02014R0910 — NL — 18.10.2024 — 002.003
Onderstaande tekst dient louter ter informatie en is juridisch niet bindend. De EU-instellingen zijn niet aansprakelijk voor de inhoud. Alleen de besluiten die zijn gepubliceerd in het Publicatieblad van de Europese Unie (te raadplegen in EUR-Lex) zijn authentiek. Deze officiële versies zijn rechtstreeks toegankelijk via de links in dit document
|
VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD van 23 juli 2014 (PB L 257 van 28.8.2014, blz. 73) |
Gewijzigd bij:
|
|
|
Publicatieblad |
||
|
nr. |
blz. |
datum |
||
|
RICHTLIJN (EU) 2022/2555 VAN HET EUROPEES PARLEMENT EN DE RAAD van 14 december 2022 |
L 333 |
80 |
27.12.2022 |
|
|
VERORDENING (EU) 2024/1183 VAN HET EUROPEES PARLEMENT EN DE RAAD van 11 april 2024 |
L 1183 |
1 |
30.4.2024 |
|
Gerectificeerd bij:
VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD
van 23 juli 2014
betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG
HOOFDSTUK I
ALGEMENE BEPALINGEN
Artikel 1
Onderwerp
Doel van deze verordening is te zorgen voor een goede werking van de interne markt en voor een passend niveau van beveiliging van de in de hele Unie gebruikte elektronische identificatiemiddelen en vertrouwensdiensten, opdat natuurlijke en rechtspersonen in de hele Unie het recht op veilige deelname aan de digitale samenleving en de toegang tot publieke en private onlinediensten gemakkelijker kunnen uitoefenen. Daartoe wordt bij deze verordening het volgende vastgesteld:
de voorwaarden waaronder de lidstaten elektronische identificatiemiddelen van natuurlijke personen en rechtspersonen die onder een aangemeld stelsel voor elektronische identificatie van een andere lidstaat vallen, moeten erkennen, en Europese portemonnees voor digitale identiteit moeten verstrekken en erkennen;
regels voor vertrouwensdiensten, met name voor elektronische transacties;
een juridisch kader voor elektronische handtekeningen, elektronische zegels, elektronische tijdstempels, elektronische documenten, diensten voor elektronisch aangetekende bezorging en certificatendiensten voor websiteauthenticatie, elektronische archivering en elektronische attestering van attributen, middelen voor het aanmaken van elektronische handtekeningen en middelen voor het aanmaken van elektronische zegels, en elektronische registers.
Artikel 2
Toepassingsgebied
Artikel 3
Definities
Voor de doelstellingen van deze verordening, zijn de volgende definities van toepassing:
|
1. |
„elektronische identificatie” : het proces van het gebruiken van persoonsidentificatiegegevens in elektronische vorm die op unieke wijze een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, aanduiden; |
|
2. |
„elektronisch identificatiemiddel” : een materiële en/of immateriële eenheid die persoonsidentificatiegegevens bevat en voor authenticatie bij een onlinedienst of, in voorkomend geval, een offlinedienst wordt gebruikt; |
|
3. |
„persoonsidentificatiegegevens” : een reeks gegevens die overeenkomstig het Unie- of nationaal recht is uitgegeven en aan de hand waarvan de identiteit van een natuurlijke of rechtspersoon, of van een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, kan worden vastgesteld; |
|
4. |
„stelsel voor elektronische identificatie” : een stelsel voor elektronische identificatie waarbinnen elektronische identificatiemiddelen worden uitgegeven aan natuurlijke personen, rechtspersonen of natuurlijke personen die andere natuurlijke of rechtspersonen vertegenwoordigen; |
|
5. |
„authenticatie” : een elektronisch proces dat de bevestiging van de elektronische identificatie van een natuurlijke of rechtspersoon, of de bevestiging van de oorsprong en integriteit van gegevens in elektronische vorm mogelijk maakt; |
|
5a. |
„gebruiker” : een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon of een rechtspersoon vertegenwoordigt, die gebruikmaakt van overeenkomstig deze verordening verleende vertrouwensdiensten of verstrekte elektronische identificatiemiddelen; |
|
6. |
„vertrouwende partij” : een natuurlijke of rechtspersoon die vertrouwt op elektronische identificatie, Europese portemonnees voor digitale identiteit of andere elektronische identificatiemiddelen, of op een vertrouwensdienst; |
|
7. |
„openbare instantie” : een staat, regionale of lokale overheden, publiekrechtelijke instellingen en samenwerkingsverbanden bestaand uit één of meer van deze overheidsinstanties of een of meer van deze publiekrechtelijke instellingen, of een private entiteit die door ten minste een van deze autoriteiten, publiekrechtelijke instellingen of verenigingen is gemachtigd tot het verlenen van openbare diensten, wanneer zij in die hoedanigheid optreden; |
|
8. |
„publiekrechtelijke instelling” : een instelling volgens de definitie in punt 4 van artikel 2, lid 1, van Richtlijn 2014/24/EU van het Europees Parlement en de Raad ( 2 ); |
|
9. |
„ondertekenaar” : een natuurlijke persoon die een elektronische handtekening aanmaakt; |
|
10. |
„elektronische handtekening” : gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die door de ondertekenaar worden gebruikt om te ondertekenen; |
|
11. |
„geavanceerde elektronische handtekening” : een elektronische handtekening die voldoet aan de eisen in artikel 26; |
|
12. |
„gekwalificeerde elektronische handtekening” : een geavanceerde elektronische handtekening die is aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen en die gebaseerd is op een gekwalificeerd certificaat voor elektronische handtekeningen; |
|
13. |
„gegevens voor het aanmaken van elektronische handtekeningen” : unieke gegevens die door de ondertekenaar worden gebruikt om een elektronische handtekening aan te maken; |
|
14. |
„certificaat voor elektronische handtekeningen” : een elektronische attestering die valideringsgegevens voor elektronische handtekeningen aan een natuurlijke persoon koppelt en ten minste de naam of het pseudoniem van die persoon bevestigt; |
|
15. |
„gekwalificeerd certificaat voor elektronische handtekeningen” : een certificaat voor elektronische handtekeningen, dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage I; |
|
16. |
„vertrouwensdienst” : een elektronische dienst die gewoonlijk tegen betaling wordt verricht en uit een van de volgende elementen bestaat:
a)
het uitgeven van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;
b)
het valideren van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;
c)
het aanmaken van elektronische handtekeningen of elektronische zegels;
d)
het valideren van elektronische handtekeningen of elektronische zegels;
e)
het bewaren van elektronische handtekeningen, elektronische zegels, certificaten voor elektronische handtekeningen of certificaten voor elektronische zegels;
f)
het beheer van middelen voor het op afstand aanmaken van elektronische handtekeningen of middelen voor het op afstand aanmaken van elektronische zegels;
g)
het uitgeven van elektronische attesteringen van attributen;
h)
het valideren van elektronische attesteringen van attributen;
i)
het aanmaken van elektronische tijdstempels;
j)
het valideren van elektronische tijdstempels;
k)
het verlenen van diensten voor elektronisch aangetekende bezorging;
l)
het valideren van gegevens die via diensten voor elektronisch aangetekende bezorging zijn verzonden en het bewijs daarvoor;
m)
het elektronisch archiveren van elektronische gegevens en elektronische documenten;
n)
het opslaan van elektronische gegevens in elektronische registers; |
|
17. |
„gekwalificeerde vertrouwensdienst” : een vertrouwensdienst die voldoet aan de toepasselijke eisen zoals vastgelegd in deze verordening; |
|
18. |
„conformiteitsbeoordelingsinstantie” : een conformiteitsbeoordelingsinstantie zoals gedefinieerd in artikel 2, punt 13, van Verordening (EG) nr. 765/2008, die in overeenstemming met genoemde verordening is geaccrediteerd om een conformiteitsbeoordeling van een gekwalificeerde verlener van vertrouwensdiensten en van de door hem verleende gekwalificeerde vertrouwensdiensten te verrichten, of om Europese portemonnees voor digitale identiteit of elektronische identificatiemiddelen te certificeren; |
|
19. |
„verlener van vertrouwensdiensten” : een natuurlijke persoon of rechtspersoon die een of meer vertrouwensdiensten verleent als een gekwalificeerde of als een niet-gekwalificeerde verlener van vertrouwensdiensten; |
|
20. |
„gekwalificeerde verlener van vertrouwensdiensten” : een verlener van vertrouwensdiensten die één of meerdere gekwalificeerde vertrouwensdiensten verleent en van het toezichthoudende orgaan de status van gekwalificeerde heeft gekregen; |
|
21. |
„product” : software of hardware, of relevante componenten van hardware of software, die bedoeld zijn om te worden gebruikt voor de verlening van elektronische identificatie- en vertrouwensdiensten; |
|
22. |
„middel voor het aanmaken van elektronische handtekeningen” : geconfigureerde software of hardware die wordt gebruikt om een elektronische handtekening aan te maken; |
|
23. |
„gekwalificeerd middel voor het aanmaken van elektronische handtekeningen” : een middel voor het aanmaken van elektronische handtekeningen dat voldoet aan de eisen van bijlage II; |
|
23 bis. |
„gekwalificeerd middel voor het op afstand aanmaken van elektronische handtekeningen” : een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen dat overeenkomstig artikel 29 bis namens een ondertekenaar wordt beheerd door een gekwalificeerde verlener van vertrouwensdiensten; |
|
23 ter. |
„gekwalificeerd middel voor het op afstand aanmaken van elektronische zegels” : een gekwalificeerd middel voor het aanmaken van elektronische zegels dat overeenkomstig artikel 39 bis namens een zegelaanmaker wordt beheerd door een gekwalificeerde verlener van vertrouwensdiensten; |
|
24. |
„aanmaker van een zegel” : een rechtspersoon die een elektronisch zegel aanmaakt; |
|
25. |
„elektronisch zegel” : gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die worden gebruikt om de oorsprong en integriteit daarvan te waarborgen; |
|
26. |
„geavanceerd elektronisch zegel” : een elektronisch zegel dat voldoet aan de eisen in artikel 36; |
|
27. |
„gekwalificeerd elektronisch zegel” : een geavanceerd elektronisch zegel dat aangemaakt is door een gekwalificeerd middel voor het aanmaken van elektronische zegels en dat gebaseerd is op een gekwalificeerd certificaat voor elektronische zegels; |
|
28. |
„gegevens voor het aanmaken van elektronische zegels” : unieke gegevens die door de aanmaker van het elektronische zegel worden gebruikt om een elektronisch zegel aan te maken; |
|
29. |
„certificaat voor elektronische zegels” : een elektronische attestering die valideringsgegevens van elektronische zegels aan een rechtspersoon verbindt en de naam van die rechtspersoon bevestigt; |
|
30. |
„gekwalificeerd certificaat voor elektronische zegels” : een certificaat voor een elektronische zegel dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage III; |
|
31. |
„middel voor het aanmaken van elektronische zegels” : geconfigureerde software of hardware die wordt gebruikt om een elektronisch zegel aan te maken; |
|
32. |
„gekwalificeerd middel voor het aanmaken van elektronische zegels” : een middel voor het aanmaken van elektronische zegels dat mutatis mutandis voldoet aan de eisen van bijlage II; |
|
33. |
„elektronische tijdstempel” : gegevens in elektronische vorm die andere gegevens in elektronische vorm verbinden aan een bepaald tijdstip en die bewijzen dat die laatstgenoemde gegevens op dat tijdstip bestonden; |
|
34. |
„gekwalificeerde elektronische tijdstempel” : een elektronische tijdstempel die voldoet aan de in artikel 42 vastgelegde eisen; |
|
35. |
„elektronisch document” : elke inhoud die is opgeslagen in elektronische vorm, in het bijzonder tekst of geluid, beeld of audiovisuele opname; |
|
36. |
„dienst voor elektronisch aangetekende bezorging” : een dienst die het mogelijk maakt gegevens via elektronische middelen tussen derden te verzenden en die bewijs verschaft ten aanzien van het hanteren van de verzonden gegevens, met inbegrip van bewijs van het verzenden en ontvangen van de gegevens, en die de verzonden gegevens beschermt tegen het risico van verlies, diefstal, beschadiging of onbevoegde wijzigingen; |
