CELEX ID: 32024R1183

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2024/1183
30.4.2024
REGULATION (EU) 2024/1183 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 11 April 2024
amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Having regard to the opinion of the Committee of the Regions 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
The Commission Communication of 19 February 2020 entitled ‘Shaping Europe’s Digital Future’ announces a revision of Regulation (EU) No 910/2014 of the European Parliament and of the Council 
(
4
)
 to improve its effectiveness, extend its benefits to the private sector and promote trusted digital identities for all Europeans.
(2)
In its conclusions of 1-2 October 2020, the European Council called on the Commission to propose the development of a Union-wide framework for secure public electronic identification, including interoperable digital signatures, to provide people with control over their online identity and data as well as to enable access to public, private and cross-border digital services.
(3)
The Digital Decade Policy Programme 2030, established by Decision (EU) 2022/2481 of the European Parliament and of the Council 
(
5
)
, sets the objectives and digital targets of a Union framework which, by 2030, are intended to lead to wide deployment of a trusted, voluntary, user-controlled digital identity that is recognised throughout the Union and allows every user to control their data in online interactions.
(4)
The ‘European Declaration on Digital Rights and Principles for the Digital Decade’ proclaimed by the European Parliament, the Council and the Commission 
(
6
)
 (the ‘Declaration’), underlines everyone’s right to access digital technologies, products and services that are safe, secure, and privacy-protective by design. This includes ensuring that all people living in the Union are offered an accessible, secure and trusted digital identity that enables access to a broad range of online and offline services, protected against cybersecurity risks and cybercrime including data breaches and identity theft or manipulation. The Declaration also states that everyone has the right to the protection of their personal data. That right encompasses the control on how the data is used and with whom it is shared.
(5)
Union citizens and residents in the Union should have the right to a digital identity that is under their sole control and that enables them to exercise their rights in the digital environment and to participate in the digital economy. To achieve that aim, a European digital identity framework should be established allowing Union citizens and residents in the Union to access public and private online and offline services throughout the Union.
(6)
A harmonised digital identity framework should contribute to the creation of a more digitally integrated Union by reducing digital barriers between Member States and by empowering Union citizens and residents in the Union to enjoy the benefits of digitalisation, while increasing transparency and the protection of their rights.
(7)
A more harmonised approach to electronic identification should reduce the risks and costs of the current fragmentation due to the use of divergent national solutions or, in some Member States, the absence of such electronic identification solutions. Such an approach should strengthen the internal market by allowing Union citizens, residents in the Union, as defined by national law, and businesses to identify themselves and to provide authentication of their identity online and offline in a safe, trustworthy, user-friendly, convenient, accessible and harmonised way, across the Union. The European Digital Identity Wallet should provide natural and legal persons across the Union with a harmonised electronic identification means enabling authentication and the sharing of data linked to their identity. Everyone should be able to access public and private services securely, relying on an improved ecosystem for trust services and on verified proofs of identity and electronic attestations of attributes, such as academic qualifications, including university degrees, or other educational or professional entitlements. The European Digital Identity Framework is intended to achieve a shift from the reliance on national digital identity solutions only, to the provision of electronic attestations of attributes valid and legally recognised across the Union. Providers of electronic attestations of attributes should benefit from a clear and uniform set of rules, while public administrations should be able to rely on electronic documents in a given format.
(8)
Several Member States have implemented and use electronic identification means that are accepted by service providers in the Union. Additionally, investments have been made in both national and cross-border solutions on the basis of Regulation (EU) No 910/2014, including the interoperability of notified electronic identification schemes pursuant to that Regulation. In order to ensure the complementarity and fast adoption of European Digital Identity Wallets by current users of notified electronic identification means and to minimise the impact on existing service providers, European Digital Identity Wallets are expected to benefit from building on the experience gained with existing electronic identification means and from the infrastructure of notified electronic identification schemes deployed at Union and national level.
(9)
Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
7
)
 and, where relevant, Directive 2002/58/EC of the European Parliament and of the Council 
(
8
)
 apply to all personal data processing activities under Regulation (EU) No 910/2014. The solutions under the interoperability framework provided in this Regulation also comply with those rules. Union data protection law provides for data protection principles, such as the data minimisation and purpose limitation principle and obligations, such as data protection by design and by default.
