EUROPÄISCHE KOMMISSION Brüssel, den 3.6.2021 COM(2021) 281 final 2021/0136(COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität {SEC(2021) 228 final} - {SWD(2021) 124 final} - {SWD(2021) 125 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags Diese Begründung ist dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (im Folgenden „eIDAS-Verordnung“) beigefügt. Mit diesem Rechtsinstrument soll Folgendes für die grenzübergreifende Nutzung gewährleistet werden: –Es besteht Zugang zu hochsicheren und vertrauenswürdigen Lösungen für die elektronische Identität, –öffentliche und private Dienste können sich auf vertrauenswürdige und sichere Lösungen für die digitale Identität stützen, –natürliche und juristische Personen sind in der Lage, Lösungen für die digitale Identität zu nutzen, –die Lösungen sind mit vielfältigen Attributen verknüpft und ermöglichen einen gezielten Austausch von Identitätsdaten, der auf den Bedarf des jeweils verlangten Dienstes beschränkt bleibt, –qualifizierte Vertrauensdienste in der EU werden akzeptiert und zu gleichen Bedingungen erbracht. Auf dem Markt zeichnet sich ein neues Umfeld ab, in dem sich der Schwerpunkt von der Bereitstellung und Verwendung starrer digitaler Identitäten auf die Bereitstellung und Verwendung einzelner Attribute dieser Identitäten verlagert hat. Die Nachfrage nach Lösungen für die elektronische Identität, mit denen diese Anforderungen erfüllt werden und nicht nur Effizienzgewinne sondern auch ein hohes Maß an Vertrauen sowohl im privaten als auch im öffentlichen Sektor in der gesamten EU erzielt werden, ist gestiegen; hier ist bei der Identifizierung und Authentifizierung der Nutzer ein hohes Sicherheitsniveau erforderlich. Die Bewertung der eIDAS-Verordnung ergab, dass die derzeitige Verordnung den neuen Marktanforderungen nicht gerecht wird, weil sie ausschließlich auf den öffentlichen Sektor beschränkt ist, die Verknüpfung privater Online-Anbieter mit dem System kompliziert ist und die Möglichkeiten hierfür begrenzt sind, notifizierte eID-Lösungen nicht in allen Mitgliedstaaten ausreichend verfügbar sind und sie keine ausreichende Flexibilität bietet, um eine Vielzahl von Anwendungsfällen abzudecken. Identitätslösungen, die nicht in den Anwendungsbereich der eIDAS-Verordnung fallen, etwa solche, die von Betreibern sozialer Medien und von Finanzinstituten angeboten werden, geben zudem Anlass zu Bedenken hinsichtlich des Schutzes der Privatsphäre und des Datenschutzes. Sie können neuen Marktanforderungen nicht wirksam entsprechen und weisen keine grenzübergreifende Reichweite für die Deckung des spezifischen Bedarfs von Sektoren auf, in denen es auf die Identifizierung ankommt und ein hohes Maß an Sicherheit erforderlich ist. Seit dem Inkrafttreten des Teils der Verordnung über die elektronische Identifizierung im September 2018 haben nur 14 Mitgliedstaaten mindestens ein elektronisches Identifizierungssystem (eID-System) notifiziert. Deshalb haben nur 59 % aller EU-Einwohner grenzübergreifenden Zugang zu vertrauenswürdigen und sicheren eID-Systemen. Nur sieben Systeme sind voll und ganz mobil und entsprechen damit den aktuellen Erwartungen der Nutzer. Da nicht alle technischen Knotenpunkte zur Gewährleistung der Verbindung zum eIDAS-Interoperabilitätsrahmen voll funktionsfähig sind, ist der grenzübergreifende Zugang beschränkt; nur sehr wenige öffentliche Online-Dienste, die im Inland zugänglich sind, können auch grenzübergreifend über das eIDAS-Netzwerk erreicht werden. Wenn auf der Grundlage der Überarbeitung des derzeitigen Rahmens nun ein Rahmen für eine europäische digitale Identität angeboten wird, dürften ab 2030 mindestens 80 % der Bürger in der Lage sein, mit einer digitalen Identitätslösung Zugang zu wichtigen öffentlichen Diensten zu erhalten. Durch die vom Rahmen für die europäische digitale Identität gebotene Sicherheit und Kontrolle sollten die Bürger und Einwohner darüber hinaus voll und ganz darauf vertrauen können, dass dieser EUid-Rahmen jedem die Mittel an die Hand geben wird, um zu kontrollieren, wer Zugang zum eigenen digitalen Zwilling hat und auf welche Daten er im Einzelnen zugreifen kann. Dies erfordert auch ein hohes Maß an Sicherheit bei allen Aspekten der Bereitstellung der digitalen Identität, einschließlich der Ausstellung einer Brieftasche für die europäische digitale Identität (im Folgenden „EUid-Brieftasche“) und der Infrastruktur für die Erhebung, Speicherung und Offenlegung von Daten der digitalen Identität. Zudem deckt der derzeitige eIDAS-Rahmen die Bereitstellung von elektronischen Attributen wie ärztlichen Bescheinigungen oder Berufsqualifikationen nicht ab, was die Gewährleistung der europaweiten rechtlichen Anerkennung solcher Berechtigungsnachweise in elektronischer Form erschwert. Im Rahmen der eIDAS-Verordnung haben die Nutzer außerdem keine Möglichkeit, die Weitergabe von Identitätsdaten auf das für die Erbringung eines Dienstes unbedingt erforderliche Maß zu beschränken. Auch wenn aus der Bewertung der eIDAS-Verordnung hervorgeht, dass der Rahmen für die Erbringung von Vertrauensdiensten sich bislang in Bezug auf die Schaffung von ausgeprägtem Vertrauen und die Sicherstellung der Verbreitung und Nutzung der meisten Vertrauensdienste als erfolgreich erweist, muss noch mehr für die vollständige Harmonisierung und Akzeptanz getan werden. Die Bürger müssen sich auf qualifizierte Zertifikate für die Website-Authentifizierung verlassen und darüber sichere und vertrauenswürdige Informationen darüber erhalten können, wer sich hinter einer Website verbirgt, um Betrug einzudämmen. Als Reaktion auf die Marktdynamik und die technologischen Entwicklungen wird mit diesem Vorschlag zudem die derzeitige Liste der Vertrauensdienste der eIDAS-Verordnung um drei neue qualifizierte Vertrauensdienste erweitert, nämlich um die Bereitstellung von Diensten für die elektronische Archivierung, für elektronische Vorgangsregister und für die Verwaltung von elektronischen Fernsignatur- und ‑siegelerstellungseinheiten. Dieser Vorschlag bietet auch ein harmonisiertes Sicherheitskonzept für Bürger, die einer europäischen digitalen Identität im Online-Bereich vertrauen, und für Anbieter von Online-Diensten, die sich voll und ganz auf Lösungen für die digitale Identität verlassen und diese akzeptieren können, unabhängig davon, wo sie erstellt wurden. Mit diesem Vorschlag geht ein Wandel bei den Ausstellern von Lösungen für die europäische digitale Identität einher, da er eine gemeinsame technische Architektur und einen Bezugsrahmen sowie gemeinsame Normen bietet, die in Zusammenarbeit mit den Mitgliedstaaten entwickelt werden. Ein harmonisierter Ansatz ist erforderlich, um zu vermeiden, dass die Entwicklung neuer Lösungen für die digitale Identität in den Mitgliedstaaten zu einer weiteren, durch die Verwendung unterschiedlicher nationaler Lösungen ausgelösten Fragmentierung führt. Ein harmonisierter Ansatz wird zudem den Binnenmarkt stärken, da den Bürgern, Einwohnern und Unternehmen ermöglicht wird, sich online auf sichere, praktische und einheitliche Weise in der gesamten EU zu identifizieren, um Zugang sowohl zu öffentlichen als auch zu privaten Diensten zu erhalten. Die Nutzer könnten sich auf ein verbessertes, in der gesamten Union anerkanntes und akzeptiertes Ökosystem für die elektronische Identität und Vertrauensdienste stützen. Um eine Fragmentierung und Hürden aufgrund unterschiedlicher Normen zu vermeiden, wird die Kommission gleichzeitig mit diesem Vorschlag eine Empfehlung abgeben. In der Empfehlung wird ein Prozess zur Unterstützung eines gemeinsamen Ansatzes dargelegt, der es den Mitgliedstaaten und anderen betroffenen Akteuren des öffentlichen und privaten Sektors ermöglicht, in enger Abstimmung mit der Kommission auf die Entwicklung eines Instrumentariums zur Vermeidung von unterschiedlichen Ansätzen und von Hürden bei der Umsetzung des EUid-Rahmens hinzuarbeiten. •Kohärenz mit den bestehenden Vorschriften in diesem Bereich

Dieser Vorschlag beruht auf der derzeitigen eIDAS-Verordnung, der Rolle der Mitgliedstaaten als Aussteller rechtlicher Identitäten und dem Rahmen für die Erbringung elektronischer Vertrauensdienste in der Europäischen Union. Der Vorschlag steht voll und ganz im Einklang mit anderen Politikinstrumenten auf EU-Ebene, die auf die Übertragung der Vorteile des Binnenmarkts in den digitalen Bereich abzielen, und ergänzt diese, insbesondere durch die Schaffung von mehr Möglichkeiten des grenzübergreifenden Zugangs zu Diensten für die Bürger. In dieser Hinsicht wird das vom Europäischen Rat und der Präsidentin der Europäischen Kommission erteilte politische Mandat für die Bereitstellung eines EU-weiten Rahmens für öffentliche elektronische Identitäten umgesetzt, mit dem dafür gesorgt wird, dass jeder Bürger oder Einwohner über eine sichere europäische elektronische Identität verfügen kann, die überall in der EU für die Identifizierung und Authentifizierung beim Zugang zu Diensten im öffentlichen und privaten Sektor genutzt werden kann, damit die Bürger kontrollieren können, welche Daten übermittelt werden und wie sie verwendet werden. •Kohärenz mit der Politik der Union in anderen Bereichen Der Vorschlag steht im Einklang mit den in der Strategie für die Gestaltung der digitalen Zukunft Europas dargelegten Prioritäten für den digitalen Wandel und wird zur Erreichung der in der Mitteilung über die digitale Dekade genannten Ziele beitragen. Jegliche Verarbeitung personenbezogener Daten im Rahmen dieser Verordnung sollte voll und ganz im Einklang mit der Datenschutz-Grundverordnung (im Folgenden „DSGVO“) erfolgen. Mit dieser Verordnung werden zudem besondere Maßnahmen zum Schutz personenbezogener Daten eingeführt. Um ein hohes Maß an Sicherheit zu gewährleisten, steht der Vorschlag auch im Einklang mit der Unionspolitik im Bereich der Cybersicherheit. Der Vorschlag ist auf eine Verringerung der Fragmentierung ausgelegt, indem die allgemeinen Cybersicherheitsanforderungen auf gemäß der eIDAS-Verordnung regulierte Vertrauensdiensteanbieter angewendet werden. Dieser Vorschlag steht außerdem im Einklang mit anderen sektoralen Maßnahmen, die auf der Nutzung elektronischer Identitäten, elektronischer Attributsbescheinigungen und anderer Vertrauensdienste beruhen. Dies umfasst die Verordnung über das einheitliche digitale Zugangstor, Anforderungen, die im Finanzsektor im Zusammenhang mit der Bekämpfung der Geldwäsche und der Terrorismusfinanzierung erfüllt werden müssen, Initiativen zur Weitergabe von Sozialversicherungsnachweisen, Regelungen für einen digitalen Führerschein oder künftige digitale Reisedokumente und andere Initiativen zur Verringerung des Verwaltungsaufwands für Bürger und Unternehmen, die sich in vollem Umfang auf die Möglichkeiten stützen, die der digitale Wandel der Verfahren sowohl im öffentlichen als auch im privaten Sektor bietet. Zudem wird die digitale Brieftasche die Verwendung qualifizierter elektronischer Signaturen fördern, die die politische Teilhabe erleichtern können. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄẞIGKEIT •Rechtsgrundlage Mit dieser Initiative soll der Übergang der Union zu einem digitalen Binnenmarkt unterstützt werden. Mit der zunehmenden Digitalisierung grenzübergreifender öffentlicher und privater Dienste, die sich auf die Verwendung von Lösungen für die digitale Identität stützen, besteht ein Risiko, dass die Bürger innerhalb des derzeitigen Rechtsrahmens weiterhin auf Hindernisse stoßen und es ihnen nicht möglich ist, EU-weit Online-Dienste nahtlos in vollem Umfang zu nutzen und ihre Privatsphäre zu schützen. Zudem besteht das Risiko, dass die Mängel des derzeitigen Rechtsrahmens für Vertrauensdienste die Fragmentierung verstärken und das Vertrauen verringern würden, wenn sie allein den Mitgliedstaaten überlassen würden. Deshalb wird Artikel 114 AEUV als die einschlägige Rechtsgrundlage herangezogen. •Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Bürger und Unternehmen sollten die Vorteile nutzen können, die sich aus der Verfügbarkeit hochsicherer und vertrauenswürdiger Lösungen für die digitale Identität, die in der gesamten EU verwendet werden können, und aus der Übertragbarkeit von mit der Identität verknüpften elektronischen Attributsbescheinigungen ergeben. Neue technologische Entwicklungen sowie die Markt- und die Nutzernachfrage machen mehr benutzerfreundliche grenzübergreifende Lösungen erforderlich, die den EU-weiten Zugang zu Online-Diensten ermöglichen. Die eIDAS-Verordnung in ihrer derzeitigen Form kann dies nicht bieten. Zudem haben die Nutzer sich zunehmend an weltweit verfügbare Lösungen gewöhnt, weil sie beispielsweise Lösungen mit einmaliger Anmeldung benutzen, wie sie von den größeren Plattformen sozialer Medien für den Zugang zu Online-Diensten angeboten werden. Die Mitgliedstaaten können die dadurch entstehenden Herausforderungen in Bezug auf die Marktmacht großer Anbieter nicht allein bewältigen, weshalb Interoperabilität und vertrauenswürdige eIDs auf EU-Ebene erforderlich sind. In einem Mitgliedstaat ausgestellte und akzeptierte elektronische Attributsbescheinigungen wie elektronische Gesundheitszertifikate sind darüber hinaus oft in anderen Mitgliedstaaten nicht rechtlich anerkannt und akzeptiert. Daraus entsteht das Risiko, dass Mitgliedstaaten weiterhin fragmentierte nationale Lösungen entwickeln, die grenzübergreifend nicht funktionieren. Auch bei der Erbringung von Vertrauensdiensten