|
37. |
„gekwalificeerde dienst voor elektronisch aangetekende bezorging” : een dienst voor elektronisch aangetekende bezorging die voldoet aan de in artikel 44 vastgestelde eisen; |
|
38. |
„certificaat voor websiteauthenticatie” : elektronische attestering die het mogelijk maakt de authenticiteit van een website vast te stellen en die de website verbindt aan de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven; |
|
39. |
„gekwalificeerd certificaat voor websiteauthenticatie” : certificaat voor websiteauthenticatie dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage IV; |
|
40. |
„valideringsgegevens” : gegevens die worden gebruikt om een elektronische handtekening of elektronisch zegel te valideren; |
|
41. |
„validering” : proces waarmee wordt nagegaan of, en wordt bevestigd dat, gegevens in elektronische vorm overeenkomstig deze verordening geldig zijn; |
|
42. |
„Europese portemonnee voor digitale identiteit” : een elektronisch identificatiemiddel dat de gebruiker in staat stelt gegevens voor persoonsidentificatie en elektronische attesteringen van attributen veilig op te slaan, te beheren en te valideren met het oog op de verstrekking ervan aan vertrouwende partijen en andere gebruikers van Europese portemonnees voor digitale identiteit, en te ondertekenen middels gekwalificeerde elektronische handtekeningen of te verzegelen middels gekwalificeerde elektronische zegels; |
|
43. |
„attribuut” : een eigenschap, hoedanigheid, recht of toestemming van een natuurlijke of rechtspersoon of van een object; |
|
44. |
„elektronische attestering van attributen” : een attestering in elektronisch formaat aan de hand waarvan attributen kunnen worden geauthenticeerd; |
|
45. |
„gekwalificeerde elektronische attestering van attributen” : een elektronische attestering van attributen die is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en die voldoet aan de eisen van bijlage V; |
|
46. |
„elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron” : een elektronische attestering van attributen uitgegeven door een openbare instantie die verantwoordelijk is voor een authentieke bron of door een openbare instantie die door de lidstaat is aangewezen voor het uitgeven van dergelijke attesteringen van attributen namens de openbare instanties die verantwoordelijk zijn voor authentieke bronnen overeenkomstig artikel 45 septies en bijlage VII; |
|
47. |
„authentieke bron” : een register of systeem, onder de verantwoordelijkheid van een openbare instantie of private entiteit, dat attributen omtrent een natuurlijke of rechtspersoon of een voorwerp bevat en verstrekt, en als een primaire bron van die informatie wordt beschouwd of krachtens Unie- of nationaal recht, met inbegrip van de bestuursrechtelijke praktijken, als authentiek wordt erkend; |
|
48. |
„elektronische archivering” : een dienst die de ontvangst, opslag, opvraging en verwijdering van elektronische gegevens en elektronische documenten verzorgt om de duurzaamheid en leesbaarheid ervan te garanderen alsook de integriteit, de vertrouwelijkheid en het bewijs van de oorsprong ervan gedurende de volledige bewaartermijn te vrijwaren; |
|
49. |
„gekwalificeerde elektronische archiveringsdienst” : een elektronische archiveringsdienst die wordt verstrekt door een verlener van gekwalificeerde vertrouwensdiensten en die voldoet aan de eisen die zijn vastgelegd in artikel 45 undecies; |
|
50. |
„EU-betrouwbaarheidskeurmerk van de portemonnee voor digitale identiteit” : een verifieerbare eenvoudige, herkenbare en op een duidelijke wijze meegedeelde indicatie dat een Europese portemonnee voor digitale identiteit is verstrekt overeenkomstig deze verordening; |
|
51. |
„sterke gebruikersauthenticatie” : een authenticatie op basis van ten minste twee authenticatiefactoren uit verschillende categorieën, hetzij kennis, iets wat alleen de gebruiker weet, bezit, iets wat alleen de gebruiker bezit, of een inherente eigenschap, iets wat de gebruiker is, die los van elkaar staan, zodat een inbreuk op een ervan de betrouwbaarheid van de andere niet in gevaar brengt, en die zo zijn ontworpen dat de vertrouwelijkheid van de authenticatiegegevens wordt beschermd; |
|
52. |
„elektronisch register” : een opeenvolging van elektronische gegevensbestanden die de integriteit van die bestanden en de nauwkeurigheid van de chronologische volgorde van die bestanden waarborgt; |
|
53. |
„gekwalificeerd elektronisch register” : een elektronisch register dat wordt verstrekt door een verlener van gekwalificeerde vertrouwensdiensten en dat voldoet aan de eisen die zijn vastgelegd in artikel 45 terdecies; |
|
54. |
„persoonsgegevens” : alle informatie zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) 2016/679; |
|
55. |
„identiteitsmatching” : een proces waarbij persoonsidentificatiegegevens of elektronische identificatiemiddelen met een bestaande account van dezelfde persoon worden gematcht of gekoppeld; |
|
56. |
„gegevensbestand” : elektronische gegevens die samen met daaraan gerelateerde metagegevens zijn opgeslagen ter ondersteuning van de verwerking van de gegevens; |
|
57. |
„offlinemodus” : wat het gebruik van Europese portemonnees voor digitale identiteit betreft, een interactie tussen een gebruiker en een derde op een fysieke locatie, waarbij de Europese portemonnee voor digitale identiteit door het gebruik van korteafstandtechnologieën geen toegang tot systemen op afstand via elektronische communicatienetwerken hoeft te hebben ten behoeve van de interactie. |
Artikel 4
Internemarktbeginsel
Artikel 5
Pseudoniemen in elektronische transacties
Onverminderd specifieke regels van het Unie- of nationale recht op grond waarvan gebruikers zichzelf moeten identificeren of onverminderd het rechtsgevolg dat op grond van het nationaal recht aan het gebruik van pseudoniemen wordt toegekend, wordt het gebruik van pseudoniemen die door de gebruiker zijn gekozen, niet verboden.
HOOFDSTUK II
ELEKTRONISCHE IDENTIFICATIE
AFDELING 1
Europese portemonnee voor digitale identiteit
Artikel 5 bis
Europese portemonnees voor digitale identiteit
Europese portemonnees voor digitale identiteit worden op een of meer van de volgende manieren verstrekt:
rechtstreeks door een lidstaat;
krachtens een mandaat van een lidstaat;
onafhankelijk van een lidstaat, maar erkend door die lidstaat.
Met een Europese portemonnee voor digitale identiteit kunnen gebruikers op […] gebruiksvriendelijke, transparante en voor hen traceerbare wijze:
veilig, met volledige controle door de gebruiker, persoonsidentificatiegegevens aanvragen, verkrijgen, selecteren, combineren, opslaan, verwijderen, delen en aanbieden, en, indien van toepassing, in combinatie met elektronische attesteringen van attributen, zich online en, indien passend, in offlinemodus authenticeren bij vertrouwende partijen, om toegang te krijgen tot publieke en private diensten, waarbij ervoor wordt gezorgd dat een selectieve verstrekking van gegevens mogelijk is;
pseudoniemen genereren en versleuteld en lokaal opslaan in de Europese portemonnee voor digitale identiteit;
veilig de Europese portemonnee voor digitale identiteit van een andere persoon authenticeren en persoonsidentificatiegegevens en elektronische attesteringen van attributen op beveiligde wijze tussen de twee Europese portemonnees voor digitale identiteit ontvangen en delen;
toegang krijgen tot een log van alle transacties die met de Europese portemonnee voor digitale identiteit worden uitgevoerd via een gemeenschappelijk dashboard waarmee de gebruiker:
een actuele lijst van vertrouwende partijen waarmee de gebruiker een verbinding tot stand heeft gebracht en, indien van toepassing, alle uitgewisselde gegevens kan bekijken;
gemakkelijk kan verzoeken om het wissen door een vertrouwende partij van persoonsgegevens overeenkomstig artikel 17 van Verordening (EU) 2016/679;
gemakkelijk aan de bevoegde nationale gegevensbeschermingsautoriteit een vertrouwende partij kan aangeven, wanneer een vermeend onrechtmatig of verdacht verzoek om gegevens is ontvangen;
ondertekenen middels gekwalificeerde elektronische handtekeningen of verzegelen middels gekwalificeerde elektronische zegels;
voor zover technisch haalbaar, de gegevens van de gebruiker, de elektronische attestering van attributen en configuraties downloaden;
de rechten van de gebruiker op gegevensoverdraagbaarheid uitoefenen.
Europese portemonnees voor digitale identiteit moeten in het bijzonder:
gemeenschappelijke protocollen en interfaces ondersteunen:
voor het uitgeven van persoonsidentificatiegegevens, gekwalificeerde en niet-gekwalificeerde elektronische attesteringen van attributen of gekwalificeerde en niet-gekwalificeerde certificaten aan de Europese portemonnee voor digitale identiteit;
voor vertrouwende partijen om persoonsidentificatiegegevens en elektronische attesteringen van attributen aan te vragen en te valideren;
om online en, indien passend, ook in offlinemodus persoonsidentificatiegegevens, elektronische attestering van attributen of van selectief verstrekte gegevens met […] vertrouwende partijen te delen en hun aan te bieden;
opdat de gebruiker met de Europese portemonnee voor digitale identiteit kan communiceren en om een EU-betrouwbaarheidskeurmerk van de portemonnee voor digitale identiteit te kunnen weergeven;
om de gebruiker een veilige instap te garanderen door gebruik van een elektronisch identificatiemiddel overeenkomstig artikel 5 bis, lid 24;
om tussen de Europese portemonnees voor digitale identiteit van twee personen te communiceren teneinde op beveiligde wijze persoonsidentificatiesgegevens en elektronische attesteringen van attributen te ontvangen, te valideren en te delen;
om vertrouwende partijen te authenticeren en identificeren door de toepassing van authenticatiemechanismen overeenkomstig artikel 5 ter;
opdat vertrouwende partijen de authenticiteit en geldigheid van Europese portemonnees voor digitale identiteit kunnen verifiëren;
om een vertrouwende partij te kunnen verzoeken om het wissen van persoonsgegevens overeenkomstig artikel 17 van Verordening (EU) 2016/679;
om het aan de bevoegde nationale gegevensbeschermingsautoriteit te melden wanneer van een vertrouwende partij een vermeend onrechtmatig of verdacht verzoek om gegevens is ontvangen;
voor het aanmaken van gekwalificeerde elektronische handtekeningen of elektronische zegels door middel van middelen voor het aanmaken van gekwalificeerde elektronische handtekeningen of elektronische zegels;
verleners van vertrouwensdiensten van elektronische attesteringen van attributen geen informatie verstrekken over het gebruik van die elektronische attesteringen;
ervoor zorgen dat vertrouwende partijen kunnen worden geauthenticeerd en geïdentificeerd door toepassing van authenticatiemechanismen overeenkomstig artikel 5 ter;
aan de voorwaarden van artikel 8 voldoen wat het betrouwbaarheidsniveau „hoog” betreft, met name betreffende de vereisten voor het bewijzen en verifiëren van identiteit, en het beheer en de authenticatie van elektronische identificatiemiddelen;
bij elektronische attestering van attributen met een ingebed openbaarmakingsbeleid, het passende mechanisme toepassen om de gebruiker ervan in kennis te stellen dat de vertrouwende partij of de gebruiker van de Europese portemonnee voor digitale identiteit die om die elektronische attestering van attributen verzoekt tot die attestering toegang heeft;
waarborgen dat de persoonsidentificatiegegevens die beschikbaar zijn uit het stelsel voor elektronische identificatie in het kader waarvan de Europese portemonnee voor digitale identiteit wordt verstrekt, op unieke wijze de natuurlijke of rechtspersoon, dan wel de natuurlijke persoon die de natuurlijke of rechtspersoon vertegenwoordigt, vertegenwoordigen en verbonden zijn met die Europese portemonnee voor digitale identiteit;
alle natuurlijke personen de mogelijkheid bieden om standaard en kosteloos met een gekwalificeerde elektronische handtekening te ondertekenen.
