niet noodzakelijk zijn voor de verlening van de diensten in verband met Europese portemonnees voor digitale identiteit, tenzij de gebruiker uitdrukkelijk anders heeft gevraagd. Persoonsgegevens met betrekking tot de verstrekking van de Europese portemonnee voor digitale identiteit worden logisch gescheiden van andere door de aanbieder van de Europese portemonnee voor digitale identiteit opgeslagen gegevens. Indien de Europese portemonnee voor digitale identiteit wordt verstrekt door private partijen overeenkomstig lid 2, punten b) en c), is artikel 45 nonies, lid 3, van overeenkomstige toepassing.
15.  
Het gebruik van Europese portemonnees voor digitale identiteit is vrijwillig. De toegang tot publieke en private diensten, de arbeidsmarkt en vrij ondernemerschap van natuurlijke of rechtspersonen die de Europese portemonnees voor digitale identiteit niet gebruiken, wordt niet beperkt of belemmerd. Het blijft mogelijk om via andere bestaande identificatie- en authenticatiemiddelen toegang te krijgen tot publieke en private diensten.
16.  

Het technische kader van de Europese portemonnee voor digitale identiteit:

a) 

mag het aanbieders van elektronische attesteringen van attributen of andere partijen na de afgifte van de attestering van attributen, niet mogelijk maken gegevens te verkrijgen waarmee kan worden gevolgd, gekoppeld of gecorreleerd of waarmee kennis van transacties of gebruikersgedrag anderszins kan worden verkregen, tenzij de gebruiker daar uitdrukkelijk toestemming voor heeft gegeven;

b) 

moet technieken voor privacybescherming mogelijk maken die onkoppelbaarheid waarborgen, waarbij de attestering van attributen geen identificatie van de gebruiker vereist.

17.  
Elke verwerking van persoonsgegevens door de lidstaten of namens hen door organen of partijen die verantwoordelijk zijn voor het verstrekken van Europese portemonnees voor digitale identiteit als elektronisch identificatiemiddel, wordt uitgevoerd overeenkomstig passende en doeltreffende gegevensbeschermingsmaatregelen. Aangetoond wordt dat dergelijke verwerkingsactiviteiten in overeenstemming zijn met Verordening (EU) 2016/679. De lidstaten kunnen nationale bepalingen vaststellen om de toepassing van dergelijke maatregelen nader te specificeren.
18.  

De lidstaten verstrekken de Commissie onverwijld informatie over:

a) 

de instantie die verantwoordelijk is voor het opstellen en bijhouden van de lijst van geregistreerde vertrouwende partijen die Europese portemonnees voor digitale identiteit gebruiken, overeenkomstig artikel 5 ter, lid 5, alsmede de plaats waar die lijst zich bevindt;

b) 

de instanties die verantwoordelijk zijn voor de verstrekking van Europese portemonnees voor digitale identiteit, overeenkomstig artikel 5 bis, lid 1;

c) 

de instanties die ervoor moeten zorgen dat de persoonsidentificatiegegevens worden verbonden met de Europese portemonnee voor digitale identiteit, overeenkomstig artikel 5 bis, lid 5, punt f);

d) 

het mechanisme voor de validering van de in artikel 5 bis, lid 5, punt f), bedoelde persoonsidentificatiegegevens en van de identiteit van de vertrouwende partijen;

e) 

het mechanisme voor het valideren van de authenticiteit en de geldigheid van Europese portemonnees voor digitale identiteit.

De Commissie stelt de krachtens de eerste alinea verstrekte informatie aan het publiek beschikbaar via een beveiligd kanaal, in een elektronisch ondertekende of bezegelde vorm die geschikt is voor geautomatiseerde verwerking.

19.  
Onverminderd lid 22 van onderhavig artikel, is artikel 11 van overeenkomstige toepassing op de Europese portemonnee voor digitale identiteit.
20.  
Artikel 24, lid 2, punt b), en punten d) tot en met h), zijn van overeenkomstige toepassing op de aanbieders van Europese portemonnees voor digitale identiteit.
21.  
Europese portemonnees voor digitale identiteit worden op voet van gelijkheid met andere gebruikers toegankelijk gemaakt voor gebruik door personen met een handicap, overeenkomstig Richtlijn (EU) 2019/882 van het Europees Parlement en de Raad ( 3 ).
22.  
Voor het verstrekken van Europese portemonnees voor digitale identiteit zijn de vereisten van de artikelen 7, 9, 10, 12 en 12 bis niet op Europese portemonnees voor digitale identiteit van toepassing, noch op de stelsels voor elektronische identificatie op grond waarvan zij worden verstrekt.
23.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, zo nodig, specificaties en procedures vast voor de in de leden 4, 5, 8 en 18 van dit artikel bedoelde vereisten betreffende de uitvoering van de Europese portemonnee voor digitale identiteit. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
24.  
De Commissie stelt door middel van uitvoeringshandelingen een lijst van referentienormen en, zo nodig, technische specificaties en procedures vast met het oog op het faciliteren van de instap in de Europese portemonnee voor digitale identiteit voor gebruikers middels hetzij elektronische identificatiemiddelen van betrouwbaarheidsniveau „hoog” hetzij elektronische identificatiemiddelen van betrouwbaarheidsniveau „substantieel”, in combinatie met extra instapprocedures op afstand die samen aan de eisen van het betrouwbaarheidsniveau „hoog” voldoen. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 5 ter

Vertrouwende partijen voor Europese portemonnees voor digitale identiteit

1.  
Indien een vertrouwende partij voornemens is om Europese portemonnees voor digitale identiteit te gebruiken voor het verlenen van publieke of private diensten door middel van digitale interactie, laat zij zich registreren in de lidstaat waar zij gevestigd is.
2.  

Het registratieproces moet kosteneffectief zijn en evenredig met het risico. De vertrouwende partij verstrekt ten minste:

a) 

de informatie die nodig is om zich te authenticeren voor Europese portemonnees voor digitale identiteit, die ten minste het volgende omvat:

i) 

de lidstaat waar de vertrouwende partij gevestigd is, en

ii) 

de naam van de vertrouwende partij en, in voorkomend geval, haar registratienummer zoals vermeld in een officieel register, samen met de identificatiegegevens van dat officiële register;

b) 

de contactgegevens van de vertrouwende partij;

c) 

het beoogde gebruik van Europese portemonnees voor digitale identiteit, met inbegrip van een indicatie van de gegevens die de vertrouwende partij van gebruikers opvraagt.

3.  
Vertrouwende partijen vragen gebruikers geen andere gegevens te verstrekken dan die welke in de overeenkomstig lid 2, punt c), verstrekte indicatie worden bedoeld.
4.  
De leden 1 en 2 laten het Unie- of nationaal recht dat van toepassing is op het verrichten van specifieke diensten, onverlet.
5.  
De lidstaten maken de in lid 2 bedoelde informatie online openbaar in elektronisch ondertekende of bezegelde vorm die geschikt is voor geautomatiseerde verwerking.
6.  
Vertrouwende partijen die overeenkomstig dit artikel zijn geregistreerd, stellen de lidstaten onverwijld in kennis van eventuele wijzigingen in de krachtens lid 2 bij de registratie verstrekte informatie.
7.  
De lidstaten voorzien in een gemeenschappelijk mechanisme om de identificatie en de authenticatie van vertrouwende partijen mogelijk te maken, zoals bedoeld in artikel 5 bis, lid 5, punt c).
8.  
Indien vertrouwende partijen voornemens zijn om Europese portemonnees voor digitale identiteit te gebruiken, identificeren zij zichzelf bij de gebruiker.
9.  
Vertrouwende partijen zijn verantwoordelijk voor de uitvoering van de procedure voor de authenticatie en validering van uit Europese portemonnees voor digitale identiteit opgevraagde persoonsidentificatiegegevens en elektronische attesteringen van attributen. Vertrouwende partijen mogen het gebruik van pseudoniemen niet weigeren indien de identificatie van de gebruiker krachtens Unie- of nationaal recht niet vereist is.
10.  
Intermediairs die namens vertrouwende partijen optreden, worden geacht vertrouwende partijen te zijn en mogen geen gegevens over de inhoud van de transactie opslaan.
11.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen betreffende de uitvoering van de Europese portemonnees voor digitale identiteit in de zin van artikel 5 bis, lid 23, technische specificaties en procedures voor de in de leden 2, 5 en 6 tot en met 9 van dit artikel bedoelde vereisten vast. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 5 quater

Certificering van Europese portemonnees voor digitale identiteit

1.  
De overeenstemming van de Europese portemonnees voor digitale identiteit en het stelsel voor elektronische identificatie op grond waarvan zij worden verstrekt, met de vereisten van artikel 5 bis, leden 4, 5 en 8, met het vereiste van logische scheiding van artikel 5 bis, lid 14, en, in voorkomend geval, met de normen en technische specificaties zoals bedoeld in artikel 5 bis, lid 24, wordt gecertificeerd door de lidstaten aangewezen conformiteitsbeoordelingsinstanties.
2.  
De certificering van de overeenstemming van de Europese portemonnees voor digitale identiteit met de in lid 1 van dit artikel bedoelde vereisten, of delen daarvan, die relevant zijn voor cyberbeveiliging, wordt uitgevoerd overeenkomstig Europese regelingen voor cyberbeveiligingscertificering die zijn vastgesteld op grond van Verordening (EU) 2019/881 van het Europees Parlement en de Raad ( 4 ) en waarnaar wordt verwezen in de in lid 6 van dit artikel bedoelde uitvoeringshandelingen.
3.  
Voor de in lid 1 van dit artikel bedoelde vereisten die niet relevant zijn voor cyberbeveiliging en, voor de in lid 1 van dit artikel bedoelde vereisten die relevant zijn voor cyberbeveiliging, voor zover de in lid 2 van dit artikel bedoelde regelingen voor cyberbeveiligingscertificering die cyberbeveiligingsvereisten niet of slechts gedeeltelijk dekken, stellen de lidstaten ook voor die vereisten nationale certificeringsregelingen vast overeenkomstig de vereisten die zijn vastgesteld in de in lid 6 van dit artikel bedoelde uitvoeringshandelingen. De lidstaten zenden hun ontwerpen van nationale certificeringsregelingen toe aan de overeenkomstig artikel 46 sexies, lid 1, opgerichte Europese samenwerkingsgroep voor digitale identiteit (de „samenwerkingsgroep”). De samenwerkingsgroep kan adviezen en aanbevelingen uitbrengen.
4.  
Certificering op grond van lid 1 is maximaal vijf jaar geldig, mits om de twee jaar een kwetsbaarheidsbeoordeling wordt uitgevoerd. Indien een kwetsbaarheid wordt vastgesteld die niet tijdig wordt verholpen, wordt de certificering geannuleerd.
5.  
De naleving van de in artikel 5 bis van deze verordening opgenomen vereisten in verband met de verwerking van persoonsgegevens kan worden gecertificeerd op grond van Verordening (EU) 2016/679.
6.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de in de leden 1, 2 en 3 van dit artikel bedoelde certificering van Europese portemonnees voor digitale identiteit. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
7.  
De lidstaten verstrekken aan de Commissie de namen en adressen van de in lid 1 bedoelde conformiteitsbeoordelingsinstanties. De Commissie stelt die informatie beschikbaar aan alle lidstaten.
8.  
De Commissie is bevoegd overeenkomstig artikel 47 gedelegeerde handelingen vast te stellen tot bepaling van specifieke criteria waaraan de in lid 1 van dit artikel bedoelde aangewezen conformiteitsbeoordelingsinstanties moeten voldoen.

Artikel 5 quinquies

Bekendmaking van een lijst van gecertificeerde Europese portemonnees voor digitale identiteit

1.  
De lidstaten verstrekken de Commissie en de krachtens artikel 46 sexies, lid 1, opgerichte samenwerkingsgroep onverwijld informatie over de overeenkomstig artikel 5 bis verstrekte en door de in artikel 5 quater, lid 1, bedoelde conformiteitsbeoordelingsinstanties gecertificeerde Europese portemonnees voor digitale identiteit. Zij stellen de Commissie en de krachtens artikel 46 sexies, lid 1, opgerichte samenwerkingsgroep er onverwijld van in kennis als een certificering wordt geannuleerd en daarbij geven zij de redenen voor de annulering op.
2.  

Onverminderd artikel 5 bis, lid 18, omvat de in lid 1 van dit artikel bedoelde door de lidstaten verstrekte informatie ten minste:

a) 

het certificaat en het certificeringsbeoordelingsverslag van de gecertificeerde Europese portemonnee voor digitale identiteit;

b) 

een beschrijving van het stelsel voor elektronische identificatie op grond waarvan de Europese portemonnee voor digitale identiteit wordt verstrekt;

c) 

de toepasselijke toezichtregeling en informatie over de aansprakelijkheidsregeling met betrekking tot de partij die de Europese portemonnee voor digitale identiteit verstrekt;

d) 

de autoriteit of autoriteiten die verantwoordelijk is respectievelijk zijn voor het stelsel voor elektronische identificatie;

e) 

regelingen voor de opschorting of intrekking van het stelsel voor elektronische identificatie of de authenticatie, of van de delen waarvan de integriteit geschonden is.

3.  
Op basis van de overeenkomstig lid 1 ontvangen informatie stelt de Commissie een lijst van gecertificeerde Europese portemonnees voor digitale identiteit op, maakt zij de lijst in het Publicatieblad van de Europese Unie bekend en houdt zij deze in een machineleesbare vorm bij.
4.  
Een lidstaat kan bij de Commissie een verzoek indienen om een Europese portemonnee voor digitale identiteit en het stelsel voor elektronische identificatie op grond waarvan hij is verstrekt, van de in lid 3 bedoelde lijst te verwijderen.
5.  
Indien de overeenkomstig lid 1 verstrekte informatie wordt gewijzigd, verstrekt de lidstaat de Commissie de geactualiseerde informatie.
6.  
De Commissie houdt de in lid 3 bedoelde lijst bij door de overeenkomstige wijzigingen in de lijst binnen een maand na ontvangst van een verzoek overeenkomstig lid 4 of van geactualiseerde informatie overeenkomstig lid 5 bekend te maken in het Publicatieblad van de Europese Unie.
7.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen betreffende de uitvoering van Europese portemonnees voor digitale identiteit in de zin van artikel 5 bis, lid 23, de formaten en de procedures voor de toepassing van de leden 1, 4 en 5 van dit artikel vast. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 5 sexies

Inbreuk op de beveiliging van Europese portemonnees voor digitale identiteit

1.  
Indien Europese portemonnees voor digitale identiteit die overeenkomstig artikel 5 bis zijn verstrekt, de in artikel 5 bis, lid 8, bedoelde valideringsmechanismen of het stelsel voor elektronische identificatie op grond waarvan Europese portemonnees voor digitale identiteit worden verstrekt, zijn geschonden of ten dele zijn aangetast, waardoor de betrouwbaarheid ervan of de betrouwbaarheid van andere Europese portemonnees voor digitale identiteit in gevaar komt, schort de lidstaat die de Europese portemonnees voor digitale identiteit heeft verstrekt, onverwijld de verstrekking en het gebruik van Europese portemonnees voor digitale identiteit op.

Indien de ernst van de in de eerste alinea bedoelde beveiligingsinbreuk of -aantasting dit rechtvaardigt, trekt de lidstaat onverwijld Europese portemonnees voor digitale identiteit in.

De lidstaat stelt de getroffen gebruikers, de overeenkomstig artikel 46 quater, lid 1, aangewezen centrale contactpunten, de vertrouwende partijen en de Commissie daarvan in kennis.

2.  
Indien de in lid 1, eerste alinea, van dit artikel bedoelde beveiligingsinbreuk of -aantasting niet binnen drie maanden na de opschorting wordt verholpen, trekt de lidstaat die Europese portemonnees voor digitale identiteit heeft verstrekt, deze en de geldigheid ervan in. De lidstaat stelt de getroffen gebruikers, de overeenkomstig artikel 46 quater, lid 1, aangewezen centrale contactpunten, de vertrouwende partijen en de Commissie van de intrekking in kennis.
3.  
Indien de in lid 1 van dit artikel bedoelde beveiligingsinbreuk of -aantasting verholpen is, herstelt de verstrekkende lidstaat de verstrekking en het gebruik van Europese portemonnees voor digitale identiteit, en stelt hij onverwijld de getroffen gebruikers en vertrouwende partijen, de overeenkomstig artikel 46 quater, lid 1, aangewezen centrale contactpunten en de Commissie daarvan in kennis.
4.  
De Commissie maakt de overeenkomstige wijzigingen aan de in artikel 5 quinquies bedoelde lijst onverwijld bekend in het Publicatieblad van de Europese Unie.
5.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst van referentienormen en, waar nodig, specificaties en procedures voor de in de leden 1, 2 en 3 van dit artikel bedoelde maatregelen vast. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 5 septies

Grensoverschrijdend gebruik van Europese portemonnees voor digitale identiteit

1.  
Indien de lidstaten elektronische identificatie en authenticatie vereisen om toegang tot een door een openbare instantie aangeboden onlinedienst te verkrijgen, aanvaarden zij tevens overeenkomstig deze verordening verstrekte Europese portemonnees voor digitale identiteit.
2.  
Indien private vertrouwende partijen die diensten verlenen, met uitzondering van micro-ondernemingen en kleine ondernemingen zoals gedefinieerd in artikel 2 van de bijlage bij Aanbeveling 2003/361/EG van de Commissie ( 5 ), krachtens Uniewetgeving of nationaal recht sterke gebruikersauthenticatie voor online-identificatie moeten gebruiken, of indien sterke gebruikersauthenticatie voor online-identificatie vereist is op grond van een contractuele verbintenis op het gebied van bijvoorbeeld vervoer, energie, bankwezen, financiële dienstverlening, sociale zekerheid, gezondheidszorg, drinkwatervoorziening, postdiensten, digitale infrastructuur, onderwijs of telecommunicatie, aanvaarden die private vertrouwende partijen uiterlijk 36 maanden na de datum van inwerkingtreding van de in artikel 5 bis, lid 23 en artikel 5 quater, lid 6, bedoelde uitvoeringshandelingen, en uitsluitend op vrijwillig verzoek van de gebruiker tevens overeenkomstig deze verordening verstrekte Europese portemonnees voor digitale identiteit.
3.  
Indien aanbieders van zeer grote onlineplatforms, zoals gedefinieerd in artikel 33 van Verordening (EU) 2022/2065 van het Europees Parlement en de Raad ( 6 ) van gebruikersauthenticatie verlangen om toegang tot onlinediensten te verkrijgen, aanvaarden en faciliteren zij tevens het gebruik van Europese portemonnees voor digitale identiteit die overeenkomstig deze verordening zijn verstrekt voor gebruikersauthenticatie, uitsluitend op vrijwillig verzoek van de gebruiker en met inachtneming van de minimaal benodigde gegevens voor de specifieke onlinedienst waarvoor authenticatie vereist is.
4.  
In samenwerking met de lidstaten faciliteert de Commissie de ontwikkeling van gedragscodes in nauwe samenwerking met alle relevante belanghebbenden, met inbegrip van het maatschappelijk middenveld, om bij te dragen aan de brede beschikbaarheid en bruikbaarheid van Europese portemonnees voor digitale identiteit binnen het toepassingsgebied van deze verordening, en om dienstverleners aan te moedigen de ontwikkeling van gedragscodes te voltooien.
5.  
Binnen 24 maanden na de uitrol van Europese portemonnees voor digitale identiteit beoordeelt de Commissie de vraag naar, de beschikbaarheid van en de bruikbaarheid van Europese portemonnees voor digitale identiteit, rekening houdend met criteria als gebruikersacceptatie, grensoverschrijdende aanwezigheid van dienstverleners, technologische ontwikkelingen, evolutie van gebruikspatronen en consumentenvraag.