kann durch nationale Verfahrensweisen ein erhöhtes Fragmentierungsrisiko entstehen, obwohl diese weitgehend nach dem derzeitigen Rechtsrahmen reguliert werden und damit im Einklang stehen. Ein Eingreifen auf EU-Ebene ist letztendlich am besten geeignet, um den Bürgern und Unternehmen die Mittel an die Hand zu geben, damit sie sich anhand hochsicherer und vertrauenswürdiger Lösungen für die digitale Identität und im Einklang mit den EU-Datenschutzvorschriften grenzübergreifend identifizieren und persönliche Identitätsattribute und Berechtigungsnachweise austauschen können. Erforderlich sind hierfür eine vertrauenswürdige und sichere elektronische Identifizierung und ein Rechtsrahmen, der diese auf EU-Ebene mit Attributen und Berechtigungsnachweisen verknüpft. Nur durch ein Eingreifen auf EU-Ebene können harmonisierte Bedingungen festgelegt werden, die gewährleisten, dass die Nutzer die Kontrolle ausüben und Zugang zu grenzübergreifenden digitalen Online-Diensten erhalten und dass ein Interoperabilitätsrahmen besteht, durch den Online-Dienste sich problemlos auf den Einsatz von sicheren Lösungen für die digitale Identität stützen können, unabhängig davon, wo die Ausstellung erfolgt ist oder wo ein Bürger seinen Wohnsitz hat. Wie aus der Überprüfung der eIDAS-Verordnung deutlich hervorgeht, ist es unwahrscheinlich, dass ein Eingreifen auf nationaler Ebene in gleichem Maße effizient und wirksam wäre. •Verhältnismäßigkeit Diese Initiative steht in einem angemessenen Verhältnis zu den angestrebten Zielen, denn sie sieht ein angemessenes Instrument für den Aufbau der erforderlichen Interoperabilitätsstruktur für die Schaffung eines EU-Ökosystems für die digitale Identität vor, das auf von den Mitgliedstaaten ausgestellten rechtlichen Identitäten und auf der Bereitstellung von qualifizierten und nicht qualifizierten digitalen Identitätsattributen beruht. Sie leistet einen klaren Beitrag zu dem Ziel, den digitalen Binnenmarkt durch einen stärker harmonisierten Rechtsrahmen zu verbessern. Die harmonisierten EUid-Brieftaschen, die von den Mitgliedstaaten auf der Grundlage gemeinsamer technischer Normen ausgestellt werden sollen, entsprechen auch einem gemeinsamen EU-Ansatz, der den auf die Verfügbarkeit grenzübergreifender Lösungen für die elektronische Identität vertrauenden Nutzern und Beteiligten zugute kommt. Mit dieser Initiative werden die Beschränkungen der derzeitigen Infrastruktur für die elektronische Identifizierung durch die gegenseitige Anerkennung verschiedener nationaler elektronischer Identifizierungssysteme behoben. In Anbetracht der Ziele wird diese Initiative als hinreichend verhältnismäßig angesehen, und die Kosten dürften dem potenziellen Nutzen angemessen sein. Durch die vorgeschlagene Verordnung werden Finanz- und Verwaltungskosten entstehen, die von den Mitgliedstaaten als Aussteller der EUid-Brieftaschen und von Anbietern von Vertrauensdiensten und Online-Diensten getragen werden. Der erhebliche potenzielle Nutzen für die Bürger und Nutzer, der unmittelbar aus der zunehmenden grenzübergreifenden Anerkennung und Akzeptanz von Diensten für die elektronische Identität und für elektronische Attribute erwächst, dürfte diese Kosten jedoch übersteigen. Die Kosten der Ausarbeitung neuer Normen und der Anpassung daran, die Vertrauensdiensteanbietern und Online-Diensteanbietern entstehen, können nicht vermieden werden, wenn das Ziel der Nutzbarkeit und barrierefreien Zugänglichkeit erreicht werden soll. Ziel dieser Initiative ist es, die von den Mitgliedstaaten bereits getätigten Investitionen in ihre nationalen Identitätssysteme weiter zu nutzen und darauf aufzubauen. Mit den durch den Vorschlag entstehenden Zusatzkosten soll darüber hinaus die Harmonisierung unterstützt werden, und sie sind aufgrund der Erwartung gerechtfertigt, dass der Verwaltungsaufwand und die Befolgungskosten dadurch langfristig sinken dürften. Die mit der Akzeptanz von Attributen zur Authentifizierung der digitalen Identität in den regulierten Sektoren verbundenen Kosten können ebenfalls als erforderlich und verhältnismäßig angesehen werden, sofern sie dem übergeordneten Ziel dienen und die Mittel bereitgestellt werden, damit in den regulierten Sektoren die Rechtspflichten bezüglich der rechtmäßigen Identifizierung der Nutzer erfüllt werden können. •Wahl des Instruments Die Wahl einer Verordnung als Rechtsinstrument wird durch die Notwendigkeit gerechtfertigt, mit einem harmonisierten Rahmen, der auf die nahtlose Interoperabilität und die Bereitstellung öffentlicher und privater Dienste mit hochsicheren und vertrauenswürdigen eIDs für Europas Bürger und Unternehmen in der ganzen Union abzielt, einheitliche Bedingungen für die Verwendung der europäischen digitalen Identität im Binnenmarkt zu gewährleisten. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG •Ex-post-Bewertung/Eignungsprüfungen bestehender Rechtsvorschriften

Eine Bewertung des Funktionierens der eIDAS-Verordnung wurde im Rahmen des Überprüfungsverfahrens gemäß Artikel 49 der genannten Verordnung durchgeführt. In Bezug auf die elektronische Identität ist das Hauptergebnis der Bewertung, dass das Potenzial der eIDAS-Verordnung nicht ausgeschöpft wird. Aufgrund der begrenzten Zahl an Notifizierungen steht nur für 59 % der EU-Bevölkerung ein notifiziertes eID-System zur Verfügung. Zudem ist die Akzeptanz notifizierter eID-Systeme sowohl in den Mitgliedstaaten als auch seitens der Diensteanbieter beschränkt. Darüber hinaus scheinen nur wenige der mit einer inländischen eID zugänglichen Dienste mit der nationalen eIDAS-Infrastruktur verbunden zu sein. Die Bewertung ergab auch, dass der derzeitige Anwendungsbereich der eIDAS-Verordnung mit seinem Schwerpunkt auf den von den EU-Mitgliedstaaten notifizierten eID-Systemen und der Gewährung des Online-Zugangs zu öffentlichen Diensten zu begrenzt und ungeeignet erscheinen. Der größte Bedarf an elektronischen Identitäten und Fernauthentifizierung besteht nach wie vor im privaten Sektor, insbesondere in Bereichen wie Bankwesen, Telekommunikation und Plattformbetrieb, in denen eine gesetzliche Verpflichtung besteht, die Identität der Kunden zu überprüfen. Der Mehrwert der eIDAS-Verordnung in Bezug auf die elektronische Identität ist aufgrund der geringen Verfügbarkeit, Verbreitung und Nutzung begrenzt. Die in diesem Vorschlag aufgezeigten Probleme hängen mit den Unzulänglichkeiten des derzeitigen eIDAS-Rahmens und grundlegenden Veränderungen des Umfelds im Hinblick auf die Märkte und die gesellschaftlichen und technologischen Entwicklungen zusammen, aus denen neue Nutzer- und Marktbedürfnisse entstehen. •Konsultation der Interessenträger Eine offene Konsultation wurde am 24. Juli 2020 eingeleitet und am 2. Oktober 2020 abgeschlossen. Insgesamt gingen bei der Kommission 318 Beiträge ein. Die Kommission erhielt zudem 106 Antworten auf eine gezielte Befragung der Interessenträger. Darüber hinaus wurden in einer Reihe bilateraler und multilateraler Treffen und Erhebungen, die ab Anfang 2020 durchgeführt wurden, Meinungen aus den Mitgliedstaaten eingeholt. Zu diesen zählen insbesondere eine Umfrage unter Vertretern der Mitgliedstaaten im eIDAS-Kooperationsnetz im Juli und August 2020 sowie verschiedene Workshops. In bilateralen Treffen führte die Kommission auch eingehende Gespräche mit Vertretern der Industrie und kam mit Interessenträgern aus Unternehmen verschiedener Branchen zusammen (z. B. elektronischer Handel, Gesundheitswesen, Finanzdienstleistungen, Telekommunikationsanbieter, Gerätehersteller usw.). Eine große Mehrheit der Teilnehmenden der offenen Konsultation sprach sich für die Schaffung einer einzigen und allgemein akzeptierten digitalen Identität auf Grundlage der von den Mitgliedstaaten ausgestellten rechtlichen Identitäten aus. Die Mitgliedstaaten bekräftigen weitgehend, dass es nötig ist, die derzeitige eIDAS-Verordnung zu stärken und den Bürgern damit die Möglichkeit zu geben, Zugang zu sowohl öffentlichen als auch privaten Diensten zu erhalten, und sie erkennen an, dass die Einrichtung eines Vertrauensdienstes erforderlich ist, über den elektronische Attributsbescheinigungen ausgestellt und grenzschreitend verwendet werden können. Insgesamt betonten die Mitgliedstaaten die Notwendigkeit, ausgehend von den Erfahrungen und den Stärken der nationalen Lösungen einen Rahmen für eine europäische digitale Identität aufzubauen, Synergien anzustreben und bereits getätigte Investitionen weiter zu nutzen. Viele Interessenträger wiesen darauf hin, dass die COVID-19-Pandemie den Wert einer sicheren Fernidentifizierung für alle für den Zugang zu öffentlichen und privaten Diensten verdeutlicht hat. In Bezug auf Vertrauensdienste stimmen die meisten Akteure darin überein, dass der derzeitige Rahmen ein Erfolg ist, dass jedoch zum Zwecke der weiteren Harmonisierung bestimmter Verfahrensweisen im Bereich der Fernidentifizierung und der nationalen Beaufsichtigung einige zusätzliche Maßnahmen erforderlich sind. Interessenträger mit einem weitgehend inländischen Kundenstamm äußerten mehr Zweifel am Mehrwert eines Rahmens für eine europäische digitale Identität. Brieftaschen für die digitale Identität werden vom öffentlichen und privaten Sektor immer mehr als das am besten geeignete Instrument angesehen, das es Nutzern ermöglicht, selbst auszuwählen, an welche privaten Diensteanbieter verschiedene Attribute weitergegeben werden und zu welchem Zeitpunkt, je nach Nutzungsfall und der für die jeweilige Transaktion erforderlichen Sicherheitsvorkehrungen. Digitale Identitäten auf der Grundlage von digitalen Brieftaschen, die auf mobilen Geräten sicher gespeichert werden, wurden als ein Hauptelement einer zukunftsfähigen Lösung ermittelt. Sowohl auf dem privaten Markt (z. B. Apple, Google, Thales) als auch bei Behörden gibt es bereits Entwicklungen in diese Richtung. •Einholung und Nutzung von Expertenwissen Der Vorschlag stützt sich auf die Informationen, die im Rahmen der Konsultation der Interessenträger für die Zwecke der Folgenabschätzung eingeholt wurden, sowie auf Bewertungsberichte zur eIDAS-Verordnung, die aufgrund der Überprüfungsverpflichtung nach Artikel 49 der eIDAS-Verordnung erstellt wurden. Zahlreiche Treffen mit Vertretern der Mitgliedstaaten und Experten wurden durchgeführt. •Folgenabschätzung Für diesen Vorschlag wurde eine Folgenabschätzung durchgeführt. Am 19. März 2021 gab der Ausschuss für Regulierungskontrolle eine ablehnende Stellungnahme mit Anmerkungen ab. Nach Einreichung einer überarbeiteten Fassung gab der Ausschuss am 5. Mai 2021 eine befürwortende Stellungnahme ab. Die Kommission prüft unterschiedliche Politikoptionen für das Erreichen des allgemeinen Ziels der vorliegenden Initiative, nämlich ein reibungsloses Funktionieren des Binnenmarktes sicherzustellen, insbesondere in Bezug auf die Bereitstellung und Nutzung von hochsicheren und vertrauenswürdigen Lösungen für die elektronische Identität. In der Folgenabschätzung werden das Ausgangsszenario, die Politikoptionen und die Auswirkungen der drei betrachteten Politikoptionen bewertet. Jede Option ist eine Wahlmöglichkeit, die auf Grundlage der Zielvorstellungen politisch in Betracht gezogen wird. Die erste Option umfasst wenig ehrgeizige Zielvorstellungen und ein Maßnahmenpaket, das vor allem auf die Stärkung der Wirksamkeit und Effizienz der derzeitigen eIDAS-Verordnung abzielt. Die erste Option würde die Notifizierung nationaler eIDs verbindlich machen und die bestehenden Instrumente straffen, um eine gegenseitige Anerkennung zu erreichen; Ziel wäre es, gestützt auf die Verfügbarkeit unterschiedlicher nationaler eID-Systeme, die interoperabel werden sollen, den Bedürfnissen der Bürger gerecht zu werden. Die mäßig ehrgeizigen Zielvorstellungen der zweiten Option bestehen darin, die Möglichkeiten für einen sicheren Austausch von Identitätsdaten auszuweiten, indem die behördlichen eID-Systeme ergänzt werden und der derzeitige Übergang zu Identitätsdiensten auf der Grundlage von Attributen unterstützt wird. Das Ziel dieser Option hätte darin bestanden, die Nutzernachfrage zu decken und einen neuen qualifizierten Vertrauensdienst für die Bereitstellung elektronischer Attributsbescheinigungen zu schaffen, die mit vertrauenswürdigen Quellen verknüpft und grenzübergreifend durchsetzbar sind. Damit wäre der Anwendungsbereich der derzeitigen eIDAS-Verordnung erweitert worden, und es wären möglichst viele Anwendungsfälle unterstützt worden, bei denen mit einer Person verknüpfte Identitätsattribute mit einem hohen Sicherheitsniveau überprüft werden müssen. Die dritte und bevorzugte Option ist die ehrgeizigste und zielt darauf ab, die Bereitstellung einer von den Mitgliedstaaten ausgestellten hochsicheren persönlichen Brieftasche für die digitale Identität zu regulieren. Die bevorzugte Option wurde als geeignet erachtet, die Ziele dieser Initiative in effizientester Weise zu erreichen. Um die politischen Ziele vollständig zu erreichen, baut die bevorzugte Option auf den meisten Maßnahmen auf, die im Rahmen der ersten Option (Rückgriff auf die von den Mitgliedstaaten bescheinigten rechtlichen Identitäten und die Verfügbarkeit gegenseitig anerkannter eID-Mittel) und der zweiten Option (grenzübergreifend rechtlich anerkannte elektronische Attributsbescheinigungen) bewertet wurden. Im Hinblick auf den allgemeinen Rahmen für Vertrauensdienste legen die Zielvorstellungen ein Maßnahmenpaket nahe, für das kein schrittweises Vorgehen