DA Den Europæiske Unions Tidende L 235/7

KOMMISSIONENS GENNEMFØRELSESFORORDNING (EU) 2015/1502

af 8. september 2015

om fastlæggelse af tekniske minimumsspecifikationer og procedurer for fastsættelse af sikringsniveauer for elektroniske identifikationsmidler i henhold til artikel 8, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked

(EØS-relevant tekst)

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (1), særlig artikel 8, stk. 3, og

ud fra følgende betragtninger:

(1) Det fremgår af artikel 8 i forordning (EU) nr. 910/2014, at en elektronisk identifikationsordning, der er anmeldt i henhold til artikel 9, stk. 1, skal anføre sikringsniveauerne »lav«, »betydelig« og/eller »høj« for de elektroniske identifikationsmidler, der er udstedt under den pågældende ordning.

(2) Det er væsentligt at fastsætte de tekniske minimumsspecifikationer, minimumsstandarder og procedurer for at opnå en fælles forståelse af sikringsniveauernes detaljer og sikre interoperabilitet, når der skal foretages en sammenligning af de nationale sikringsniveauer for anmeldte elektroniske identifikationsordninger og sikringsniveauerne i artikel 8, jf. artikel 12, stk. 4, litra b), i forordning (EU) nr. 910/2014.

(3) Den internationale standard ISO/IEC 29115 betragtes i forbindelse med de minimumsspecifikationer og procedurer, der er fastsat i denne gennemførelsesforordning, som den vigtigste internationale standard inden for fastsættelse af sikringsniveauer for elektroniske identifikationsmidler. Forordning (EU) nr. 910/2014 adskiller sig imidlertid fra den internationale standard hvad angår kravene til godtgørelse og kontrol af identitet samt den måde, hvorpå der tages hensyn til forskellene i medlemsstaternes identitetsordninger og eksisterende værktøjer i EU med samme formål. Derfor bør bilaget, selv om det bygger på denne internationale standard, ikke henvise til det specifikke indhold i ISO/IEC 29115.

(4) Denne forordning er blevet udarbejdet på grundlag af en resultatorienteret tilgang, som anses for at være den bedst egnede, hvilket også afspejles i de definitioner, der anvendes til at beskrive de forskellige termer og begreber. De tager hensyn til målet med forordning (EU) nr. 910/2014 i forbindelse med fastsættelse af sikringsniveauer for elektroniske identifikationsmidler. Derfor bør pilotprojektet i stor skala STORK og de specifikationer, som er udviklet i forbindelse hermed, og definitionerne og begreberne i ISO/IEC 29115 i særdeleshed tages i betragtning, når der fastsættes minimumsspecifikationer og procedurer i denne gennemførelsesforordning.

(5) Autoritative kilder kan antage mange former, f.eks. registre, dokumenter eller organer, afhængig af hvilken kontekst et identitetsbevis skal kontrolleres i. Autoritative kilder kan variere fra medlemsstat til medlemsstat selv i en lignende kontekst.

(6) Kravene til godtgørelse og kontrol af identitet bør tage hensyn til forskellige systemer og forskellig praksis, samt sikre et tilstrækkelig højt sikringsniveau til at opbygge den nødvendige tillid. Derfor bør godkendelse af procedurer, som tidligere er blevet brugt til andre formål end udstedelse af elektroniske identifikationsmidler, gøres betinget af, at det bekræftes, at disse procedurer lever op til kravene for det tilsvarende sikringsniveau.

(7) Der anvendes typisk bestemte autentifikationsfaktorer, f.eks. delte hemmeligheder, fysiske enheder og fysiske kendetegn. Imidlertid bør der opfordres til at anvende et større antal autentifikationsfaktorer, navnlig fra forskellige kategorier af faktorer, for at øge sikkerheden i autentifikationsprocessen.

(8) Forordningen bør ikke påvirke juridiske personers repræsentationsret. Imidlertid bør det sikres i bilaget, at der er overensstemmelse mellem kravene til elektroniske identifikationsmidler for fysiske og juridiske personer.

(9) Vigtigheden af informationssikkerhed og service management-systemer bør anerkendes, såvel som vigtigheden af at anvende anerkendte metoder og de principper, der indgår i standarder som ISO/IEC 27000 og ISO/IEC 20000-serien.

(10) Der bør også tages hensyn til god praksis i forbindelse med medlemsstaternes sikringsniveauer.

(11) IT-sikkerhedscertificering baseret på internationale standarder er et vigtigt værktøj til at kontrollere, at produkter overholder kravene til sikkerhedsregler i denne gennemførelsesforordning.

(12) Det udvalg, der er omhandlet i artikel 48 i forordning (EU) nr. 910/2014, har ikke afgivet en udtalelse inden for den af formanden fastsatte frist —

VEDTAGET DENNE FORORDNING:

Artikel 1

1. Sikringsniveauerne »lav«, »betydelig« og »høj« for elektroniske identifikationsmidler, der udstedes under en anmeldt elektronisk identifikationsordning, defineres med henvisning til de minimumsspecifikationer og procedurer, der er fastsat i bilaget.

2. De specifikationer og procedurer, der er fastsat i bilaget, anvendes til at fastsætte sikringsniveauet for elektroniske identifikationsmidler, der er udstedt under en anmeldt elektronisk identifikationsordning, ved at finde frem til følgende elementers pålidelighed og kvalitet:

a) tilmelding, som fastsat i afsnit 2.1 i bilaget til denne forordning, jf. artikel 8, stk. 3, litra a), i forordning (EU) nr. 910/2014

b) håndtering af elektroniske identifikationsmidler, som fastsat i afsnit 2.2 i bilaget til denne forordning, jf. artikel 8, stk. 3, litra b) og f), i forordning (EU) nr. 910/2014

c) autentifikation, som fastsat i afsnit 2.3 i bilaget til denne forordning, jf. artikel 8, stk. 3, litra c), i forordning (EU) nr. 910/2014

d) håndtering og organisering, som fastsat i afsnit 2.4 i bilaget til denne forordning, jf. artikel 8, stk. 3, litra d) og e), i forordning (EU) nr. 910/2014.

3. Hvis et elektronisk identifikationsmiddel, som er udstedt under en anmeldt elektronisk identifikationsordning, opfylder krav henhørende under et højere sikringsniveau, antages det at opfylde de tilsvarende krav på et lavere sikringsniveau.

4. Medmindre andet fremgår af den relevante del af bilaget, skal alle elementer i bilaget for et sikringsniveau for et elektronisk identifikationsmiddel, som er udstedt under en anmeldt elektronisk identifikationsordning, være opfyldt, for at det kan anses for at opfylde det pågældende sikringsniveau.

Artikel 2

Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat. Udfærdiget i Bruxelles, den 8. september 2015. På Kommissionens vegne Jean-Claude JUNCKER Formand

(1) EUT L 257 af 28.8.2014, s. 73.