Niettegenstaande punt g) van de eerste alinea kunnen de lidstaten voorzien in evenredige maatregelen om ervoor te zorgen dat het gratis gebruik van gekwalificeerde elektronische handtekeningen door natuurlijke personen beperkt blijft tot niet-professionele doeleinden.
De lidstaten voorzien in gratis valideringsmechanismen om:
ervoor te zorgen dat de authenticiteit en de geldigheid van Europese portemonnees voor digitale identiteit kunnen worden geverifieerd;
gebruikers in staat te stellen de authenticiteit en de geldigheid van de identiteit van vertrouwende partijen die zijn geregistreerd overeenkomstig artikel 5 ter, te verifiëren.
De lidstaten zien erop toe dat de geldigheid van de Europese portemonnee voor digitale identiteit kan worden ingetrokken in de volgende omstandigheden:
op uitdrukkelijk verzoek van de gebruiker;
wanneer de beveiliging van de Europese portemonnee voor digitale identiteit is aangetast;
wanneer de gebruiker sterft of de rechtspersoon haar activiteiten beëindigt.
Het technische kader van de Europese portemonnee voor digitale identiteit:
mag het aanbieders van elektronische attesteringen van attributen of andere partijen na de afgifte van de attestering van attributen, niet mogelijk maken gegevens te verkrijgen waarmee kan worden gevolgd, gekoppeld of gecorreleerd of waarmee kennis van transacties of gebruikersgedrag anderszins kan worden verkregen, tenzij de gebruiker daar uitdrukkelijk toestemming voor heeft gegeven;
moet technieken voor privacybescherming mogelijk maken die onkoppelbaarheid waarborgen, waarbij de attestering van attributen geen identificatie van de gebruiker vereist.
De lidstaten verstrekken de Commissie onverwijld informatie over:
de instantie die verantwoordelijk is voor het opstellen en bijhouden van de lijst van geregistreerde vertrouwende partijen die Europese portemonnees voor digitale identiteit gebruiken, overeenkomstig artikel 5 ter, lid 5, alsmede de plaats waar die lijst zich bevindt;
de instanties die verantwoordelijk zijn voor de verstrekking van Europese portemonnees voor digitale identiteit, overeenkomstig artikel 5 bis, lid 1;
de instanties die ervoor moeten zorgen dat de persoonsidentificatiegegevens worden verbonden met de Europese portemonnee voor digitale identiteit, overeenkomstig artikel 5 bis, lid 5, punt f);
het mechanisme voor de validering van de in artikel 5 bis, lid 5, punt f), bedoelde persoonsidentificatiegegevens en van de identiteit van de vertrouwende partijen;
het mechanisme voor het valideren van de authenticiteit en de geldigheid van Europese portemonnees voor digitale identiteit.
De Commissie stelt de krachtens de eerste alinea verstrekte informatie aan het publiek beschikbaar via een beveiligd kanaal, in een elektronisch ondertekende of bezegelde vorm die geschikt is voor geautomatiseerde verwerking.
Artikel 5 ter
Vertrouwende partijen voor Europese portemonnees voor digitale identiteit
Het registratieproces moet kosteneffectief zijn en evenredig met het risico. De vertrouwende partij verstrekt ten minste:
de informatie die nodig is om zich te authenticeren voor Europese portemonnees voor digitale identiteit, die ten minste het volgende omvat:
de lidstaat waar de vertrouwende partij gevestigd is, en
de naam van de vertrouwende partij en, in voorkomend geval, haar registratienummer zoals vermeld in een officieel register, samen met de identificatiegegevens van dat officiële register;
de contactgegevens van de vertrouwende partij;
het beoogde gebruik van Europese portemonnees voor digitale identiteit, met inbegrip van een indicatie van de gegevens die de vertrouwende partij van gebruikers opvraagt.
Artikel 5 quater
Certificering van Europese portemonnees voor digitale identiteit
Artikel 5 quinquies
Bekendmaking van een lijst van gecertificeerde Europese portemonnees voor digitale identiteit
Onverminderd artikel 5 bis, lid 18, omvat de in lid 1 van dit artikel bedoelde door de lidstaten verstrekte informatie ten minste:
het certificaat en het certificeringsbeoordelingsverslag van de gecertificeerde Europese portemonnee voor digitale identiteit;
een beschrijving van het stelsel voor elektronische identificatie op grond waarvan de Europese portemonnee voor digitale identiteit wordt verstrekt;
de toepasselijke toezichtregeling en informatie over de aansprakelijkheidsregeling met betrekking tot de partij die de Europese portemonnee voor digitale identiteit verstrekt;
de autoriteit of autoriteiten die verantwoordelijk is respectievelijk zijn voor het stelsel voor elektronische identificatie;
regelingen voor de opschorting of intrekking van het stelsel voor elektronische identificatie of de authenticatie, of van de delen waarvan de integriteit geschonden is.
Artikel 5 sexies
Inbreuk op de beveiliging van Europese portemonnees voor digitale identiteit
Indien de ernst van de in de eerste alinea bedoelde beveiligingsinbreuk of -aantasting dit rechtvaardigt, trekt de lidstaat onverwijld Europese portemonnees voor digitale identiteit in.
De lidstaat stelt de getroffen gebruikers, de overeenkomstig artikel 46 quater, lid 1, aangewezen centrale contactpunten, de vertrouwende partijen en de Commissie daarvan in kennis.
Artikel 5 septies
Grensoverschrijdend gebruik van Europese portemonnees voor digitale identiteit
AFDELING 2
Stelsels voor elektronische identificatie
Artikel 6
Wederzijdse erkenning
Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht of door gangbare bestuursrechtelijke praktijk om toegang te krijgen tot een onlinedienst aangeboden door een openbare instantie in een lidstaat, moet het elektronisch identificatiemiddel dat uitgegeven is in een andere lidstaat worden erkend in de eerste lidstaat ten behoeve van de grensoverschrijdende onlineauthenticatie van die dienst, mits aan de volgende voorwaarden is voldaan:
het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt;
het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog;
de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst.
Die erkenning vindt plaats uiterlijk twaalf maanden nadat de Commissie de lijst als bedoeld in de eerste alinea, onder a), heeft bekendgemaakt.
Artikel 7
Voorwaarden voor het in aanmerking komen voor de aanmelding van stelsels voor elektronische identificatie
Een stelsel voor elektronische identificatie komt in aanmerking voor aanmelding overeenkomstig artikel 9, lid 1, indien aan alle onderstaande voorwaarden is voldaan:
het elektronische identificatiemiddel dat onder het stelsel voor elektronische identificatie valt wordt uitgegeven:
door de aanmeldende lidstaat;
op grond van een mandaat van de aanmeldende lidstaat; of
onafhankelijk van de aanmeldende lidstaat, en wordt door die lidstaat erkend;
de elektronische identificatiemiddelen uit hoofde van het stelsel voor elektronische identificatie kunnen worden gebruikt om toegang te verkrijgen tot ten minste één door een openbare instantie geleverde dienst waarvoor elektronische identificatie vereist is in de aanmeldende lidstaat;
het stelsel voor elektronische identificatie en de uit hoofde ervan uitgegeven elektronische identificatiemiddelen voldoen aan de eisen van op zijn minst één van de betrouwbaarheidsniveaus, opgenomen in de in artikel 8, lid 3, vermelde uitvoeringshandeling;
de aanmeldende lidstaat waarborgt dat de persoonsidentificatiegegevens die de persoon in kwestie op unieke wijze kenmerken op het moment van uitgifte van het elektronische identificatiemiddel op grond van dat stelsel, conform de technische specificaties, normen en procedures voor het respectieve betrouwbaarheidsniveau zoals neergelegd in de uitvoeringshandeling bedoeld in artikel 8, lid 3, worden gekoppeld aan de natuurlijke persoon of rechtspersoon als bedoeld in artikel 3, punt 1;
de partij die het elektronische identificatiemiddel uitgeeft op grond van dat stelsel, zorgt ervoor dat het elektronische identificatiemiddel wordt gekoppeld aan de persoon bedoeld in punt d) van dat artikel, in overeenstemming met de technische specificaties, normen en procedures voor het respectieve betrouwbaarheidsniveau zoals neergelegd in de uitvoeringshandeling bedoeld in artikel 8, lid 3;
de aanmeldende lidstaat zorgt voor de beschikbaarheid van onlineauthenticatie, zodat iedere vertrouwende partij die op het grondgebied van een andere lidstaat gevestigd is, de mogelijkheid heeft de ontvangen persoonsidentificatiegegevens in elektronische vorm te bevestigen.
Voor andere vertrouwende partijen dan openbare instanties mag de aanmeldende lidstaat voorwaarden stellen voor toegang tot die authenticatie. Grensoverschrijdende authenticatie is kosteloos wanneer zij wordt uitgevoerd voor een door een openbare instantie verleende onlinedienst.
De lidstaten leggen geen specifieke onevenredige technische eisen op aan vertrouwende partijen die voornemens zijn een dergelijke authenticatie uit te voeren indien dergelijke eisen de interoperabiliteit van de aangemelde stelsels voor elektronische identificatie tegenhouden of in aanzienlijke mate belemmeren;
ten minste zes maanden vóór aanmelding op grond van artikel 9, lid 1, verstrekt de aanmeldende lidstaat voor de toepassing van artikel 12, lid 5, de andere lidstaten een beschrijving van dat stelsel, in overeenstemming met de procedurele voorschriften die zijn vastgesteld bij de op grond van artikel 12, lid 6, vastgestelde uitvoeringshandelingen;
het stelsel voor elektronische identificatie voldoet aan de eisen van de uitvoeringshandeling bedoeld in artikel 12, lid 8.
Artikel 8
Betrouwbaarheidsniveaus van stelsels voor elektronische identificatie
De betrouwbaarheidsniveaus laag, substantieel en hoog voldoen respectievelijk aan de volgende criteria:
het betrouwbaarheidsniveau laag betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een beperkte mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;
het betrouwbaarheidsniveau substantieel betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een substantiële mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;
het betrouwbaarheidsniveau hoog betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een hogere mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt dan een elektronisch identificatiemiddel met betrouwbaarheidsniveau substantieel, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te voorkomen.
Deze minimale technische specificaties, normen en procedures worden vastgesteld onder verwijzing naar de betrouwbaarheid en kwaliteit van de volgende elementen:
de procedure om de identiteit van de natuurlijke of rechtspersoon die om uitgifte van het elektronisch identificatiemiddel verzoekt, te bewijzen en te verifiëren;
de procedure voor de uitgifte van het aangevraagde elektronische identificatiemiddel;
het authenticatiemechanisme, door middel waarvan de natuurlijke of rechtspersoon het elektronische identificatiemiddel gebruikt om zijn identiteit te bevestigen tegenover een vertrouwende partij;
de entiteit die het elektronische identificatiemiddel uitgeeft;
ieder ander orgaan dat betrokken is bij de uitgifte van het elektronische identificatiemiddel en
de technische en veiligheidsspecificaties van het uitgegeven elektronische identificatiemiddel.