erforderlich ist, um die politischen Ziele zu erreichen. Der neue qualifizierte Vertrauensdienst für die Verwaltung elektronischer Fernsignatur- und ‑siegelerstellungseinheiten würde erhebliche Vorteile in Bezug auf die Sicherheit, Einheitlichkeit, Rechtssicherheit und die Auswahl für Verbraucher mit sich bringen, sowohl im Zusammenhang mit der Zertifizierung qualifizierter Siegelerstellungseinheiten als auch im Zusammenhang mit den Anforderungen, die von den qualifizierten Vertrauensdiensteanbietern zu erfüllen sind, die solche Einheiten verwalten. Die neuen Bestimmungen würden den allgemeinen Regulierungs- und Aufsichtsrahmen für die Erbringung von Vertrauensdiensten stärken. Die Auswirkungen der Politikoptionen auf die unterschiedlichen Gruppen von Interessenträgern werden in Anhang 3 der Folgenabschätzung zu dieser Initiative ausführlich erläutert. Die Abschätzung erfolgte sowohl unter quantitativen als auch unter qualitativen Gesichtspunkten. Aus der Folgenabschätzung geht hervor, dass die quantifizierbaren Mindestkosten auf wenigstens 3,2 Mrd. EUR geschätzt werden können, da einige der Kostenpositionen nicht quantifizierbar sind. Der quantifizierbare Nutzen wird auf insgesamt 3,9–9,6 Mrd. EUR geschätzt. In Bezug auf die weiter reichenden wirtschaftlichen Auswirkungen wird erwartet, dass die bevorzugte Option positive Auswirkungen auf die Innovation, den internationalen Handel und die Wettbewerbsfähigkeit haben, zum Wirtschaftswachstum beitragen und zu zusätzlichen Investitionen in Lösungen für die digitale Identität führen wird. So wird etwa erwartet, dass die Gesetzesänderungen im Rahmen der dritten Option zu zusätzlichen Investitionen in Höhe von 500 Mio. EUR führen werden, durch die innerhalb von zehn Jahren Gewinne in Höhe von 1,268 Mrd. EUR erzielt werden dürften (bei 67 % Umsetzung). Die bevorzugte Option dürfte sich auch positiv auf die Beschäftigung auswirken und in den ersten fünf Jahren nach der Umsetzung zwischen 5 000 und 27 000 zusätzliche Arbeitsplätze schaffen. Grundlage dafür sind die zusätzlichen Investitionen und die geringeren Kosten für Unternehmen, die auf eID-Lösungen zurückgreifen. Die dritte Option dürfte die meisten positiven Umweltauswirkungen mit sich bringen und die Verbreitung und Nutzbarkeit von eIDs in größtmöglichem Umfang verbessern, was sich positiv auf die Senkung der Emissionen im Zusammenhang mit der Erbringung öffentlicher Dienste auswirken wird. Elektronische Vorgangsregister verschaffen den Nutzern Belege und einen unveränderlichen Audit-Trail der Abfolge von Vorgängen und Datensätzen, wodurch die Datenintegrität gewährleistet wird. Dieser Vertrauensdienst war zwar nicht Teil der Folgenabschätzung, baut jedoch auf bestehenden Vertrauensdiensten auf, da damit Zeitstempel von Daten und ihre zeitliche Abfolge mit der Gewissheit über den Urheber der Daten verbunden werden und somit eine Ähnlichkeit zu elektronischen Signaturen besteht. Dieser Vertrauensdienst ist notwendig, um der Fragmentierung des Binnenmarkts vorzubeugen, indem ein einheitlicher gesamteuropäischer Rahmen festgelegt wird, der die grenzübergreifende Anerkennung von Vertrauensdiensten ermöglicht und den Betrieb qualifizierter elektronischer Vorgangsregister unterstützt. Datenintegrität wiederum ist sehr wichtig für das Zusammenführen von Daten aus dezentralen Quellen, für Lösungen für eine selbst-souveräne Identität, für die Zuordnung des Eigentums an digitalen Vermögenswerten, für die Aufzeichnung von Geschäftsprozessen zur Prüfung der Einhaltung der Nachhaltigkeitskriterien und für verschiedene Anwendungsfälle auf den Kapitalmärkten.

•Effizienz der Rechtsetzung und Vereinfachung In diesem Vorschlag werden Maßnahmen festgelegt, die für Behörden, Bürger und Online-Diensteanbieter gelten sollen. Die Verwaltungs- und Befolgungskosten der Behörden sowie die Betriebskosten und sicherheitsbezogenen Ausgaben der Online-Diensteanbieter werden damit gesenkt. Den Bürgern werden durch den geringeren Verwaltungsaufwand Vorteile entstehen, da sie sich vollständig auf digitale Mittel zur Identifizierung und auf die Möglichkeit des sicheren Austauschs von Attributen der digitalen Identität mit grenzübergreifend gleicher Rechtswirkung verlassen können. Zudem werden die Befolgungskosten für Anbieter von Lösungen für die elektronische Identität gesenkt. •Grundrechte Da personenbezogene Daten in den Anwendungsbereich einiger Elemente der Verordnung fallen, sind die Maßnahmen so konzipiert, dass sie vollständig mit den Datenschutzvorschriften im Einklang stehen. So werden mit dem Vorschlag beispielsweise die Möglichkeiten der gemeinsamen Nutzung von Daten und der Offenlegung nach Ermessen verbessert. Durch die Nutzung der EUid-Brieftasche werden die Nutzer in der Lage sein, selbst zu kontrollieren, wie viele Daten an vertrauende Beteiligte weitergegeben werden, und darüber informiert werden, welche Attribute für die Erbringung eines bestimmten Dienstes erforderlich sind. Die Diensteanbieter sollten die Mitgliedstaaten über ihre Absicht in Kenntnis setzen, auf eine EUid-Brieftasche zurückzugreifen, wodurch die Mitgliedstaaten kontrollieren könnten, dass Diensteanbieter sensible – etwa gesundheitsbezogene – Datensätze nur im Einklang mit dem nationalen Recht anfordern. 4.AUSWIRKUNGEN AUF DEN HAUSHALT Um die Ziele dieser Initiative optimal erreichen zu können, muss eine Reihe von Maßnahmen auf Ebene der Kommission – hier ist die Zuteilung von etwa 60 VZÄ im Zeitraum 2022-2027 geplant – und auf Ebene der Mitgliedstaaten – über ihre aktive Teilnahme an den Expertengruppen und Ausschüssen, die mit der Arbeit der Initiative zusammenhängen und sich aus Vertretern der Mitgliedstaaten zusammensetzen – finanziert werden. Die für die Umsetzung des Vorschlags im Zeitraum 2022–2027 erforderlichen Finanzmittel belaufen sich auf insgesamt bis zu 30,825 Mio. EUR, in denen Verwaltungskosten in Höhe von 8,825 Mio. EUR und über das Programm Digitales Europa abgedeckte operative Ausgaben in Höhe von bis zu 22 Mio. EUR (vorbehaltlich einer Einigung) enthalten sind. Die Finanzmittel werden auch Kosten für Wartung, Entwicklung, Hosting, Betrieb und Unterstützung der Bausteine der eID und der Vertrauensdienste decken. Zudem könnten daraus Finanzhilfen für die Anbindung von Diensten an das Ökosystem der EUid-Brieftasche und die Entwicklung von Normen und technischen Spezifikationen gewährt werden. Schließlich wird mit den Finanzmitteln auch die Durchführung jährlicher Erhebungen und Untersuchungen zur Wirksamkeit und Effizienz der Verordnung bei der Erreichung ihrer Ziele unterstützt werden. Der Finanzbogen zu dieser Initiative enthält eine detaillierte Übersicht über die Kosten. 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Die Auswirkungen werden im Einklang mit den Leitlinien für eine bessere Rechtsetzung im Hinblick auf die Durchführung und Anwendung der vorgeschlagenen Verordnung überwacht und bewertet. Die Monitoringmodalitäten sind ein wichtiger Bestandteil des Vorschlags, insbesondere angesichts der Mängel des derzeitigen Berichterstattungsrahmens, die aus der Bewertung hervorgehen. Zusätzlich zu den mit der vorgeschlagenen Verordnung eingeführten Berichterstattungspflichten, die eine bessere Daten- und Analysebasis gewährleisten sollen, wird über den Monitoringrahmen Folgendes überwacht: 1) inwieweit die erforderlichen Änderungen im Einklang mit den angenommenen Maßnahmen umgesetzt wurden; 2) ob die erforderlichen Änderungen an den jeweiligen nationalen Systemen vorgenommen wurden; 3) ob die erforderlichen, von den regulierten Stellen vorgenommenen Änderungen an den Befolgungspflichten eingehalten wurden. Die Europäische Kommission (1, 2 und 3) und die zuständigen nationalen Behörden (2 und 3) sind für die Datenerhebung auf der Grundlage vorab festgelegter Indikatoren zuständig. Zur Anwendung des vorgeschlagenen Instruments werden die Europäische Kommission und die zuständigen nationalen Behörden anhand jährlicher Erhebungen Folgendes bewerten: 1) den Zugang aller EU-Bürger zu eID-Mitteln; 2) die gesteigerte grenzübergreifende Anerkennung und Akzeptanz von eID-Systemen; 3) Maßnahmen zur Förderung der Entwicklung neuer Dienste für die digitale Identität und deren Übernahme im Privatsektor. Die Europäische Kommission wird über jährliche Erhebungen zu folgenden Themen Hintergrundinformationen zusammentragen: 1) Größe des Marktes für digitale Identitäten; 2) Ausgaben für die öffentliche Auftragsvergabe im Zusammenhang mit der digitalen Identität; 3) Anteil der Unternehmen, die ihre Dienste online anbieten; 4) Anteil der Online-Transaktionen, die eine starke Kundenidentifizierung erfordern; 5) Anteil der EU-Bürger, die private und öffentliche Online-Dienste nutzen. •Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags Im Entwurf der Verordnung werden die Mitgliedstaaten laut Artikel 6a dazu verpflichtet, im Rahmen eines notifizierten eID-Systems nach gemeinsamen technischen Normen auf der Grundlage einer verbindlichen Konformitätsbewertung und einer freiwilligen Zertifizierung innerhalb des durch den Rechtsakt zur Cybersicherheit geschaffenen europäischen Cybersicherheitszertifizierungsrahmens eine EUid-Brieftasche auszugeben. Der Entwurf enthält Bestimmungen, um zu gewährleisten, dass natürliche und juristische Personen die Möglichkeit haben, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen zur Online- und Offline-Authentifizierung und für den Zugang zu Waren und zu öffentlichen und privaten Online-Diensten unter der Kontrolle des Nutzers sicher anzufordern und zu erhalten, zu speichern, zu kombinieren und zu nutzen. Die Zertifizierung berührt nicht die DSGVO in der Hinsicht, dass die Verarbeitung personenbezogener Daten im Zusammenhang mit der EUid-Brieftasche nur gemäß den Artikeln 42 und 43 der DSGVO zertifiziert werden kann. In Artikel 6b enthält der Vorschlag besondere Bestimmungen über die Anforderungen an vertrauende Beteiligte bezüglich der Betrugsbekämpfung und der verpflichtenden Authentifizierung der Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen aus der EUid-Brieftasche. Um mehr elektronische Identifizierungsmittel für die grenzübergreifende Nutzung verfügbar zu machen und den Prozess der gegenseitigen Anerkennung notifizierter elektronischer Identifizierungssysteme effizienter zu gestalten, werden die Mitgliedstaaten laut Artikel 7 dazu verpflichtet, mindestens ein elektronisches Identifizierungssystem zu notifizieren. Zudem werden in Artikel 11a Bestimmungen zur Erleichterung der eindeutigen Identifizierung hinzugefügt, um die eindeutige und dauerhafte Identifizierung natürlicher Personen sicherzustellen. Dies betrifft Fälle, in denen eine Identifizierung gesetzlich vorgeschrieben ist, etwa im Gesundheitsbereich, zur Erfüllung von Verpflichtungen zur Bekämpfung der Geldwäsche im Finanzbereich oder bei der gerichtlichen Verwendung. Zu diesem Zweck müssen die Mitgliedstaaten eine eindeutige und dauerhafte Kennung in den Mindestsatz von Personenidentifizierungsdaten aufnehmen. Dank der Möglichkeit der Mitgliedstaaten, auf eine Zertifizierung zurückzugreifen, um die Einhaltung der Verordnung sicherzustellen und so das Verfahren der gegenseitigen Begutachtung zu ersetzen, wird die gegenseitige Anerkennung effizienter vonstattengehen. In Abschnitt 3 werden neue Bestimmungen für den grenzübergreifenden Rückgriff auf die EUid-Brieftasche vorgestellt, damit sich die Nutzer auf die Verwendung von EUid-Brieftaschen verlassen können, um Zugang zu Online-Diensten öffentlicher Stellen und privater Diensteanbietern zu erhalten, die eine starke Nutzerauthentifizierung erfordern. In Kapitel III zu Vertrauensdiensten wird Artikel 14 über internationale Aspekte dahingehend geändert, dass die Kommission die Möglichkeit erhält, Durchführungsbeschlüsse zu erlassen, um die Gleichwertigkeit der Anforderungen an Vertrauensdienste aus Drittländern und der von ihnen erbrachten Dienste festzustellen, und zwar zusätzlich zum Abschluss von Abkommen über die gegenseitige Anerkennung im Einklang mit Artikel 218 AEUV. Bezüglich der auf Vertrauensdienste und qualifizierte Vertrauensdiensteanbieter anwendbaren allgemeinen Bestimmung werden die Artikel 17, 18, 20, 21 und 24 geändert, um sie an die Vorschriften für die Netz- und Informationssicherheit in der EU anzupassen. Bezüglich der Methoden, nach denen qualifizierte Vertrauensdiensteanbietern die Identität der natürlichen oder juristischen Person, denen qualifizierte Zertifikate ausgestellt werden, überprüfen, wurden die Bestimmungen über den Einsatz von Fernidentifizierungsmitteln harmonisiert und präzisiert, damit EU-weit die gleichen Vorschriften angewandt werden. Kapitel III enthält einen neuen Artikel 29a, um die Anforderungen an einen qualifizierten Dienst zur Verwaltung elektronischer Fernsignaturerstellungseinheiten festzulegen. Der neue qualifizierte Vertrauensdienst würde direkt mit den in der Folgenabschätzung genannten und bewerteten Maßnahmen zusammenhängen und darauf aufbauen, insbesondere auf Maßnahmen zur „Harmonisierung des Zertifizierungsverfahrens für die elektronische Fernsignatur“ und anderen Maßnahmen für die Harmonisierung der Aufsichtspraktiken der Mitgliedstaaten. Damit die Nutzer feststellen können, wer hinter einer Website steht, wird Artikel 45 dahingehend geändert, dass Anbieter von Webbrowsern dazu verpflichtet werden, die Verwendung qualifizierter Zertifikate für die Website-Authentifizierung zu erleichtern.