AFDELING 2

Stelsels voor elektronische identificatie

▼B

Artikel 6

Wederzijdse erkenning

1.  

Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht of door gangbare bestuursrechtelijke praktijk om toegang te krijgen tot een onlinedienst aangeboden door een openbare instantie in een lidstaat, moet het elektronisch identificatiemiddel dat uitgegeven is in een andere lidstaat worden erkend in de eerste lidstaat ten behoeve van de grensoverschrijdende onlineauthenticatie van die dienst, mits aan de volgende voorwaarden is voldaan:

a) 

het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt;

b) 

het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog;

c) 

de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst.

Die erkenning vindt plaats uiterlijk twaalf maanden nadat de Commissie de lijst als bedoeld in de eerste alinea, onder a), heeft bekendgemaakt.

2.  
Een elektronisch identificatiemiddel dat is uitgegeven op grond van een stelsel voor elektronische identificatie opgenomen in de lijst die op grond van artikel 9 door de Commissie is gepubliceerd en het betrouwbaarheidsniveau laag heeft, kan door openbare instanties worden erkend ten behoeve van de grensoverschrijdende authenticatie voor de onlinediensten die door die instanties worden geleverd.

Artikel 7

Voorwaarden voor het in aanmerking komen voor de aanmelding van stelsels voor elektronische identificatie

Een stelsel voor elektronische identificatie komt in aanmerking voor aanmelding overeenkomstig artikel 9, lid 1, indien aan alle onderstaande voorwaarden is voldaan:

a) 

het elektronische identificatiemiddel dat onder het stelsel voor elektronische identificatie valt wordt uitgegeven:

i) 

door de aanmeldende lidstaat;

ii) 

op grond van een mandaat van de aanmeldende lidstaat; of

iii) 

onafhankelijk van de aanmeldende lidstaat, en wordt door die lidstaat erkend;

b) 

de elektronische identificatiemiddelen uit hoofde van het stelsel voor elektronische identificatie kunnen worden gebruikt om toegang te verkrijgen tot ten minste één door een openbare instantie geleverde dienst waarvoor elektronische identificatie vereist is in de aanmeldende lidstaat;

c) 

het stelsel voor elektronische identificatie en de uit hoofde ervan uitgegeven elektronische identificatiemiddelen voldoen aan de eisen van op zijn minst één van de betrouwbaarheidsniveaus, opgenomen in de in artikel 8, lid 3, vermelde uitvoeringshandeling;

d) 

de aanmeldende lidstaat waarborgt dat de persoonsidentificatiegegevens die de persoon in kwestie op unieke wijze kenmerken op het moment van uitgifte van het elektronische identificatiemiddel op grond van dat stelsel, conform de technische specificaties, normen en procedures voor het respectieve betrouwbaarheidsniveau zoals neergelegd in de uitvoeringshandeling bedoeld in artikel 8, lid 3, worden gekoppeld aan de natuurlijke persoon of rechtspersoon als bedoeld in artikel 3, punt 1;

e) 

de partij die het elektronische identificatiemiddel uitgeeft op grond van dat stelsel, zorgt ervoor dat het elektronische identificatiemiddel wordt gekoppeld aan de persoon bedoeld in punt d) van dat artikel, in overeenstemming met de technische specificaties, normen en procedures voor het respectieve betrouwbaarheidsniveau zoals neergelegd in de uitvoeringshandeling bedoeld in artikel 8, lid 3;

f) 

de aanmeldende lidstaat zorgt voor de beschikbaarheid van onlineauthenticatie, zodat iedere vertrouwende partij die op het grondgebied van een andere lidstaat gevestigd is, de mogelijkheid heeft de ontvangen persoonsidentificatiegegevens in elektronische vorm te bevestigen.

Voor andere vertrouwende partijen dan openbare instanties mag de aanmeldende lidstaat voorwaarden stellen voor toegang tot die authenticatie. Grensoverschrijdende authenticatie is kosteloos wanneer zij wordt uitgevoerd voor een door een openbare instantie verleende onlinedienst.

De lidstaten leggen geen specifieke onevenredige technische eisen op aan vertrouwende partijen die voornemens zijn een dergelijke authenticatie uit te voeren indien dergelijke eisen de interoperabiliteit van de aangemelde stelsels voor elektronische identificatie tegenhouden of in aanzienlijke mate belemmeren;

▼M2

g) 

ten minste zes maanden vóór aanmelding op grond van artikel 9, lid 1, verstrekt de aanmeldende lidstaat voor de toepassing van artikel 12, lid 5, de andere lidstaten een beschrijving van dat stelsel, in overeenstemming met de procedurele voorschriften die zijn vastgesteld bij de op grond van artikel 12, lid 6, vastgestelde uitvoeringshandelingen;

▼B

h) 

het stelsel voor elektronische identificatie voldoet aan de eisen van de uitvoeringshandeling bedoeld in artikel 12, lid 8.

Artikel 8

Betrouwbaarheidsniveaus van stelsels voor elektronische identificatie

1.  
Een stelsel voor elektronische identificatie dat is aangemeld krachtens artikel 9, lid 1, omschrijft betrouwbaarheidsniveaus laag, substantieel en/of hoog voor op grond van dat stelsel uitgegeven elektronische identificatiemiddelen.
2.  

De betrouwbaarheidsniveaus laag, substantieel en hoog voldoen respectievelijk aan de volgende criteria:

a) 

het betrouwbaarheidsniveau laag betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een beperkte mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;

b) 

het betrouwbaarheidsniveau substantieel betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een substantiële mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;

c) 

het betrouwbaarheidsniveau hoog betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een hogere mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt dan een elektronisch identificatiemiddel met betrouwbaarheidsniveau substantieel, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te voorkomen.

▼M2

3.  
Uiterlijk op 18 september 2015, rekening houdend met de geldende internationale normen en met inachtneming van lid 2, stelt de Commissie bij uitvoeringshandeling minimale technische specificaties, normen en procedures vast aan de hand waarvan voor elektronische identificatiemiddelen de betrouwbaarheidsniveaus laag, substantieel en hoog worden bepaald..

▼B

Deze minimale technische specificaties, normen en procedures worden vastgesteld onder verwijzing naar de betrouwbaarheid en kwaliteit van de volgende elementen:

a) 

de procedure om de identiteit van de natuurlijke of rechtspersoon die om uitgifte van het elektronisch identificatiemiddel verzoekt, te bewijzen en te verifiëren;

b) 

de procedure voor de uitgifte van het aangevraagde elektronische identificatiemiddel;

c) 

het authenticatiemechanisme, door middel waarvan de natuurlijke of rechtspersoon het elektronische identificatiemiddel gebruikt om zijn identiteit te bevestigen tegenover een vertrouwende partij;

d) 

de entiteit die het elektronische identificatiemiddel uitgeeft;

e) 

ieder ander orgaan dat betrokken is bij de uitgifte van het elektronische identificatiemiddel en

f) 

de technische en veiligheidsspecificaties van het uitgegeven elektronische identificatiemiddel.

Die uitvoeringsbesluiten worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 9

Aanmelding

1.  

De aanmeldende lidstaat geeft de Commissie onverwijld kennis van de volgende informatie en van eventuele latere wijzigingen daarvan:

a) 

een beschrijving van het stelsel voor elektronische identificatie, met inbegrip van de betrouwbaarheidsniveaus daarvan en de uitgever of de uitgevers van elektronische identificatiemiddelen in het kader van het stelsel;

b) 

de toepasselijke toezichtregeling en informatie over de aansprakelijkheidsregeling met betrekking tot onderstaande:

i) 

de partij die het elektronische identificatiemiddel uitgeeft, en

ii) 

de partij die de authenticatieprocedure uitvoert;

c) 

de autoriteit of autoriteiten die verantwoordelijk is/zijn voor het stelsel voor elektronische identificatie;

d) 

informatie over de entiteit of entiteiten die de registratie van de unieke persoonsidentificatiegegevens beheert/beheren;

e) 

een beschrijving van de manier waarop aan de vereisten van de in artikel 12, lid 8, bedoelde uitvoeringshandelingen wordt voldaan;

f) 

een beschrijving van de authenticatie bedoeld in artikel 7, onder f);

g) 

regelingen voor de opschorting of intrekking van het aangemelde stelsel voor elektronische identificatie of de authenticatie of de delen waarvan de integriteit is geschonden.

▼M2

2.  
De Commissie maakt onverwijld in het Publicatieblad van de Europese Unie een lijst bekend van de stelsels voor elektronische identificatie die overeenkomstig lid 1 zijn aangemeld, samen met de hiermee verband houdende basisinformatie.
3.  
De Commissie maakt binnen één maand na de datum van ontvangst van die aanmelding de wijzigingen in de in lid 2 bedoelde lijst in het Publicatieblad van de Europese Unie bekend.

▼B

4.  
Een lidstaat kan bij de Commissie een verzoek indienen om een door die lidstaat aangemelde stelsel voor elektronische identificatie van de in lid 2 bedoelde lijst te verwijderen. De Commissie zal de desbetreffende wijzigingen binnen een maand na de datum van ontvangst van het verzoek van de lidstaat in het Publicatieblad van de Europese Unie bekendmaken.
5.  
De Commissie kan door middel van uitvoeringshandelingen de omstandigheden, formaten en procedures voor aanmeldingen in het kader van lid 1 definiëren. Deze uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 10

▼M2

Inbreuk op de beveiliging van stelsels voor elektronische identificatie

▼B

1.  
Wanneer er inbreuk wordt gepleegd op het overeenkomstig artikel 9, lid 1, aangemelde stelsel voor elektronische identificatie of op de in artikel 7, onder f), bedoelde authenticatie of wanneer de integriteit ervan deels wordt geschonden zodat de betrouwbaarheid van de grensoverschrijdende authenticatie van dat stelsel in gevaar komt, moet de aanmeldende lidstaat onverwijld de grensoverschrijdende authenticatie of de delen waarvan de integriteit geschonden is, opschorten of intrekken, en de andere lidstaten en de Commissie hiervan op de hoogte stellen.
2.  
Wanneer de in lid 1 bedoelde inbreuk of schending hersteld is, herstelt de aanmeldende lidstaat de grensoverschrijdende authenticatie en stelt hij de andere lidstaten en de Commissie daarvan onverwijld op de hoogte.
3.  
Indien de in lid 1 bedoelde inbreuk of schending niet binnen drie maanden na de opschorting of intrekking is verholpen, stelt de aanmeldende lidstaat de andere lidstaten en de Commissie op de hoogte van de intrekking van het stelsel voor elektronische identificatie.

De Commissie maakt de overeenkomstige wijzigingen aan de in artikel 9, lid 2, bedoelde lijst zonder onnodige vertraging bekend in het Publicatieblad van de Europese Unie.

Artikel 11

Aansprakelijkheid

1.  
De aanmeldende lidstaat is aansprakelijk voor aan een natuurlijke persoon of rechtspersoon met opzet of door nalatigheid toegebrachte schade die is te wijten aan een verzuim zijn verplichtingen uit hoofde van artikel 7, onder d) en f), in een grensoverschrijdende transactie na te leven.
2.  
De partij die de elektronische identificatiemiddelen verstrekt, is aansprakelijk voor aan een natuurlijke persoon of rechtspersoon met opzet of door nalatigheid toegebrachte schade die te wijten is aan een verzuim de verplichting bedoeld in artikel 7, onder e), in een grensoverschrijdende transactie na te leven.
3.  
De partij die de authenticatieprocedure uitvoert, is aansprakelijk voor aan een natuurlijke persoon of een rechtspersoon met opzet of door nalatigheid toegebrachte schade die te wijten is aan een verzuim de verplichting bedoeld in artikel 7, onder f), in een grensoverschrijdende transactie na te leven.
4.  
De leden 1, 2 en 3 worden toegepast in overeenstemming met de nationale rechtsregels aangaande aansprakelijkheid.
5.  
De leden 1, 2 en 3 doen niet af aan de aansprakelijkheid uit hoofde van nationale wetgeving van partijen bij een transactie waarin elektronische identificatiemiddelen worden gebruikt die onder het krachtens artikel 9, lid 1, aangemelde stelsel voor elektronische identificatie vallen.

▼M2

Artikel 11 bis

Grensoverschrijdende identiteitsmatching

1.  
Wanneer lidstaten optreden als vertrouwende partijen voor grensoverschrijdende diensten, garanderen zij ondubbelzinnige identiteitsmatching voor natuurlijke personen die gebruikmaken van aangemelde elektronische identificatiemiddelen of Europese portemonnees voor digitale identiteit.
2.  
De lidstaten voorzien in technische en organisatorische maatregelen om een hoog niveau van bescherming te waarborgen van persoonsgegevens die worden gebruikt voor identiteitsmatching en ter voorkoming van profilering van gebruikers.
3.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst van referentienormen en, waar nodig, specificaties en procedures voor de in lid 1 van dit artikel bedoelde vereisten vast. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 12

▼M2

Interoperabiliteit

▼B

1.  
De krachtens artikel 9, lid 1, aangemelde nationale stelsels voor elektronische identificatie zijn interoperabel.
2.  
Voor de toepassing van lid 1 wordt een interoperabiliteitskader opgezet.
3.  

Het interoperabiliteitskader voldoet aan de volgende criteria:

a) 

het is erop gericht technologieneutraal te zijn en discrimineert niet tussen specifieke nationale technische oplossingen voor elektronische identificatie binnen de lidstaat;

b) 

het volgt, zo mogelijk, Europese en internationale normen;

▼M2

c) 

het bevordert, door het ontwerp, de uitvoering van privacy en beveiliging;

▼M2 —————

▼B

4.  

Het interoperabiliteitskader bestaat uit:

a) 

een vermelding van de technische minimumeisen met betrekking tot de betrouwbaarheidsniveaus van artikel 8;

b) 

het relateren van nationale betrouwbaarheidsniveaus van aangemelde stelsels voor elektronische identificatie aan de betrouwbaarheidsniveaus volgens artikel 8;

c) 

een verwijzing naar technische minimumeisen voor interoperabiliteit;

▼M2

d) 

een verwijzing naar een minimaal pakket persoonsidentificatiegegevens dat noodzakelijk is om een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon vertegenwoordigt, op unieke wijze te vertegenwoordigen en dat beschikbaar is vanaf stelsels voor elektronische identificatie;

▼B

e) 

procedureregels;

f) 

regelingen voor geschillenbeslechting; en

g) 

gemeenschappelijke operationele veiligheidsnormen.

▼M2

5.  
De lidstaten voeren collegiale toetsingen uit van de onder deze verordening vallende stelsels voor elektronische identificatie die overeenkomstig artikel 9, lid 1, punt a), moeten worden aangemeld.
6.  
De Commissie stelt uiterlijk op 18 maart 2025 door middel van uitvoeringshandelingen de nodige procedurele voorschriften voor de in lid 5 van dit artikel bedoelde collegiale toetsingen vast teneinde een hoog op het risiconiveau afgestemd niveau van vertrouwen en veiligheid te waarborgen. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2 —————

▼M2

8.  
De Commissie stelt uiterlijk op 18 september 2025 volgens de criteria in lid 3 van dit artikel en met inaanmerkingneming van de resultaten van de samenwerking tussen de lidstaten, uitvoeringshandelingen vast aangaande het in lid 4 van dit artikel beschreven interoperabiliteitskader ten behoeve van de vaststelling van eenduidige voorwaarden ter uitvoering van de in lid 1 van dit artikel bedoelde verplichting. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

9.  
De in de leden 7 en 8 van dit artikel bedoelde uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

Artikel 12 bis

Certificering van stelsels voor elektronische identificatie

1.  
De overeenstemming van aan te melden stelsels voor elektronische identificatie met de in deze verordening vastgelegde cyberbeveiligingsvereisten, met inbegrip van de overeenstemming met de voor cyberbeveiliging relevante vereisten van artikel 8, lid 2, met betrekking tot de betrouwbaarheidsniveaus van stelsels voor elektronische identificatie, wordt gecertificeerd door door de lidstaten aangewezen conformiteitsbeoordelingsinstanties.
2.  
Certificering op grond van lid 1 van dit artikel wordt uitgevoerd op grond van een relevante regeling voor cyberbeveiligingscertificering overeenkomstig Verordening (EU) 2019/881 of delen daarvan, voor zover het cyberbeveiligingscertificaat of delen daarvan betrekking hebben op die cyberbeveiligingsvereisten.
3.  
Certificering overeenkomstig lid 1 is maximaal vijf jaar geldig, mits er om de twee jaar een kwetsbaarheidsbeoordeling wordt verricht. Indien er een kwetsbaarheid wordt vastgesteld die niet binnen drie maanden na de vaststelling wordt verholpen, wordt de certificering geannuleerd.
4.  
Niettegenstaande lid 2 kunnen de lidstaten een aanmeldende lidstaat overeenkomstig dat lid om aanvullende informatie verzoeken over stelsels voor elektronische identificatie of delen daarvan die zijn gecertificeerd.
5.  
De in artikel 12, lid 5, bedoelde collegiale toetsing van stelsels voor elektronische identificatie heeft geen betrekking op stelsels voor elektronische identificatie of delen daarvan die overeenkomstig lid 1 van dit artikel zijn gecertificeerd. De lidstaten mogen gebruikmaken van een certificaat of een conformiteitsverklaring, uitgegeven op grond van een relevante certificeringsregeling of delen van dergelijke regelingen, met de niet met cyberbeveiliging verband houdende vereisten van artikel 8, lid 2, ten aanzien van de betrouwbaarheidsniveaus van stelsels voor elektronische identificatie.
6.  
De lidstaten verstrekken aan de Commissie de namen en adressen van de in lid 1 bedoelde conformiteitsbeoordelingsinstanties. De Commissie stelt die informatie beschikbaar aan alle lidstaten.