(10)
To support the competitiveness of Union businesses, both online and offline service providers should be able to rely on digital identity solutions recognised across the Union, irrespective of the Member State in which those solutions are provided, thus benefiting from a harmonised Union approach to trust, security and interoperability. Both users and service providers should be able to benefit from the same legal value provided to electronic attestations of attributes across the Union. A harmonised digital identity framework is intended to create economic value by providing easier access to goods and services and by significantly reducing operational costs linked to electronic identification and authentication procedures, for instance during the onboarding of new customers, by reducing the potential for cybercrime, such as identity theft, data theft and online fraud, thus promoting efficiency gains and the secure digital transformation of the Union’s micro, small and medium-sized enterprises (SMEs).
(11)
European Digital Identity Wallets should facilitate the application of the ‘once only’ principle, thus reducing the administrative burden on and supporting cross-border mobility of Union citizens and residents in the Union and businesses across the Union and fostering the development of interoperable e-government services across the Union.
(12)
Regulation (EU) 2016/679, Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
9
)
 and Directive 2002/58/EC apply to the processing of personal data in the implementation of this Regulation. Therefore, this Regulation should lay down specific safeguards to prevent providers of electronic identification means and electronic attestation of attributes from combining personal data obtained when providing other services with the personal data processed to provide the services falling within the scope of this Regulation. Personal data related to the provision of European Digital Identity Wallets should be kept logically separate from any other data held by the provider of the European Digital Identity Wallet. This Regulation should not prevent providers of European Digital Identity Wallets from applying additional technical measures that contribute to the protection of personal data, such as physical separation of personal data related to the provision of European Digital Identity Wallets from any other data held by the provider. Without prejudice to Regulation (EU) 2016/679, this Regulation further specifies the application of principles of purpose limitation, data minimisation, and data protection by design and by default.
(13)
European Digital Identity Wallets should have the function of a common dashboard embedded into the design, in order to ensure a higher degree of transparency, privacy and control of the users over their personal data. That function should provide an easy, user-friendly interface with an overview of all relying parties with whom the user shares data, including attributes, and the type of data shared with each relying party. It should allow users to track all transactions executed through the European Digital Identity Wallet with at least the following data: the time and date of the transaction, the counterpart identification, the personal data requested and the data shared. That information should be stored even if the transaction was not concluded. It should not be possible to repudiate the authenticity of the information contained in the transaction history. Such a function should be active by default. It should allow users easily to request the immediate erasure by a relying party of personal data pursuant Article 17 of Regulation (EU) 2016/679 and easily to report the relying party to the competent national data protection authority where an allegedly unlawful or suspicious request for personal data is received, directly via the European Digital Identity Wallet.
(14)
Member States should integrate different privacy-preserving technologies, such as zero knowledge proof, into the European Digital Identity Wallet. Those cryptographic methods should allow a relying party to validate whether a given statement based on the person’s identification data and attestation of attributes is true, without revealing any data on which that statement is based, thereby preserving the privacy of the user.
(15)
This Regulation sets out the harmonised conditions for the establishment of a framework for European Digital Identity Wallets to be provided by Member States. All Union citizens, and residents in the Union as defined by national law, should be empowered to securely request, select, combine, store, delete, share and present data related to their identity and request the erasure of their personal data in a user-friendly and convenient way, under the sole control of the user, while enabling selective disclosure of personal data. This Regulation reflects shared European values and respects fundamental rights, legal safeguards and liability, thus protecting democratic societies, Union citizens and residents in the Union. Technologies used to achieve those objectives should be developed aiming towards the highest level of security, privacy, user convenience, accessibility, wide usability and seamless interoperability. Member States should ensure equal access to electronic identification to all their citizens and residents. Member States should not, directly or indirectly, limit access to public or private services to natural or legal persons not opting to use European Digital Identity Wallets and should make available appropriate alternative solutions.
(16)
Member States should rely on the possibilities offered by this Regulation to provide, under their responsibility, European Digital Identity Wallets for use by the natural and legal persons residing on their territory. To offer Member States flexibility and leverage the state-of-the-art technology, this Regulation should enable provision of European Digital Identity Wallets directly by a Member State, under a mandate from a Member State, or independently of a Member State, but recognised by that Member State.