Kapitel III enthält drei neue Abschnitte. Mit dem neuen Abschnitt 9 werden Bestimmungen über die Rechtswirkung elektronischer Attributsbescheinigungen, ihre Verwendung in bestimmten Sektoren und die Anforderungen an qualifizierte Attributsbescheinigungen hinzugefügt. Um ein hohes Maß an Vertrauen zu gewährleisten, wird in Artikel 45d eine Bestimmung über die Überprüfung von Attributen anhand authentischer Quellen eingefügt. Damit die Verfügbarkeit elektronischer Attributsbescheinigungen den Nutzern der EUid-Brieftasche zugute kommt und damit die Nutzer sich solche Bescheinigungen für EUid-Brieftaschen ausstellen lassen können, wird in Artikel 45e eine derartige Anforderung eingefügt. Artikel 45f enthält hingegen zusätzliche Vorschriften für die Erbringung von Diensten für elektronische Attributsbescheinigungen, unter anderem zum Schutz personenbezogener Daten. Mit dem neuen Abschnitt 10 wird die Erbringung qualifizierter elektronischer Archivierungsdienste auf EU-Ebene ermöglicht. Artikel 45g über qualifizierte elektronische Archivierungsdienste ergänzt die Artikel 34 und 40 über qualifizierte Bewahrungsdienste für qualifizierte elektronische Signaturen und qualifizierte elektronische Siegel. Mit dem neuen Abschnitt 11 wird ein Rahmen für Vertrauensdienste in Bezug auf die Erstellung und Pflege elektronischer Vorgangsregister und qualifizierter elektronischer Vorgangsregister geschaffen. Elektronische Vorgangsregister verbinden Zeitstempel von Daten und ihre zeitliche Abfolge mit der Gewissheit über den Urheber der Daten, ähnlich wie bei elektronischen Signaturen, und ermöglichen zudem eine dezentralere Verwaltung, die für die Zusammenarbeit mehrerer Beteiligter geeignet ist. Dies ist für verschiedene Anwendungsfälle von Bedeutung, die auf elektronischen Vorgangsregistern aufbauen können. Elektronische Vorgangsregister helfen Unternehmen, Kosten einzusparen, da sie die Zusammenarbeit mehrerer Beteiligter effizienter und sicherer machen; außerdem erleichtern sie die regulatorische Aufsicht. Ohne Regulierung auf europäischer Ebene besteht ein Risiko, dass die nationalen Gesetzgeber unterschiedliche nationale Normen festsetzen. Um der Fragmentierung vorzubeugen, ist die Festlegung eines einheitlichen gesamteuropäischen Rahmens erforderlich, der die grenzübergreifende Anerkennung von Vertrauensdiensten ermöglicht und den Betrieb qualifizierter elektronischer Vorgangsregister unterstützt. Diese gesamteuropäische Norm für Knotenbetreiber wird unbeschadet anderer sekundärer EU-Rechtsvorschriften gelten. Werden elektronische Vorgangsregister zur Unterstützung der Ausgabe von Anleihen bzw. des Handels damit oder für Kryptowerte verwendet, so sollten die Anwendungsfälle mit allen geltenden Finanzvorschriften vereinbar sein, z. B. mit der Richtlinie über Märkte für Finanzinstrumente, der Zahlungsdiensterichtlinie und der künftigen Verordnung über Märkte für Kryptowerte. Wenn solche Anwendungsfälle personenbezogene Daten betreffen, müssen die Diensteanbieter auch die DSGVO einhalten. Im Jahr 2017 entfielen 75 % der Anwendungsfälle für elektronische Vorgangsregister auf das Bank- und Finanzwesen. Heute sehen wir eine wachsende Vielfalt der Anwendungsfälle für elektronische Vorgangsregister: 17 % davon entfallen auf Kommunikation und Medien, 15 % auf Fertigung und natürliche Ressourcen, 10 % auf den staatlichen Sektor, 8 % auf Versicherungen, 5 % auf den Einzelhandel, 6 % auf Verkehr und 5 % auf Versorgungsleistungen. Schließlich enthält das Kapitel VI einen neuen Artikel 48b, damit zur Überwachung der Wirksamkeit der geänderten Verordnung Daten über die Verwendung der EUid-Brieftasche erhoben werden. 2021/0136 (COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)In der Mitteilung der Kommission vom 19. Februar 2020 „Gestaltung der digitalen Zukunft Europas“ wird eine Überarbeitung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates angekündigt, um ihre Wirksamkeit zu verbessern, ihre Vorteile auf den privaten Sektor auszuweiten und vertrauenswürdige digitale Identitäten für alle Europäer zu fördern. (2)In den Schlussfolgerungen seiner Tagung vom 1. und 2. Oktober 2020 ersuchte der Europäische Rat die Kommission, einen Vorschlag zur Entwicklung eines EU-weiten Rahmens für die sichere öffentliche elektronische Identifizierung (eID), einschließlich interoperabler digitaler Signaturen vorzulegen, damit die Menschen die Kontrolle über ihre Online-Identität und ihre Daten haben und der Zugang zu öffentlichen, privaten und grenzüberschreitenden digitalen Diensten möglich ist.

(3)In der Mitteilung der Kommission vom 9. März 2021 „Digitaler Kompass 2030: der europäische Weg in die digitale Dekade“ wird das Ziel gesetzt, dass die Union und ihre Bürgerinnen und Bürger bis 2030 in den Genuss der umfassenden Einführung einer vertrauenswürdigen, von den Nutzern kontrollierten Identität kommen sollen, die es jedem Nutzer ermöglicht, seine Online-Interaktionen und Online-Präsenz zu kontrollieren. (4)Ein harmonisiertes Herangehen an die digitale Identifizierung dürfte die Risiken und Kosten der derzeitigen Fragmentierung, die sich aus der Verwendung unterschiedlicher nationaler Lösungen ergibt, verringern und den Binnenmarkt stärken, wenn den Bürgern und anderen Einwohnern im Sinne des nationalen Rechts sowie den Unternehmen ermöglicht wird, sich in der gesamten Union bequem und auf einheitliche Weise zu identifizieren. Alle sollten auf sichere Weise Zugang zu öffentlichen und privaten Dienstleistungen erhalten, die sich auf ein verbessertes Ökosystem für Vertrauensdienste und auf überprüfte Identitätsnachweise und Attributsbescheinigungen stützen können, beispielsweise einen überall in der Union rechtlich anerkannten und akzeptierten Hochschulabschluss. Mit dem Rahmen für eine europäische digitale Identität soll der Übergang von der Verwendung bloßer nationaler Lösungen für die digitale Identität zur Bereitstellung europaweit gültiger elektronischer Attributsbescheinigungen erreicht werden. Anbieter elektronischer Attributsbescheinigungen sollen von klaren und einheitlichen Regeln profitieren können und öffentliche Verwaltungen sollen sich auf elektronische Dokumente in einem vorgegebenen Format verlassen können. (5)Um die Wettbewerbsfähigkeit europäischer Unternehmen zu stärken, sollten sich Online-Diensteanbieter auf unionsweit anerkannte Lösungen für die digitale Identität stützen können, unabhängig davon, in welchem Mitgliedstaat sie ausgestellt wurden, denn nur so können sie von einem harmonisierten europäischen Konzept für Vertrauen, Sicherheit und Interoperabilität profitieren. Nutzer wie Diensteanbieter sollten sich darauf verlassen können, dass elektronische Attributsbescheinigungen unionsweit die gleiche Rechtswirkung haben. (6)Für die Verarbeitung personenbezogener Daten im Rahmen der Durchführung dieser Verordnung gilt die Verordnung (EU) 2016/679. Daher sollten in dieser Verordnung besondere Schutzvorkehrungen getroffen werden, um zu verhindern, dass Anbieter elektronischer Identifizierungsmittel und elektronischer Attributsbescheinigungen personenbezogene Daten aus anderen Diensten mit den personenbezogenen Daten kombinieren, die im Zusammenhang mit Diensten stehen, die in den Anwendungsbereich dieser Verordnung fallen. (7)Es ist notwendig, harmonisierte Bedingungen für die Schaffung eines Rahmens für Brieftaschen für die europäische digitale Identität (EUid-Brieftaschen) festzulegen, die von den Mitgliedstaaten ausgegeben werden sollen und die es allen Bürgerinnen und Bürgern der Union und anderen Einwohnern im Sinne des nationalen Rechts ermöglichen sollten, auf sicherem Weg Daten über ihre Identität unter der alleinigen Kontrolle der jeweiligen Nutzer auf benutzerfreundliche und bequeme Weise weiterzugeben. Bei der Entwicklung der Technologien zur Erreichung dieser Ziele sollten ein Höchstmaß an Sicherheit und Benutzerfreundlichkeit sowie breite Nutzbarkeit angestrebt werden. Die Mitgliedstaaten sollten dafür sorgen, dass alle ihre Bürger und Einwohner einen gleichberechtigten Zugang zur digitalen Identifizierung haben. (8)Um die Einhaltung der Rechtsvorschriften der Union bzw. der mit diesen in Einklang stehenden nationalen Rechtsvorschriften zu gewährleisten, sollten Diensteanbieter, die beabsichtigen, auf EUid-Brieftaschen zurückzugreifen, dies den Mitgliedstaaten mitteilen. Dies wird es den Mitgliedstaaten ermöglichen, die Nutzer vor Betrug zu schützen und die unrechtmäßige Verwendung von Identitätsdaten und elektronischen Attributsbescheinigungen zu verhindern und ferner sicherzustellen, dass die Verarbeitung sensibler Daten, wie Gesundheitsdaten, von vertrauenden Beteiligten im Einklang mit dem Unionsrecht oder dem nationalen Recht überprüft werden kann. (9)Alle EUid-Brieftaschen sollten es Nutzern ermöglichen, sich online und offline grenzübergreifend elektronisch zu identifizieren und zu authentifizieren, um Zugang zu einem breiten Spektrum öffentlicher und privater Dienste zu erhalten. Unbeschadet der Vorrechte der Mitgliedstaaten hinsichtlich der Identifizierung ihrer Bürger und Einwohner können solche digitalen Brieftaschen auch den institutionellen Bedürfnissen der Behörden, internationalen Organisationen und Organe, Einrichtungen und sonstigen Stellen der Union entsprechen. Die Offline-Verwendung wäre in vielen Sektoren wichtig, unter anderem im Gesundheitssektor, wo Dienstleistungen häufig im Rahmen persönlicher Kontakte erbracht werden, und es sollte möglich sein, dabei die Echtheit elektronischer Verschreibungen anhand von QR-Codes oder ähnlicher Technik zu überprüfen. Unter Rückgriff auf das Sicherheitsniveau „hoch“ sollten die Lösungen für EUid-Brieftaschen das Potenzial nutzen, das durch fälschungssichere Lösungen wie sichere Elemente geboten wird, um die Sicherheitsanforderungen dieser Verordnung zu erfüllen. Die EUid-Brieftaschen sollten es den Nutzern auch ermöglichen, qualifizierte elektronische Signaturen und Siegel, die in der gesamten EU akzeptiert werden, zu erstellen und zu verwenden. Um durch Vereinfachungen und Kosteneinsparungen Vorteile für Personen und Unternehmen in der gesamten EU zu erzielen, unter anderem indem Vertretungsbefugnisse und e-Mandate ermöglicht werden, sollten sich die Mitgliedstaaten bei der Ausstellung von EUid-Brieftaschen auf gemeinsame Normen stützen, um für nahtlose Interoperabilität und ein hohes Sicherheitsniveau zu sorgen. Nur die zuständigen Behörden der Mitgliedstaaten können bei der Feststellung der Identität einer Person ein hohes Maß an Vertrauen gewährleisten und somit Gewissheit bieten, dass es sich bei Personen, die eine bestimmte Identität beanspruchen oder geltend machen, tatsächlich um die angegebenen Personen handelt. Es ist daher notwendig, dass die EUid-Brieftaschen auf der rechtlichen Identität der Bürger, anderen Einwohner oder juristischen Personen beruhen. Das Vertrauen in die EUid-Brieftaschen würde gestärkt durch eine Verpflichtung der Aussteller, geeignete technische und organisatorische