Artikel 12 ter

Toegang tot hardware- en softwarekenmerken

Indien aanbieders van Europese portemonnees voor digitale identiteit en uitgevende instellingen van aangemelde elektronische identificatiemiddelen die handelen in een commerciële of professionele hoedanigheid en gebruikmaken van kernplatformdiensten zoals gedefinieerd in artikel 2, punt 2), van Verordening (EU) 2022/1925 van het Europees Parlement en de Raad ( 7 ), of bij het aanbieden van diensten voor de Europese portemonnee voor digitale identiteit en elektronische identificatiemiddelen aan eindgebruikers, zakelijke gebruikers zijn zoals gedefinieerd in artikel 2, punt 21), van die verordening, zorgen poortwachters met name ervoor dat zij effectief interoperabel zijn met en ten behoeve van de interoperabiliteit toegang hebben tot dezelfde besturingssystemen, hardware of softwarekenmerken. Dergelijke effectieve interoperabiliteit en toegang worden kosteloos toegestaan en ongeacht of de hardware- of softwarekenmerken deel uitmaken van het besturingssysteem, zoals beschikbaar voor of gebruikt door die poortwachter bij het verlenen van dergelijke diensten, in de zin van artikel 6, lid 7, van Verordening (EU) 2022/1925. Dit artikel laat artikel 5 bis, lid 14, van deze verordening onverlet.

▼B

HOOFDSTUK III

VERTROUWENSDIENSTEN

AFDELING 1

Algemene bepalingen

Artikel 13

Aansprakelijkheid en bewijslast

▼M2

1.  
Niettegenstaande lid 2 van dit artikel en onverminderd Verordening (EU) 2016/679 zijn verleners van vertrouwensdiensten aansprakelijk voor schade die opzettelijk of uit onachtzaamheid wordt veroorzaakt aan natuurlijke of rechtspersonen vanwege een niet-naleving van de verplichtingen krachtens deze verordening. Natuurlijke of rechtspersonen die materiële of immateriële schade hebben geleden als gevolg van een inbreuk op deze verordening door een verlener van vertrouwensdiensten, hebben het recht schadevergoeding te vorderen overeenkomstig het Unierecht en het nationaal recht.

De bewijslast voor het aantonen van opzet of nalatigheid van een niet-gekwalificeerde verlener van vertrouwensdiensten ligt bij de natuurlijke persoon of de rechtspersoon die zich op de in de eerste alinea bedoelde schade beroept.

Opzet of nalatigheid van een gekwalificeerde verlener van vertrouwensdiensten wordt vermoed tenzij die gekwalificeerde verlener van vertrouwensdiensten bewijst dat de in de eerste alinea bedoelde schade is ontstaan zonder dat er sprake was van opzet of nalatigheid van die gekwalificeerde verlener van vertrouwensdiensten.

▼B

2.  
Indien verleners van vertrouwensdiensten hun klanten van te voren goed informeren over de beperkingen bij het gebruik van de aangeboden diensten en als deze beperkingen voor derden herkenbaar zijn, zijn verleners van vertrouwensdiensten niet aansprakelijk voor schade die ontstaat door gebruikmaking van diensten die de aangegeven beperkingen overschrijden.
3.  
De leden 1 en 2 worden toegepast volgens de nationale voorschriften inzake aansprakelijkheid.

▼M2

Artikel 14

Internationale aspecten

1.  
Vertrouwensdiensten verleend door in een derde land gevestigde verleners van vertrouwensdiensten of door een internationale organisatie worden rechtens erkend als gelijkwaardig aan gekwalificeerde vertrouwensdiensten verleend door gekwalificeerde, in de Unie gevestigde verleners van vertrouwensdiensten, indien de vertrouwensdiensten die afkomstig zijn uit het derde land of van de internationale organisatie worden erkend door middel van uitvoeringshandelingen of op grond van een overeenkomst tussen de Unie en het derde land of de internationale organisatie overeenkomstig artikel 218 VWEU.

De in de eerste alinea bedoelde uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

2.  
De in lid 1 bedoelde uitvoeringshandelingen en overeenkomst regelen dat de eisen die gelden voor gekwalificeerde verleners van vertrouwensdiensten die in de Unie zijn gevestigd en voor de gekwalificeerde vertrouwensdiensten die zij verlenen, worden nageleefd door de verleners van vertrouwensdiensten in het betrokken derde land of door de internationale organisatie en bij de vertrouwensdiensten die zij verlenen. Derde landen en internationale organisaties moeten met name een vertrouwenslijst van erkende verleners van vertrouwensdiensten opstellen, bijhouden en bekendmaken.
3.  
De in lid 1 bedoelde overeenkomst regelt dat de gekwalificeerde vertrouwensdiensten die worden verleend door in de Unie gevestigde gekwalificeerde verleners van vertrouwensdiensten, worden erkend als wettelijk gelijkwaardig aan vertrouwensdiensten van verleners van vertrouwensdiensten in het derde land of door de internationale organisatie waarmee de overeenkomst is gesloten.

Artikel 15

Toegankelijkheid voor personen met een handicap en bijzondere behoeften

Elektronische identificatiemiddelen, vertrouwensdiensten en eindgebruikersproducten die bij de verlening van die diensten worden gebruikt, worden beschikbaar gesteld in duidelijke en begrijpelijke taal, in overeenstemming met het Verdrag van de Verenigde Naties inzake de rechten van personen met een handicap en de toegankelijkheidseisen van Richtlijn (EU) 2019/882, zodat zij ook personen met functionele beperkingen, zoals ouderen, en personen met beperkte toegang tot digitale technologieën ten goede komen.

Artikel 16

Sancties

1.  
Onverminderd artikel 31 van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad ( 8 ) stellen de lidstaten de regels vast inzake de sancties die van toepassing zijn op inbreuken op deze verordening. Die sancties moeten doeltreffend, evenredig en afschrikkend zijn.
2.  

De lidstaten zorgen ervoor dat inbreuken op deze verordening door gekwalificeerde en niet-gekwalificeerde verleners van vertrouwensdiensten worden bestraft met administratieve boetes voor een maximumbedrag van ten minste:

a) 

5 000 000  EUR, indien de verlener van vertrouwensdiensten een natuurlijke persoon is, of

b) 

5 000 000  EUR of 1 % van de totale wereldwijde jaaromzet van de onderneming waartoe de verlener van vertrouwensdiensten behoorde in het boekjaar voorafgaand aan het jaar waarin de inbreuk plaatsvond, indien dat hoger is, indien de verlener van vertrouwensdiensten een rechtspersoon is.

3.  
Afhankelijk van het rechtsstelsel van de betrokken lidstaten kunnen de regels voor administratieve boetes zo worden toegepast dat de boete door het bevoegde toezichthoudende orgaan wordt geïnitieerd, en door de bevoegde nationale rechters wordt opgelegd. Bij de toepassing van dergelijke regels in die lidstaten wordt gewaarborgd dat de rechtsmiddelen doeltreffend zijn en hetzelfde effect hebben als rechtstreeks door toezichthoudende autoriteiten opgelegde administratieve boetes.

▼B

AFDELING 2

▼M2

Niet-gekwalificeerde vertrouwensdiensten

▼M2 —————

▼M1 —————

▼M2

Artikel 19 bis

Eisen aan niet-gekwalificeerde verleners van vertrouwensdiensten

1.  

Een niet-gekwalificeerde verlener van vertrouwensdiensten die niet-gekwalificeerde vertrouwensdiensten verleent:

a) 

voert een passend beleid en treft overeenkomstige maatregelen ter beheersing van juridische, zakelijke, operationele en andere directe of indirecte risico’s met betrekking tot de verlening van de niet-gekwalificeerde vertrouwensdienst, die niettegenstaande artikel 21 van Richtlijn (EU) 2022/2555, ten minste de maatregelen omvatten met betrekking tot:

i) 

de registratie en instapprocedures voor een vertrouwensdienst;

ii) 

procedurele of administratieve controles die nodig zijn om vertrouwensdiensten te verlenen;

iii) 

het beheer en de uitvoering van vertrouwensdiensten;

b) 

stelt het toezichthoudend orgaan, de identificeerbare getroffen personen, het publiek indien dit van algemeen belang is en, indien van toepassing, andere relevante bevoegde autoriteiten onverwijld en in elk geval uiterlijk 24 uur nadat hij of zij kennis heeft genomen van beveiligingsinbreuken of verstoringen, in kennis van beveiligingsinbreuken of verstoringen in de verlening van de dienst of de uitvoering van de maatregelen bedoeld in punt a), i), ii) of iii), die een aanzienlijk effect hebben op de verleende vertrouwensdienst of op de daarin bijgehouden persoonsgegevens.

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de toepassing van lid 1, punt a), van dit artikel. Indien die normen, specificaties en procedures worden nageleefd, wordt aangenomen dat er overeenstemming is met de in dit artikel bepaalde vereisten. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

AFDELING 3

Vertrouwensdiensten

Artikel 20

Toezicht op gekwalificeerde verleners van vertrouwensdiensten

▼M2

1.  
Gekwalificeerde verleners van vertrouwensdiensten worden ten minste eens in de 24 maanden op hun kosten aan een audit door een conformiteitsbeoordelingsinstantie onderworpen. Het doel van deze audit is te bevestigen dat de gekwalificeerde verleners van vertrouwensdiensten en de gekwalificeerde vertrouwensdiensten die door hen worden verleend, voldoen aan de in deze verordening en de in artikel 21 van Richtlijn (EU) 2022/2555 vastgelegde eisen. Gekwalificeerde verleners van vertrouwensdiensten leggen het conformiteitsbeoordelingsverslag binnen drie werkdagen na ontvangst aan het toezichthoudend orgaan voor.

▼M2

1 bis.  
Gekwalificeerde verleners van vertrouwensdiensten stellen het toezichthoudend orgaan ten minste één maand vóór geplande audits daarvan in kennis en staan het toezichthoudend orgaan op verzoek toe hieraan als waarnemer deel te nemen.
1 ter.  
De lidstaten stellen de Commissie onverwijld in kennis van de namen, adressen en accreditatiegegevens van de in lid 1 bedoelde conformiteitsbeoordelingsinstanties en van alle latere wijzigingen daarvan. De Commissie stelt die informatie beschikbaar aan alle lidstaten.

▼M2

2.  
Onverminderd lid 1 kan het toezichthoudend orgaan op elk tijdstip een audit houden van, of een conformiteitsbeoordelingsorgaan verzoeken om een conformiteitsbeoordeling uit te voeren ten aanzien van de gekwalificeerde verleners van vertrouwensdiensten, en dat op kosten van die verleners van vertrouwensdiensten, om te bevestigen dat zij en de door hen verleende gekwalificeerde vertrouwensdiensten voldoen aan de in deze verordening vastgestelde vereisten. Indien er sprake blijkt te zijn van een inbreuk op de regels voor de bescherming van persoonsgegevens brengt het toezichthoudend orgaan de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte bevoegde toezichthoudende autoriteiten onverwijld op de hoogte.
3.  
Indien de gekwalificeerde verlener van vertrouwensdiensten de vereisten van deze verordening niet naleeft, eist het toezichthoudend orgaan dat deze de niet-naleving rechtzet, binnen een bepaalde tijdspanne, indien van toepassing.

Bij ontstentenis van een rechtzetting en, indien van toepassing binnen de door het toezichthoudend orgaan bepaalde tijdspanne, kan het toezichthoudend orgaan, wanneer dit gerechtvaardigd is door in het bijzonder de mate, de duur en de gevolgen van die niet-naleving, de status „gekwalificeerd” van die verlener of van de door hem verleende betrokken dienst intrekken.

3 bis.  
Indien de uit hoofde van artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten het toezichthoudend orgaan ervan in kennis stellen dat de gekwalificeerde verlener van vertrouwensdiensten enig van de vereisten van artikel 21 van die richtlijn niet naleeft, trekt het toezichthoudend orgaan, wanneer dit gerechtvaardigd is door in het bijzonder de mate, de duur en de gevolgen van die niet-naleving, de status „gekwalificeerd” van die verlener of van de door hem verleende betrokken dienst in.
3 ter.  
Indien de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte toezichthoudende autoriteiten het toezichthoudend orgaan ervan in kennis stellen dat de gekwalificeerde verlener van vertrouwensdiensten enig van de vereisten van die verordening niet naleeft, trekt het toezichthoudend orgaan, wanneer dit gerechtvaardigd is door in het bijzonder de mate, de duur en de gevolgen van die niet-naleving, de status „gekwalificeerd” van die verlener of van de door hem verleende betrokken dienst in.
3 quater.  
Het toezichthoudend orgaan stelt de gekwalificeerde verlener van vertrouwensdiensten in kennis van het feit dat zijn of haar status van gekwalificeerde of de status „gekwalificeerd” van de betrokken dienst is ingetrokken. Het toezichthoudend orgaan stelt het orgaan waarover uit hoofde van artikel 22, lid 3, van deze verordening informatie is verstrekt, hiervan in kennis zodat de in lid 1 van dat artikel bedoelde vertrouwenslijsten bijgewerkt kunnen worden, evenals de uit hoofde van artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteit.
4.  

Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor:

a) 

de accreditering van de conformiteitsbeoordelingsinstanties en voor het conformiteitsbeoordelingsverslag bedoeld in lid 1;

b) 

de auditvereisten volgens welke de conformiteitsbeoordelingsinstanties hun conformiteitsbeoordeling, daaronder begrepen hun samengestelde beoordeling, van de gekwalificeerde verleners van vertrouwensdiensten, bedoeld in lid 1, uitvoeren;

c) 

de conformiteitsbeoordelingsregelingen volgens welke de conformiteitsbeoordelingsinstanties de conformiteitsbeoordeling van de gekwalificeerde verleners van vertrouwensdiensten uitvoeren en het in lid 1 bedoelde verslag uitbrengen.

De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 21

Aanvang voor het aanbieden van een gekwalificeerde vertrouwensdienst

▼M2

1.  
Indien verleners van vertrouwensdiensten het voornemen hebben gekwalificeerde vertrouwensdiensten te gaan verlenen, stellen zij het toezichthoudend orgaan in kennis van hun voornemen, en dienen zij een door een conformiteitsbeoordelingsinstantie afgegeven conformiteitsbeoordelingsverslag in waarin wordt bevestigd dat is voldaan aan de vereisten van deze verordening en van artikel 21 van Richtlijn (EU) 2022/2555.
2.  
Het toezichthoudend orgaan verifieert of de verlener van vertrouwensdiensten en de door hem verleende vertrouwensdiensten overeenkomstig de in deze verordening vastgestelde eisen zijn, en, in het bijzonder, conform de eisen die worden gesteld aan gekwalificeerde verleners van vertrouwensdiensten en aan de gekwalificeerde vertrouwensdiensten die zij verlenen.

Om te controleren of de verlener van vertrouwensdiensten de eisen van artikel 21 van Richtlijn (EU) 2022/2555 naleeft, verzoekt het toezichthoudend orgaan de uit hoofde van artikel 8, lid 1, van die richtlijn aangewezen of opgerichte bevoegde autoriteiten om toezichtmaatregelen ter zake uit te voeren en onverwijld en uiterlijk twee maanden na de ontvangst van dit verzoek informatie over de uitkomst te verstrekken. Indien de verificatie niet binnen twee maanden na de kennisgeving is afgerond, brengen die bevoegde autoriteiten het toezichthoudend orgaan op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie zal zijn afgerond.

Indien het toezichthoudend orgaan tot het oordeel komt dat de verlener van vertrouwensdiensten en de door hem verleende vertrouwensdiensten in overeenstemming zijn met de eisen van deze verordening, kent het toezichthoudend orgaan de status „gekwalificeerd” toe aan de verlener van vertrouwensdiensten en aan de door hem verleende vertrouwensdiensten en stelt het toezichthoudend orgaan het in artikel 22, lid 3, bedoelde orgaan hiervan in kennis, zodat de in artikel 22, lid 1, bedoelde vertrouwenslijsten bijgewerkt worden, en wel binnen drie maanden na kennisgeving overeenkomstig lid 1.

Indien de verificatie niet binnen drie maanden na de kennisgeving is afgerond, brengt het toezichthoudend orgaan de verlener van vertrouwensdiensten op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie afgerond zal zijn.

▼B

3.  
Gekwalificeerde verleners van vertrouwensdiensten mogen beginnen met het verlenen van de gekwalificeerde vertrouwensdienst nadat de status van gekwalificeerde is opgenomen in de in artikel 22, lid 1, bedoelde vertrouwenslijsten.