(17)
For the purposes of registration, relying parties should provide the information necessary to allow for their electronic identification and authentication towards European Digital Identity Wallets. When declaring their intended use of the European Digital Identity Wallet, relying parties should provide information regarding the data that they will request, if any, in order to provide their services and the reason for the request. Relying party registration facilitates the verification by Member States with regard to the lawfulness of the activities of the relying parties in accordance with Union law. The obligation to register provided for in this Regulation should be without prejudice to obligations laid down in other Union or national law, such as the information to be provided to the data subjects pursuant to the Regulation (EU) 2016/679. Relying parties should comply with the safeguards offered by Articles 35 and 36 of that Regulation, in particular by performing data protection impact assessments and by consulting the competent data protection authorities prior to data processing where data protection impact assessments indicate that the processing would result in a high risk. Such safeguards should support the lawful processing of personal data by relying parties, in particular with regard to special categories of data, such as health data. The registration of relying parties is intended to enhance transparency and trust in the use of European Digital Identity Wallets. Registration should be cost-effective and proportionate to the related risks in order to ensure uptake by service providers. In that context, registration should provide for the use of automated procedures, including the reliance on and the use of existing registers by Member States, and should not entail a pre-authorisation process. The registration process should enable a variety of use-cases that can differ in terms of mode of operation, whether online or in offline mode, or in terms of the requirement to authenticate devices for the purposes of interfacing with the European Digital Identity Wallet. Registration should apply exclusively to relying parties providing services by means of digital interaction.
(18)
Safeguarding Union citizens and residents in the Union against the unauthorised or fraudulent use of European Digital Identity Wallets is of high importance for ensuring trust in and for the wide uptake of European Digital Identity Wallets. Users should be provided with effective protection against such misuse. In particular, when facts that form the basis for fraudulent or otherwise illegal use of a European Digital Identity Wallet are established by a national judicial authority in the context of another procedure, supervisory bodies that are responsible for European Digital Identity Wallet issuers should, upon notification, take the necessary measures to ensure that the registration of the relying party and the inclusion of relying parties in the authentication mechanism are withdrawn or suspended until the notifying authority confirms that the irregularities identified have been remedied.
(19)
All European Digital Identity Wallets should enable users to electronically identify themselves and authenticate online and in offline mode across borders to access a wide range of public and private services. Without prejudice to Member States’ prerogatives as regards the identification of their citizens and residents, European Digital Identity Wallets can also serve the institutional needs of public administrations, international organisations and the Union’s institutions, bodies, offices and agencies. Authentication in offline mode would be important in many sectors, including in the health sector where services are often provided through face-to-face interaction and ePrescriptions should be able to rely on QR-codes or similar technologies to verify authenticity. Relying on the assurance level high with regard to electronic identification schemes European Digital Identity Wallets should benefit from the potential offered by tamper-proof solutions such as secure elements, to comply with the security requirements under this Regulation. European Digital Identity Wallets should also allow users to create and use qualified electronic signatures and seals which are accepted across the Union. Once on-boarded to a European Digital Identity Wallet, natural persons should be able to use it to sign with qualified electronic signatures, by default and free of charge, without having to go through any additional administrative procedures. Users should be able to sign or seal self-claimed assertions or attributes.To achieve simplification and cost-reduction benefits for persons and businesses across the Union, including by enabling powers of representation and e-mandates, Member States should provide European Digital Identity Wallets that rely on common standards and technical specifications to ensure seamless interoperability and to adequately increase IT security, strengthen robustness against cyber-attacks and thus significantly reduce the potential risks of ongoing digitalisation for Union citizens, residents in the Union and undertakings. Only Member States’ competent authorities can provide a high level of confidence in establishing the identity of a person and therefore provide assurance that the person claiming or asserting a particular identity is in fact the person he or she claims to be. It is therefore necessary for the provision of European Digital Identity Wallets to rely on the legal identity of Union citizens, residents in the Union or legal persons. Reliance on the legal identity should not hinder European Digital Identity Wallet users to access services under a pseudonym, where there is no legal requirement for legal identity for authentication. Trust in European Digital Identity Wallets would be enhanced if issuing and managing parties are required to implement appropriate technical and organisational measures to ensure the highest level of security that is commensurate to the risks raised for the rights and freedoms of the natural persons, in accordance with Regulation (EU) 2016/679.
(20)
The use of a qualified electronic signature should be free of charge to all natural persons for non-professional purposes. It should be possible for Member States to provide for measures to prevent the use of qualified electronic signatures for professional purposes by natural persons free-of-charge, while ensuring that any such measures are proportionate to identified risks and are justified.
(21)
It is beneficial to facilitate the uptake and use of European Digital Identity Wallets by seamlessly integrating them with the ecosystem of public and private digital services already implemented at national, local or regional level. To achieve that goal, it should be possible for Member States to provide for legal and organisational measures in order to increase flexibility for providers of European Digital Identity Wallets and to allow for additional functionalities of European Digital Identity Wallets to those provided for in this Regulation, including by enhanced interoperability with existing national electronic identification means. Such additional functionalities should by no means be to the detriment of providing core functions of European Digital Identity Wallets provided for in this Regulation or promote existing national solutions over European Digital Identity Wallets. Since they go beyond this Regulation, such additional functionalities do not benefit from the provisions on cross-border reliance on European Digital Identity Wallets set out in this Regulation.