Maßnahmen zu ergreifen, um im Einklang mit der Verordnung (EU) 2016/679 ein Schutzniveau zu gewährleisten, das den Risiken für die Rechte und Freiheiten natürlicher Personen angemessen ist. (10)Um ein hohes Maß an Sicherheit und Vertrauenswürdigkeit zu erreichen, werden in dieser Verordnung die Anforderungen für die EUid-Brieftaschen festgelegt. Die Übereinstimmung der EUid-Brieftaschen mit diesen Anforderungen sollte von akkreditierten öffentlichen oder privaten Stellen zertifiziert werden, die von den Mitgliedstaaten benannt werden. Durch den Rückgriff auf ein Zertifizierungssystem, das auf der Verfügbarkeit gemeinsam mit den Mitgliedstaaten vereinbarter Normen beruht, sollte ein hohes Maß an Vertrauen und Interoperabilität gewährleistet werden. Die Zertifizierung sollte sich insbesondere auf die einschlägigen europäischen Systeme für die Cybersicherheitszertifizierung stützen, die gemäß der Verordnung (EU) 2019/881 eingeführt wurden. Diese Zertifizierung sollte die Zertifizierung in Bezug auf die Verarbeitung personenbezogener Daten gemäß der Verordnung (EG) Nr. 2016/679 unberührt lassen. (11)EUid-Brieftaschen sollten in Bezug auf die personenbezogenen Daten, die zur Authentifizierung verwendet werden, ein Höchstmaß an Sicherheit gewährleisten, unabhängig davon, ob diese Daten lokal oder über cloudgestützte Lösungen gespeichert werden, wobei den unterschiedlichen Risikostufen Rechnung zu tragen ist. Die Verwendung biometrischer Daten zur Authentifizierung zählt zu den Identifizierungsmethoden, die ein hohes Maß an Zuverlässigkeit bieten, insbesondere wenn sie in Kombination mit anderen Authentifizierungsfaktoren eingesetzt wird. Da biometrische Daten individuell einzigartige Merkmale von Personen darstellen, erfordert die Verwendung solcher Daten organisatorische Maßnahmen und Sicherheitsvorkehrungen, die dem Risiko entsprechen, das eine solche Verarbeitung für die Rechte und Freiheiten natürlicher Personen mit sich bringen kann, und muss im Einklang mit der Verordnung (EU) 2016/679 erfolgen. (12)Damit der Rahmen für die europäische digitale Identität offen für Innovation, technologische Entwicklung und zukunftssicher ist, sollten die Mitgliedstaaten ermutigt werden, gemeinsam Reallabore einzurichten, um innovative Lösungen in einem kontrollierten und sicheren Umfeld zu erproben und insbesondere die Funktionen, den Schutz personenbezogener Daten, die Sicherheit und die Interoperabilität der Lösungen zu verbessern und in Bezug auf technische Referenzen und rechtliche Anforderungen eine Informationsgrundlage für künftige Aktualisierungen zu schaffen. Dieses Umfeld sollte die Einbeziehung von kleinen und mittleren Unternehmen, Start-up-Unternehmen und einzelnen Innovatoren und Forschern aus Europa fördern. (13)Mit der Verordnung (EU) Nr. 2019/1157 wird die Sicherheit von Personalausweisen mit verbesserten Sicherheitsmerkmalen ab August 2021 erhöht. Die Mitgliedstaaten sollten prüfen, ob es möglich ist, diese im Rahmen elektronischer Identifizierungssysteme zu notifizieren, um die grenzübergreifende Verfügbarkeit elektronischer Identifizierungsmittel auszuweiten. (14)Das Notifizierungsverfahren für elektronische Identifizierungssysteme sollte vereinfacht und beschleunigt werden, um den Zugang zu benutzerfreundlichen, vertrauenswürdigen, sicheren und innovativen Authentifizierungs- und Identifizierungslösungen zu fördern und gegebenenfalls private Identitätsanbieter zu ermutigen, den Behörden der Mitgliedstaaten elektronische Identifizierungssysteme zur Notifizierung als nationale Systeme für elektronische Personalausweise gemäß der Verordnung (EG) Nr. 910/2014 anzubieten. (15)Die Straffung der derzeitigen Verfahren für die Notifizierung und die gegenseitige Begutachtung wird heterogene Ansätze bei der Bewertung verschiedener notifizierter elektronischer Identifizierungssysteme vermeiden und zur Vertrauensbildung zwischen den Mitgliedstaaten beitragen. Neue, vereinfachte Mechanismen sollten die Zusammenarbeit der Mitgliedstaaten in Bezug auf die Sicherheit und Interoperabilität ihrer notifizierten elektronischen Identifizierungssysteme fördern. (16)Die Mitgliedstaaten sollten sich neue, flexible Instrumente zunutze machen, um die Einhaltung der in dieser Verordnung und den einschlägigen Durchführungsrechtsakten festgelegten Anforderungen sicherzustellen. Diese Verordnung sollte es den Mitgliedstaaten ermöglichen, auf Berichte und Bewertungen akkreditierter Konformitätsbewertungsstellen oder auf freiwillige IKT-Sicherheitszertifizierungssysteme wie beispielweise Zertifizierungssysteme, die auf Unionsebene gemäß der Verordnung (EU) 2019/881 eingerichtet werden, zurückzugreifen, um ihre Angaben hinsichtlich der Angleichung der Systeme oder von Teilen davon an die Anforderungen dieser Verordnung bezüglich der Interoperabilität und der Sicherheit der notifizierten elektronischen Identifizierungssysteme zu belegen. (17)Diensteanbieter verwenden die Identitätsdaten, die im Rahmen der Personenidentifizierungsdaten über elektronische Identifizierungssysteme gemäß der Verordnung (EU) Nr. 910/2014 verfügbar sind, um Nutzer aus einem anderen Mitgliedstaat mit der rechtlichen Identität dieses Nutzers abzugleichen. Trotz der Verwendung der eIDAS-Datensätze sind für die Gewährleistung einer genauen Übereinstimmung in vielen Fällen jedoch zusätzliche Informationen über den Nutzer und spezifische eindeutige Identifizierungsverfahren auf nationaler Ebene erforderlich. Um die Verwendbarkeit elektronischer Identifizierungsmittel weiter zu verbessern, sollten die Mitgliedstaaten durch diese Verordnung dazu verpflichtet werden, bestimmte Maßnahmen zu ergreifen, um bei der elektronischen Identifizierung einen korrekten Identitätsabgleich zu gewährleisten. Zu demselben Zweck sollte mit dieser Verordnung auch der verbindliche Mindestdatensatz erweitert werden, und in den Fällen, in denen es notwendig ist, den Nutzer auf dessen Verlangen auf eindeutige und dauerhafte Weise rechtmäßig zu identifizieren, sollte die Verwendung einer eindeutigen und dauerhaften elektronischen Kennung im Einklang mit dem Unionsrecht vorgeschrieben werden. (18)Im Einklang mit der Richtlinie (EU) 2019/882 sollten Menschen mit Behinderungen in der Lage sein, EUid-Brieftaschen, Vertrauensdienste und Endnutzerprodukte, die bei der Erbringung dieser Dienste eingesetzt werden, gleichberechtigt mit anderen Nutzern zu verwenden. (19)Diese Verordnung sollte keine Aspekte im Zusammenhang mit dem Abschluss und der Gültigkeit von Verträgen oder anderen rechtlichen Verpflichtungen behandeln, für die nach nationalem Recht oder Unionsrecht Formvorschriften zu erfüllen sind. Unberührt bleiben sollten ferner auch nationale Formvorschriften für öffentliche Register, insbesondere für das Handelsregister und das Grundbuch. (20)Die Bereitstellung und Verwendung von Vertrauensdiensten gewinnt für den internationalen Handel und die internationale Zusammenarbeit zunehmend an Bedeutung. Die internationalen Partner der EU richten derzeit Vertrauensrahmen ein, die sich an der Verordnung (EU) Nr. 910/2014 orientieren. Um die Anerkennung solcher Dienste und ihrer Anbieter zu erleichtern, können daher die Bedingungen, unter denen Vertrauensrahmen von Drittländern als gleichwertig mit dem in dieser Verordnung festgelegten Vertrauensrahmen für qualifizierte Vertrauensdienste und deren Anbieter angesehen werden könnten, in Durchführungsvorschriften festgelegt werden, um die Möglichkeit der gegenseitigen Anerkennung von in Drittländern niedergelassenen Vertrauensdiensten und deren Anbietern im Einklang mit Artikel 218 AEUV zu ergänzen. (21)Diese Verordnung sollte auf Rechtsakten der Union zur Gewährleistung bestreitbarer und fairer Märkte im digitalen Sektor aufbauen. Sie baut insbesondere auf der Verordnung XXX/XXXX [Gesetz über digitale Märkte] auf, mit der Vorschriften für Anbieter zentraler Plattformdienste eingeführt werden, die als Gatekeeper (Torhüter) eingestuft wurden, und durch die es unter anderem den Gatekeepern untersagt wird, von gewerblichen Nutzern zu verlangen, im Zusammenhang mit Dienstleistungen, die sie über die zentralen Plattformdienste dieses Gatekeepers anbieten, einen Identifizierungsdienst des Gatekeepers zu nutzen, anzubieten oder mit ihm zu interoperieren. Nach Artikel 6 Absatz 1 Buchstabe f der Verordnung XXX/XXXX [Gesetz über digitale Märkte] müssen Gatekeeper gewerblichen Nutzern und Erbringern von Nebendienstleistungen den Zugang zu und die Interoperabilität mit denselben Betriebssystemen, Hardware- oder Software-Funktionen ermöglichen, die der Gatekeeper für die Erbringung von Nebendienstleistungen zur Verfügung hat oder verwendet. Nach Artikel 2 Absatz 15 des [Gesetzes über digitale Märkte] stellen Identifizierungsdienste eine Art von Nebendienstleistungen dar. Gewerbliche Nutzer und Erbringer von Nebendienstleistungen sollten daher in der Lage sein, auf solche Hardware- oder Software-Funktionen, wie etwa sichere Elemente in Smartphones, zuzugreifen und mit ihnen über die EUid-Brieftaschen oder die notifizierten elektronischen Identifizierungsmittel der Mitgliedstaaten zu interagieren. (22)Zur Straffung der Cybersicherheitsverpflichtungen, die Vertrauensdiensteanbietern auferlegt werden, und damit diese Anbieter und ihre jeweiligen zuständigen Behörden von dem durch die Richtlinie XXXX/XXXX (NIS2-Richtlinie) geschaffenen Rechtsrahmen profitieren, müssen Vertrauensdienste geeignete technische und organisatorische Maßnahmen gemäß der Richtlinie XXXX/XXXX (NIS2-Richtlinie) ergreifen, etwa Maßnahmen für den Umgang mit Systemfehlern, menschlichen Fehlern, böswilligen Handlungen oder natürlichen Phänomenen, um die Risiken für die Sicherheit der von diesen Anbietern genutzten Netz- und Informationssysteme zu beherrschen, und erhebliche Sicherheitsvorfälle und Cyberbedrohungen im Einklang mit der Richtlinie XXXX/XXXX (NIS2-Richtlinie) zu melden. In Bezug auf die Meldung von Sicherheitsvorfällen sollten Vertrauensdiensteanbieter alle Sicherheitsvorfälle melden, die erhebliche Auswirkungen auf die Erbringung ihrer Dienste haben, einschließlich solcher, die durch Diebstahl oder Verlust von Geräten, Netzkabelschäden oder durch Vorfälle im Zusammenhang mit der Identifizierung von Personen verursacht werden. Die Anforderungen an das Cybersicherheitsrisikomanagement und die Meldepflichten gemäß der Richtlinie XXXXXX [NIS2] sollten als Ergänzung zu den Anforderungen betrachtet werden, die Vertrauensdiensteanbietern im Rahmen dieser Verordnung auferlegt werden. Gegebenenfalls sollten die gemäß der Richtlinie XXXX/XXXX (NIS2-Richtlinie) benannten zuständigen Behörden die Anwendung der bestehenden nationalen Praktiken oder Leitlinien zur Umsetzung der Sicherheits- und Berichterstattungsanforderungen und der Überwachung der Einhaltung dieser Anforderungen gemäß der Verordnung (EU) Nr. 910/2014 fortsetzen. Die durch diese Verordnung festgelegten Anforderungen lassen die Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679 unberührt.