▼M2

4.  
Uiterlijk op 21 mei 2025 stelt de Commissie, voor de toepassing van de leden 1 en 2 van dit artikel, door middel van uitvoeringshandelingen de formaten en procedures vast voor de kennisgeving en de verificatie. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 22

Vertrouwenslijsten

1.  
Elke lidstaat stelt vertrouwenslijsten op met onder meer informatie over de gekwalificeerde verleners van vertrouwensdiensten waarvoor hij verantwoordelijk is, samen met informatie over de gekwalificeerde vertrouwensdiensten die door hen verleend worden, en hij houdt deze lijsten bij en maakt deze bekend.
2.  
De lidstaten dragen zorg voor het op een veilige manier opstellen, bijhouden en publiceren van elektronisch ondertekende of verzegelde vertrouwenslijsten, als bedoeld in lid 1, in een vorm die geschikt is voor automatische verwerking.
3.  
De lidstaten verschaffen de Commissie onverwijld informatie over het orgaan dat verantwoordelijk is voor het opstellen, onderhouden en publiceren van nationale vertrouwenslijsten en gegevens over waar deze lijsten gepubliceerd zijn, over het certificaat dat gebruikt wordt om de vertrouwenslijsten te ondertekenen of te verzegelen, en over alle wijzigingen daarin.
4.  
De Commissie maakt via een beveiligd kanaal de in lid 3 bedoelde informatie in elektronisch ondertekende of verzegelde en voor automatische verwerking geschikte vorm publiek beschikbaar.
5.  
Uiterlijk op 18 september 2015 specificeert de Commissie door middel van uitvoeringshandelingen de in lid 1 bedoelde informatie en omschrijft zij de technische specificaties en formaten van vertrouwenslijsten die gelden voor de toepassing van lid 1 tot en met 4. Deze uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

Artikel 23

Vertrouwensmerk van de EU voor gekwalificeerde vertrouwensdiensten

1.  
Nadat de in artikel 21, lid 2, tweede alinea, bedoelde status van gekwalificeerde is aangegeven op de in artikel 22, lid 1, bedoelde vertrouwenslijst, kunnen gekwalificeerde verleners van vertrouwensdiensten het vertrouwensmerk van de EU gebruiken om de gekwalificeerde vertrouwensdiensten die zij leveren op een eenvoudige, herkenbare en duidelijke manier aan te geven.
2.  
Wanneer gekwalificeerde dienstverleners gebruikmaken van het vertrouwensmerk van de EU voor de in lid 1 bedoelde gekwalificeerde vertrouwensdiensten, zorgen zij ervoor dat op hun website een koppeling naar de desbetreffende vertrouwenslijst beschikbaar is.
3.  
De Commissie bepaalt uiterlijk op 1 juli 2015, via uitvoeringshandelingen, de specificaties van het formulier, en in het bijzonder de presentatie, samenstelling, omvang en vormgeving van het vertrouwensmerk van de EU voor gekwalificeerde vertrouwensdiensten. Deze uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

Artikel 24

Eisen aan gekwalificeerde verleners van vertrouwensdiensten

▼M2

1.  
Wanneer een gekwalificeerde verlener van vertrouwensdiensten een gekwalificeerd certificaat of een gekwalificeerde elektronische attestering van attributen afgeeft, moet hij of zij de identiteit en in voorkomend geval de specifieke attributen verifiëren van de natuurlijke persoon of de rechtspersoon aan wie het gekwalificeerde certificaat of de gekwalificeerde elektronische attestering van attributen moet worden afgegeven.
1 bis.  

De in lid 1 bedoelde identiteitsverificatie wordt door de gekwalificeerde verlener van vertrouwensdiensten met daartoe geschikte middelen verricht, hetzij rechtstreeks, hetzij door een beroep te doen op een derde, op basis van een van de volgende methoden of indien nodig een combinatie daarvan, en conform de in lid 1 quater bedoelde uitvoeringshandelingen:

a) 

door middel van de Europese portemonnee voor digitale identiteit of een aangemeld elektronisch identificatiemiddel dat voldoet aan de vereisten van artikel 8 wat betreft het betrouwbaarheidsniveau „hoog”;

b) 

door middel van een certificaat van een gekwalificeerde elektronische handtekening of van een gekwalificeerd elektronisch zegel, afgegeven overeenkomstig punt a), c) of d);

c) 

door middel van andere identificatiemethoden ter waarborging van de identificatie van de persoon met een hoog niveau van vertrouwen, waarvan de overeenstemming wordt bevestigd door een conformiteitsbeoordelingsinstantie;

d) 

door de fysieke aanwezigheid van de natuurlijke persoon of van een gemachtigde vertegenwoordiger van de rechtspersoon, volgens passende bewijzen en procedures, overeenkomstig nationaal recht.

1 ter.  

De in lid 1 bedoelde verificatie van de attributen wordt door de gekwalificeerde verlener van vertrouwensdiensten met daartoe geschikte middelen verricht, hetzij rechtstreeks, hetzij door een beroep te doen op een derde, op basis van een van de volgende methoden of indien nodig op basis van een combinatie daarvan, overeenkomstig de in lid 1 quater bedoelde uitvoeringshandelingen:

a) 

door middel van de Europese portemonnee voor digitale identiteit of een aangemeld elektronisch identificatiemiddel dat voldoet aan de vereisten van artikel 8 wat betreft het betrouwbaarheidsniveau „hoog”;

b) 

door middel van een certificaat van een gekwalificeerde elektronische handtekening of van een gekwalificeerd elektronisch zegel, afgegeven overeenkomstig lid 1 bis, punt a), c) of d);

c) 

door middel van een gekwalificeerde elektronische attestering van attributen;

d) 

door middel van andere methoden ter waarborging van de verificatie van de attributen met een hoog niveau van vertrouwen, waarvan de overeenstemming wordt bevestigd door een conformiteitsbeoordelingsinstantie;

e) 

door de fysieke aanwezigheid van de natuurlijke persoon of van een gemachtigde vertegenwoordiger van de rechtspersoon, volgens passende bewijzen en procedures, overeenkomstig nationaal recht.

„1 quater.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de identiteits- en attributenverificatie overeenkomstig de leden 1, 1 bis en 1 ter van dit artikel. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.”;

▼B

2.  

Een gekwalificeerde verlener van vertrouwensdiensten die gekwalificeerde vertrouwensdiensten verleent:

▼M2

a) 

informeert het toezichthoudend orgaan ten minste één maand voor de doorvoering van een wijziging in de verlening van zijn gekwalificeerde vertrouwensdiensten of ten minste drie maanden in geval van een voornemen om die activiteiten te staken;

▼B

b) 

neemt personeelsleden, en, waar van toepassing, onderaannemers in dienst die over de noodzakelijke deskundigheid, betrouwbaarheid, ervaring, en kwalificaties beschikken, en die een passende opleiding hebben genoten met betrekking tot regels inzake beveiliging en bescherming van persoonsgegevens, en past administratieve en managementprocedures toe die voldoen aan Europese of internationale normen;

c) 

zorgt ervoor dat hij, in verband met het risico op de in artikel 13 bedoelde aansprakelijkheid voor schade, voldoende financiële middelen ter beschikking heeft en/of sluit, overeenkomstig het nationale recht, een toereikende aansprakelijkheidsverzekering af;

▼M2

d) 

verstrekt individueel aan personen die gebruik wensen te maken van een gekwalificeerde vertrouwensdienst duidelijke, volledige en gemakkelijk toegankelijke informatie in een voor het publiek toegankelijke plaats over de precieze voorwaarden betreffende het gebruik van die dienst, met inbegrip van eventuele beperkingen op het gebruik ervan, alvorens een contractuele verbintenis aan te gaan;

e) 

maakt gebruik van betrouwbare systemen en producten die beschermd zijn tegen wijziging en die de technische veiligheid en betrouwbaarheid waarborgen van de processen die zij ondersteunen, onder meer door gebruik te maken van passende cryptografische technieken;

▼B

f) 

maakt gebruik van betrouwbare systemen voor de opslag van aan hem verstrekte gegevens in verifieerbare vorm, zodat:

i) 

de gegevens uitsluitend publiek beschikbaar zijn indien de persoon op wie de gegevens betrekking hebben, hiervoor toestemming heeft gegeven,

ii) 

alleen bevoegde personen de opgeslagen gegevens kunnen invoeren en wijzigen,

iii) 

de authenticiteit van de gegevens kan worden gecontroleerd;

▼M2

f bis) 

voert, niettegenstaande artikel 21 van Richtlijn (EU) 2022/2555, passend beleid en treft overeenkomstige maatregelen om juridische, zakelijke, operationele en andere directe of indirecte risico’s met betrekking tot de verlening van de gekwalificeerde vertrouwensdienst te beheersen, waaronder ten minste maatregelen in verband met:

i) 

de registratie en instapprocedures voor een dienst;

ii) 

de procedurele of administratieve controles;

iii) 

het beheer en de uitvoering van diensten;

f ter) 

stelt het toezichthoudend orgaan, de identificeerbare getroffen personen, andere relevante bevoegde organen indien van toepassing en, op verzoek van het toezichthoudend orgaan, het publiek indien dit van algemeen belang is, onverwijld en in elk geval binnen 24 uur na het incident in kennis van beveiligingsinbreuken of verstoringen in de verlening van de dienst of de uitvoering van de maatregelen bedoeld in punt f bis, i), ii) of iii), die een aanzienlijk effect hebben op de verleende vertrouwensdienst of op de daarin bijgehouden persoonsgegevens;

▼M2

g) 

neemt passende maatregelen tegen vervalsing, diefstal of verduistering van gegevens, of het onrechtmatig wissen, wijzigen of ontoegankelijk maken van gegevens;

h) 

legt zo lang als nodig, nadat de gekwalificeerde verlener van vertrouwensdiensten zijn activiteiten heeft gestaakt, alle relevante informatie vast met betrekking tot de gegevens die de gekwalificeerde verlener van vertrouwensdiensten heeft afgegeven en ontvangen, en houdt die informatie toegankelijk, om ten behoeve van gerechtelijke procedures bewijzen te kunnen leveren en om de continuïteit van de dienst te waarborgen. Dit vastleggen mag elektronisch plaatsvinden;

i) 

heeft een geactualiseerd beëindigingsplan om de continuïteit van de dienst te verzekeren in overeenstemming met de door het toezichthoudend orgaan op grond van artikel 46 ter, lid 4, punt i), geverifieerde bepalingen;

▼M2 —————

▼B

k) 

legt, indien het gaat om gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde certificaten afgeven, een certificatendatabank aan en houdt deze actueel.

▼M2

Het toezichthoudend orgaan kan om informatie, anders dan de overeenkomstig punt a) van de eerste alinea verstrekte informatie, of het resultaat van een conformiteitsbeoordeling verzoeken en kan voorwaarden verbinden aan de toestemming voor het doorvoeren van de voorgenomen wijzigingen in de gekwalificeerde vertrouwensdiensten. Indien de verificatie niet binnen drie maanden na de kennisgeving is afgerond, brengt het toezichthoudend orgaan de verlener van vertrouwensdiensten op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie afgerond zal zijn.

▼B

3.  
Indien een gekwalificeerde verlener van vertrouwensdiensten die gekwalificeerde certificaten afgeeft, beslist een certificaat in te trekken, dan registreert hij deze intrekking in zijn certificatendatabank en maakt hij de ingetrokken status van het certificaat tijdig, en in elk geval binnen 24 uur na ontvangst van het verzoek, bekend. De intrekking wordt onmiddellijk na de bekendmaking ervan van kracht.
4.  
Wat lid 3 betreft, verstrekken gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde certificaten afgeven, aan elke vertrouwende partij informatie over de geldigheid of ingetrokken status van door hen afgegeven gekwalificeerde certificaten. Deze informatie is op elk moment, en ook na de geldigheidsduur van het certificaat, in ieder geval per certificaat beschikbaar in een geautomatiseerde vorm die betrouwbaar, kosteloos en efficiënt is.

▼M2

4 bis.  
De leden 3 en 4 zijn van overeenkomstige toepassing op de intrekking van gekwalificeerde elektronische attesteringen van attributen.
4 ter.  
De Commissie is bevoegd overeenkomstig artikel 47 gedelegeerde handelingen vast te stellen met daarin de in lid 2, punt f bis), van dit artikel bedoelde extra maatregelen.
5.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de in lid 2 van dit artikel bedoelde vereisten. Indien die normen, specificaties en procedures worden nageleefd, wordt aangenomen dat er overeenstemming is met de in dit lid bepaalde vereisten. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

Artikel 24 bis

Erkenning van gekwalificeerde vertrouwensdiensten

1.  
Een gekwalificeerde elektronische handtekening op basis van een in een lidstaat afgegeven gekwalificeerd certificaat, of een gekwalificeerde elektronische zegel op basis van een in een lidstaat afgegeven gekwalificeerd certificaat, wordt in alle andere lidstaten erkend als respectievelijk gekwalificeerde elektronische handtekening of gekwalificeerde elektronische zegel.
2.  
Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen en in een lidstaat gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische zegels, worden in alle andere lidstaten erkend als respectievelijk gekwalificeerde middelen voor het aanmaken van elektronische handtekening en gekwalificeerde middelen voor het aanmaken van elektronische zegels.
3.  
Een in een lidstaat verstrekt gekwalificeerd certificaat voor elektronische handtekeningen, een gekwalificeerd certificaat voor elektronische zegels, een gekwalificeerde vertrouwensdienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen en een gekwalificeerde vertrouwensdienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels, worden in alle andere lidstaten erkend als respectievelijk een gekwalificeerd certificaat voor elektronische handtekeningen, een gekwalificeerd certificaat voor elektronische zegels, een gekwalificeerde vertrouwensdienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen en een gekwalificeerde vertrouwensdienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels.
4.  
Een in een lidstaat verleende gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen en een gekwalificeerde valideringsdienst voor gekwalificeerde elektronische zegels, worden in alle andere lidstaten erkend als respectievelijk een gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen en een gekwalificeerde valideringsdienst voor gekwalificeerde elektronische zegels.
5.  
Een in een lidstaat verleende gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen en een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische zegels, wordt in alle andere lidstaten erkend als respectievelijk een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen en een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische zegels.
6.  
Een in een lidstaat afgegeven gekwalificeerd elektronisch tijdstempel wordt in alle andere lidstaten erkend als een gekwalificeerde elektronische tijdstempel.
7.  
Een in een lidstaat afgegeven gekwalificeerd certificaat voor websiteauthenticatie wordt in alle andere lidstaten erkend als een gekwalificeerd certificaat voor websiteauthenticatie.
8.  
Een in een lidstaat verleende gekwalificeerde dienst voor elektronisch aangetekende bezorging wordt in alle andere lidstaten erkend als een gekwalificeerde dienst voor elektronisch aangetekende bezorging.
9.  
Een in een lidstaat afgegeven gekwalificeerde elektronische attestering van attributen wordt in alle andere lidstaten erkend als een gekwalificeerde elektronische attestering van attributen.
10.  
Een in een lidstaat verleende gekwalificeerde elektronische archiveringsdienst wordt in alle andere lidstaten erkend als een gekwalificeerde elektronische archiveringsdienst.
11.  
Een in een lidstaat verstrekt gekwalificeerd elektronisch register wordt in alle andere lidstaten erkend als een gekwalificeerd elektronisch register.

▼B

AFDELING 4

Elektronische handtekeningen

Artikel 25

Rechtsgevolgen van elektronische handtekeningen

1.  
Het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet.
2.  
Een gekwalificeerde elektronische handtekening heeft hetzelfde rechtsgevolg als een handgeschreven handtekening.

▼M2 —————

▼B

Artikel 26

Eisen voor geavanceerde elektronische handtekeningen

►M2   ◄

Een geavanceerde elektronische handtekening voldoet aan de volgende eisen:

a) 

zij is op unieke wijze aan de ondertekenaar verbonden;

b) 

zij maakt het mogelijk de ondertekenaar te identificeren;

c) 

zij komt tot stand met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken, en

d) 

zij is op zodanige wijze aan de daarmee ondertekende gegevens verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.

▼M2

2.  
Uiterlijk op 21 mei 2026 beoordeelt de Commissie of uitvoeringshandelingen moeten worden vastgesteld met daarin een lijst met referentienormen en, waar nodig, specificaties en procedures voor geavanceerde elektronische handtekeningen. Op basis van die beoordeling kan de Commissie dergelijke uitvoeringshandelingen vaststellen. Indien een geavanceerde elektronische handtekening aan de toepasselijke normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de eisen voor geavanceerde elektronische handtekeningen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 27

Elektronische handtekeningen in openbare diensten

1.  
Indien een lidstaat een geavanceerde elektronische handtekening vereist voor het gebruik van een door of namens een openbare instantie aangeboden onlinedienst, erkent die lidstaat geavanceerde elektronische handtekeningen, geavanceerde elektronische handtekeningen gebaseerd op een gekwalificeerd certificaat voor elektronische handtekeningen, en gekwalificeerde elektronische handtekeningen, op zijn minst in de formaten of gebruikmakend van methoden die zijn gedefinieerd in de in lid 5 bedoelde uitvoeringshandelingen.
2.  
Indien een lidstaat een op een gekwalificeerd certificaat gebaseerde geavanceerde elektronische handtekening vereist voor het gebruik van een door of namens een openbare instantie aangeboden onlinedienst, erkent die lidstaat geavanceerde elektronische handtekeningen gebaseerd op een gekwalificeerd certificaat en gekwalificeerde elektronische handtekeningen, op zijn minst in de formaten of gebruikmakend van de methoden die zijn gedefinieerd in de in lid 5 bedoelde uitvoeringshandelingen.
3.  
De lidstaten vereisen voor grensoverschrijdend gebruik bij een door een openbare instantie aangeboden onlinedienst geen elektronische handtekening van een hoger betrouwbaarheidsniveau dan een gekwalificeerde elektronische handtekening.

▼M2 —————

▼B

5.  
Uiterlijk op 18 september 2015, rekening houdend met bestaande praktijken, normen en rechtshandelingen van de Unie, definieert de Commissie door middel van uitvoeringshandelingen referentieformaten van geavanceerde elektronische handtekeningen of referentiemethoden wanneer alternatieve formaten worden gebruikt. Deze uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 28

Gekwalificeerde certificaten voor elektronische handtekeningen

1.  
Gekwalificeerde certificaten voor elektronische handtekeningen voldoen aan de in bijlage I vastgestelde eisen.
2.  
Voor gekwalificeerde certificaten voor elektronische handtekeningen gelden geen dwingende eisen die strenger zijn dan de in bijlage I vastgestelde eisen.
3.  
Gekwalificeerde certificaten voor elektronische handtekeningen kunnen facultatieve aanvullende specifieke attributen hebben. Die attributen hebben geen invloed op de interoperabiliteit en de erkenning van gekwalificeerde elektronische handtekeningen.
4.  
Indien een gekwalificeerd certificaat voor elektronische handtekeningen na initiële activering wordt ingetrokken, verliest het zijn geldigheid vanaf het moment van de intrekking en kan de status ervan in geen geval worden hersteld.
5.  

Behoudens de hierna volgende voorwaarden kunnen lidstaten nationale regels vaststellen inzake de tijdelijke schorsing van een gekwalificeerd certificaat voor elektronische handtekeningen:

a) 

indien een gekwalificeerd certificaat voor elektronische handtekeningen tijdelijk is geschorst, verliest dit certificaat gedurende de periode van de schorsing zijn geldigheid;

b) 

de periode van schorsing wordt duidelijk aangegeven in de certificatendatabank en de schorsingsstatus is, gedurende de schorsingsperiode, zichtbaar vanuit de dienst die informatie over de status van het certificaat geeft.