(22)
European Digital Identity Wallets should include a functionality to generate user-chosen and managed pseudonyms, to authenticate when accessing online services.
(23)
In order to achieve a high level of security and trustworthiness, this Regulation establishes the requirements for European Digital Identity Wallets. The conformity of European Digital Identity Wallets with those requirements should be certified by accredited conformity assessment bodies designated by Member States.
(24)
In order to avoid divergent approaches and harmonise the implementation of the requirements laid down by this Regulation, the Commission should, for the purpose of certifying European Digital Identity Wallets, adopt implementing acts to establish a list of reference standards and, where necessary, to establish specifications and procedures for the purpose of expressing detailed technical specifications of those requirements. To the extent that the certification of the conformity of European Digital Identity Wallets with relevant cybersecurity requirements is not covered by existing cybersecurity certification schemes that are referred to in this Regulation, and as regards non-cybersecurity requirements relevant to European Digital Identity Wallets, Member States should establish national certification schemes pursuant to the harmonised requirements set out in and adopted pursuant to this Regulation. Member States should transmit their draft national certification schemes to the European Digital Identity Cooperation Group, which should be able to issue opinions and recommendations.
(25)
Certification of conformity with the cybersecurity requirements established in this Regulation should, where available, rely on the relevant European cybersecurity certifications schemes established pursuant to Regulation (EU) 2019/881 of the European Parliament and of the Council 
(
10
)
, which establishes a voluntary European cybersecurity certification framework for ICT products, processes and services.
(26)
In order to continuously assess and mitigate risks linked to security, certified European Digital Identity Wallets should be subject to regular vulnerability assessments aiming to detect any vulnerability in the certified product-related components, certified process-related components and certified service-related components of the European Digital Identity Wallet.
(27)
By protecting users and companies from cybersecurity risks, the essential cybersecurity requirements laid down in this Regulation also contribute to enhancing the protection of personal data and privacy of individuals. Synergies on both standardisation and certification on cybersecurity aspects should be considered through the cooperation between the Commission, the European Standardisation Organizations, the European Union Agency for Cybersecurity (ENISA), the European Data Protection Board established by Regulation (EU) 2016/679 and the national data protection supervisory authorities.
(28)
The onboarding of Union citizens and residents in the Union to the European Digital Identity Wallet should be facilitated by relying on electronic identification means issued at assurance level high. Electronic identification means issued at assurance level substantial should be relied upon only where harmonised technical specifications and procedures using electronic identification means issued at assurance level substantial in combination with supplementary means of identity verification will allow the fulfilment of the requirements set out in this Regulation as regards assurance level high. Such supplementary means should be reliable and easy to use and could be built on the possibility to use remote onboarding procedures, qualified certificates supported by qualified electronic signatures, qualified electronic attestation of attributes or a combination thereof. To ensure sufficient uptake of European Digital Identity Wallets, harmonised technical specifications and procedures for the onboarding of users by using electronic identification means, including those issued at assurance level substantial, should be set out in implementing acts.
(29)
The objective of this Regulation is to provide the user with a fully mobile, secure and user-friendly European Digital Identity Wallet. As a transitional measure until the availability of certified tamper-proof solutions, such as secure elements within the users’ devices, European Digital Identity Wallets should be able to rely upon certified external secure elements for the protection of the cryptographic material and other sensitive data or upon notified electronic identification means at assurance level high in order to demonstrate compliance with the relevant requirements of this Regulation as regards the assurance level of the European Digital Identity Wallet. This Regulation should be without prejudice to national conditions with regard to the issuance and use of a certified external secure element where the transitional measure is dependent on it.
(30)
European Digital Identity Wallets should ensure the highest level of data protection and security for the purposes of electronic identification and authentication to facilitate access to public and private services, irrespective of whether such data is stored locally or on cloud-based solutions, taking due account of the different levels of risk.
(31)
European Digital Identity Wallets should be secure-by-design and should implement advanced security features to protect against identity and other data theft, denial of service and any other cyber threat. Such security should include state-of-the-art encryption and storage methods that are accessible only to, and decryptable only by, the user and that rely on end-to-end encrypted communication with other European Digital Identity Wallets and relying parties. Additionally, European Digital Identity Wallets should require secure, explicit and active user confirmation for the operations performed via European Digital Identity Wallets.