(23)Es sollte gebührend darauf geachtet werden, dass eine wirksame Zusammenarbeit zwischen den NIS-Behörden und den eIDAS-Behörden gewährleistet wird. Falls als Aufsichtsstelle nach dieser Verordnung eine andere Behörde benannt wird als die gemäß der Richtlinie XXXX/XXXX [NIS2] benannten zuständigen Behörden, sollten diese Behörden eng zusammenarbeiten und einschlägige Informationen zeitnah austauschen, um sicherzustellen, dass Vertrauensdiensteanbieter wirksam beaufsichtigt werden und die Anforderungen dieser Verordnung und der Richtlinie XXXX/XXXX [NIS2] einhalten. Insbesondere sollten die Aufsichtsstellen nach dieser Verordnung befugt sein, die zuständige Behörde gemäß der Richtlinie XXXXX/XXXX [NIS2] aufzufordern, die einschlägigen Informationen zu übermitteln, die erforderlich sind, um den Qualifikationsstatus zu verleihen und Aufsichtsmaßnahmen zur Überprüfung der Erfüllung der einschlägigen Anforderungen gemäß NIS2 durch die Vertrauensdiensteanbieter durchzuführen, oder diese aufzufordern, die Nichterfüllung zu beheben. (24)Es ist von wesentlicher Bedeutung, dass ein Rechtsrahmen geschaffen wird, um die grenzüberschreitende Anerkennung zwischen den bestehenden nationalen rechtlichen Regelungen in Bezug auf Dienste für die Zustellung elektronischer Einschreiben zu erleichtern. Dieser Rahmen könnte auch neue Marktchancen für Vertrauensdiensteanbieter in der Union eröffnen, die neue europaweite Dienste für die Zustellung elektronischer Einschreiben anbieten wollen, und gewährleisten, dass die Identifizierung der Empfänger mit größerer Zuverlässigkeit als die Identifizierung des Absenders erfolgt. (25)In den meisten Fällen ist es Bürgern und anderen Einwohnern nicht möglich, Informationen über ihre Identität, wie Anschrift, Alter und berufliche Qualifikationen, Führerschein und andere Berechtigungen sowie Zahlungsdaten sicher und mit einem hohen Datenschutzniveau grenzüberschreitend auszutauschen. (26)Es sollte möglich sein, vertrauenswürdige digitale Attribute auszustellen und zu verwenden und zur Verringerung des Verwaltungsaufwands beizutragen, indem Bürger und andere Einwohner in die Lage versetzt werden, diese für private und öffentliche Transaktionen zu nutzen. So sollten beispielsweise Bürger und andere Einwohner nachweisen können, dass sie im Besitz eines gültigen Führerscheins sind, der von einer Behörde in einem Mitgliedstaat ausgestellt wurde und von einschlägigen Behörden in anderen Mitgliedstaaten überprüft und als vertrauenswürdig betrachtet werden kann, oder ihre Sozialversicherungsdaten oder künftige digitale Reisedokumente im grenzüberschreitenden Kontext zu verwenden. (27)Jede Einrichtung, die bescheinigte Attribute wie Abschlusszeugnisse, Führerscheine oder Geburtsurkunden erfasst, erstellt und ausgibt, sollte als Anbieter elektronischer Attributsbescheinigungen auftreten können. Vertrauende Beteiligte sollten die elektronischen Attributsbescheinigungen als gleichwertig mit Bescheinigungen in Papierform verwenden. Daher sollte einer elektronischen Attributsbescheinigung die Rechtswirkung nicht deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt oder nicht alle Anforderungen einer qualifizierten elektronischen Attributsbescheinigung erfüllt. Zu diesem Zweck sollten allgemeine Anforderungen festgelegt werden, damit qualifizierte elektronische Attributsbescheinigungen die gleiche Rechtswirkung haben wie rechtmäßig ausgestellte Bescheinigungen in Papierform. Diese Anforderungen sollten jedoch Rechtsvorschriften der Union oder der Mitgliedstaaten, die zusätzliche sektorspezifische Formvorschriften und damit verbundene Rechtswirkungen und insbesondere eine etwaige grenzübergreifende Anerkennung qualifizierter elektronischer Attributsbescheinigungen vorsehen, unberührt lassen. (28)Voraussetzung für die Akzeptanz durch private Diensteanbieter ist die breite Verfügbarkeit und Nutzbarkeit der EUid-Brieftaschen. Private vertrauende Beteiligte, die Dienstleistungen in den Bereichen Verkehr, Energie, Bank- und Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Wasserversorgung, Postdienste, digitale Infrastruktur, Bildung oder Telekommunikation erbringen, sollten die Nutzung europäischer EUid-Brieftaschen für die Erbringung von Diensten akzeptieren, bei denen nach nationalem oder Unionsrecht oder aufgrund vertraglicher Verpflichtungen eine starke Nutzerauthentifizierung für die Online-Identifizierung erforderlich ist. Wenn sehr große Online-Plattformen im Sinne des Artikels 25 Absatz 1 der Verordnung [Gesetz über digitale Dienste] von den Nutzern für den Zugang zu Online-Diensten eine Authentifizierung verlangen, sollten diese Plattformen dazu verpflichtet werden, auf Verlangen des Nutzers auch die Verwendung der EUid-Brieftaschen zu akzeptieren. Die Nutzer sollten nicht verpflichtet sein, die EUid-Brieftasche für den Zugang zu privaten Diensten zu nutzen, wenn sie dies jedoch wünschen, sollten sehr große Online-Plattformen hierfür auch die EUid-Brieftasche akzeptieren, wobei der Grundsatz der Datenminimierung zu beachten ist. Dies ist angesichts der Bedeutung, die sehr große Online-Plattformen aufgrund ihrer Reichweite, insbesondere in Bezug auf die Zahl der Dienstleistungsempfänger und der wirtschaftlichen Transaktionen haben, notwendig, um die Nutzer besser vor Betrug zu schützen und ein hohes Datenschutzniveau zu gewährleisten. Es sollten Verhaltenskodizes zur Selbstregulierung auf Unionsebene (im Folgenden „Verhaltenskodizes“) ausgearbeitet werden, um zu einer breiten Verfügbarkeit und Nutzbarkeit elektronischer Identifizierungsmittel, einschließlich EUid-Brieftaschen, im Anwendungsbereich dieser Verordnung beizutragen. Die Verhaltenskodizes sollten die breite Akzeptanz elektronischer Identifizierungsmittel, einschließlich EUid-Brieftaschen, durch diejenigen Diensteanbieter erleichtern, die nicht als sehr große Plattformen gelten und die zur Nutzerauthentifizierung auf externe elektronische Identifizierungsdienste angewiesen sind. Die Verhaltenskodizes sollten innerhalb von 12 Monaten nach Annahme dieser Verordnung ausgearbeitet werden. Die Kommission sollte die Wirksamkeit dieser Bestimmungen im Hinblick auf die Verfügbarkeit und Nutzbarkeit der EUid-Brieftaschen durch die Nutzer 18 Monate nach ihrer Einführung bewerten und die Bestimmungen überarbeiten, um ihre Akzeptanz im Lichte dieser Bewertung durch den Erlass delegierter Rechtsakte sicherzustellen. (29)Die EUid-Brieftasche sollte es technisch ermöglichen, Attribute gegenüber vertrauenden Beteiligten selektiv offenzulegen. Dieses Merkmal sollte ein grundlegendes Gestaltungsmerkmal werden, das die Benutzerfreundlichkeit und den Schutz personenbezogener Daten, einschließlich der Minimierung der Verarbeitung personenbezogener Daten, verbessert. (30)Attribute, die von qualifizierten Vertrauensdiensteanbietern im Rahmen qualifizierter Attributsbescheinigungen vorgelegt werden, sollten entweder direkt vom qualifizierten Vertrauensdiensteanbieter oder über benannte Vermittler, die auf nationaler Ebene nach nationalem Recht oder Unionsrecht für den sicheren Austausch bescheinigter Attribute zwischen Diensteanbietern von Identitäten oder Attributsbescheinigungen und vertrauenden Beteiligten anerkannt sind, anhand der authentischen Quellen überprüft werden. (31)Die sichere elektronische Identifizierung und die Bereitstellung von Attributsbescheinigungen sollten zusätzliche Flexibilität und Lösungen für den Finanzdienstleistungssektor bieten, um die Identifizierung von Kunden und den Austausch bestimmter Attribute zu ermöglichen, die erforderlich sind, um beispielsweise den Sorgfaltspflichten gegenüber Kunden gemäß der Verordnung zur Bekämpfung der Geldwäsche [Verweis nach Annahme des Vorschlags einfügen] zu genügen, sich aus den Rechtsvorschriften zum Anlegerschutz ergebende Eignungsanforderungen zu erfüllen oder um die Erfüllung der Erfordernisse einer starken Kundenauthentifizierung für die Kontoanmeldung und die Auslösung von Zahlungsvorgängen zu unterstützen. (32)Website-Authentifizierungsdienste geben den Nutzern die Sicherheit, dass hinter der Website eine echte und rechtmäßige Einrichtung steht. Diese Dienste tragen zur Vertrauensbildung bei der Abwicklung des elektronischen Geschäftsverkehrs bei, da die Nutzer einer authentifizierten Website vertrauen werden. Die Nutzung von Website-Authentifizierungsdiensten durch Websites erfolgt auf freiwilliger Basis. Damit jedoch die Website-Authentifizierung zu einem Mittel wird, mit dem das Vertrauen gestärkt wird, der Nutzer positivere Erfahrungen machen kann und das Wachstum im Binnenmarkt gefördert wird, werden in dieser Verordnung Mindestanforderungen an Sicherheit und Haftung für die Anbieter von Website-Authentifizierungsdiensten und ihre Dienste festgelegt. Zu diesem Zweck sollten Webbrowser die Interoperabilität mit qualifizierten Zertifikaten für die Website-Authentifizierung gemäß der Verordnung (EU) Nr. 910/2014 sicherstellen und diese unterstützen. Sie sollten qualifizierte Zertifikate für die Website-Authentifizierung erkennen und anzeigen, um ein hohes Sicherheitsniveau zu bieten, sodass Website-Eigentümer ihre Identität als Eigentümer einer Website belegen können und die Nutzer die Website-Eigentümer mit großer Gewissheit identifizieren können. Um die Nutzung qualifizierter Zertifikate weiter zu fördern, sollten die Behörden in den Mitgliedstaaten erwägen, diese für die Website-Authentifizierung auf ihren eigenen Websites zu verwenden. (33)Viele Mitgliedstaaten haben nationale Anforderungen für Dienste festgelegt, die eine sichere und vertrauenswürdige digitale Archivierung anbieten, um die langfristige Aufbewahrung elektronischer Dokumente und damit verbundene Vertrauensdienste zu ermöglichen. Im Interesse der Rechtssicherheit und des Vertrauens sollte ein Rechtsrahmen geschaffen werden, um die grenzübergreifende Anerkennung qualifizierter elektronischer Archivierungsdienste zu erleichtern. Dieser Rahmen könnte auch neue Marktchancen für Vertrauensdiensteanbieter in der Union eröffnen. (34)In qualifizierten elektronischen Vorgangsregistern werden Daten so aufgezeichnet, dass die Eindeutigkeit, Echtheit und richtige Abfolge der Dateneinträge fälschungssicher gewährleistet wird. Elektronische Vorgangsregister weisen einen Kombinationseffekt auf, da sie in Bezug auf die mit einem Zeitstempel versehenen Daten gleichzeitig, ähnlich wie bei der elektronischen Signatur, auch Gewissheit über den Urheber der Daten geben, und ermöglichen zudem dezentralere Governance-Modelle, die für die Zusammenarbeit mehrerer Beteiligter geeignet sind. So werden damit beispielsweise ein zuverlässiger Audit-Trail für die Herkunft von Waren im grenzüberschreitenden Handel geschaffen, der Schutz der Rechte des geistigen Eigentums unterstützt, Flexibilitätsmärkte für Strom ermöglicht, die Grundlage für fortgeschrittene Lösungen für eine selbst-souveräne Identität geschaffen und effizientere und transformative öffentliche Dienstleistungen unterstützt. Um eine Fragmentierung des Binnenmarkts zu verhindern, ist es wichtig, einen gesamteuropäischen Rechtsrahmen zu schaffen, der die grenzübergreifende Anerkennung von Vertrauensdiensten für die Aufzeichnung von Daten in elektronischen Vorgangsregistern ermöglicht. (35)Die Zertifizierung als qualifizierter Vertrauensdiensteanbieter sollte Rechtssicherheit für Anwendungsfälle bieten, die sich auf elektronische Vorgangsregister stützen. Diese Vertrauensdienste für elektronische Vorgangsregister und für qualifizierte elektronische Vorgangsregister und die Zertifizierung als qualifizierter Vertrauensdiensteanbieter für elektronische Vorgangsregister sollten das Erfordernis unberührt lassen, dass bei allen Anwendungsfällen das Unionsrecht oder nationale Rechtsvorschriften im Einklang mit dem Unionsrecht einzuhalten sind. Anwendungsfälle bei denen personenbezogene Daten verarbeitet werden, müssen zudem die Anforderungen der Verordnung (EU) 2016/679 erfüllen. Anwendungsfälle, die Kryptowerte betreffen, sollten mit allen geltenden Finanzvorschriften vereinbar sein, z. B. mit der Richtlinie über Märkte für Finanzinstrumente, der Zahlungsdiensterichtlinie