▼M2

6.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor gekwalificeerde certificaten voor elektronische handtekeningen. Indien een gekwalificeerd certificaat voor elektronische handtekeningen aan de toepasselijke normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in bijlage I vastgelegde eisen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 29

Eisen voor gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen

1.  
Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen dienen te voldoen aan de in bijlage II vastgestelde eisen.

▼M2

1 bis.  
Het genereren of beheren van de gegevens voor het aanmaken van elektronische handtekeningen of het dupliceren van dergelijke gegevens voor back-updoeleinden mag alleen worden uitgevoerd namens de ondertekenaar, op verzoek van de ondertekenaar, en door een gekwalificeerde verlener van vertrouwensdiensten die een gekwalificeerde vertrouwensdienst voor het beheer van een gekwalificeerd middel voor het op afstand aanmaken van elektronische handtekeningen verleent.

▼B

2.  
De Commissie kan door middel van uitvoeringshandelingen referentienummers vaststellen voor normen inzake gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen. Indien een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen aan dergelijke normen voldoet, wordt aangenomen dat er overeenstemming is met de in bijlage II vastgestelde eisen. Deze uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

▼M2

Artikel 29 bis

Eisen voor een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen

1.  

Het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen als gekwalificeerde vertrouwensdienst mag alleen worden uitgevoerd door een gekwalificeerde verlener van vertrouwensdiensten die:

a) 

gegevens voor het aanmaken van elektronische handtekeningen namens de ondertekenaar genereert of beheert;

b) 

niettegenstaande punt 1, d), van bijlage II, de gegevens voor het aanmaken van elektronische handtekeningen alleen voor back-updoeleinden dupliceert, op voorwaarde dat aan de volgende eisen wordt voldaan:

i) 

de beveiliging van de gedupliceerde gegevensverzamelingen moet van hetzelfde niveau zijn als de beveiliging van de originele gegevensverzamelingen;

ii) 

het aantal gedupliceerde gegevensverzamelingen mag niet hoger zijn dan het minimum dat nodig is om de continuïteit van de dienst te waarborgen;

c) 

aan de voorwaarden uit het certificeringsverslag van het overeenkomstig artikel 30 afgegeven specifieke middel voor het op afstand aanmaken van gekwalificeerde elektronische handtekeningen voldoet.

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie voor de toepassing van lid 1 van dit artikel door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 30

Certificering van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen

1.  
De overeenstemming van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen met de in bijlage II vastgestelde eisen wordt gecertificeerd door geschikte, daartoe door de lidstaten aangewezen openbare of private organen.
2.  
De lidstaten verstrekken aan de Commissie de namen en adressen van de in lid 1 bedoelde openbare of private organen. De Commissie stelt deze informatie beschikbaar aan de lidstaten.
3.  

De in lid 1 bedoelde certificering is gebaseerd op een van de volgende elementen:

a) 

een veiligheidsbeoordeling uitgevoerd in overeenstemming met een van de normen inzake de veiligheidsbeoordeling van producten op het gebied van informatietechnologie die zijn opgenomen in de overeenkomstig de tweede alinea vastgestelde lijst, of

b) 

een ander proces dan het in punt a) vermelde, op voorwaarde dat dit proces vergelijkbare beveiligingsniveaus hanteert, en dat het in lid 1 bedoelde openbare of private orgaan de Commissie van het proces in kennis stelt. Dat proces mag alleen worden gebruikt als er geen in punt a) bedoelde normen zijn of wanneer een in punt a) bedoelde veiligheidsbeoordeling gaande is.

De Commissie stelt door middel van uitvoeringshandelingen een lijst vast voor de veiligheidsbeoordeling van producten op het gebied van onder a) bedoelde informatietechnologie. Deze uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

3 bis.  
De in lid 1 bedoelde certificering is niet langer dan vijf jaar geldig, op voorwaarde dat er elke twee jaar een kwetsbaarheidsbeoordelingen worden uitgevoerd. Indien kwetsbaarheden worden vastgesteld die niet worden verholpen, wordt de certificering geannuleerd.

▼B

4.  
De Commissie is bevoegd overeenkomstig artikel 47 gedelegeerde handelingen vast te stellen met betrekking tot het opstellen van specifieke criteria waaraan de aangewezen organen zoals bedoeld in lid 1 van dit artikel moeten voldoen.

Artikel 31

Publicatie van een lijst van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen

1.  
De lidstaten verstrekken de Commissie onverwijld, en uiterlijk één maand na het voltooien van de certificering, informatie over gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen die zijn gecertificeerd door de organen zoals bedoeld in artikel 30, lid 1. Zij bezorgen de Commissie ook onverwijld, en uiterlijk één maand na het annuleren van de certificering, informatie over middelen voor het aanmaken van elektronische handtekeningen die niet meer gecertificeerd zijn.
2.  
De Commissie stelt op basis van de ontvangen informatie een lijst op van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen, publiceert deze lijst en houdt haar bij.

▼M2

3.  
Uiterlijk op 21 mei 2025 stelt de Commissie voor de toepassing van lid 1 van dit artikel door middel van uitvoeringshandelingen de nodige formaten en procedures vast. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 32

Eisen voor de validering van gekwalificeerde elektronische handtekeningen

1.  

Het valideringsproces voor een gekwalificeerde elektronische handtekening bevestigt de geldigheid van een gekwalificeerde elektronische handtekening, op voorwaarde dat:

a) 

het certificaat dat de handtekening ondersteunt op het tijdstip van ondertekening een gekwalificeerd certificaat voor elektronische handtekeningen was overeenkomstig bijlage I;

b) 

het gekwalificeerd certificaat werd afgegeven door een gekwalificeerd verlener van vertrouwensdiensten en op het tijdstip van ondertekening geldig was;

c) 

de gegevens voor het valideren van de handtekening overeenstemmen met de gegevens die aan de vertrouwende partij zijn verstrekt;

d) 

de unieke reeks gegevens die in het certificaat verwijst naar de ondertekenaar, correct wordt doorgegeven aan de vertrouwende partij;

e) 

de vertrouwende partij duidelijk wordt gewezen op het eventuele gebruik van een pseudoniem op het tijdstip van ondertekening;

f) 

de elektronische handtekening werd aangemaakt met behulp van een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen;

g) 

de integriteit van de ondertekende gegevens niet is aangetast;

h) 

op het tijdstip van ondertekening voldaan was aan de in artikel 26, bedoelde eisen.

▼M2

Indien de validering van gekwalificeerde elektronische handtekeningen aan de in lid 3 bedoelde normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in de eerste alinea van dit lid vastgelegde eisen.

▼B

2.  
Het systeem dat is gebruikt voor het valideren van de gekwalificeerde elektronische handtekening verstrekt het juiste resultaat van het valideringsproces aan de vertrouwende partij en stelt deze in de gelegenheid om veiligheidsproblemen te identificeren.

▼M2

3.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de validering van gekwalificeerde elektronische handtekeningen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

Artikel 32 bis

Eisen voor de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten

1.  

Het valideringsproces voor een geavanceerde elektronische handtekening op basis van een gekwalificeerd certificaat bevestigt de geldigheid van een geavanceerde elektronische handtekening op basis van een gekwalificeerd certificaat, op voorwaarde dat:

a) 

het certificaat dat de handtekening ondersteunt, op het tijdstip van ondertekening een gekwalificeerd certificaat voor elektronische handtekeningen was overeenkomstig bijlage I;

b) 

het gekwalificeerd certificaat is afgegeven door een gekwalificeerd verlener van vertrouwensdiensten en op het tijdstip van ondertekening geldig was;

c) 

de gegevens voor de validering van de handtekening overeenstemmen met de gegevens die aan de vertrouwende partij zijn verstrekt;

d) 

de unieke reeks gegevens die in het certificaat verwijst naar de ondertekenaar, correct wordt doorgegeven aan de vertrouwende partij;

e) 

de vertrouwende partij duidelijk wordt gewezen op het eventuele gebruik van een pseudoniem op het tijdstip van ondertekening;

f) 

de integriteit van de ondertekende gegevens niet is aangetast;

g) 

op het tijdstip van ondertekening voldaan was aan de in artikel 26 bedoelde eisen.

2.  
Het systeem dat is gebruikt voor de validering van de geavanceerde elektronische handtekening op basis van een gekwalificeerd certificaat verstrekt het juiste resultaat van het valideringsproces aan de vertrouwende partij en stelt deze in de gelegenheid veiligheidsproblemen te identificeren.
3.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten. Indien de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten aan de toepasselijke normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in lid 1 van dit artikel vastgelegde eisen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 33

Gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen

1.  

Een gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen kan uitsluitend worden verleend door een gekwalificeerde verlener van vertrouwensdiensten die:

a) 

validering verstrekt overeenkomstig artikel 32, lid 1, en

b) 

de vertrouwende partijen in staat stelt om het resultaat van het valideringsproces op een geautomatiseerde, betrouwbare en efficiënte manier, voorzien van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de verlener van de gekwalificeerde valideringsdienst, te ontvangen.

▼M2

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de in lid 1 van dit artikel bedoelde gekwalificeerde valideringsdienst. Indien de gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen aan de toepasselijke normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in lid 1 van dit artikel vastgelegde eisen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 34

Gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen

1.  
Een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen kan uitsluitend worden verleend door een gekwalificeerde verlener van vertrouwensdiensten die procedures en technologieën hanteert welke het mogelijk maken de betrouwbaarheid van de gekwalificeerde elektronische handtekeningen te verlengen tot na de technologische geldigheidsduur.

▼M2

1 bis.  
Indien de voorzieningen voor de gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen aan de in lid 2 bedoelde normen, specificaties en procedures voldoen, wordt aangenomen dat er overeenstemming is met de in lid 1 vastgelegde eisen.

▼M2

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

AFDELING 5

Elektronische zegels

Artikel 35

Rechtsgevolgen van elektronische zegels

1.  
Het rechtsgevolg van een elektronisch zegel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het zegel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische zegels voldoet.
2.  
Voor een gekwalificeerd elektronisch zegel geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens waaraan het gekwalificeerd elektronisch zegel is verbonden.

▼M2 —————

▼B

Artikel 36

Eisen voor geavanceerde elektronische zegels

►M2   ◄

Een geavanceerd elektronisch zegel voldoet aan de volgende eisen:

a) 

het is op unieke wijze aan de aanmaker van het zegel verbonden;

b) 

het maakt het mogelijk de aanmaker van het zegel te identificeren;

c) 

het komt tot stand met gebruikmaking van gegevens voor het aanmaken van elektronische zegels die de aanmaker van het zegel met een hoog vertrouwensniveau onder zijn controle kan gebruiken voor het aanmaken van elektronische zegels;

d) 

het is op zodanige wijze aan de gegevens waarop zij betrekking heeft verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.

▼M2

2.  
Uiterlijk op 21 mei 2026 beoordeelt de Commissie of uitvoeringshandelingen moeten worden vastgesteld met daarin een lijst met referentienormen en, waar nodig, specificaties en procedures voor geavanceerde elektronische zegels. Op basis van die beoordeling kan de Commissie dergelijke uitvoeringshandelingen vaststellen. Indien een geavanceerde elektronische zegel aan die normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de eisen voor geavanceerde elektronische zegels. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 37

Elektronische zegels in openbare diensten

1.  
Indien een lidstaat een geavanceerd elektronisch zegel vereist voor het gebruik van een door of namens een openbare instantie aangeboden onlinedienst, erkent die lidstaat geavanceerde elektronische zegels, geavanceerde elektronische zegels gebaseerd op een gekwalificeerd certificaat voor elektronische zegels en gekwalificeerde elektronische zegels, op zijn minst in de formaten of gebruikmakend van methoden die zijn gedefinieerd in de in lid 5 bedoelde uitvoeringshandelingen.
2.  
Indien een lidstaat een op een gekwalificeerd certificaat gebaseerd geavanceerd elektronisch zegel vereist voor het gebruik van een door of namens een openbare instantie aangeboden onlinedienst, erkent die lidstaat geavanceerde elektronische zegels gebaseerd op een gekwalificeerd certificaat en gekwalificeerde elektronische zegels, op zijn minst in de formaten of gebruikmakend van methoden die zijn gedefinieerd in de in lid 5 bedoelde uitvoeringshandelingen.
3.  
De lidstaten vragen voor grensoverschrijdend gebruik bij een door een openbare instantie aangeboden onlinedienst geen elektronisch zegel van een hoger betrouwbaarheidsniveau dan het gekwalificeerde elektronische zegel.

▼M2 —————

▼B

5.  
Uiterlijk op 18 september 2015, en rekening houdend met bestaande praktijken, normen en rechtshandelingen van de Unie, definieert de Commissie door middel van uitvoeringshandelingen referentieformaten van geavanceerde elektronische zegels of referentiemethoden indien alternatieve formaten worden gebruikt. Deze uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 38

Gekwalificeerde certificaten voor elektronische zegels

1.  
Gekwalificeerde certificaten voor elektronische zegels voldoen aan de in bijlage III vastgestelde eisen.
2.  
Voor gekwalificeerde certificaten voor elektronische zegels gelden geen dwingende eisen die strenger zijn dan de in bijlage III vastgestelde eisen.
3.  
Gekwalificeerde certificaten voor elektronische zegels kunnen facultatieve aanvullende specifieke attributen hebben. Die attributen hebben geen invloed op de interoperabiliteit en de erkenning van gekwalificeerde elektronische zegels.
4.  
Indien een gekwalificeerd certificaat voor elektronische zegels na initiële activering wordt ingetrokken, verliest het zijn geldigheid vanaf het moment van de intrekking en kan de status ervan in geen geval worden hersteld.
5.  

Behoudens de hierna volgende voorwaarden kunnen lidstaten nationale regels vaststellen inzake de tijdelijke schorsing van gekwalificeerde certificaten voor elektronische zegels:

a) 

indien een gekwalificeerd certificaat voor elektronische zegels tijdelijk is geschorst, verliest dit certificaat gedurende de periode van de schorsing zijn geldigheid;

b) 

de periode van schorsing wordt duidelijk aangegeven in de certificatendatabank en de schorsingsstatus is, gedurende de schorsingsperiode, zichtbaar vanuit de dienst die informatie geeft over de status van het certificaat.

▼M2

6.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor gekwalificeerde certificaten voor elektronische zegels. Indien een gekwalificeerd certificaat voor elektronische zegels aan die normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in bijlage III vastgelegde eisen. Die uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

Artikel 39

Gekwalificeerde middelen voor het aanmaken van elektronische zegels

1.  
Artikel 29 is van overeenkomstige toepassing op eisen voor gekwalificeerde middelen voor het aanmaken van elektronische zegels.
2.  
Artikel 30 is van overeenkomstige toepassing op de certificatie van gekwalificeerde middelen voor het aanmaken van elektronische zegels.
3.  
Artikel 31 is van overeenkomstige toepassing op de publicatie van een lijst van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische zegels.

▼M2

Artikel 39 bis

Eisen voor een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels

Artikel 29 bis is van overeenkomstige toepassing op een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels.

▼B

Artikel 40

Validering en bewaring van gekwalificeerde elektronische zegels

De artikelen 32, 33 en 34 zijn van overeenkomstige toepassing op de validering en bewaring van gekwalificeerde elektronische zegels.

▼M2

Artikel 40 bis

Eisen voor de validering van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten

Artikel 32 bis is van overeenkomstige toepassing op de validering van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten.

▼B

AFDELING 6

Elektronisch tijdstempel

Artikel 41

Rechtsgevolg van elektronische tijdstempels

1.  
Het rechtsgevolg van een elektronisch tijdstempel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het stempel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische tijdstempels voldoet.
2.  
Voor een gekwalificeerd elektronisch tijdstempel geldt het vermoeden van de juistheid van de aangegeven datum en het aangegeven tijdstip, en van de integriteit van de gegevens waaraan de datum en het tijdstip zijn gekoppeld.

▼M2 —————

▼B

Artikel 42

Eisen voor gekwalificeerde elektronische tijdstempels

1.  

Een gekwalificeerd elektronisch tijdstempel voldoet aan de volgende eisen:

a) 

het tijdstempel koppelt de datum en het tijdstip op zodanige wijze aan gegevens dat onmerkbare wijziging van de gegevens redelijkerwijs kan worden uitgesloten;

b) 

het stempel is gebaseerd op een nauwkeurige tijdsbron die aan de gecoördineerde universele tijd gekoppeld is; en

c) 

het stempel wordt ondertekend met behulp van een geavanceerde elektronische handtekening of verzegeld met een geavanceerd elektronisch zegel van de gekwalificeerde verlener van vertrouwensdiensten, of met behulp van een andere gelijkwaardige methode.

▼M2

1 bis.  
Indien de koppeling van datum en tijdstip aan gegevens en de nauwkeurigheid van de tijdsbron aan de in lid 2 bedoelde normen, specificaties en procedures voldoen, wordt aangenomen dat er overeenstemming is met de in lid 1 vastgelegde eisen.

▼M2

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de koppeling van datum en tijdstip aan gegevens en voor de vaststelling van de nauwkeurigheid van tijdsbronnen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

AFDELING 7

Diensten voor elektronisch aangetekende bezorging

Artikel 43

Rechtsgevolg van een dienst voor elektronisch aangetekende bezorging

1.  
Het rechtsgevolg en toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van gegevens die via een dienst voor elektronisch aangetekende bezorging verstuurd en ontvangen worden, mogen niet worden ontkend louter op grond van het feit dat de dienst elektronisch is of niet aan de eisen voor de gekwalificeerde dienst voor elektronisch aangetekende bezorging voldoet.
2.  
Voor gegevens die via een gekwalificeerde dienst voor elektronisch aangetekende bezorging worden verstuurd en ontvangen, geldt het vermoeden van integriteit van de gegevens, van de verzending van die gegevens door de geïdentificeerde afzender, van de ontvangst daarvan door de geïdentificeerde geadresseerde, en van de nauwkeurigheid van de datum en het tijdstip van verzending en van ontvangst, zoals aangegeven door de gekwalificeerde dienst voor elektronisch aangetekende bezorging.

Artikel 44

Eisen voor gekwalificeerde diensten voor elektronisch aangetekende bezorging

1.  