Die uitvoeringsbesluiten worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
Artikel 9
Aanmelding
De aanmeldende lidstaat geeft de Commissie onverwijld kennis van de volgende informatie en van eventuele latere wijzigingen daarvan:
een beschrijving van het stelsel voor elektronische identificatie, met inbegrip van de betrouwbaarheidsniveaus daarvan en de uitgever of de uitgevers van elektronische identificatiemiddelen in het kader van het stelsel;
de toepasselijke toezichtregeling en informatie over de aansprakelijkheidsregeling met betrekking tot onderstaande:
de partij die het elektronische identificatiemiddel uitgeeft, en
de partij die de authenticatieprocedure uitvoert;
de autoriteit of autoriteiten die verantwoordelijk is/zijn voor het stelsel voor elektronische identificatie;
informatie over de entiteit of entiteiten die de registratie van de unieke persoonsidentificatiegegevens beheert/beheren;
een beschrijving van de manier waarop aan de vereisten van de in artikel 12, lid 8, bedoelde uitvoeringshandelingen wordt voldaan;
een beschrijving van de authenticatie bedoeld in artikel 7, onder f);
regelingen voor de opschorting of intrekking van het aangemelde stelsel voor elektronische identificatie of de authenticatie of de delen waarvan de integriteit is geschonden.
Artikel 10
Inbreuk op de beveiliging van stelsels voor elektronische identificatie
De Commissie maakt de overeenkomstige wijzigingen aan de in artikel 9, lid 2, bedoelde lijst zonder onnodige vertraging bekend in het Publicatieblad van de Europese Unie.
Artikel 11
Aansprakelijkheid
Artikel 11 bis
Grensoverschrijdende identiteitsmatching
Artikel 12
Interoperabiliteit
Het interoperabiliteitskader voldoet aan de volgende criteria:
het is erop gericht technologieneutraal te zijn en discrimineert niet tussen specifieke nationale technische oplossingen voor elektronische identificatie binnen de lidstaat;
het volgt, zo mogelijk, Europese en internationale normen;
het bevordert, door het ontwerp, de uitvoering van privacy en beveiliging;
▼M2 —————
Het interoperabiliteitskader bestaat uit:
een vermelding van de technische minimumeisen met betrekking tot de betrouwbaarheidsniveaus van artikel 8;
het relateren van nationale betrouwbaarheidsniveaus van aangemelde stelsels voor elektronische identificatie aan de betrouwbaarheidsniveaus volgens artikel 8;
een verwijzing naar technische minimumeisen voor interoperabiliteit;
een verwijzing naar een minimaal pakket persoonsidentificatiegegevens dat noodzakelijk is om een natuurlijke of rechtspersoon, of een natuurlijke persoon die een andere natuurlijke persoon vertegenwoordigt, op unieke wijze te vertegenwoordigen en dat beschikbaar is vanaf stelsels voor elektronische identificatie;
procedureregels;
regelingen voor geschillenbeslechting; en
gemeenschappelijke operationele veiligheidsnormen.
▼M2 —————
Artikel 12 bis
Certificering van stelsels voor elektronische identificatie
Artikel 12 ter
Toegang tot hardware- en softwarekenmerken
Indien aanbieders van Europese portemonnees voor digitale identiteit en uitgevende instellingen van aangemelde elektronische identificatiemiddelen die handelen in een commerciële of professionele hoedanigheid en gebruikmaken van kernplatformdiensten zoals gedefinieerd in artikel 2, punt 2), van Verordening (EU) 2022/1925 van het Europees Parlement en de Raad ( 7 ), of bij het aanbieden van diensten voor de Europese portemonnee voor digitale identiteit en elektronische identificatiemiddelen aan eindgebruikers, zakelijke gebruikers zijn zoals gedefinieerd in artikel 2, punt 21), van die verordening, zorgen poortwachters met name ervoor dat zij effectief interoperabel zijn met en ten behoeve van de interoperabiliteit toegang hebben tot dezelfde besturingssystemen, hardware of softwarekenmerken. Dergelijke effectieve interoperabiliteit en toegang worden kosteloos toegestaan en ongeacht of de hardware- of softwarekenmerken deel uitmaken van het besturingssysteem, zoals beschikbaar voor of gebruikt door die poortwachter bij het verlenen van dergelijke diensten, in de zin van artikel 6, lid 7, van Verordening (EU) 2022/1925. Dit artikel laat artikel 5 bis, lid 14, van deze verordening onverlet.
HOOFDSTUK III
VERTROUWENSDIENSTEN
AFDELING 1
Algemene bepalingen
Artikel 13
Aansprakelijkheid en bewijslast
De bewijslast voor het aantonen van opzet of nalatigheid van een niet-gekwalificeerde verlener van vertrouwensdiensten ligt bij de natuurlijke persoon of de rechtspersoon die zich op de in de eerste alinea bedoelde schade beroept.
Opzet of nalatigheid van een gekwalificeerde verlener van vertrouwensdiensten wordt vermoed tenzij die gekwalificeerde verlener van vertrouwensdiensten bewijst dat de in de eerste alinea bedoelde schade is ontstaan zonder dat er sprake was van opzet of nalatigheid van die gekwalificeerde verlener van vertrouwensdiensten.
Artikel 14
Internationale aspecten
De in de eerste alinea bedoelde uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
Artikel 15
Toegankelijkheid voor personen met een handicap en bijzondere behoeften
Elektronische identificatiemiddelen, vertrouwensdiensten en eindgebruikersproducten die bij de verlening van die diensten worden gebruikt, worden beschikbaar gesteld in duidelijke en begrijpelijke taal, in overeenstemming met het Verdrag van de Verenigde Naties inzake de rechten van personen met een handicap en de toegankelijkheidseisen van Richtlijn (EU) 2019/882, zodat zij ook personen met functionele beperkingen, zoals ouderen, en personen met beperkte toegang tot digitale technologieën ten goede komen.
Artikel 16
Sancties
De lidstaten zorgen ervoor dat inbreuken op deze verordening door gekwalificeerde en niet-gekwalificeerde verleners van vertrouwensdiensten worden bestraft met administratieve boetes voor een maximumbedrag van ten minste:
5 000 000 EUR, indien de verlener van vertrouwensdiensten een natuurlijke persoon is, of
5 000 000 EUR of 1 % van de totale wereldwijde jaaromzet van de onderneming waartoe de verlener van vertrouwensdiensten behoorde in het boekjaar voorafgaand aan het jaar waarin de inbreuk plaatsvond, indien dat hoger is, indien de verlener van vertrouwensdiensten een rechtspersoon is.
AFDELING 2
Niet-gekwalificeerde vertrouwensdiensten
▼M2 —————
▼M1 —————
Artikel 19 bis
Eisen aan niet-gekwalificeerde verleners van vertrouwensdiensten
Een niet-gekwalificeerde verlener van vertrouwensdiensten die niet-gekwalificeerde vertrouwensdiensten verleent:
voert een passend beleid en treft overeenkomstige maatregelen ter beheersing van juridische, zakelijke, operationele en andere directe of indirecte risico’s met betrekking tot de verlening van de niet-gekwalificeerde vertrouwensdienst, die niettegenstaande artikel 21 van Richtlijn (EU) 2022/2555, ten minste de maatregelen omvatten met betrekking tot:
de registratie en instapprocedures voor een vertrouwensdienst;
procedurele of administratieve controles die nodig zijn om vertrouwensdiensten te verlenen;
het beheer en de uitvoering van vertrouwensdiensten;
stelt het toezichthoudend orgaan, de identificeerbare getroffen personen, het publiek indien dit van algemeen belang is en, indien van toepassing, andere relevante bevoegde autoriteiten onverwijld en in elk geval uiterlijk 24 uur nadat hij of zij kennis heeft genomen van beveiligingsinbreuken of verstoringen, in kennis van beveiligingsinbreuken of verstoringen in de verlening van de dienst of de uitvoering van de maatregelen bedoeld in punt a), i), ii) of iii), die een aanzienlijk effect hebben op de verleende vertrouwensdienst of op de daarin bijgehouden persoonsgegevens.
AFDELING 3
Vertrouwensdiensten
Artikel 20
Toezicht op gekwalificeerde verleners van vertrouwensdiensten
Bij ontstentenis van een rechtzetting en, indien van toepassing binnen de door het toezichthoudend orgaan bepaalde tijdspanne, kan het toezichthoudend orgaan, wanneer dit gerechtvaardigd is door in het bijzonder de mate, de duur en de gevolgen van die niet-naleving, de status „gekwalificeerd” van die verlener of van de door hem verleende betrokken dienst intrekken.
Uiterlijk op 21 mei 2025 stelt de Commissie door middel van uitvoeringshandelingen een lijst met referentienormen en, waar nodig, specificaties en procedures vast voor:
de accreditering van de conformiteitsbeoordelingsinstanties en voor het conformiteitsbeoordelingsverslag bedoeld in lid 1;
de auditvereisten volgens welke de conformiteitsbeoordelingsinstanties hun conformiteitsbeoordeling, daaronder begrepen hun samengestelde beoordeling, van de gekwalificeerde verleners van vertrouwensdiensten, bedoeld in lid 1, uitvoeren;
de conformiteitsbeoordelingsregelingen volgens welke de conformiteitsbeoordelingsinstanties de conformiteitsbeoordeling van de gekwalificeerde verleners van vertrouwensdiensten uitvoeren en het in lid 1 bedoelde verslag uitbrengen.
De uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
Artikel 21
Aanvang voor het aanbieden van een gekwalificeerde vertrouwensdienst
Om te controleren of de verlener van vertrouwensdiensten de eisen van artikel 21 van Richtlijn (EU) 2022/2555 naleeft, verzoekt het toezichthoudend orgaan de uit hoofde van artikel 8, lid 1, van die richtlijn aangewezen of opgerichte bevoegde autoriteiten om toezichtmaatregelen ter zake uit te voeren en onverwijld en uiterlijk twee maanden na de ontvangst van dit verzoek informatie over de uitkomst te verstrekken. Indien de verificatie niet binnen twee maanden na de kennisgeving is afgerond, brengen die bevoegde autoriteiten het toezichthoudend orgaan op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie zal zijn afgerond.
Indien het toezichthoudend orgaan tot het oordeel komt dat de verlener van vertrouwensdiensten en de door hem verleende vertrouwensdiensten in overeenstemming zijn met de eisen van deze verordening, kent het toezichthoudend orgaan de status „gekwalificeerd” toe aan de verlener van vertrouwensdiensten en aan de door hem verleende vertrouwensdiensten en stelt het toezichthoudend orgaan het in artikel 22, lid 3, bedoelde orgaan hiervan in kennis, zodat de in artikel 22, lid 1, bedoelde vertrouwenslijsten bijgewerkt worden, en wel binnen drie maanden na kennisgeving overeenkomstig lid 1.
Indien de verificatie niet binnen drie maanden na de kennisgeving is afgerond, brengt het toezichthoudend orgaan de verlener van vertrouwensdiensten op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie afgerond zal zijn.
Artikel 22
Vertrouwenslijsten
Artikel 23
Vertrouwensmerk van de EU voor gekwalificeerde vertrouwensdiensten
Artikel 24
Eisen aan gekwalificeerde verleners van vertrouwensdiensten
De in lid 1 bedoelde identiteitsverificatie wordt door de gekwalificeerde verlener van vertrouwensdiensten met daartoe geschikte middelen verricht, hetzij rechtstreeks, hetzij door een beroep te doen op een derde, op basis van een van de volgende methoden of indien nodig een combinatie daarvan, en conform de in lid 1 quater bedoelde uitvoeringshandelingen:
door middel van de Europese portemonnee voor digitale identiteit of een aangemeld elektronisch identificatiemiddel dat voldoet aan de vereisten van artikel 8 wat betreft het betrouwbaarheidsniveau „hoog”;
door middel van een certificaat van een gekwalificeerde elektronische handtekening of van een gekwalificeerd elektronisch zegel, afgegeven overeenkomstig punt a), c) of d);
door middel van andere identificatiemethoden ter waarborging van de identificatie van de persoon met een hoog niveau van vertrouwen, waarvan de overeenstemming wordt bevestigd door een conformiteitsbeoordelingsinstantie;
door de fysieke aanwezigheid van de natuurlijke persoon of van een gemachtigde vertegenwoordiger van de rechtspersoon, volgens passende bewijzen en procedures, overeenkomstig nationaal recht.