und der künftigen Verordnung über Märkte für Kryptowerte. (36)Zur Vermeidung von Fragmentierungen und Hindernissen infolge unterschiedlicher Normen und technischer Beschränkungen und zur Wahrung eines koordinierten Vorgehens, mit dem verhindert wird, dass die Umsetzung des künftigen Rahmens für die europäische digitale Identität gefährdet wird, bedarf es eines Prozesses für eine enge und strukturierte Zusammenarbeit zwischen der Kommission, den Mitgliedstaaten und dem Privatsektor. Um dies zu erreichen, sollten die Mitgliedstaaten innerhalb des in der Empfehlung XXX/XXXX der Kommission [Instrumentarium für ein koordiniertes Herangehen an einen Rahmen für die europäische digitale Identität] festgelegten Rahmens zusammenarbeiten, um ein Instrumentarium für einen Rahmen für die europäische digitale Identität festzulegen. Das Instrumentarium sollte eine umfassende technische Architektur und einen umfassenden Bezugsrahmen beinhalten sowie eine Reihe gemeinsamer Normen und technischer Bezugsgrößen sowie Leitlinien und Beschreibungen bewährter Verfahren, die mindestens alle Aspekte der Funktionen und der Interoperabilität der EUid-Brieftaschen, einschließlich elektronischer Signaturen, und des qualifizierten Vertrauensdienstes zur Bescheinigung von Attributen gemäß dieser Verordnung abdecken. In diesem Zusammenhang sollten sich die Mitgliedstaaten auch auf gemeinsame Elemente eines Geschäftsmodells und eine Entgeltstruktur für die EUid-Brieftaschen einigen, um die Verbreitung insbesondere bei kleinen und mittleren Unternehmen in einem grenzübergreifenden Kontext zu fördern. Der Inhalt des Instrumentariums sollte parallel zu den Ergebnissen der Diskussion und des Gesetzgebungsverfahrens zur Annahme des Rahmens für die europäische digitale Identität weiterentwickelt werden und deren Ergebnisse widerspiegeln. (37)Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1525 des Europäischen Parlaments und des Rates angehört. (38)Die Verordnung (EU) 910/2014 sollte daher entsprechend geändert werden — HABEN FOLGENDE VERORDNUNG ERLASSEN: Artikel 1 Die Verordnung (EU) Nr. 910/2014 wird wie folgt geändert: (1)Artikel 1 erhält folgende Fassung:

„Diese Verordnung dient dem ordnungsgemäßen Funktionieren des Binnenmarkts und der Gewährleistung eines angemessenen Sicherheitsniveaus bei elektronischen Identifizierungsmitteln und bei Vertrauensdiensten. Dazu wird in dieser Verordnung Folgendes festgelegt: a)die Bedingungen, unter denen die Mitgliedstaaten elektronische Identifizierungsmittel für natürliche und juristische Personen, die einem notifizierten elektronischen Identifizierungssystem eines anderen Mitgliedstaats unterliegen, bereitstellen und anerkennen; b)Vorschriften für Vertrauensdienste und insbesondere für elektronische Transaktionen; c)ein Rechtsrahmen für elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel, elektronische Dokumente, Dienste für die Zustellung elektronischer Einschreiben, Zertifizierungsdienste für die Website-Authentifizierung, die elektronische Archivierung und die elektronische Bescheinigung von Attributen, die Verwaltung elektronischer Fernsignatur- und ‑siegelerstellungseinheiten und elektronische Vorgangsregister; d)die Bedingungen für die Ausstellung von Brieftaschen für die europäische digitale Identität (EUid-Brieftaschen) durch die Mitgliedstaaten.“ (2)Artikel 2 wird wie folgt geändert: a)Absatz 1 erhält folgende Fassung: „(1) Diese Verordnung gilt für von den Mitgliedstaaten notifizierte elektronische Identifizierungssysteme, für von den Mitgliedstaaten ausgestellte EUid-Brieftaschen und für in der Union niedergelassene Vertrauensdiensteanbieter.“ b)Absatz 3 erhält folgende Fassung: „(3) Diese Verordnung berührt nicht das nationale Recht oder das Unionsrecht in Bezug auf den Abschluss und die Gültigkeit von Verträgen oder andere rechtliche oder verfahrensmäßige Vorgaben bezüglich sektorspezifischer Formvorschriften und die damit verbundenen Rechtsfolgen.“ (3)Artikel 3 wird wie folgt geändert: a)Nummer 2 erhält folgende Fassung: „2. ,Elektronisches Identifizierungsmittel‘ ist eine materielle und/oder immaterielle Einheit, einschließlich EUid-Brieftaschen oder Personalausweiskarten gemäß der Verordnung (EU) 2019/1157, die Personenidentifizierungsdaten enthält und zur Authentifizierung bei Online- oder Offline-Diensten verwendet wird.“ b)Nummer 4 erhält folgende Fassung: „4. ,Elektronisches Identifizierungssystem‘ ist ein System für die elektronische Identifizierung, in dessen Rahmen natürlichen oder juristischen Personen oder natürlichen Personen, die juristische Personen vertreten, elektronische Identifizierungsmittel ausgestellt werden.“ c)Nummer 14 erhält folgende Fassung: „14. ,Zertifikat für elektronische Signaturen‘ ist eine elektronische Bescheinigung oder ein Satz elektronischer Bescheinigungen, die bzw. der elektronische Signaturvalidierungsdaten mit einer natürlichen Person verknüpft und mindestens den Namen oder das Pseudonym dieser Person bestätigt.“ d)Nummer 16 erhält folgende Fassung: „16. ,Vertrauensdienst‘ ist ein elektronischer Dienst, der in der Regel gegen Entgelt erbracht wird und aus Folgendem besteht: a)Erstellung, Überprüfung und Validierung von elektronischen Signaturen, elektronischen Siegeln oder elektronischen Zeitstempeln, von Diensten für die Zustellung elektronischer Einschreiben, elektronischen Attributsbescheinigungen sowie von diese Dienste betreffenden Zertifikaten;

b)Erstellung, Überprüfung und Validierung von Zertifikaten für die Website-Authentifizierung; c)Bewahrung von diese Dienste betreffenden elektronischen Signaturen, Siegeln oder Zertifikaten; d)elektronische Archivierung elektronischer Dokumente; e)Verwaltung elektronischer Fernsignatur- und ‑siegelerstellungseinheiten; f)Aufzeichnung elektronischer Daten in einem elektronischen Vorgangsregister.“ e)Nummer 21 erhält folgende Fassung: „21. ,Produkt‘ bezeichnet Hardware, Software oder spezifische Komponenten von Hard- und/oder Software, die zur Erbringung von elektronischen Identifizierungsdiensten und Vertrauensdiensten bestimmt sind.“ f)Folgende Nummern 23a und 23b werden eingefügt: „23a. ,Qualifizierte Fernsignaturerstellungseinheit‘ ist eine qualifizierte elektronische Signaturerstellungseinheit, bei der ein qualifizierter Vertrauensdiensteanbieter die elektronischen Signaturerstellungsdaten im Namen eines Unterzeichners erzeugt, verwaltet oder vervielfältigt. 23b. ,Qualifizierte Fernsiegelerstellungseinheit‘ ist eine qualifizierte elektronische Siegelerstellungseinheit, bei der ein qualifizierter Vertrauensdiensteanbieter die elektronischen Siegelerstellungsdaten im Namen eines Siegelerstellers erzeugt, verwaltet oder vervielfältigt.“ g)Nummer 29 erhält folgende Fassung: „29. ,Zertifikat für elektronische Siegel‘ ist eine elektronische Bescheinigung oder ein Satz elektronischer Bescheinigungen, die bzw. der elektronische Siegelvalidierungsdaten mit einer juristischen Person verknüpft und den Namen dieser Person bestätigt.“ h)Nummer 41 erhält folgende Fassung: „41. ,Validierung‘ ist der Prozess der Überprüfung und Bestätigung der Gültigkeit einer elektronischen Signatur oder eines elektronischen Siegels oder von Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen.“ i)Folgende Nummern 42 bis 55 werden angefügt: „42. ,EUid-Brieftasche‘ (Brieftasche für die europäische digitale Identität) ist ein Produkt und Dienst, das bzw. der es dem Nutzer ermöglicht, mit seiner Identität verknüpfte Identitätsdaten, Berechtigungsnachweise und Attribute zu speichern, vertrauenden Beteiligten auf Anfrage vorzuweisen und sich damit gemäß Artikel 6a online und offline bei einem Dienst zu authentifizieren sowie qualifizierte elektronische Signaturen und Siegel zu erstellen. 43. ,Attribut‘ ist ein Element, ein Merkmal oder eine Eigenschaft einer natürlichen oder juristischen Person oder einer Einrichtung und liegt in elektronischer Form vor. 44. ,Elektronische Attributsbescheinigung‘ ist eine in elektronischer Form vorliegende Bescheinigung, die die Authentifizierung von Attributen ermöglicht. 45. ,Qualifizierte elektronische Attributsbescheinigung‘ ist eine von einem qualifizierten Vertrauensdiensteanbieter ausgestellte elektronische Attributsbescheinigung, die die Anforderungen des Anhangs V erfüllt. 46. ,Authentische Quelle‘ ist ein Datenspeicher oder ein System, der bzw. das unter der Verantwortung einer öffentlichen Stelle oder privaten Einrichtung betrieben wird, Attribute zu einer natürlichen oder juristischen Person enthält und als primäre Quelle für diese Informationen gilt oder nach nationalem Recht als authentisch anerkannt wird.

47. ,Elektronische Archivierung‘ ist ein Dienst für die Entgegennahme, Speicherung, Löschung und Übermittlung elektronischer Daten oder Dokumente, der ihre Unversehrtheit, die Richtigkeit ihrer Herkunftsangaben und ihre rechtlichen Merkmale während des gesamten Aufbewahrungszeitraums gewährleistet. 48. ,Qualifizierter elektronischer Archivierungsdienst‘ ist ein Dienst, der die Anforderungen des Artikels 45g erfüllt. 49. ,EU-Vertrauenssiegel der EUid-Brieftasche‘ ist eine einfache, leicht erkennbare und eindeutige Angabe, dass eine EUid-Brieftasche gemäß dieser Verordnung ausgestellt wurde. 50. ,Starke Nutzerauthentifizierung‘ ist eine Authentifizierung unter Heranziehung von mindestens zwei Elementen der Kategorien Wissen, Besitz und körperliche Eigenschaften des Nutzers, die insofern voneinander unabhängig sind, als die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht in Frage stellt, und die so konzipiert ist, dass die Vertraulichkeit der Authentifizierungsdaten geschützt ist. 51. ,Nutzerkonto‘ ist ein Mechanismus, der einem Nutzer den Zugang zu öffentlichen oder privaten Diensten unter den vom Diensteanbieter festgelegten Geschäftsbedingungen ermöglicht. 52. ,Berechtigungsnachweis‘ ist der Nachweis der Fähigkeiten, Erfahrungen, Rechte oder Erlaubnisse einer Person. 53. ,Elektronisches Vorgangsregister‘ ist eine fälschungssichere Aufzeichnung elektronischer Daten, die die Echtheit und Unversehrtheit der enthaltenen Daten, die Richtigkeit ihres Datums und ihrer Uhrzeit sowie die Richtigkeit ihrer chronologischen Reihenfolge gewährleistet. 54. ,Personenbezogene Daten‘ sind alle Informationen im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) 2016/679. 55. ,Eindeutige Identifizierung‘ ist ein Verfahren, bei dem Personenidentifizierungsdaten oder Personenidentifizierungsmittel mit einem bestehenden Konto, das derselben Person gehört, abgeglichen oder verknüpft werden.“ (4)Artikel 5 erhält folgende Fassung: „Artikel 5 Pseudonyme bei elektronischen Transaktionen Unbeschadet der Rechtswirkungen, die Pseudonyme nach nationalem Recht haben, darf die Benutzung von Pseudonymen bei elektronischen Transaktionen nicht untersagt werden.“ (5)In Kapitel II erhält die Überschrift folgende Fassung: „ABSCHNITT I ELEKTRONISCHE IDENTIFIZIERUNG“. (6)Artikel 6 wird gestrichen. (7)Folgende Artikel 6a, 6b, 6c und 6d werden eingefügt: „Artikel 6a EUid-Brieftaschen