Gekwalificeerde diensten voor elektronisch aangetekende bezorging voldoen aan de volgende eisen:

a) 

zij worden verleend door een of meer gekwalificeerde verleners van vertrouwensdiensten;

b) 

zij bevestigen op een hoog vertrouwensniveau de identiteit van de zender;

c) 

zij bevestigen de identiteit van de geadresseerde, alvorens de gegevens te bezorgen;

d) 

het verzenden en ontvangen van gegevens wordt beveiligd door een geavanceerde elektronische handtekening of een geavanceerd elektronisch zegel van een gekwalificeerde verlener van vertrouwensdiensten, en wel op zodanige wijze dat onmerkbare wijziging van gegevens kan worden uitgesloten;

e) 

de verzender en de geadresseerde van de gegevens worden op duidelijke wijze in kennis gesteld van eventuele wijzigingen van de gegevens die nodig zijn voor het verzenden of ontvangen van de gegevens;

f) 

de datum en het tijdstip van verzenden, ontvangen en wijzigen van gegevens worden aangegeven met een gekwalificeerd elektronisch tijdstempel.

Wanneer gegevens overgedragen worden tussen twee of meer gekwalificeerde verleners van vertrouwensdiensten, zijn de eisen onder a) tot en met f) van toepassing op alle gekwalificeerde verleners van vertrouwensdiensten.

▼M2

1 bis.  
Indien het proces voor het verzenden en ontvangen van gegevens aan de in lid 2 bedoelde normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in lid 1 vastgelegde eisen.

▼M2

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor processen voor het verzenden en ontvangen van gegevens. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

2 bis.  
Verleners van gekwalificeerde diensten voor elektronisch aangetekende bezorging kunnen een akkoord bereiken over interoperabiliteit van de gekwalificeerde diensten voor elektronisch aangetekende bezorging die zij verlenen. Een dergelijk interoperabiliteitskader voldoet aan de in lid 1 vastgelegde eisen, hetgeen wordt bevestigd door een conformiteitsbeoordelingsinstantie.
2 ter.  
De Commissie kan, door middel van uitvoeringshandelingen, een lijst met referentienormen en, waar nodig, specificaties en procedures vaststellen voor het in lid 2 bis van dit artikel bedoelde interoperabiliteitskader. De technische specificaties en de inhoud van de normen zijn kosteneffectief en evenredig. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

AFDELING 8

Authenticatie van websites

▼M2

Artikel 45

Eisen voor gekwalificeerde certificaten voor websiteauthenticatie

1.  
Gekwalificeerde certificaten voor websiteauthenticatie voldoen aan de eisen van bijlage IV. De evaluatie van de overeenstemming met die eisen wordt uitgevoerd overeenkomstig de in lid 2 van dit artikel bedoelde normen, specificaties en procedures.
1 bis.  
De overeenkomstig lid 1 van dit artikel afgegeven gekwalificeerde certificaten voor websiteauthenticatie worden erkend door aanbieders van webbrowsers. Aanbieders van webbrowsers moeten ervoor zorgen dat de in het certificaat geattesteerde identiteitsgegevens en aanvullende geattesteerde attributen op gebruiksvriendelijke wijze worden weergegeven. Aanbieders van webbrowsers moeten zorgen voor ondersteuning van en interoperabiliteit met de in lid 1 van dit artikel bedoelde gekwalificeerde certificaten voor websiteauthenticatie, met uitzondering van micro- of kleine ondernemingen zoals gedefinieerd in artikel 2 van de bijlage bij Aanbeveling 2003/361/EG tijdens de eerste vijf jaar waarin zij actief zijn als aanbieders van webbrowserdiensten.
1 ter.  
Voor gekwalificeerde certificaten voor websiteauthenticatie gelden geen andere dwingende eisen dan de in lid 1 vastgelegde eisen.
2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de in lid 1 van dit artikel bedoelde gekwalificeerde certificaten voor websiteauthenticatie. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼M2

Artikel 45 bis

Voorzorgsmaatregelen op het gebied van cyberbeveiliging

1.  
Aanbieders van webbrowsers mogen geen maatregelen nemen die in strijd zijn met hun verplichtingen uit hoofde van artikel 45, met name de eis om gekwalificeerde certificaten voor websiteauthenticatie te erkennen en de verstrekte identiteitsgegevens op een gebruiksvriendelijke wijze weer te geven.
2.  
In afwijking van lid 1 en alleen in geval van concrete aanwijzingen voor inbreuken op de beveiliging of het verlies van integriteit van een geïdentificeerd certificaat of reeks van certificaten, kunnen aanbieders van webbrowsers voorzorgsmaatregelen treffen voor dat certificaat of die reeks certificaten.
3.  
Indien een aanbieder van een webbrowser krachtens lid 2 voorzorgsmaatregelen heeft genomen, stelt de aanbieder van de webbrowser de Commissie, het bevoegde toezichthoudende orgaan, de entiteit waaraan het certificaat was afgegeven en de gekwalificeerde verlener van vertrouwensdiensten die het certificaat of de reeks certificaten heeft afgegeven onverwijld schriftelijk in kennis van zijn aanwijzingen, waarbij hij beschrijft welke maatregelen zijn genomen om de situatie te verhelpen. Na ontvangst van een dergelijke kennisgeving stuurt de bevoegde toezichthoudende instantie een ontvangstbevestiging naar de aanbieder van de webbrowser in kwestie.
4.  
Het bevoegde toezichthoudende orgaan onderzoekt overeenkomstig artikel 46 ter, lid 4, punt k), de in de kennisgeving aan de orde gestelde kwesties. Indien dat onderzoek niet leidt tot de intrekking van de status van gekwalificeerd certificaat, brengt het toezichthoudende orgaan de aanbieder van de webbrowser hiervan op de hoogte en verzoekt zij die aanbieder de in lid 2 van dit artikel bedoelde voorzorgsmaatregelen te beëindigen.

AFDELING 9

Elektronische attestering van attributen

Artikel 45 ter

Rechtsgevolgen van elektronische attestering van attributen

1.  
Het rechtsgevolg van een elektronische attestering van attributen of de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat de attestering elektronisch is of niet aan de eisen voor gekwalificeerde elektronische attesteringen van attributen voldoet.
2.  
Een gekwalificeerde elektronische attestering van attributen en attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, hebben dezelfde rechtsgevolgen als rechtmatig afgegeven attesteringen op papier.
3.  
Een attestering van attributen uitgegeven door of namens een openbare instantie die in één lidstaat verantwoordelijk is voor een authentieke bron, wordt in alle lidstaten erkend als een attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron.

Artikel 45 quater.

Elektronische attestering van attributen in publieke diensten

Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht om toegang te krijgen tot een door een openbare instantie aangeboden onlinedienst, vervangen de persoonsidentificatiegegevens in de elektronische attestering van attributen niet de elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie voor elektronische identificatie, tenzij de lidstaat daarvoor uitdrukkelijk toestemming heeft verleend. In een dergelijk geval wordt een gekwalificeerde elektronische attestering van attributen van andere lidstaten ook aanvaard.

Artikel 45 quinquies

Eisen voor gekwalificeerde elektronische attestering van attributen

1.  
Gekwalificeerde elektronische attesteringen van attributen voldoen aan de in bijlage V vastgestelde eisen.
2.  
De evaluatie van de overeenstemming met de eisen van bijlage V wordt uitgevoerd overeenkomstig de in lid 5 van dit artikel bedoelde normen, specificaties en procedures.
3.  
Voor gekwalificeerde elektronische attesteringen van attributen gelden geen dwingende eisen naast de in bijlage V vastgestelde eisen.
4.  
Indien een gekwalificeerde elektronische attestering van attributen na initiële afgifte wordt ingetrokken, verliest de attestering haar geldigheid vanaf het moment van de intrekking en kan de status ervan in geen geval worden hersteld.
5.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor gekwalificeerde elektronische attesteringen van attributen. De uitvoeringshandelingen stemmen overeen met de in artikel 5 bis, lid 23, bedoelde uitvoeringshandelingen betreffende de uitvoering van de Europese portemonnee voor digitale identiteit. Zij worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

Artikel 45 sexies

Verificatie van attributen aan de hand van authentieke bronnen

1.  
De lidstaten waarborgen binnen 24 maanden na de datum van inwerkingtreding van de in artikel 5 bis, lid 23, en artikel 5 quater, lid 6, bedoelde uitvoeringshandelingen dat er, ten minste voor de in bijlage VI vermelde attributen, voor zover die authentieke bronnen binnen de publieke sector gebruiken, maatregelen worden genomen zodat gekwalificeerde verleners van vertrouwensdiensten elektronische attesteringen van attributen afgeven die attributen langs elektronische weg kunnen verifiëren op verzoek van de gebruiker, overeenkomstig het Unie- of nationaal recht.
2.  
Uiterlijk op 21 november 2024 stelt de Commissie, rekening houdend met de toepasselijke internationale normen, door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de catalogus van attributen en regelingen voor de attestering van attributen en verificatieprocedures voor gekwalificeerde elektronische attesteringen van attributen voor de toepassing van lid 1 van dit artikel. De uitvoeringshandelingen stemmen overeen met de in artikel 5 bis, lid 23, bedoelde uitvoeringshandelingen betreffende de uitvoering van de Europese portemonnee voor digitale identiteit. Zij worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

Artikel 45 septies

Eisen voor elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron

1.  

Een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, voldoet aan de volgende eisen:

a) 

die van bijlage VII;

b) 

het gekwalificeerde certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of de gekwalificeerde elektronische zegel van de in artikel 3, punt 46, bedoelde openbare instantie die is geïdentificeerd als de in punt b), van bijlage VII bedoelde afgever, bevat een specifieke reeks gecertificeerde attributen in een voor automatische verwerking geschikte vorm en:

i) 

waaruit blijkt dat overeenkomstig Unie- of nationaal recht is vastgesteld dat de afgevende instantie de verantwoordelijke instantie is voor de authentieke bron op basis waarvan de elektronische attestering van attributen is uitgegeven of de instantie die is aangewezen om namens haar op te treden;

ii) 

die een reeks gegevens bevat die ondubbelzinnig naar de in punt i) bedoelde authentieke bron verwijzen, en

iii) 

waarin wordt verwezen naar het in punt i) bedoelde Unie- of nationaal recht.

2.  
De lidstaat waar de in artikel 3, punt 46, bedoelde openbare instanties zijn gevestigd, zorgt ervoor dat de openbare instanties die elektronische attesteringen van attributen uitgeven, een betrouwbaarheidsniveau hebben dat gelijkwaardig is aan dat van gekwalificeerde verleners van vertrouwensdiensten overeenkomstig artikel 24.
3.  
De lidstaten melden de in artikel 3, punt 46, bedoelde openbare instanties aan bij de Commissie. Die aanmelding omvat een conformiteitsbeoordelingsverslag van een conformiteitsbeoordelingsinstantie waarin wordt bevestigd dat aan de eisen van de leden 1, 2 en 6 van dit artikel wordt voldaan. De Commissie maakt via een beveiligd kanaal de lijst van de in artikel 3, punt 46, bedoelde openbare instanties in elektronisch ondertekende of verzegelde en voor automatische verwerking geschikte vorm publiek beschikbaar.
4.  
Indien een elektronische attestering uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, na initiële afgifte wordt ingetrokken, verliest deze haar geldigheid vanaf het moment van intrekking en de status ervan wordt niet teruggedraaid.
5.  
Een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron wordt geacht te voldoen aan de eisen van lid 1, indien de attestering aan de in lid 6 bedoelde normen, specificaties en procedures voldoet.
6.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor elektronische attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron. De uitvoeringshandelingen stemmen overeen met de in artikel 5 bis, lid 23, bedoelde uitvoeringshandelingen betreffende de uitvoering van de Europese portemonnee voor digitale identiteit. Zij worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.
7.  
Uiterlijk op 21 november 2024 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de toepassing van lid 3 van dit artikel. De uitvoeringshandelingen stemmen overeen met de in artikel 5 bis, lid 23, bedoelde uitvoeringshandelingen betreffende de uitvoering van de Europese portemonnee voor digitale identiteit. Zij worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.
8.  
De in artikel 3, punt 46, bedoelde openbare instanties die elektronische attesteringen van attributen uitgeven, bieden een interface met de overeenkomstig artikel 5 bis verstrekte Europese portemonnees voor digitale identiteit.

Artikel 45 octies

Uitgifte van elektronische attesteringen van attributen aan Europese portemonnees voor digitale identiteit

1.  
Aanbieders van elektronische attesteringen van attributen bieden gebruikers van Europese portemonnees voor digitale identiteit de mogelijkheid de elektronische attestering van attributen aan te vragen, te verkrijgen, op te slaan en te beheren, ongeacht de lidstaat waar de Europese portemonnee voor digitale identiteit is verstrekt.
2.  
Aanbieders van gekwalificeerde elektronische attesteringen van attributen bieden een interface met overeenkomstig artikel 5 bis verstrekte Europese portemonnees voor digitale identiteit.

Artikel 45 nonies

Aanvullende voorschriften voor de verlening van diensten voor elektronische attestering van attributen

1.  
Verleners van gekwalificeerde en niet-gekwalificeerde diensten voor elektronische attestering van attributen mogen persoonsgegevens met betrekking tot de verlening van die diensten niet combineren met persoonsgegevens van andere door hen of hun commerciële partners aangeboden diensten.
2.  
Persoonsgegevens met betrekking tot de verlening van elektronische attestering van attributen worden logisch gescheiden van andere door de verlener van elektronische attestering van attributen opgeslagen gegevens.
3.  
Verleners van gekwalificeerde diensten voor elektronische attestering van attributen zorgen ervoor dat de verlening van dergelijke gekwalificeerde vertrouwensdiensten verloopt op een wijze die functioneel gescheiden is van andere door hen verleende diensten.

AFDELING 10

Elektronische archiveringsdiensten

Artikel 45 decies

Rechtsgevolg van elektronische archiveringsdiensten

1.  
Het rechtsgevolg en de toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van elektronische gegevens of elektronische documenten die zijn bewaard via een elektronische archiveringsdienst, worden niet ontzegd louter op grond van het feit dat ze elektronisch zijn of niet bewaard zijn via een gekwalificeerde elektronische archiveringsdienst.
2.  
Voor via een gekwalificeerde elektronische archiveringsdienst bewaarde elektronische gegevens en elektronische documenten geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens voor de duur van de termijn van bewaring door de verlener van gekwalificeerde vertrouwensdiensten.

Artikel 45 undecies

Eisen voor gekwalificeerde elektronische archiveringsdiensten

1.  

Gekwalificeerde elektronische archiveringsdiensten voldoen aan de volgende eisen:

a) 

zij worden verleend door gekwalificeerde verleners van vertrouwensdiensten;

b) 

zij maken gebruik van procedures en technologieën die de duurzaamheid en leesbaarheid van elektronische gegevens en elektronische documenten kunnen waarborgen tot na de technologische geldigheidsduur en ten minste gedurende de wettelijke of contractuele bewaringstermijn, en handhaven daarbij de integriteit en de juistheid van de oorsprong van de gegevens;

c) 

zij zorgen ervoor dat die elektronische gegevens en die elektronische documenten zodanig worden bewaard dat zij beschermd zijn tegen verlies en wijzigingen, behalve wijzigingen met betrekking tot de drager of het elektronisch formaat;

d) 

zij stellen gemachtigde vertrouwende partijen ertoe in staat, op geautomatiseerde wijze verslagen te ontvangen waarin wordt bevestigd dat voor elektronische gegevens en elektronische documenten die zijn opgevraagd uit een gekwalificeerd elektronisch archief het vermoeden van integriteit van de gegevens geldt vanaf het begin van de bewaringstermijn tot het moment van opvraging.

Het in punt d) bedoelde verslag wordt op betrouwbare en efficiënte wijze verstrekt en draagt de gekwalificeerde elektronische handtekening of gekwalificeerde elektronische zegel van de verlener van de gekwalificeerde elektronische archiveringsdienst.

2.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor gekwalificeerde elektronische archiveringsdiensten. Indien een gekwalificeerde elektronische archiveringsdienst aan de toepasselijke normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de eisen voor gekwalificeerde elektronische archiveringsdiensten. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

AFDELING 11

Elektronische registers

Artikel 45 duodecies

Rechtsgevolgen van elektronische registers

1.  
Het rechtsgevolg van een elektronisch register of de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat het register elektronisch is of niet aan de eisen voor gekwalificeerde elektronische registers voldoet.
2.  
Voor gegevensbestanden in een gekwalificeerd elektronisch register geldt het vermoeden van het unieke karakter en de juistheid van de chronologische volgorde en van de integriteit ervan.

Artikel 45 terdecies

Eisen voor gekwalificeerde elektronische registers

1.  

Gekwalificeerde elektronische registers voldoen aan de volgende eisen:

a) 

zij worden aangemaakt en beheerd door een of meer gekwalificeerde verleners van vertrouwensdiensten;

b) 

zij stellen de oorsprong van de gegevensbestanden in het register vast;

c) 

zij waarborgen de unieke chronologische volgorde van de gegevensbestanden in het register;

d) 

zij slaan de gegevens op zodanige wijze op dat elke wijziging achteraf van de gegevens onmiddellijk kan worden opgespoord, en waarborgen zo de integriteit ervan in de tijd.

2.  
Indien een elektronisch register aan de in lid 3 bedoelde normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in lid 1 vastgelegde eisen.
3.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor de in lid 1 van dit artikel vastgelegde eisen. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

▼B

HOOFDSTUK IV

ELEKTRONISCHE DOCUMENTEN

Artikel 46

Rechtsgevolgen van elektronische documenten

Het rechtsgevolg van een elektronisch document en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het document elektronisch is.

▼M2

HOOFDSTUK IV BIS

GOVERNANCEKADER

Artikel 46 bis

Toezicht op het Rechtskader voor Europese portemonnees voor digitale identiteit

1.  
De lidstaten wijzen een of meer op hun grondgebied gevestigde toezichthoudende organen aan.

De uit hoofde van de eerste alinea aangewezen toezichthoudende organen krijgen de noodzakelijke bevoegdheden en toereikende middelen om hun taken doeltreffend, efficiënt en onafhankelijk te kunnen uitvoeren.

2.  
De lidstaten stellen de Commissie in kennis van de namen en adressen van hun overeenkomstig lid 1 aangewezen toezichthoudende organen en van alle latere wijzigingen daarvan. De Commissie maakt een lijst bekend van de aangemelde toezichthoudende organen.
3.  