De in lid 1 bedoelde verificatie van de attributen wordt door de gekwalificeerde verlener van vertrouwensdiensten met daartoe geschikte middelen verricht, hetzij rechtstreeks, hetzij door een beroep te doen op een derde, op basis van een van de volgende methoden of indien nodig op basis van een combinatie daarvan, overeenkomstig de in lid 1 quater bedoelde uitvoeringshandelingen:
door middel van de Europese portemonnee voor digitale identiteit of een aangemeld elektronisch identificatiemiddel dat voldoet aan de vereisten van artikel 8 wat betreft het betrouwbaarheidsniveau „hoog”;
door middel van een certificaat van een gekwalificeerde elektronische handtekening of van een gekwalificeerd elektronisch zegel, afgegeven overeenkomstig lid 1 bis, punt a), c) of d);
door middel van een gekwalificeerde elektronische attestering van attributen;
door middel van andere methoden ter waarborging van de verificatie van de attributen met een hoog niveau van vertrouwen, waarvan de overeenstemming wordt bevestigd door een conformiteitsbeoordelingsinstantie;
door de fysieke aanwezigheid van de natuurlijke persoon of van een gemachtigde vertegenwoordiger van de rechtspersoon, volgens passende bewijzen en procedures, overeenkomstig nationaal recht.
Een gekwalificeerde verlener van vertrouwensdiensten die gekwalificeerde vertrouwensdiensten verleent:
informeert het toezichthoudend orgaan ten minste één maand voor de doorvoering van een wijziging in de verlening van zijn gekwalificeerde vertrouwensdiensten of ten minste drie maanden in geval van een voornemen om die activiteiten te staken;
neemt personeelsleden, en, waar van toepassing, onderaannemers in dienst die over de noodzakelijke deskundigheid, betrouwbaarheid, ervaring, en kwalificaties beschikken, en die een passende opleiding hebben genoten met betrekking tot regels inzake beveiliging en bescherming van persoonsgegevens, en past administratieve en managementprocedures toe die voldoen aan Europese of internationale normen;
zorgt ervoor dat hij, in verband met het risico op de in artikel 13 bedoelde aansprakelijkheid voor schade, voldoende financiële middelen ter beschikking heeft en/of sluit, overeenkomstig het nationale recht, een toereikende aansprakelijkheidsverzekering af;
verstrekt individueel aan personen die gebruik wensen te maken van een gekwalificeerde vertrouwensdienst duidelijke, volledige en gemakkelijk toegankelijke informatie in een voor het publiek toegankelijke plaats over de precieze voorwaarden betreffende het gebruik van die dienst, met inbegrip van eventuele beperkingen op het gebruik ervan, alvorens een contractuele verbintenis aan te gaan;
maakt gebruik van betrouwbare systemen en producten die beschermd zijn tegen wijziging en die de technische veiligheid en betrouwbaarheid waarborgen van de processen die zij ondersteunen, onder meer door gebruik te maken van passende cryptografische technieken;
maakt gebruik van betrouwbare systemen voor de opslag van aan hem verstrekte gegevens in verifieerbare vorm, zodat:
de gegevens uitsluitend publiek beschikbaar zijn indien de persoon op wie de gegevens betrekking hebben, hiervoor toestemming heeft gegeven,
alleen bevoegde personen de opgeslagen gegevens kunnen invoeren en wijzigen,
de authenticiteit van de gegevens kan worden gecontroleerd;
voert, niettegenstaande artikel 21 van Richtlijn (EU) 2022/2555, passend beleid en treft overeenkomstige maatregelen om juridische, zakelijke, operationele en andere directe of indirecte risico’s met betrekking tot de verlening van de gekwalificeerde vertrouwensdienst te beheersen, waaronder ten minste maatregelen in verband met:
de registratie en instapprocedures voor een dienst;
de procedurele of administratieve controles;
het beheer en de uitvoering van diensten;
stelt het toezichthoudend orgaan, de identificeerbare getroffen personen, andere relevante bevoegde organen indien van toepassing en, op verzoek van het toezichthoudend orgaan, het publiek indien dit van algemeen belang is, onverwijld en in elk geval binnen 24 uur na het incident in kennis van beveiligingsinbreuken of verstoringen in de verlening van de dienst of de uitvoering van de maatregelen bedoeld in punt f bis, i), ii) of iii), die een aanzienlijk effect hebben op de verleende vertrouwensdienst of op de daarin bijgehouden persoonsgegevens;
neemt passende maatregelen tegen vervalsing, diefstal of verduistering van gegevens, of het onrechtmatig wissen, wijzigen of ontoegankelijk maken van gegevens;
legt zo lang als nodig, nadat de gekwalificeerde verlener van vertrouwensdiensten zijn activiteiten heeft gestaakt, alle relevante informatie vast met betrekking tot de gegevens die de gekwalificeerde verlener van vertrouwensdiensten heeft afgegeven en ontvangen, en houdt die informatie toegankelijk, om ten behoeve van gerechtelijke procedures bewijzen te kunnen leveren en om de continuïteit van de dienst te waarborgen. Dit vastleggen mag elektronisch plaatsvinden;
heeft een geactualiseerd beëindigingsplan om de continuïteit van de dienst te verzekeren in overeenstemming met de door het toezichthoudend orgaan op grond van artikel 46 ter, lid 4, punt i), geverifieerde bepalingen;
▼M2 —————
legt, indien het gaat om gekwalificeerde verleners van vertrouwensdiensten die gekwalificeerde certificaten afgeven, een certificatendatabank aan en houdt deze actueel.
Het toezichthoudend orgaan kan om informatie, anders dan de overeenkomstig punt a) van de eerste alinea verstrekte informatie, of het resultaat van een conformiteitsbeoordeling verzoeken en kan voorwaarden verbinden aan de toestemming voor het doorvoeren van de voorgenomen wijzigingen in de gekwalificeerde vertrouwensdiensten. Indien de verificatie niet binnen drie maanden na de kennisgeving is afgerond, brengt het toezichthoudend orgaan de verlener van vertrouwensdiensten op de hoogte van de redenen voor de vertraging en van de termijn waarbinnen de verificatie afgerond zal zijn.
Artikel 24 bis
Erkenning van gekwalificeerde vertrouwensdiensten
AFDELING 4
Elektronische handtekeningen
Artikel 25
Rechtsgevolgen van elektronische handtekeningen
▼M2 —————
Artikel 26
Eisen voor geavanceerde elektronische handtekeningen
Een geavanceerde elektronische handtekening voldoet aan de volgende eisen:
zij is op unieke wijze aan de ondertekenaar verbonden;
zij maakt het mogelijk de ondertekenaar te identificeren;
zij komt tot stand met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken, en
zij is op zodanige wijze aan de daarmee ondertekende gegevens verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.
Artikel 27
Elektronische handtekeningen in openbare diensten
▼M2 —————
Artikel 28
Gekwalificeerde certificaten voor elektronische handtekeningen
Behoudens de hierna volgende voorwaarden kunnen lidstaten nationale regels vaststellen inzake de tijdelijke schorsing van een gekwalificeerd certificaat voor elektronische handtekeningen:
indien een gekwalificeerd certificaat voor elektronische handtekeningen tijdelijk is geschorst, verliest dit certificaat gedurende de periode van de schorsing zijn geldigheid;
de periode van schorsing wordt duidelijk aangegeven in de certificatendatabank en de schorsingsstatus is, gedurende de schorsingsperiode, zichtbaar vanuit de dienst die informatie over de status van het certificaat geeft.
Artikel 29
Eisen voor gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen
Artikel 29 bis
Eisen voor een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen
Het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische handtekeningen als gekwalificeerde vertrouwensdienst mag alleen worden uitgevoerd door een gekwalificeerde verlener van vertrouwensdiensten die:
gegevens voor het aanmaken van elektronische handtekeningen namens de ondertekenaar genereert of beheert;
niettegenstaande punt 1, d), van bijlage II, de gegevens voor het aanmaken van elektronische handtekeningen alleen voor back-updoeleinden dupliceert, op voorwaarde dat aan de volgende eisen wordt voldaan:
de beveiliging van de gedupliceerde gegevensverzamelingen moet van hetzelfde niveau zijn als de beveiliging van de originele gegevensverzamelingen;
het aantal gedupliceerde gegevensverzamelingen mag niet hoger zijn dan het minimum dat nodig is om de continuïteit van de dienst te waarborgen;
aan de voorwaarden uit het certificeringsverslag van het overeenkomstig artikel 30 afgegeven specifieke middel voor het op afstand aanmaken van gekwalificeerde elektronische handtekeningen voldoet.
Artikel 30
Certificering van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen
De in lid 1 bedoelde certificering is gebaseerd op een van de volgende elementen:
een veiligheidsbeoordeling uitgevoerd in overeenstemming met een van de normen inzake de veiligheidsbeoordeling van producten op het gebied van informatietechnologie die zijn opgenomen in de overeenkomstig de tweede alinea vastgestelde lijst, of
een ander proces dan het in punt a) vermelde, op voorwaarde dat dit proces vergelijkbare beveiligingsniveaus hanteert, en dat het in lid 1 bedoelde openbare of private orgaan de Commissie van het proces in kennis stelt. Dat proces mag alleen worden gebruikt als er geen in punt a) bedoelde normen zijn of wanneer een in punt a) bedoelde veiligheidsbeoordeling gaande is.
De Commissie stelt door middel van uitvoeringshandelingen een lijst vast voor de veiligheidsbeoordeling van producten op het gebied van onder a) bedoelde informatietechnologie. Deze uitvoeringshandelingen worden volgens de in artikel 48, lid 2, bedoelde onderzoeksprocedure vastgesteld.
Artikel 31
Publicatie van een lijst van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen
Artikel 32
Eisen voor de validering van gekwalificeerde elektronische handtekeningen
Het valideringsproces voor een gekwalificeerde elektronische handtekening bevestigt de geldigheid van een gekwalificeerde elektronische handtekening, op voorwaarde dat:
het certificaat dat de handtekening ondersteunt op het tijdstip van ondertekening een gekwalificeerd certificaat voor elektronische handtekeningen was overeenkomstig bijlage I;
het gekwalificeerd certificaat werd afgegeven door een gekwalificeerd verlener van vertrouwensdiensten en op het tijdstip van ondertekening geldig was;
de gegevens voor het valideren van de handtekening overeenstemmen met de gegevens die aan de vertrouwende partij zijn verstrekt;
de unieke reeks gegevens die in het certificaat verwijst naar de ondertekenaar, correct wordt doorgegeven aan de vertrouwende partij;
de vertrouwende partij duidelijk wordt gewezen op het eventuele gebruik van een pseudoniem op het tijdstip van ondertekening;
de elektronische handtekening werd aangemaakt met behulp van een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen;
de integriteit van de ondertekende gegevens niet is aangetast;
op het tijdstip van ondertekening voldaan was aan de in artikel 26, bedoelde eisen.
Indien de validering van gekwalificeerde elektronische handtekeningen aan de in lid 3 bedoelde normen, specificaties en procedures voldoet, wordt aangenomen dat er overeenstemming is met de in de eerste alinea van dit lid vastgelegde eisen.