(1) Damit alle natürlichen und juristischen Personen in der Union einen sicheren, vertrauenswürdigen und nahtlosen Zugang zu grenzüberschreitenden öffentlichen und privaten Diensten erhalten, gibt jeder Mitgliedstaat innerhalb von 12 Monaten nach Inkrafttreten dieser Verordnung eine EUid-Brieftasche aus. (2) EUid-Brieftaschen werden ausgestellt: a)von einem Mitgliedstaat, b)im Auftrag eines Mitgliedstaats, c)unabhängig, aber von einem Mitgliedstaat anerkannt. (3) EUid-Brieftaschen müssen dem Nutzer Folgendes ermöglichen: a)das sichere, für den Nutzer transparente und nachvollziehbare Anfordern und Erhalten, Speichern, Auswählen, Kombinieren und Weitergeben der erforderlichen gesetzlichen Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen, um sich online und offline zur Nutzung öffentlicher und privater Online-Dienste zu authentifizieren; b)das Unterzeichnen mit qualifizierten elektronischen Signaturen. (4) EUid-Brieftaschen müssen insbesondere a)eine gemeinsame Schnittstelle aufweisen: 1)für qualifizierte und nichtqualifizierten Vertrauensdiensteanbieter, die qualifizierte und nichtqualifizierte elektronische Attributsbescheinigungen oder andere qualifizierte und nichtqualifizierte Zertifikate für die Ausstellung solcher Bescheinigungen und Zertifikate für die EUid-Brieftasche ausstellen; 2)für vertrauende Beteiligte, damit sie Personenidentifizierungsdaten und elektronische Attributsbescheinigungen anfordern und validieren können; 3)für das Vorweisen von Personenidentifizierungsdaten, elektronischen Attributsbescheinigungen oder anderen Daten wie Berechtigungsnachweisen bei vertrauenden Beteiligten, im lokalen Modus, in dem für die Brieftasche kein Internetzugang erforderlich ist; 4)für die Nutzer, um mit der EUid-Brieftasche zu interagieren und ein „EU-Vertrauenssiegel der EUid-Brieftasche“ anzuzeigen; b)gewährleisten, dass Vertrauensdiensteanbieter, die qualifizierte Attributsbescheinigungen ausstellen, keinerlei Informationen über die Verwendung dieser Attribute erhalten; c)die Anforderungen des Artikels 8 an das Sicherheitsniveau „hoch“ erfüllen, insbesondere bezüglich der Anforderungen an Identitätsnachweis und Identitätsüberprüfung und an die Verwaltung und Authentifizierung elektronischer Identifizierungsmittel; d)einen Mechanismus bereitstellen, damit vertrauende Beteiligte in der Lage sind, den Nutzer zu authentifizieren und elektronische Attributsbescheinigungen zu erhalten; e)gewährleisten, dass die in Artikel 12 Absatz 4 Buchstabe d genannten Personenidentifizierungsdaten eindeutig und dauerhaft die mit ihnen verknüpfte natürliche oder juristische Person repräsentieren. (5) Die Mitgliedstaaten stellen Validierungsmechanismen für die EUid-Brieftaschen bereit, a)damit deren Echtheit und Gültigkeit überprüft werden kann,

b)damit vertrauende Beteiligte die Gültigkeit der Attributsbescheinigungen überprüfen können, c)damit vertrauende Beteiligte und qualifizierte Vertrauensdiensteanbieter die Echtheit und Gültigkeit der betreffenden Personenidentifizierungsdaten überprüfen können. (6) EUid-Brieftaschen werden im Rahmen eines notifizierten elektronischen Identifizierungssystems mit dem Sicherheitsniveau „hoch“ ausgestellt. Die Verwendung der EUid-Brieftaschen ist für natürliche Personen kostenlos. (7) Der Nutzer hat die uneingeschränkte Kontrolle über die EUid-Brieftasche. Der Aussteller der EUid-Brieftasche sammelt weder Informationen über die Verwendung der Brieftasche, die für die Erbringung der damit verbundenen Dienste nicht erforderlich sind, noch kombiniert er Personenidentifizierungsdaten und andere gespeicherte oder im Zusammenhang mit der Verwendung der EUid-Brieftasche stehende personenbezogene Daten mit personenbezogenen Daten aus anderen vom Aussteller angebotenen Diensten oder aus Diensten Dritter, die für die Bereitstellung der Brieftaschendienste nicht erforderlich sind, es sei denn, der Nutzer hat dies ausdrücklich verlangt. Personenbezogene Daten in Bezug auf die Bereitstellung von EUid-Brieftaschen werden von allen anderen gespeicherten Daten physisch und logisch getrennt gehalten. Wird die EUid-Brieftasche von privaten Beteiligten gemäß Absatz 1 Buchstaben b und c bereitgestellt, so gelten sinngemäß die Bestimmungen in Artikel 45f Absatz 4. (8) Artikel 11 gilt sinngemäß für die EUid-Brieftasche. (9) Artikel 24 Absatz 2 Buchstaben b, e, g und h gilt sinngemäß für Mitgliedstaaten, die EUid-Brieftaschen ausstellen. (10) Die EUid-Brieftasche wird gemäß den Barrierefreiheitsanforderungen in Anhang I der Richtlinie (EU) 2019/882 für Menschen mit Behinderungen barrierefrei zugänglich gemacht. (11) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung legt die Kommission technische und betriebliche Spezifikationen und Bezugsnormen für die Anforderungen der Absätze 3, 4 und 5 im Wege eines Durchführungsrechtsakts zur Umsetzung der EUid-Brieftasche fest. Dieser Durchführungsrechtsakt wird gemäß dem in Artikel 48 Absatz 2 genannten Prüfverfahren erlassen. Artikel 6b Vertrauende Beteiligte der EUid-Brieftaschen (1) Vertrauende Beteiligte, die beabsichtigen, auf nach dieser Verordnung ausgestellte EUid-Brieftaschen zurückzugreifen, teilen dies dem Mitgliedstaat mit, in dem sie niedergelassen sind, um die Erfüllung der Anforderungen des Unionsrechts oder des nationalen Rechts an die Erbringung bestimmter Dienste zu gewährleisten. In der Mitteilung ihrer Absicht, auf EUid-Brieftaschen zurückzugreifen, machen sie auch Angaben über die beabsichtigte Verwendung der EUid-Brieftasche. (2) Die Mitgliedstaaten schaffen einen gemeinsamen Mechanismus für die Authentifizierung vertrauender Beteiligter. (3) Die vertrauenden Beteiligten sind für die Durchführung des Verfahrens zur Authentifizierung von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen aus EUid-Brieftaschen verantwortlich. (4) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung legt die Kommission technische und betriebliche Spezifikationen für die Anforderungen der Absätze 1 und 2 im Wege eines Durchführungsrechtsakts zur Umsetzung der EUid-Brieftasche gemäß Artikel 6a Absatz 10 fest. Artikel 6c Zertifizierung der EUid-Brieftaschen (1) Bei EUid-Brieftaschen, die im Rahmen eines Cybersicherheitssystems gemäß der Verordnung (EU) 2019/881 zertifiziert worden sind oder für die in diesem Rahmen eine Konformitätserklärung ausgestellt wurde und deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, wird die Erfüllung der einschlägigen Cybersicherheitsanforderungen gemäß Artikel 6a Absätze 3, 4 und 5 vermutet, sofern das Cybersicherheitszertifikat oder die Konformitätserklärung oder Teile davon diese Anforderungen abdecken. (2) Die Erfüllung der Anforderungen des Artikels 6a Absätze 3, 4 und 5 in Bezug auf die Verarbeitung personenbezogener Daten durch den Aussteller der EUid-Brieftasche wird gemäß der Verordnung (EU) 2016/679 zertifiziert. (3) Die Übereinstimmung der EUid-Brieftaschen mit den Anforderungen des Artikels 6a Absätze 3, 4 und 5 wird von akkreditierten öffentlichen oder privaten Stellen zertifiziert, die von den Mitgliedstaaten benannt werden. (4) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung erstellt die Kommission im Wege von Durchführungsrechtsakten eine Liste der Normen für die Zertifizierung der in Absatz 3 genannten EUid-Brieftaschen.

(5) Die Mitgliedstaaten teilen der Kommission die Namen und Anschriften der in Absatz 3 genannten öffentlichen oder privaten Stellen mit. Die Kommission stellt diese Informationen den Mitgliedstaaten zur Verfügung. (6) Der Kommission wird die Befugnis übertragen, gemäß Artikel 47 delegierte Rechtsakte zur Festlegung besonderer Kriterien, die von den in Absatz 3 aufgeführten benannten Stellen zu erfüllen sind, zu erlassen. Artikel 6d Veröffentlichung einer Liste der zertifizierten EUid-Brieftaschen (1) Die Mitgliedstaaten melden der Kommission unverzüglich die EUid-Brieftaschen, die gemäß Artikel 6a ausgestellt und von den in Artikel 6c Absatz 3 genannten Stellen zertifiziert worden sind. Sie melden der Kommission ferner unverzüglich jede Annullierung der Zertifizierung. (2) Auf der Grundlage der erhaltenen Informationen sorgt die Kommission für die Aufstellung, Veröffentlichung und Führung einer Liste der zertifizierten EUid-Brieftaschen. (3) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung legt die Kommission Form und Verfahren für die Zwecke des Absatzes 1 im Wege eines Durchführungsrechtsakts zur Umsetzung der EUid-Brieftasche gemäß Artikel 6a Absatz 10 fest.“ (8)Vor Artikel 7 wird folgende Überschrift eingefügt: „ABSCHNITT II ELEKTRONISCHE IDENTIFIZIERUNGSSYSTEME“. (9)Der Eingangssatz des Artikels 7 erhält folgende Fassung: „Innerhalb von 12 Monaten nach Inkrafttreten dieser Verordnung notifizieren die Mitgliedstaaten gemäß Artikel 9 Absatz 1 mindestens ein elektronisches Identifizierungssystem mit mindestens einem elektronischen Identifizierungsmittel, das folgende Bedingungen erfüllt:“ (10)In Artikel 9 erhalten die Absätze 2 und 3 folgende Fassung: „(2) Die Kommission veröffentlicht im Amtsblatt der Europäischen Union eine Liste der gemäß Absatz 1 dieses Artikels notifizierten elektronischen Identifizierungssysteme und die grundlegenden Informationen darüber. (3) Die Kommission veröffentlicht im Amtsblatt der Europäischen Union die Änderungen an der in Absatz 2 genannten Liste innerhalb eines Monats ab dem Tag des Eingangs der Notifizierung des Mitgliedstaats.“ (11)Folgender Artikel 10a wird eingefügt: „Artikel 10a Sicherheitsverletzung bei EUid-Brieftaschen (1) Im Falle einer Verletzung oder partiellen Beeinträchtigung der nach Artikel 6a ausgestellten EUid-Brieftaschen oder der in Artikel 6a Absatz 5 Buchstaben a, b und c genannten Validierungsmechanismen in einer Weise, die sich auf ihre Verlässlichkeit oder die Verlässlichkeit der anderen EUid-Brieftaschen auswirkt, setzt der ausstellende Mitgliedstaat unverzüglich die Ausstellung der EUid-Brieftaschen aus und widerruft ihre Gültigkeit und unterrichtet hiervon unverzüglich die anderen Mitgliedstaaten und die Kommission. (2) Wurde hinsichtlich der in Absatz 1 genannten Verletzung oder Beeinträchtigung Abhilfe geschaffen, so nimmt der ausstellende Mitgliedstaat die Ausstellung und Verwendung der EUid-Brieftasche wieder auf und unterrichtet hiervon unverzüglich die anderen Mitgliedstaaten und die Kommission.

(3) Wird hinsichtlich der in Absatz 1 genannten Verletzung oder Beeinträchtigung nicht innerhalb von drei Monaten nach der Aussetzung oder dem Widerruf Abhilfe geschaffen, so nimmt der ausstellende Mitgliedstaat die EUid-Brieftasche zurück und unterrichtet hiervon unverzüglich die anderen Mitgliedstaaten und die Kommission. Falls dies durch die Schwere der Verletzung gerechtfertigt ist, wird die betreffende EUid-Brieftasche unverzüglich zurückgenommen. (4) Die Kommission veröffentlicht die entsprechenden Änderungen an der in Artikel 6d genannten Liste unverzüglich im Amtsblatt der Europäischen Union. (5) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung präzisiert die Kommission die in den Absätzen 1 und 3 genannten Maßnahmen im Wege eines Durchführungsrechtsakts zur Umsetzung der EUid-Brieftasche gemäß Artikel 6a Absatz 10.“ (12)Folgender Artikel 11a wird eingefügt: „Artikel 11a Eindeutige Identifizierung (1) Werden notifizierte elektronische Identifizierungsmittel und EUid-Brieftaschen zur Authentifizierung verwendet, so gewährleisten die Mitgliedstaaten eine eindeutige Identifizierung. (2) Die Mitgliedstaaten nehmen in den in Artikel 12 Absatz 4 Buchstabe d genannten Mindestsatz von Personenidentifizierungsdaten im Einklang mit dem Unionsrecht für die Zwecke dieser Verordnung eine eindeutige und dauerhafte Kennung auf, damit der Nutzer auf dessen Verlangen identifiziert werden kann, falls die Identifizierung des Nutzers gesetzlich vorgeschrieben ist. (3) Innerhalb von 6 Monaten nach Inkrafttreten dieser Verordnung präzisiert die Kommission die in den Absätzen 1 und 2 genannten Maßnahmen im Wege eines Durchführungsrechtsakts zur Umsetzung der EUid-Brieftasche gemäß Artikel 6a Absatz 10.“ (13)Artikel 12 wird wie folgt geändert: a)In Absatz 3 werden die Buchstaben c und d gestrichen. b)Absatz 4 Buchstabe d erhält folgende Fassung: „d) einer Bezugnahme auf einen Mindestsatz von Personenidentifizierungsdaten, die erforderlich sind, um eine natürliche oder juristische Person eindeutig und dauerhaft zu repräsentieren;“ c)Absatz 6 Buchstabe a erhält folgende Fassung: „a) Austausch von Informationen, Erfahrungen und bewährten Verfahren in Bezug auf elektronische Identifizierungssysteme und insbesondere in Bezug auf technische Anforderungen an Interoperabilität, eindeutige Identifizierung und Sicherheitsniveaus;“ (14)Folgender Artikel 12a wird eingefügt: „Artikel 12a Zertifizierung elektronischer Identifizierungssysteme (1) Die Übereinstimmung der notifizierten elektronischen Identifizierungssysteme mit den Anforderungen der Artikel 6a, 8 und 10 kann von öffentlichen oder privaten Stellen zertifiziert werden, die von den Mitgliedstaaten benannt werden. (2) Die gegenseitige Begutachtung elektronischer Identifizierungssysteme gemäß Artikel 12 Absatz 6 Buchstabe c erfolgt nicht bei elektronischen Identifizierungssystemen oder Teilen davon, die gemäß Absatz 1 zertifiziert wurden. Die Mitgliedstaa