De rol van de overeenkomstig lid 1 aangewezen of opgerichte toezichthoudende organen is:

a) 

toezicht te houden op in de aanwijzende lidstaat gevestigde aanbieders van Europese portemonnees voor digitale identiteit en door middel van toezichthoudende activiteiten vooraf en achteraf te waarborgen dat die aanbieders en door hen aangeboden Europese portemonnees voor digitale identiteit voldoen aan de eisen in deze verordening;

b) 

indien nodig maatregelen te nemen ten aanzien van op het grondgebied van de aanwijzende lidstaat gevestigde aanbieders van Europese portemonnees voor digitale identiteit door middel van toezichthoudende activiteiten achteraf, wanneer zij ervan in kennis worden gesteld dat aanbieders of door hen aangeboden Europese portemonnees voor digitale identiteit inbreuk maken op deze verordening.

4.  

De taken van de overeenkomstig lid 1 aangewezen toezichthoudende organen zijn met name:

a) 

samenwerken met andere toezichthoudende organen en bijstand verlenen aan die organen overeenkomstig artikelen 46 quater en 46 sexies;

b) 

de nodige informatie opvragen om toezicht te houden op de naleving van deze verordening;

c) 

de overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde relevante bevoegde autoriteiten van de betrokken lidstaten in kennis stellen van significante inbreuken op de veiligheid of integriteitsverlies waarvan zij kennis krijgen bij de uitvoering van hun taken en, in het geval van een significante inbreuk op de veiligheid of een integriteitsverlies betreffende andere lidstaten, het overeenkomstig artikel 8, lid 3, van Richtlijn (EU) 2022/2555 aangewezen of opgerichte centrale contactpunt van de betrokken lidstaat en de overeenkomstig artikel 46 quater, lid 1, van deze verordening aangewezen centrale contactpunten in de andere betrokken lidstaten op de hoogte brengen, en het publiek informeren of van aanbieders van een Europese portemonnee voor digitale identiteit vereisen dit te doen wanneer het toezichthoudende orgaan van oordeel is dat de bekendmaking van de inbreuk op de veiligheid of het verlies van integriteit in het algemeen belang zou zijn;

d) 

inspecties ter plaatse uitvoeren en toezicht buiten de locatie houden;

e) 

verlangen dat aanbieders van Europese portemonnees voor digitale identiteit iedere niet-naleving van de in deze verordening vastgelegde voorschriften rechtzetten;

f) 

de registratie van vertrouwende partijen en hun opname in het in artikel 5 ter, lid 7, bedoelde mechanisme opschorten of annuleren in geval van illegaal of frauduleus gebruik van de Europese portemonnee voor digitale identiteit;

g) 

samenwerken met de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte bevoegde toezichthoudende autoriteiten en in het bijzonder die instanties onverwijld informeren indien er regels inzake de bescherming van persoonsgegevens lijken te zijn overtreden, en over beveiligingsinbreuken die inbreuken op persoonsgegevens lijken te vormen.

5.  
Indien het overeenkomstig lid 1 aangewezen toezichthoudend orgaan van de aanbieder van een Europese portemonnee voor digitale identiteit verlangt dat hij de niet-naleving van de voorschriften uit hoofde van deze verordening overeenkomstig lid 4, punt e), corrigeert en de aanbieder, indien van toepassing, niet binnen een door dat toezichthoudend orgaan vastgestelde termijn dienovereenkomstig handelt, kan het overeenkomstig lid 1 aangewezen toezichthoudend orgaan, met name rekening houdend met de omvang, de duur en de gevolgen van het niet handelen, de aanbieder gelasten de verstrekking van de Europese portemonnee voor digitale identiteit op te schorten of te beëindigen. Het toezichthoudende orgaan stelt de toezichthoudende organen van de andere lidstaten, de Commissie, de vertrouwende partijen en de gebruikers van de Europese portemonnee voor digitale identiteit onverwijld in kennis van het besluit om de opschorting of stopzetting van de afgifte van de Europese portemonnee voor digitale identiteit te verlangen.
6.  
Elk overeenkomstig lid 1 aangewezen of opgerichte toezichthoudend orgaan legt de Commissie jaarlijks uiterlijk op 31 maart een verslag over betreffende zijn hoofdactiviteiten in het voorgaande kalenderjaar. De Commissie stelt die jaarlijkse verslagen beschikbaar aan het Europees Parlement en de Raad.
7.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen de formaten en procedures voor het in lid 6 van dit artikel bedoelde verslag vast. De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 46 ter

Toezicht op vertrouwensdiensten

1.  
De lidstaten wijzen een toezichthoudend orgaan aan dat op hun grondgebied is gevestigd of wijzen, in overeenstemming met een andere lidstaat, een in die andere lidstaat gevestigd toezichthoudend orgaan aan. Dat toezichthoudend orgaan is verantwoordelijk voor toezichthoudende taken in de aanwijzende lidstaat wat betreft vertrouwensdiensten.

De uit hoofde van de eerste alinea aangewezen toezichthoudende organen krijgen de noodzakelijke bevoegdheden en toereikende middelen voor de uitvoering van hun opdrachten.

2.  
De lidstaten stellen de Commissie in kennis van de namen en adressen van hun overeenkomstig lid 1 aangewezen of opgerichte toezichthoudende organen en van alle latere wijzigingen daarvan. De Commissie maakt een lijst bekend van de aangemelde toezichthoudende organen.
3.  

De taken van de overeenkomstig lid 1 aangewezen toezichthoudende organen zijn:

a) 

toezicht houden op gekwalificeerde verleners van vertrouwensdiensten die gevestigd zijn in de aanwijzende lidstaat en er door middel van toezichthoudende activiteiten vooraf en achteraf ervoor te zorgen dat die gekwalificeerde verleners van vertrouwensdiensten en de door hen verleende gekwalificeerde vertrouwensdiensten voldoen aan de voorschriften van deze verordening;

b) 

indien nodig optreden tegen niet-gekwalificeerde verleners van vertrouwensdiensten die gevestigd zijn in de aanwijzende lidstaat door middel van toezichthoudende activiteiten achteraf, wanneer het orgaan verneemt dat die niet-gekwalificeerde verleners van vertrouwensdiensten of de door hen verleende vertrouwensdiensten niet zouden voldoen aan de vereisten van deze verordening.

4.  

De taken van het overeenkomstig lid 1 aangewezen toezichthoudend orgaan zijn met name:

a) 

de overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde relevante bevoegde autoriteiten van de betrokken lidstaten in kennis stellen van significante inbreuken op de veiligheid of integriteitsverlies waarvan het kennis krijgt bij de uitvoering van zijn taken en, in het geval van een significante inbreuk op de veiligheid of een integriteitsverlies betreffende andere lidstaten, het overeenkomstig artikel 8, lid 3, van Richtlijn (EU) 2022/2555 aangewezen of opgerichte centrale contactpunt van de betrokken lidstaat en de overeenkomstig artikel 46 quater, lid 1, van deze verordening aangewezen centrale contactpunten in de andere betrokken lidstaten op de hoogte brengen, en het publiek informeren of van de verlener van vertrouwensdiensten vereisen dit te doen wanneer het toezichthoudend orgaan van oordeel is dat de bekendmaking van de inbreuk op de veiligheid of het verlies van integriteit in het algemeen belang zou zijn;

b) 

samenwerken met andere toezichthoudende organen en bijstand verlenen aan die organen overeenkomstig artikelen 46 quater en 46 sexies;

c) 

analyseren van de conformiteitsbeoordelingsverslagen bedoeld in artikel 20, lid 1, en artikel 21, lid 1;

d) 

aan de Commissie verslag uitbrengen over zijn hoofdactiviteiten, overeenkomstig lid 6;

e) 

audits uitvoeren of een conformiteitsbeoordelingsinstantie verzoeken een conformiteitsbeoordeling te doen van de gekwalificeerde verleners van vertrouwensdiensten overeenkomstig artikel 20, lid 2;

f) 

samenwerken met de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte bevoegde toezichthoudende autoriteiten en in het bijzonder die instanties onverwijld informeren indien er regels inzake de bescherming van persoonsgegevens lijken te zijn overtreden, en over beveiligingsinbreuken die inbreuken op persoonsgegevens lijken te vormen;

g) 

de status van gekwalificeerd verlener van vertrouwensdiensten toekennen aan verleners van vertrouwensdiensten en aan de door hen verleende diensten, en die status intrekken, overeenkomstig de artikelen 20 en 21;

h) 

het voor de nationale vertrouwenslijst verantwoordelijke orgaan, bedoeld in artikel 22, lid 3, op de hoogte brengen van zijn besluiten om de status van gekwalificeerde toe te kennen of in te trekken, tenzij dit orgaan ook het overeenkomstig lid 1 van dit artikel aangewezen toezichthoudend orgaan is;

i) 

indien de gekwalificeerde verlener van vertrouwensdiensten zijn activiteiten beëindigt, nagaan of er bepalingen bestaan over beëindigingsplannen en of deze correct worden toegepast, waarbij zij onder meer nagaan hoe informatie toegankelijk wordt gehouden overeenkomstig artikel 24, lid 2, punt h);

j) 

verlangen dat verleners van vertrouwensdiensten iedere niet-naleving van de in deze verordening vastgestelde voorschriften rechtzetten;

k) 

onderzoeken van beweringen van aanbieders van webbrowsers overeenkomstig artikel 45 bis en zo nodig actie ondernemen.

5.  
De lidstaten mogen verlangen dat het overeenkomstig lid 1 aangewezen toezichthoudend orgaan een vertrouwensinfrastructuur opzet, onderhoudt en actualiseert in overeenstemming met het nationaal recht.
6.  
Elk overeenkomstig lid 1 aangewezen toezichthoudend orgaan legt de Commissie jaarlijks uiterlijk op 31 maart een verslag over betreffende zijn hoofdactiviteiten in het voorgaande kalenderjaar. De Commissie stelt die jaarlijkse verslagen beschikbaar aan het Europees Parlement en de Raad.
7.  
Uiterlijk op 21 mei 2025 stelt de Commissie richtlijnen vast voor de uitoefening door de overeenkomstig lid 1 van dit artikel aangewezen toezichthoudende organen van de in lid 4 van dit artikel bedoelde taken en bepaalt zij door middel van uitvoeringshandelingen de formaten en procedures voor het in lid 6 van dit artikel bedoelde verslag. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

Artikel 46 quater

Centrale contactpunten

1.  
Elke lidstaat wijst een centraal contactpunt aan voor vertrouwensdiensten, Europese portemonnees voor digitale identiteit en aangemelde stelsels voor elektronische identificatie.
2.  
Elk centraal contactpunt oefent een verbindingsfunctie uit om de grensoverschrijdende samenwerking tussen de toezichthoudende organen voor verleners van vertrouwensdiensten en tussen de toezichthoudende organen voor de aanbieders van Europese portemonnees voor digitale identiteit en, in voorkomend geval, met de Commissie en het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) en met andere bevoegde autoriteiten in zijn lidstaat te vergemakkelijken.
3.  
Elke lidstaat maakt de namen en adressen van het overeenkomstig lid 1 aangewezen centrale contactpunt en eventuele latere wijzigingen daarvan openbaar en stelt de Commissie daarvan onverwijld in kennis.
4.  
De Commissie maakt een lijst van de overeenkomstig lid 3 aangemelde centrale contactpunten bekend.

Artikel 46 quinquies

Wederzijdse bijstand

1.  
Om het toezicht op en de handhaving van verplichtingen uit hoofde van deze verordening te vergemakkelijken, kunnen de overeenkomstig artikel 46 bis, lid 1) en artikel 46 ter, lid 1, aangewezen toezichthoudende organen onder meer via de krachtens artikel 46 sexies, lid 1, opgerichte samenwerkingsgroep, om wederzijdse bijstand verzoeken van de toezichthoudende organen van een andere lidstaat waar de aanbieder van de Europese portemonnee voor digitale identiteit of de verlener van vertrouwensdiensten is gevestigd of waar zijn netwerk- en informatiesystemen zich bevinden of zijn diensten worden verleend.
2.  

De wederzijdse bijstand houdt ten minste het volgende in:

a) 

het toezichthoudend orgaan dat in de ene lidstaat toezicht- en handhavingsmaatregelen toepast, informeert en raadpleegt het toezichthoudend orgaan van de andere betrokken lidstaat;

b) 

een toezichthoudend orgaan kan het toezichthoudend orgaan van een andere betrokken lidstaat verzoeken toezicht- of handhavingsmaatregelen te nemen, waaronder bijvoorbeeld verzoeken om inspecties uit te voeren in verband met de in de artikelen 20 en 21 bedoelde conformiteitsbeoordelingsverslagen inzake het verlenen van vertrouwensdiensten;

c) 

in voorkomend geval kunnen de toezichthoudende organen gezamenlijke onderzoeken uitvoeren met de toezichthoudende organen van andere lidstaten.

De regelingen en procedures voor gezamenlijke acties uit hoofde van de eerste alinea worden door de betrokken lidstaten overeenkomstig hun wetgeving overeengekomen en vastgelegd.

3.  

Een toezichthoudend orgaan tot welk een verzoek om bijstand wordt gericht, mag dat verzoek om alle onderstaande redenen weigeren:

a) 

de gevraagde bijstand staat niet in verhouding tot de toezichthoudende activiteiten van het toezichthoudend orgaan, uitgevoerd overeenkomstig artikelen 46 bis en 46 ter;

b) 

het toezichthoudend orgaan is niet bevoegd om de gevraagde bijstand te leveren;

c) 

het aanbieden van de gevraagde bijstand zou onverenigbaar zijn met deze verordening.

4.  
Uiterlijk op 21 mei 2025 en vervolgens om de twee jaar verstrekt de krachtens artikel 46 sexies, lid 1, opgerichte samenwerkingsgroep richtsnoeren over de organisatorische aspecten en procedures voor de in de leden 1 en 2 van dit artikel bedoelde wederzijdse bijstand.

Artikel 46 sexies

Europese samenwerkingsgroep voor digitale identiteit

1.  
Om de grensoverschrijdende samenwerking en uitwisseling van informatie over vertrouwensdiensten, Europese portemonnees voor digitale identiteit en aangemelde stelsels voor elektronische identificatie van de lidstaten te ondersteunen en te vergemakkelijken, richt de Commissie een Europese samenwerkingsgroep voor digitale identiteit (de „samenwerkingsgroep”) op.
2.  
De samenwerkingsgroep bestaat uit vertegenwoordigers die zijn aangewezen door de lidstaten en de Commissie. De samenwerkingsgroep wordt voorgezeten door de Commissie. De Commissie voert het secretariaat van de samenwerkingsgroep.
3.  
Vertegenwoordigers van relevante belanghebbenden kunnen op ad-hocbasis worden uitgenodigd om de vergaderingen van de samenwerkingsgroep bij te wonen en als waarnemer deel te nemen aan de werkzaamheden ervan.
4.  
Enisa wordt uitgenodigd om als waarnemer deel te nemen aan de werkzaamheden van de samenwerkingsgroep bij de uitwisseling van standpunten, beste praktijken en informatie over relevante cyberbeveiligingsaspecten, zoals de melding van inbreuken op de beveiliging, het gebruik van cyberbeveiligingscertificaten of -normen.
5.  

De samenwerkingsgroep heeft de volgende taken:

a) 

advies uitwisselen en samenwerken met de Commissie wat betreft nieuwe beleidsinitiatieven op het gebied van portemonnees voor digitale identiteit, elektronische identificatiemiddelen en vertrouwensdiensten;

b) 

in voorkomend geval de Commissie advies verstrekken tijdens de vroege fase van het opstellen van ontwerpuitvoeringshandelingen en ontwerpen van gedelegeerde handelingen die op grond van deze verordening moeten worden vastgesteld;

c) 

ter ondersteuning van de toezichthoudende organen bij de uitvoering van de bepalingen van deze verordening:

i) 

beste praktijken en informatie betreffende de uitvoering van de bepalingen van deze verordening uitwisselen;

ii) 

relevante ontwikkelingen onderzoeken met betrekking tot digitale portemonnees, elektronische identificatie en de sectoren van vertrouwensdiensten;

iii) 

gezamenlijke bijeenkomsten organiseren met relevante belanghebbende partijen uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en input te verzamelen over nieuwe beleidsuitdagingen;

iv) 

met de steun van Enisa standpunten, beste praktijken en informatie uitwisselen over relevante cyberbeveiligingsaspecten met betrekking tot Europese portemonnees voor digitale identiteit, stelsels voor elektronische identificatie en vertrouwensdiensten;

v) 

beste praktijken uitwisselen betreffende de ontwikkeling en uitvoering van het beleid inzake de kennisgeving van beveiligingsinbreuken, en gemeenschappelijke maatregelen zoals bedoeld in de artikelen 5 sexies en 10;

vi) 

gezamenlijke vergaderingen organiseren met de bij artikel 14, lid 1, van Richtlijn (EU) 2022/2555 opgerichte NIS-samenwerkingsgroep om relevante informatie uit te wisselen met betrekking tot met vertrouwensdiensten en elektronische identificatie verband houdende cyberdreigingen, incidenten, kwetsbaarheden, bewustmakingsinitiatieven, opleidingen, oefeningen en vaardigheden, capaciteitsopbouw, capaciteit op het gebied van normen en technische specificaties, alsook normen en technische specificaties;

vii) 

op verzoek van een toezichthoudend orgaan specifieke verzoeken om wederzijdse bijstand zoals bedoeld in artikel 46 quinquies bespreken;

viii) 

de informatie-uitwisseling tussen de toezichthoudende organen vergemakkelijken door richtsnoeren te verstrekken over de organisatorische aspecten en procedures voor de in artikel 46 quinquies bedoelde wederzijdse bijstand;

d) 

collegiale toetsingen organiseren van stelsels voor elektronische identificatie die moeten worden aangemeld uit hoofde van deze verordening.

6.  
De lidstaten zorgen ervoor dat hun aangewezen vertegenwoordigers op doeltreffende en efficiënte wijze samenwerken binnen de samenwerkingsgroep.
7.  
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen de noodzakelijke procedureregels vast om de samenwerking tussen de in lid 5, punt d), van dit artikel bedoelde lidstaten te faciliteren. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure.