Artikel 32 bis
Eisen voor de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten
Het valideringsproces voor een geavanceerde elektronische handtekening op basis van een gekwalificeerd certificaat bevestigt de geldigheid van een geavanceerde elektronische handtekening op basis van een gekwalificeerd certificaat, op voorwaarde dat:
het certificaat dat de handtekening ondersteunt, op het tijdstip van ondertekening een gekwalificeerd certificaat voor elektronische handtekeningen was overeenkomstig bijlage I;
het gekwalificeerd certificaat is afgegeven door een gekwalificeerd verlener van vertrouwensdiensten en op het tijdstip van ondertekening geldig was;
de gegevens voor de validering van de handtekening overeenstemmen met de gegevens die aan de vertrouwende partij zijn verstrekt;
de unieke reeks gegevens die in het certificaat verwijst naar de ondertekenaar, correct wordt doorgegeven aan de vertrouwende partij;
de vertrouwende partij duidelijk wordt gewezen op het eventuele gebruik van een pseudoniem op het tijdstip van ondertekening;
de integriteit van de ondertekende gegevens niet is aangetast;
op het tijdstip van ondertekening voldaan was aan de in artikel 26 bedoelde eisen.
Artikel 33
Gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen
Een gekwalificeerde valideringsdienst voor gekwalificeerde elektronische handtekeningen kan uitsluitend worden verleend door een gekwalificeerde verlener van vertrouwensdiensten die:
validering verstrekt overeenkomstig artikel 32, lid 1, en
de vertrouwende partijen in staat stelt om het resultaat van het valideringsproces op een geautomatiseerde, betrouwbare en efficiënte manier, voorzien van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de verlener van de gekwalificeerde valideringsdienst, te ontvangen.
Artikel 34
Gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen
AFDELING 5
Elektronische zegels
Artikel 35
Rechtsgevolgen van elektronische zegels
▼M2 —————
Artikel 36
Eisen voor geavanceerde elektronische zegels
Een geavanceerd elektronisch zegel voldoet aan de volgende eisen:
het is op unieke wijze aan de aanmaker van het zegel verbonden;
het maakt het mogelijk de aanmaker van het zegel te identificeren;
het komt tot stand met gebruikmaking van gegevens voor het aanmaken van elektronische zegels die de aanmaker van het zegel met een hoog vertrouwensniveau onder zijn controle kan gebruiken voor het aanmaken van elektronische zegels;
het is op zodanige wijze aan de gegevens waarop zij betrekking heeft verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.
Artikel 37
Elektronische zegels in openbare diensten
▼M2 —————
Artikel 38
Gekwalificeerde certificaten voor elektronische zegels
Behoudens de hierna volgende voorwaarden kunnen lidstaten nationale regels vaststellen inzake de tijdelijke schorsing van gekwalificeerde certificaten voor elektronische zegels:
indien een gekwalificeerd certificaat voor elektronische zegels tijdelijk is geschorst, verliest dit certificaat gedurende de periode van de schorsing zijn geldigheid;
de periode van schorsing wordt duidelijk aangegeven in de certificatendatabank en de schorsingsstatus is, gedurende de schorsingsperiode, zichtbaar vanuit de dienst die informatie geeft over de status van het certificaat.
Artikel 39
Gekwalificeerde middelen voor het aanmaken van elektronische zegels
Artikel 39 bis
Eisen voor een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels
Artikel 29 bis is van overeenkomstige toepassing op een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het op afstand aanmaken van elektronische zegels.
Artikel 40
Validering en bewaring van gekwalificeerde elektronische zegels
De artikelen 32, 33 en 34 zijn van overeenkomstige toepassing op de validering en bewaring van gekwalificeerde elektronische zegels.
Artikel 40 bis
Eisen voor de validering van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten
Artikel 32 bis is van overeenkomstige toepassing op de validering van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten.
AFDELING 6
Elektronisch tijdstempel
Artikel 41
Rechtsgevolg van elektronische tijdstempels
▼M2 —————
Artikel 42
Eisen voor gekwalificeerde elektronische tijdstempels
Een gekwalificeerd elektronisch tijdstempel voldoet aan de volgende eisen:
het tijdstempel koppelt de datum en het tijdstip op zodanige wijze aan gegevens dat onmerkbare wijziging van de gegevens redelijkerwijs kan worden uitgesloten;
het stempel is gebaseerd op een nauwkeurige tijdsbron die aan de gecoördineerde universele tijd gekoppeld is; en
het stempel wordt ondertekend met behulp van een geavanceerde elektronische handtekening of verzegeld met een geavanceerd elektronisch zegel van de gekwalificeerde verlener van vertrouwensdiensten, of met behulp van een andere gelijkwaardige methode.
AFDELING 7
Diensten voor elektronisch aangetekende bezorging
Artikel 43
Rechtsgevolg van een dienst voor elektronisch aangetekende bezorging
Artikel 44
Eisen voor gekwalificeerde diensten voor elektronisch aangetekende bezorging
Gekwalificeerde diensten voor elektronisch aangetekende bezorging voldoen aan de volgende eisen:
zij worden verleend door een of meer gekwalificeerde verleners van vertrouwensdiensten;
zij bevestigen op een hoog vertrouwensniveau de identiteit van de zender;
zij bevestigen de identiteit van de geadresseerde, alvorens de gegevens te bezorgen;
het verzenden en ontvangen van gegevens wordt beveiligd door een geavanceerde elektronische handtekening of een geavanceerd elektronisch zegel van een gekwalificeerde verlener van vertrouwensdiensten, en wel op zodanige wijze dat onmerkbare wijziging van gegevens kan worden uitgesloten;
de verzender en de geadresseerde van de gegevens worden op duidelijke wijze in kennis gesteld van eventuele wijzigingen van de gegevens die nodig zijn voor het verzenden of ontvangen van de gegevens;
de datum en het tijdstip van verzenden, ontvangen en wijzigen van gegevens worden aangegeven met een gekwalificeerd elektronisch tijdstempel.
Wanneer gegevens overgedragen worden tussen twee of meer gekwalificeerde verleners van vertrouwensdiensten, zijn de eisen onder a) tot en met f) van toepassing op alle gekwalificeerde verleners van vertrouwensdiensten.
AFDELING 8
Authenticatie van websites
Artikel 45
Eisen voor gekwalificeerde certificaten voor websiteauthenticatie
Artikel 45 bis
Voorzorgsmaatregelen op het gebied van cyberbeveiliging
AFDELING 9
Elektronische attestering van attributen
Artikel 45 ter
Rechtsgevolgen van elektronische attestering van attributen
Artikel 45 quater.
Elektronische attestering van attributen in publieke diensten
Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht om toegang te krijgen tot een door een openbare instantie aangeboden onlinedienst, vervangen de persoonsidentificatiegegevens in de elektronische attestering van attributen niet de elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie voor elektronische identificatie, tenzij de lidstaat daarvoor uitdrukkelijk toestemming heeft verleend. In een dergelijk geval wordt een gekwalificeerde elektronische attestering van attributen van andere lidstaten ook aanvaard.
Artikel 45 quinquies
Eisen voor gekwalificeerde elektronische attestering van attributen
Artikel 45 sexies
Verificatie van attributen aan de hand van authentieke bronnen
Artikel 45 septies
Eisen voor elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron
Een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, voldoet aan de volgende eisen:
die van bijlage VII;
het gekwalificeerde certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of de gekwalificeerde elektronische zegel van de in artikel 3, punt 46, bedoelde openbare instantie die is geïdentificeerd als de in punt b), van bijlage VII bedoelde afgever, bevat een specifieke reeks gecertificeerde attributen in een voor automatische verwerking geschikte vorm en:
waaruit blijkt dat overeenkomstig Unie- of nationaal recht is vastgesteld dat de afgevende instantie de verantwoordelijke instantie is voor de authentieke bron op basis waarvan de elektronische attestering van attributen is uitgegeven of de instantie die is aangewezen om namens haar op te treden;
die een reeks gegevens bevat die ondubbelzinnig naar de in punt i) bedoelde authentieke bron verwijzen, en
waarin wordt verwezen naar het in punt i) bedoelde Unie- of nationaal recht.
Artikel 45 octies
Uitgifte van elektronische attesteringen van attributen aan Europese portemonnees voor digitale identiteit
Artikel 45 nonies
Aanvullende voorschriften voor de verlening van diensten voor elektronische attestering van attributen
AFDELING 10
Elektronische archiveringsdiensten
Artikel 45 decies
Rechtsgevolg van elektronische archiveringsdiensten
Artikel 45 undecies
Eisen voor gekwalificeerde elektronische archiveringsdiensten
Gekwalificeerde elektronische archiveringsdiensten voldoen aan de volgende eisen:
zij worden verleend door gekwalificeerde verleners van vertrouwensdiensten;
zij maken gebruik van procedures en technologieën die de duurzaamheid en leesbaarheid van elektronische gegevens en elektronische documenten kunnen waarborgen tot na de technologische geldigheidsduur en ten minste gedurende de wettelijke of contractuele bewaringstermijn, en handhaven daarbij de integriteit en de juistheid van de oorsprong van de gegevens;
zij zorgen ervoor dat die elektronische gegevens en die elektronische documenten zodanig worden bewaard dat zij beschermd zijn tegen verlies en wijzigingen, behalve wijzigingen met betrekking tot de drager of het elektronisch formaat;
zij stellen gemachtigde vertrouwende partijen ertoe in staat, op geautomatiseerde wijze verslagen te ontvangen waarin wordt bevestigd dat voor elektronische gegevens en elektronische documenten die zijn opgevraagd uit een gekwalificeerd elektronisch archief het vermoeden van integriteit van de gegevens geldt vanaf het begin van de bewaringstermijn tot het moment van opvraging.
Het in punt d) bedoelde verslag wordt op betrouwbare en efficiënte wijze verstrekt en draagt de gekwalificeerde elektronische handtekening of gekwalificeerde elektronische zegel van de verlener van de gekwalificeerde elektronische archiveringsdienst.
AFDELING 11
Elektronische registers
Artikel 45 duodecies
Rechtsgevolgen van elektronische registers
Artikel 45 terdecies
Eisen voor gekwalificeerde elektronische registers
Gekwalificeerde elektronische registers voldoen aan de volgende eisen:
zij worden aangemaakt en beheerd door een of meer gekwalificeerde verleners van vertrouwensdiensten;
zij stellen de oorsprong van de gegevensbestanden in het register vast;
zij waarborgen de unieke chronologische volgorde van de gegevensbestanden in het register;
zij slaan de gegevens op zodanige wijze op dat elke wijziging achteraf van de gegevens onmiddellijk kan worden opgespoord, en waarborgen zo de integriteit ervan in de tijd.
HOOFDSTUK IV
ELEKTRONISCHE DOCUMENTEN
Artikel 46
Rechtsgevolgen van elektronische documenten
Het rechtsgevolg van een elektronisch document en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het document elektronisch is.
HOOFDSTUK IV BIS
GOVERNANCEKADER
Artikel 46 bis
Toezicht op het Rechtskader voor Europese portemonnees voor digitale identiteit
De uit hoofde van de eerste alinea aangewezen toezichthoudende organen krijgen de noodzakelijke bevoegdheden en toereikende middelen om hun taken doeltreffend, efficiënt en onafhankelijk te kunnen uitvoeren.
De rol van de overeenkomstig lid 1 aangewezen of opgerichte toezichthoudende organen is:
toezicht te houden op in de aanwijzende lidstaat gevestigde aanbieders van Europese portemonnees voor digitale identiteit en door middel van toezichthoudende activiteiten vooraf en achteraf te waarborgen dat die aanbieders en door hen aangeboden Europese portemonnees voor digitale identiteit voldoen aan de eisen in deze verordening;
indien nodig maatregelen te nemen ten aanzien van op het grondgebied van de aanwijzende lidstaat gevestigde aanbieders van Europese portemonnees voor digitale identiteit door middel van toezichthoudende activiteiten achteraf, wanneer zij ervan in kennis worden gesteld dat aanbieders of door hen aangeboden Europese portemonnees voor digitale identiteit inbreuk maken op deze verordening.