▼B

HOOFDSTUK V

BEVOEGDHEIDSDELEGATIES EN UITVOERINGSBEPALINGEN

Artikel 47

Uitoefening van de bevoegdheidsdelegatie

1.  
De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden.

▼C2

2.  
De in artikel 5 quater, lid 8, artikel 24, lid 4 ter, en artikel 30, lid 4, bedoelde bevoegdheid om gedelegeerde handelingen vast te stellen wordt met ingang van 17 september 2014 voor onbepaalde tijd aan de Commissie toegekend.
3.  
Het Europees Parlement of de Raad kan de in artikel 5 quater, lid 8, artikel 24, lid 4 ter, en artikel 30, lid 4, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet.

▼B

4.  
Zodra de Commissie een gedelegeerde handeling vaststelt, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad.

▼M2

5.  
Een overeenkomstig artikel 5 quater, lid 8, artikel 24, lid 4 ter, of artikel 30, lid 4, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van twee maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben meegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of de Raad met twee maanden verlengd.

▼B

Artikel 48

Comitéprocedure

1.  
De Commissie wordt bijgestaan door een comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.
2.  
Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing.

HOOFDSTUK VI

SLOTBEPALINGEN

▼M2

Artikel 48 bis

Verslagleggingsvereisten

1.  
De lidstaten waarborgen dat statistieken worden verzameld over de werking van Europese portemonnees voor digitale identiteit en de gekwalificeerde vertrouwensdiensten die op hun grondgebied worden verstrekt.
2.  

De overeenkomstig lid 1 verzamelde statistieken omvatten de volgende elementen:

a) 

het aantal natuurlijke en rechtspersonen met een geldige Europese portemonnee voor digitale identiteit;

b) 

het soort en het aantal diensten die het gebruik van de Europese portemonnee voor digitale identiteit aanvaarden;

c) 

het aantal klachten van gebruikers en incidenten op het gebied van consumentenbescherming of gegevensbescherming die verband houden met vertrouwende partijen en gekwalificeerde vertrouwensdiensten;

d) 

een samenvattend verslag met gegevens over incidenten die het gebruik van de Europese portemonnee voor digitale identiteit verhinderen;

e) 

een samenvatting van significante beveiligingsincidenten, datalekken en getroffen gebruikers van Europese portemonnees voor digitale identiteit of van gekwalificeerde vertrouwensdiensten.

3.  
De in lid 2 bedoelde statistieken worden publiekelijk beschikbaar gesteld in een open en gangbaar machineleesbaar formaat.
4.  
De lidstaten leggen de Commissie jaarlijks uiterlijk op 31 maart een verslag over betreffende de overeenkomstig lid 2 verzamelde statistieken.

▼M2

Artikel 49

Evaluatie

1.  
De Commissie evalueert de toepassing van deze verordening en brengt daarover uiterlijk op 21 mei 2026 verslag uit bij het Europees Parlement en de Raad. In dat verslag evalueert de Commissie met name of het gepast is het toepassingsgebied van deze verordening dan wel de specifieke bepalingen ervan, met inbegrip van met name de bepalingen in artikel 5 quater, lid 5, te wijzigen, rekening houdend met de ervaring met de toepassing van deze verordening, alsook met technologische, markt- en juridische ontwikkelingen. Dat verslag gaat zo nodig vergezeld van een voorstel tot wijziging van deze verordening.
2.  
Het in lid 1 bedoelde verslag omvat een beoordeling van de beschikbaarheid, de veiligheid en de bruikbaarheid van de aangemelde elektronische identificatiemiddelen en Europese portemonnees voor digitale identiteit die binnen het toepassingsgebied van deze verordening vallen, en beoordeelt of alle private onlinedienstverleners die voor gebruikersauthenticatie gebruikmaken van elektronische identificatiediensten van derden, is opgelegd om het gebruik van aangemelde elektronische identificatiemiddelen en Europese portemonnees voor digitale identiteit te aanvaarden.
3.  
Uiterlijk op 21 mei 2030 en daarna om de vier jaar dient de Commissie het in lid 1 bedoelde verslag een verslag over de vooruitgang bij de verwezenlijking van de doelstellingen van deze verordening in bij het Europees Parlement en de Raad.

▼B

Artikel 50

Intrekking

1.  
Richtlijn 1999/93/EG wordt ingetrokken met ingang van 1 juli 2016.
2.  
Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar de onderhavige verordening.

▼M2

Artikel 51

Overgangsmaatregelen

1.  
Veilige middelen voor het aanmaken van handtekeningen waarvan de overeenstemming bepaald is overeenkomstig artikel 3, lid 4, van Richtlijn 1999/93/EG, worden tot en met 21 mei 2027 verder beschouwd als gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen in de zin van deze verordening.
2.  
Aan natuurlijke personen afgegeven gekwalificeerde certificaten overeenkomstig Richtlijn 1999/93/EG worden tot en met 21 mei 2026 beschouwd als gekwalificeerde certificaten voor elektronische handtekeningen in de zin van deze verordening.
3.  
Het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen en zegels door gekwalificeerde verleners van vertrouwensdiensten die geen gekwalificeerde verleners van vertrouwensdiensten zijn die gekwalificeerde vertrouwensdiensten verlenen voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen en zegels overeenkomstig de artikelen 29 bis en 39 bis, kan tot en met 21 mei 2026 worden verricht zonder de gekwalificeerde status te hoeven verkrijgen voor het verlenen van deze beheerdiensten.
4.  
Gekwalificeerde verleners van vertrouwensdiensten aan wie uit hoofde van deze verordening de status „gekwalificeerd” is toegekend vóór 20 mei 2024, leggen het toezichthoudend orgaan zo spoedig mogelijk en in ieder geval uiterlijk op 21 mei 2026 een conformiteitsbeoordelingsverslag voor dat bewijst dat aan artikel 24, leden 1, 1 bis en 1 ter, is voldaan.

▼B

Artikel 52

Inwerkingtreding

1.  
Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
2.  

Deze verordening is van toepassing vanaf 1 juli 2016, met uitzondering van onderstaande:

a) 

artikel 8, lid 3, artikel 9, lid 5, artikel 12, lid 2 tot en met 9, artikel 17, lid 8, artikel 19, lid 4, artikel 20, lid 4, artikel 21, lid 4, artikel 22, lid 5, artikel 23, lid 3, artikel 24, lid 5, artikel 27, lid 4 en lid 5, artikel 28, lid 6, artikel 29, lid 2, artikel 30, lid 3 en lid 4, artikel 31, lid 3, artikel 32, lid 3, artikel 33, lid 2, artikel 34, lid 2, artikel 37, lid 4 en lid 5, artikel 38, lid 6, artikel 42, lid 2, artikel 44, lid 2, artikel 45, lid 2, en artikelen 47 en 48 zijn van toepassing met ingang van 17 september 2014;

b) 

artikel 7, artikel 8, leden 1 en 2, de artikelen 9, 10, 11 en artikel 12, lid 1, zijn van toepassing vanaf de datum van toepassing van de in artikel 8, lid 3, en artikel 12, lid 8, bedoelde uitvoeringshandelingen;

c) 

artikel 6 is van toepassing vanaf drie jaar na de datum van toepassing van de in artikel 8, lid 3, en artikel 12, lid 8, bedoelde uitvoeringshandelingen.

3.  
Indien het aangemelde stelsel voor elektronische identificatie voorkomt in de lijst die de Commissie krachtens artikel 9 bekendmaakt, en wel vóór de datum in lid 2, onder c), van dit artikel, wordt het elektronische identificatiemiddel in het kader van dat stelsel krachtens artikel 6 erkend binnen twaalf maanden na de bekendmaking van dat stelsel, maar niet vóór de datum in lid 2, onder c), van dit artikel.
4.  
Niettegenstaande lid 2, onder c), van dit artikel kan een lidstaat besluiten dat elektronische identificatiemiddelen in het kader van een stelsel voor elektronische identificatie, krachtens artikel 9, lid 1, door een andere lidstaat aangemeld, in de eerste lidstaat worden erkend met ingang van de datum van toepassing van de in artikel 8, lid 3, en artikel 12, lid 8, bedoelde uitvoeringshandelingen. De betrokken lidstaten stellen de Commissie daarvan in kennis. De Commissie maakt deze informatie openbaar.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.




BIJLAGE I

EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR ELEKTRONISCHE HANDTEKENINGEN

Gekwalificeerde certificaten voor elektronische handtekeningen bevatten:

a) 

een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat afgegeven is als een gekwalificeerd certificaat voor elektronische handtekeningen;

b) 

een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waarin de verlener is gevestigd en

— 
voor een rechtspersoon: de naam en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers,
— 
voor een natuurlijke persoon: de naam van de persoon;
c) 

op zijn minst de naam van de ondertekenaar of een pseudoniem; als er een pseudoniem wordt gebruikt, wordt dat duidelijk aangegeven;

d) 

gegevens voor de validering van elektronische handtekeningen, die overeenkomen met de gegevens voor het aanmaken van de elektronische handtekening;

e) 

informatie over begin en einde van de geldigheidsduur van het certificaat;

f) 

de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;

g) 

de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;

h) 

de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder g) gratis beschikbaar is;

▼M2

i) 

de informatie of de locatie van de diensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;

▼B

j) 

indien de gegevens voor het aanmaken van een elektronische handtekening die gekoppeld zijn aan de gegevens voor de validering van de elektronische handtekening zich bevinden in een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen, een passende vermelding hiervan, ten minste in een vorm die geschikt is voor automatische verwerking.




BIJLAGE II

EISEN VOOR GEKWALIFICEERDE MIDDELEN VOOR HET AANMAKEN VAN ELEKTRONISCHE HANDTEKENINGEN

1. Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen waarborgen via passende technieken en procedures dat ten minste:

a) 

de vertrouwelijkheid van de gegevens die worden gebruikt om elektronische handtekeningen aan te maken redelijkerwijs gewaarborgd is;

b) 

de gegevens voor het aanmaken van elektronische handtekeningen in de praktijk slechts één keer kunnen voorkomen;

c) 

de gegevens voor het aanmaken van elektronische handtekeningen met redelijke zekerheid niet kunnen worden afgeleid en dat de elektronische handtekening op betrouwbare wijze beschermd is tegen vervalsing met de thans beschikbare technologie;

d) 

de gegevens voor het aanmaken van elektronische handtekeningen door de legitieme ondertekenaar op betrouwbare wijze kunnen worden beschermd tegen gebruik door anderen.

2. Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen laten de te ondertekenen gegevens ongewijzigd en beletten niet dat die gegevens vóór ondertekening aan de ondertekenaar worden voorgelegd.

▼M2 —————

▼B




BIJLAGE III

EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR ELEKTRONISCHE ZEGELS

Gekwalificeerde certificaten voor elektronische zegels bevatten:

a) 

een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat is afgegeven als een gekwalificeerd certificaat voor elektronische zegels;

b) 

een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en

— 
voor een rechtspersoon: de naam en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers,
— 
voor een natuurlijke persoon: de naam van de persoon;
c) 

ten minste de naam van de aanmaker van het zegel en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers;

d) 

gegevens voor de validering van elektronische zegels, die overeenkomen met de gegevens voor het aanmaken van elektronische zegels;

e) 

informatie over begin en einde van de geldigheidsduur van het certificaat;

f) 

de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;

g) 

de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;

h) 

de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder g) gratis beschikbaar is;

▼M2

i) 

de informatie of de locatie van de diensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;

▼B

j) 

indien de gegevens voor het aanmaken van elektronische zegels die gekoppeld zijn aan de gegevens voor de validering voor elektronische zegels zich bevinden in een gekwalificeerd middel voor het aanmaken van elektronische zegels, een passende vermelding hiervan, ten minste in een vorm die geschikt is voor automatische verwerking.




BIJLAGE IV

EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR WEBSITE-AUTHENTICATIE

Gekwalificeerde certificaten voor websiteauthenticatie moeten het volgende bevatten:

a) 

een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat afgegeven is als een gekwalificeerd certificaat voor websiteauthenticatie;

b) 

een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en

— 
voor een rechtspersoon: de naam en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers,
— 
voor een natuurlijke persoon: de naam van de persoon;

▼M2

c) 

voor natuurlijke personen: op zijn minst de naam van de persoon aan wie het certificaat is afgegeven of een pseudoniem; indien een pseudoniem wordt gebruikt, een duidelijke vermelding in die zin;

ca) 

voor rechtspersonen: een unieke reeks gegevens die de rechtspersoon aan wie het certificaat wordt afgegeven ondubbelzinnig weergeven, met ten minste de naam van de rechtspersoon aan wie het certificaat is afgegeven en, in voorkomend geval, het registratienummer zoals vermeld in de officiële administratie;

▼B

d) 

elementen van het adres, met inbegrip van ten minste de plaats en de staat, van de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven en, indien van toepassing, zoals vermeld in de officiële registers;

e) 

de domeinnaam/-namen die wordt/worden geëxploiteerd door de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven;

f) 

informatie over begin en einde van de geldigheidsduur van het certificaat;

g) 

de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;

h) 

de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;

i) 

de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder h) gratis beschikbaar is;

▼M2

j) 

de informatie, of de locatie van de geldigheidsstatus van certificaatsdiensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;

▼M2




BIJLAGE V

EISEN VOOR GEKWALIFICEERDE ELEKTRONISCHE ATTESTERING VAN ATTRIBUTEN

Gekwalificeerde elektronische attesteringen van attributen bevatten:

a) 

een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat de attestering afgegeven is als een gekwalificeerde elektronische attestering van attributen;

b) 

een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde elektronische attesteringen van attributen afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en

i) 

voor een rechtspersoon: de naam en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers,

ii) 

voor een natuurlijk persoon: de naam van de persoon;

c) 

een reeks gegevens die ondubbelzinnig de entiteit weergeven waarnaar de geattesteerde attributen verwijzen; indien een pseudoniem wordt gebruikt, een duidelijke aanwijzing in die zin;

d) 

het geattesteerde attribuut of de geattesteerde attributen inclusief, indien van toepassing, de benodigde informatie om de reikwijdte van die attributen te bepalen;

e) 

informatie over begin en einde van de geldigheidsduur van de attestering;

f) 

de identiteitscode van de attestering, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten en, indien van toepassing, de vermelding van de attesteringsregeling waar de attestering van attributen deel van uitmaakt;

g) 

de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;

h) 

de locatie waar het certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel zoals bedoeld in punt g), gratis beschikbaar is;

i) 

de informatie of de locatie van de diensten waarbij informatie kan worden opgevraagd over de geldigheidsstatus van de gekwalificeerde attestering.




BIJLAGE VI

MINIMALE LIJST VAN ATTRIBUTEN

Uit hoofde van artikel 45 sexies waarborgen de lidstaten dat, indien attributen gebruikmaken van authentieke bronnen binnen de publieke sector, maatregelen worden genomen zodat gekwalificeerde verleners van elektronische attesteringen van attributen op verzoek van de gebruiker langs elektronische weg aan de hand van de relevante authentieke bron op nationaal niveau of via op nationaal niveau erkende aangewezen intermediairs, overeenkomstig Unie- of nationaal recht, de authenticiteit van de volgende attributen kunnen verifiëren:

1. 

adres;

2. 

leeftijd;

3. 

geslacht;

4. 

burgerlijke staat;

5. 

gezinssamenstelling;

6. 

nationaliteit of staatsburgerschap;

7. 

onderwijskwalificaties, -titels en -diploma’s;

8. 

beroepskwalificaties, -titels en -licenties;

9. 

bevoegdheden en mandaten om natuurlijke of rechtspersonen te vertegenwoordigen;

10. 

openbare vergunningen en licenties;

11. 

voor rechtspersonen: financiële en bedrijfsgegevens.




BIJLAGE VII

EISEN VOOR ELEKTRONISCHE ATTESTERING VAN ATTRIBUTEN UITGEGEVEN DOOR OF NAMENS EEN OPENBARE INSTANTIE DIE VERANTWOORDELIJK IS VOOR EEN AUTHENTIEKE BRON

Een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, bevat:

a) 

een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat de attestering is afgegeven als een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron;

b) 

een reeks gegevens die ondubbelzinnig verwijzen naar de openbare instantie die de gekwalificeerde elektronische attestering van attributen afgeeft, met inbegrip van ten minste de lidstaat waar die openbare instantie is gevestigd en de naam, en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers;

c) 

een reeks gegevens die ondubbelzinnig verwijzen naar de entiteit waarnaar de geattesteerde attributen verwijzen; als er een pseudoniem wordt gebruikt, wordt dat duidelijk aangegeven;

d) 

het geattesteerde attribuut of de geattesteerde attributen inclusief, indien van toepassing, de benodigde informatie om de reikwijdte van die attributen te bepalen;

e) 

informatie over begin en einde van de geldigheidsduur van de attestering;

f) 

de identiteitscode van de attestering, die uniek moet zijn voor de afgevende openbare instantie en, indien van toepassing, een vermelding van de attesteringsregeling waar de attestering van attributen deel van uitmaakt;

g) 

de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel van de afgevende instantie;

h) 

de locatie waar het certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel zoals bedoeld in punt g), gratis beschikbaar is;

i) 

de informatie of de locatie van de diensten waarbij informatie kan worden opgevraagd over de geldigheidsstatus van de attestering.



( 1 ) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

( 2 ) Richtlijn 2014/24/EU van het Europees Parlement en de Raad van 26 februari 2014 betreffende het plaatsen van overheidsopdrachten en tot intrekking van Richtlijn 2004/18/EG (PB L 94 van 28.3.2014, blz. 65).

( 3 ) Richtlijn (EU) 2019/882 van het Europees Parlement en de Raad van 17 april 2019 betreffende de toegankelijkheidsvoorschriften voor producten en diensten (PB L 151 van 7.6.2019, blz. 70).

( 4 ) Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PB L 151 van 7.6.2019, blz. 15).

( 5 ) Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PB L 124 van 20.5.2003, blz. 36).

( 6 ) Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG (digitaledienstenverordening) (PB L 277 van 27.10.2022, blz. 1).

( 7 ) Verordening (EU) 2022/1925 van het Europees Parlement en de Raad van 14 september 2022over betwistbare en eerlijke markten in de digitale sector, en tot wijziging van Richtlijnen (EU) 2019/1937 en (EU) 2020/1828 (digitalemarktenverordening) (PB L 265 van 12.10.2022, blz. 1).

( 8 ) Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972, en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (PB L 333 van 27.12.2022, blz. 80).