De taken van de overeenkomstig lid 1 aangewezen toezichthoudende organen zijn met name:
samenwerken met andere toezichthoudende organen en bijstand verlenen aan die organen overeenkomstig artikelen 46 quater en 46 sexies;
de nodige informatie opvragen om toezicht te houden op de naleving van deze verordening;
de overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde relevante bevoegde autoriteiten van de betrokken lidstaten in kennis stellen van significante inbreuken op de veiligheid of integriteitsverlies waarvan zij kennis krijgen bij de uitvoering van hun taken en, in het geval van een significante inbreuk op de veiligheid of een integriteitsverlies betreffende andere lidstaten, het overeenkomstig artikel 8, lid 3, van Richtlijn (EU) 2022/2555 aangewezen of opgerichte centrale contactpunt van de betrokken lidstaat en de overeenkomstig artikel 46 quater, lid 1, van deze verordening aangewezen centrale contactpunten in de andere betrokken lidstaten op de hoogte brengen, en het publiek informeren of van aanbieders van een Europese portemonnee voor digitale identiteit vereisen dit te doen wanneer het toezichthoudende orgaan van oordeel is dat de bekendmaking van de inbreuk op de veiligheid of het verlies van integriteit in het algemeen belang zou zijn;
inspecties ter plaatse uitvoeren en toezicht buiten de locatie houden;
verlangen dat aanbieders van Europese portemonnees voor digitale identiteit iedere niet-naleving van de in deze verordening vastgelegde voorschriften rechtzetten;
de registratie van vertrouwende partijen en hun opname in het in artikel 5 ter, lid 7, bedoelde mechanisme opschorten of annuleren in geval van illegaal of frauduleus gebruik van de Europese portemonnee voor digitale identiteit;
samenwerken met de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte bevoegde toezichthoudende autoriteiten en in het bijzonder die instanties onverwijld informeren indien er regels inzake de bescherming van persoonsgegevens lijken te zijn overtreden, en over beveiligingsinbreuken die inbreuken op persoonsgegevens lijken te vormen.
Artikel 46 ter
Toezicht op vertrouwensdiensten
De uit hoofde van de eerste alinea aangewezen toezichthoudende organen krijgen de noodzakelijke bevoegdheden en toereikende middelen voor de uitvoering van hun opdrachten.
De taken van de overeenkomstig lid 1 aangewezen toezichthoudende organen zijn:
toezicht houden op gekwalificeerde verleners van vertrouwensdiensten die gevestigd zijn in de aanwijzende lidstaat en er door middel van toezichthoudende activiteiten vooraf en achteraf ervoor te zorgen dat die gekwalificeerde verleners van vertrouwensdiensten en de door hen verleende gekwalificeerde vertrouwensdiensten voldoen aan de voorschriften van deze verordening;
indien nodig optreden tegen niet-gekwalificeerde verleners van vertrouwensdiensten die gevestigd zijn in de aanwijzende lidstaat door middel van toezichthoudende activiteiten achteraf, wanneer het orgaan verneemt dat die niet-gekwalificeerde verleners van vertrouwensdiensten of de door hen verleende vertrouwensdiensten niet zouden voldoen aan de vereisten van deze verordening.
De taken van het overeenkomstig lid 1 aangewezen toezichthoudend orgaan zijn met name:
de overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde relevante bevoegde autoriteiten van de betrokken lidstaten in kennis stellen van significante inbreuken op de veiligheid of integriteitsverlies waarvan het kennis krijgt bij de uitvoering van zijn taken en, in het geval van een significante inbreuk op de veiligheid of een integriteitsverlies betreffende andere lidstaten, het overeenkomstig artikel 8, lid 3, van Richtlijn (EU) 2022/2555 aangewezen of opgerichte centrale contactpunt van de betrokken lidstaat en de overeenkomstig artikel 46 quater, lid 1, van deze verordening aangewezen centrale contactpunten in de andere betrokken lidstaten op de hoogte brengen, en het publiek informeren of van de verlener van vertrouwensdiensten vereisen dit te doen wanneer het toezichthoudend orgaan van oordeel is dat de bekendmaking van de inbreuk op de veiligheid of het verlies van integriteit in het algemeen belang zou zijn;
samenwerken met andere toezichthoudende organen en bijstand verlenen aan die organen overeenkomstig artikelen 46 quater en 46 sexies;
analyseren van de conformiteitsbeoordelingsverslagen bedoeld in artikel 20, lid 1, en artikel 21, lid 1;
aan de Commissie verslag uitbrengen over zijn hoofdactiviteiten, overeenkomstig lid 6;
audits uitvoeren of een conformiteitsbeoordelingsinstantie verzoeken een conformiteitsbeoordeling te doen van de gekwalificeerde verleners van vertrouwensdiensten overeenkomstig artikel 20, lid 2;
samenwerken met de op grond van artikel 51 van Verordening (EU) 2016/679 opgerichte bevoegde toezichthoudende autoriteiten en in het bijzonder die instanties onverwijld informeren indien er regels inzake de bescherming van persoonsgegevens lijken te zijn overtreden, en over beveiligingsinbreuken die inbreuken op persoonsgegevens lijken te vormen;
de status van gekwalificeerd verlener van vertrouwensdiensten toekennen aan verleners van vertrouwensdiensten en aan de door hen verleende diensten, en die status intrekken, overeenkomstig de artikelen 20 en 21;
het voor de nationale vertrouwenslijst verantwoordelijke orgaan, bedoeld in artikel 22, lid 3, op de hoogte brengen van zijn besluiten om de status van gekwalificeerde toe te kennen of in te trekken, tenzij dit orgaan ook het overeenkomstig lid 1 van dit artikel aangewezen toezichthoudend orgaan is;
indien de gekwalificeerde verlener van vertrouwensdiensten zijn activiteiten beëindigt, nagaan of er bepalingen bestaan over beëindigingsplannen en of deze correct worden toegepast, waarbij zij onder meer nagaan hoe informatie toegankelijk wordt gehouden overeenkomstig artikel 24, lid 2, punt h);
verlangen dat verleners van vertrouwensdiensten iedere niet-naleving van de in deze verordening vastgestelde voorschriften rechtzetten;
onderzoeken van beweringen van aanbieders van webbrowsers overeenkomstig artikel 45 bis en zo nodig actie ondernemen.
Artikel 46 quater
Centrale contactpunten
Artikel 46 quinquies
Wederzijdse bijstand
De wederzijdse bijstand houdt ten minste het volgende in:
het toezichthoudend orgaan dat in de ene lidstaat toezicht- en handhavingsmaatregelen toepast, informeert en raadpleegt het toezichthoudend orgaan van de andere betrokken lidstaat;
een toezichthoudend orgaan kan het toezichthoudend orgaan van een andere betrokken lidstaat verzoeken toezicht- of handhavingsmaatregelen te nemen, waaronder bijvoorbeeld verzoeken om inspecties uit te voeren in verband met de in de artikelen 20 en 21 bedoelde conformiteitsbeoordelingsverslagen inzake het verlenen van vertrouwensdiensten;
in voorkomend geval kunnen de toezichthoudende organen gezamenlijke onderzoeken uitvoeren met de toezichthoudende organen van andere lidstaten.
De regelingen en procedures voor gezamenlijke acties uit hoofde van de eerste alinea worden door de betrokken lidstaten overeenkomstig hun wetgeving overeengekomen en vastgelegd.
Een toezichthoudend orgaan tot welk een verzoek om bijstand wordt gericht, mag dat verzoek om alle onderstaande redenen weigeren:
de gevraagde bijstand staat niet in verhouding tot de toezichthoudende activiteiten van het toezichthoudend orgaan, uitgevoerd overeenkomstig artikelen 46 bis en 46 ter;
het toezichthoudend orgaan is niet bevoegd om de gevraagde bijstand te leveren;
het aanbieden van de gevraagde bijstand zou onverenigbaar zijn met deze verordening.
Artikel 46 sexies
Europese samenwerkingsgroep voor digitale identiteit
De samenwerkingsgroep heeft de volgende taken:
advies uitwisselen en samenwerken met de Commissie wat betreft nieuwe beleidsinitiatieven op het gebied van portemonnees voor digitale identiteit, elektronische identificatiemiddelen en vertrouwensdiensten;
in voorkomend geval de Commissie advies verstrekken tijdens de vroege fase van het opstellen van ontwerpuitvoeringshandelingen en ontwerpen van gedelegeerde handelingen die op grond van deze verordening moeten worden vastgesteld;
ter ondersteuning van de toezichthoudende organen bij de uitvoering van de bepalingen van deze verordening:
beste praktijken en informatie betreffende de uitvoering van de bepalingen van deze verordening uitwisselen;
relevante ontwikkelingen onderzoeken met betrekking tot digitale portemonnees, elektronische identificatie en de sectoren van vertrouwensdiensten;
gezamenlijke bijeenkomsten organiseren met relevante belanghebbende partijen uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en input te verzamelen over nieuwe beleidsuitdagingen;
met de steun van Enisa standpunten, beste praktijken en informatie uitwisselen over relevante cyberbeveiligingsaspecten met betrekking tot Europese portemonnees voor digitale identiteit, stelsels voor elektronische identificatie en vertrouwensdiensten;
beste praktijken uitwisselen betreffende de ontwikkeling en uitvoering van het beleid inzake de kennisgeving van beveiligingsinbreuken, en gemeenschappelijke maatregelen zoals bedoeld in de artikelen 5 sexies en 10;
gezamenlijke vergaderingen organiseren met de bij artikel 14, lid 1, van Richtlijn (EU) 2022/2555 opgerichte NIS-samenwerkingsgroep om relevante informatie uit te wisselen met betrekking tot met vertrouwensdiensten en elektronische identificatie verband houdende cyberdreigingen, incidenten, kwetsbaarheden, bewustmakingsinitiatieven, opleidingen, oefeningen en vaardigheden, capaciteitsopbouw, capaciteit op het gebied van normen en technische specificaties, alsook normen en technische specificaties;
op verzoek van een toezichthoudend orgaan specifieke verzoeken om wederzijdse bijstand zoals bedoeld in artikel 46 quinquies bespreken;
de informatie-uitwisseling tussen de toezichthoudende organen vergemakkelijken door richtsnoeren te verstrekken over de organisatorische aspecten en procedures voor de in artikel 46 quinquies bedoelde wederzijdse bijstand;
collegiale toetsingen organiseren van stelsels voor elektronische identificatie die moeten worden aangemeld uit hoofde van deze verordening.
HOOFDSTUK V
BEVOEGDHEIDSDELEGATIES EN UITVOERINGSBEPALINGEN
Artikel 47
Uitoefening van de bevoegdheidsdelegatie
Artikel 48
Comitéprocedure
HOOFDSTUK VI
SLOTBEPALINGEN
Artikel 48 bis
Verslagleggingsvereisten
De overeenkomstig lid 1 verzamelde statistieken omvatten de volgende elementen:
het aantal natuurlijke en rechtspersonen met een geldige Europese portemonnee voor digitale identiteit;
het soort en het aantal diensten die het gebruik van de Europese portemonnee voor digitale identiteit aanvaarden;
het aantal klachten van gebruikers en incidenten op het gebied van consumentenbescherming of gegevensbescherming die verband houden met vertrouwende partijen en gekwalificeerde vertrouwensdiensten;
een samenvattend verslag met gegevens over incidenten die het gebruik van de Europese portemonnee voor digitale identiteit verhinderen;
een samenvatting van significante beveiligingsincidenten, datalekken en getroffen gebruikers van Europese portemonnees voor digitale identiteit of van gekwalificeerde vertrouwensdiensten.
Artikel 49
Evaluatie
Artikel 50
Intrekking
Artikel 51
Overgangsmaatregelen
Artikel 52
Inwerkingtreding
Deze verordening is van toepassing vanaf 1 juli 2016, met uitzondering van onderstaande:
artikel 8, lid 3, artikel 9, lid 5, artikel 12, lid 2 tot en met 9, artikel 17, lid 8, artikel 19, lid 4, artikel 20, lid 4, artikel 21, lid 4, artikel 22, lid 5, artikel 23, lid 3, artikel 24, lid 5, artikel 27, lid 4 en lid 5, artikel 28, lid 6, artikel 29, lid 2, artikel 30, lid 3 en lid 4, artikel 31, lid 3, artikel 32, lid 3, artikel 33, lid 2, artikel 34, lid 2, artikel 37, lid 4 en lid 5, artikel 38, lid 6, artikel 42, lid 2, artikel 44, lid 2, artikel 45, lid 2, en artikelen 47 en 48 zijn van toepassing met ingang van 17 september 2014;
artikel 7, artikel 8, leden 1 en 2, de artikelen 9, 10, 11 en artikel 12, lid 1, zijn van toepassing vanaf de datum van toepassing van de in artikel 8, lid 3, en artikel 12, lid 8, bedoelde uitvoeringshandelingen;
artikel 6 is van toepassing vanaf drie jaar na de datum van toepassing van de in artikel 8, lid 3, en artikel 12, lid 8, bedoelde uitvoeringshandelingen.
Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
BIJLAGE I
EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR ELEKTRONISCHE HANDTEKENINGEN
Gekwalificeerde certificaten voor elektronische handtekeningen bevatten:
een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat afgegeven is als een gekwalificeerd certificaat voor elektronische handtekeningen;
een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waarin de verlener is gevestigd en
op zijn minst de naam van de ondertekenaar of een pseudoniem; als er een pseudoniem wordt gebruikt, wordt dat duidelijk aangegeven;
gegevens voor de validering van elektronische handtekeningen, die overeenkomen met de gegevens voor het aanmaken van de elektronische handtekening;
informatie over begin en einde van de geldigheidsduur van het certificaat;
de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;
de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;
de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder g) gratis beschikbaar is;
de informatie of de locatie van de diensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;
indien de gegevens voor het aanmaken van een elektronische handtekening die gekoppeld zijn aan de gegevens voor de validering van de elektronische handtekening zich bevinden in een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen, een passende vermelding hiervan, ten minste in een vorm die geschikt is voor automatische verwerking.
BIJLAGE II
EISEN VOOR GEKWALIFICEERDE MIDDELEN VOOR HET AANMAKEN VAN ELEKTRONISCHE HANDTEKENINGEN
1. Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen waarborgen via passende technieken en procedures dat ten minste:
de vertrouwelijkheid van de gegevens die worden gebruikt om elektronische handtekeningen aan te maken redelijkerwijs gewaarborgd is;
de gegevens voor het aanmaken van elektronische handtekeningen in de praktijk slechts één keer kunnen voorkomen;
de gegevens voor het aanmaken van elektronische handtekeningen met redelijke zekerheid niet kunnen worden afgeleid en dat de elektronische handtekening op betrouwbare wijze beschermd is tegen vervalsing met de thans beschikbare technologie;
de gegevens voor het aanmaken van elektronische handtekeningen door de legitieme ondertekenaar op betrouwbare wijze kunnen worden beschermd tegen gebruik door anderen.
2. Gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen laten de te ondertekenen gegevens ongewijzigd en beletten niet dat die gegevens vóór ondertekening aan de ondertekenaar worden voorgelegd.
▼M2 —————
BIJLAGE III
EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR ELEKTRONISCHE ZEGELS
Gekwalificeerde certificaten voor elektronische zegels bevatten:
een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat is afgegeven als een gekwalificeerd certificaat voor elektronische zegels;
een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en
ten minste de naam van de aanmaker van het zegel en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers;
gegevens voor de validering van elektronische zegels, die overeenkomen met de gegevens voor het aanmaken van elektronische zegels;
informatie over begin en einde van de geldigheidsduur van het certificaat;
de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;
de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;
de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder g) gratis beschikbaar is;
de informatie of de locatie van de diensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;
indien de gegevens voor het aanmaken van elektronische zegels die gekoppeld zijn aan de gegevens voor de validering voor elektronische zegels zich bevinden in een gekwalificeerd middel voor het aanmaken van elektronische zegels, een passende vermelding hiervan, ten minste in een vorm die geschikt is voor automatische verwerking.
BIJLAGE IV
EISEN VOOR GEKWALIFICEERDE CERTIFICATEN VOOR WEBSITE-AUTHENTICATIE
Gekwalificeerde certificaten voor websiteauthenticatie moeten het volgende bevatten:
een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat het certificaat afgegeven is als een gekwalificeerd certificaat voor websiteauthenticatie;
een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde certificaten afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en
voor natuurlijke personen: op zijn minst de naam van de persoon aan wie het certificaat is afgegeven of een pseudoniem; indien een pseudoniem wordt gebruikt, een duidelijke vermelding in die zin;
voor rechtspersonen: een unieke reeks gegevens die de rechtspersoon aan wie het certificaat wordt afgegeven ondubbelzinnig weergeven, met ten minste de naam van de rechtspersoon aan wie het certificaat is afgegeven en, in voorkomend geval, het registratienummer zoals vermeld in de officiële administratie;
elementen van het adres, met inbegrip van ten minste de plaats en de staat, van de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven en, indien van toepassing, zoals vermeld in de officiële registers;
de domeinnaam/-namen die wordt/worden geëxploiteerd door de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven;
informatie over begin en einde van de geldigheidsduur van het certificaat;
de identiteitscode van het certificaat, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten;
de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;
de locatie waar het certificaat ter ondersteuning van de geavanceerde elektronische handtekening of het geavanceerde elektronische zegel als bedoeld onder h) gratis beschikbaar is;
de informatie, of de locatie van de geldigheidsstatus van certificaatsdiensten waar informatie kan worden opgevraagd over de geldigheidsstatus van het gekwalificeerde certificaat;
BIJLAGE V
EISEN VOOR GEKWALIFICEERDE ELEKTRONISCHE ATTESTERING VAN ATTRIBUTEN
Gekwalificeerde elektronische attesteringen van attributen bevatten:
een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat de attestering afgegeven is als een gekwalificeerde elektronische attestering van attributen;
een reeks gegevens die ondubbelzinnig verwijzen naar de gekwalificeerde verlener van vertrouwensdiensten die de gekwalificeerde elektronische attesteringen van attributen afgeeft, met inbegrip van ten minste de lidstaat waar die dienstverlener is gevestigd en
voor een rechtspersoon: de naam en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers,
voor een natuurlijk persoon: de naam van de persoon;
een reeks gegevens die ondubbelzinnig de entiteit weergeven waarnaar de geattesteerde attributen verwijzen; indien een pseudoniem wordt gebruikt, een duidelijke aanwijzing in die zin;
het geattesteerde attribuut of de geattesteerde attributen inclusief, indien van toepassing, de benodigde informatie om de reikwijdte van die attributen te bepalen;
informatie over begin en einde van de geldigheidsduur van de attestering;
de identiteitscode van de attestering, die uniek moet zijn voor de gekwalificeerde verlener van vertrouwensdiensten en, indien van toepassing, de vermelding van de attesteringsregeling waar de attestering van attributen deel van uitmaakt;
de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel van de afgevende gekwalificeerde verlener van vertrouwensdiensten;
de locatie waar het certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel zoals bedoeld in punt g), gratis beschikbaar is;
de informatie of de locatie van de diensten waarbij informatie kan worden opgevraagd over de geldigheidsstatus van de gekwalificeerde attestering.
BIJLAGE VI
MINIMALE LIJST VAN ATTRIBUTEN
Uit hoofde van artikel 45 sexies waarborgen de lidstaten dat, indien attributen gebruikmaken van authentieke bronnen binnen de publieke sector, maatregelen worden genomen zodat gekwalificeerde verleners van elektronische attesteringen van attributen op verzoek van de gebruiker langs elektronische weg aan de hand van de relevante authentieke bron op nationaal niveau of via op nationaal niveau erkende aangewezen intermediairs, overeenkomstig Unie- of nationaal recht, de authenticiteit van de volgende attributen kunnen verifiëren:
adres;
leeftijd;
geslacht;
burgerlijke staat;
gezinssamenstelling;
nationaliteit of staatsburgerschap;
onderwijskwalificaties, -titels en -diploma’s;
beroepskwalificaties, -titels en -licenties;
bevoegdheden en mandaten om natuurlijke of rechtspersonen te vertegenwoordigen;
openbare vergunningen en licenties;
voor rechtspersonen: financiële en bedrijfsgegevens.
BIJLAGE VII
EISEN VOOR ELEKTRONISCHE ATTESTERING VAN ATTRIBUTEN UITGEGEVEN DOOR OF NAMENS EEN OPENBARE INSTANTIE DIE VERANTWOORDELIJK IS VOOR EEN AUTHENTIEKE BRON
Een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, bevat:
een vermelding, ten minste in een vorm die geschikt is voor automatische verwerking, dat de attestering is afgegeven als een elektronische attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron;
een reeks gegevens die ondubbelzinnig verwijzen naar de openbare instantie die de gekwalificeerde elektronische attestering van attributen afgeeft, met inbegrip van ten minste de lidstaat waar die openbare instantie is gevestigd en de naam, en, indien van toepassing, het registratienummer zoals vermeld in de officiële registers;
een reeks gegevens die ondubbelzinnig verwijzen naar de entiteit waarnaar de geattesteerde attributen verwijzen; als er een pseudoniem wordt gebruikt, wordt dat duidelijk aangegeven;
het geattesteerde attribuut of de geattesteerde attributen inclusief, indien van toepassing, de benodigde informatie om de reikwijdte van die attributen te bepalen;
informatie over begin en einde van de geldigheidsduur van de attestering;
de identiteitscode van de attestering, die uniek moet zijn voor de afgevende openbare instantie en, indien van toepassing, een vermelding van de attesteringsregeling waar de attestering van attributen deel van uitmaakt;
de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel van de afgevende instantie;
de locatie waar het certificaat ter ondersteuning van de gekwalificeerde elektronische handtekening of het gekwalificeerde elektronische zegel zoals bedoeld in punt g), gratis beschikbaar is;
de informatie of de locatie van de diensten waarbij informatie kan worden opgevraagd over de geldigheidsstatus van de attestering.
( 1 ) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
( 2 ) Richtlijn 2014/24/EU van het Europees Parlement en de Raad van 26 februari 2014 betreffende het plaatsen van overheidsopdrachten en tot intrekking van Richtlijn 2004/18/EG (PB L 94 van 28.3.2014, blz. 65).
( 3 ) Richtlijn (EU) 2019/882 van het Europees Parlement en de Raad van 17 april 2019 betreffende de toegankelijkheidsvoorschriften voor producten en diensten (PB L 151 van 7.6.2019, blz. 70).
( 4 ) Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PB L 151 van 7.6.2019, blz. 15).
( 5 ) Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PB L 124 van 20.5.2003, blz. 36).
( 6 ) Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG (digitaledienstenverordening) (PB L 277 van 27.10.2022, blz. 1).
( 7 ) Verordening (EU) 2022/1925 van het Europees Parlement en de Raad van 14 september 2022over betwistbare en eerlijke markten in de digitale sector, en tot wijziging van Richtlijnen (EU) 2019/1937 en (EU) 2020/1828 (digitalemarktenverordening) (PB L 265 van 12.10.2022, blz. 1).
( 8 ) Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972, en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (PB L 333 van 27.12.2022, blz. 80).