(32)
The use, free of charge, of European Digital Identity Wallets should not result in the processing of data beyond data that is necessary for the provision of European Digital Identity Wallet services. This Regulation should not allow the processing of personal data stored in or resulting from the use of the European Digital Identity Wallet by the provider of the European Digital Identity Wallet for purposes other than the provision of European Digital Identity Wallet services. To ensure privacy, European Digital Identity Wallet providers should ensure unobservability by not collecting data and not having insight into the transactions of the users of the European Digital Identity Wallet. Such unobservability means that the providers are not able to see the details of the transactions made by the user. However, in specific cases, on the basis of explicit prior consent by the user in each of those specific cases, and fully in accordance with Regulation (EU) 2016/679, providers of European Digital Identity Wallets could be granted access to the information necessary for the provision of a particular service related to European Digital Identity Wallets.
(33)
The transparency of European Digital Identity Wallets and the accountability of their providers are key elements to creating social trust and trigger acceptance of the framework. The functioning of European Digital Identity Wallets should therefore be transparent and, in particular, allow for verifiable processing of personal data. To achieve this, Member States should disclose the source code of the user application software components of European Digital Identity Wallets, including those that are related to processing of personal data and data of legal persons. The publication of this source code under an open-source licence should enable society, including users and developers, to understand its operation, audit and review the code. This would increase users’ trust in the ecosystem and contribute to the security of European Digital Identity Wallets by enabling anyone to report vulnerabilities and errors in the code. Overall, this should provide suppliers with an incentive to deliver and maintain a highly secure product. However, in certain cases, the disclosure of the source code for the libraries used, communication channel or other elements that are not hosted on the user device, could be limited by Member States, for duly justified reasons, especially for the purpose of public security.
(34)
The use of European Digital Identity Wallets as well as the discontinuation of their use should be the exclusive right and choice of users. Member States should develop simple and secure procedures for the users to request immediate revocation of validity of European Digital Identity Wallets, including in the case of loss or theft. Upon the death of the user or the cessation of activity by a legal person, a mechanism should be established to enable the authority responsible for settling the succession of the natural person or assets of the legal person to request the immediate revocation of European Digital Identity Wallets.
(35)
In order to promote the uptake of European Digital Identity Wallets and the wider use of digital identities, Member States should not only promote the benefits of the relevant services, but should also, in cooperation with the private sector, researchers and academia, develop training programmes aiming to strengthen the digital skills of their citizens and residents, in particular for vulnerable groups such as persons with disabilities and older persons. Member States should also raise awareness of the benefits and risks of European Digital Identity Wallets by means of communication campaigns.
(36)
To ensure that the European Digital Identity Framework is open to innovation, technological development and future-proof, Member States are encouraged, jointly, to set up sandboxes to test innovative solutions in a controlled and secure environment in particular to improve the functionality, protection of personal data, security and interoperability of the solutions and to inform future updates of technical references and legal requirements. That environment should foster the inclusion of SMEs, start-ups and individual innovators and researchers, as well as relevant industry stakeholders. Such initiatives should contribute to and strengthen the regulatory compliance and technical robustness of European Digital Identity Wallets to be provided to Union citizens and residents in the Union, thus preventing the development of solutions that do not comply with Union law on data protection or that are open to security vulnerabilities.
(37)
Regulation (EU) 2019/1157 of the European Parliament and of the Council 
(
11
)
 strengthens the security of identity cards with enhanced security features by August 2021. Member States should consider the feasibility of notifying them under electronic identification schemes to extend the cross-border availability of electronic identification means.
(38)
The process of notification of electronic identification schemes should be simplified and accelerated to promote access to convenient, trusted, secure and innovative authentication and identification solutions and, where relevant, to encourage private identity providers to offer electronic identification schemes to Member State’s authorities for notification as national electronic identification schemes under Regulation (EU) No 910/2014.
(39)
Streamlining of the current notification and peer-review procedures will prevent heterogeneous approaches to the assessment of various notified electronic identification schemes and facilitate trust-building between Member States. New, simplified, mechanisms are intended to foster Member States’ cooperation on the security and interoperability of their notified electronic identification schemes.
(40)
Member States should benefit from new, flexible tools to ensure compliance with the requirements of this Regulation and of the relevant implementing acts adopted pursuant thereto. This Regulation should allow Member States to use reports and assessments, performed by accredited conformity assessment bodies, as provided for in the context of certification schemes to be established at Union level under Regulation (EU) 2019/881, to support their claims on the alignment of the schemes or of parts thereof with Regulation (EU) No 910/2014.
(41)
Public service providers use the person identification data available from electronic identification means pursuant to Regulation (EU) No 910/2014 to match the electronic identity of the users from other Member States with the person identification data provided to those users in the Member State performing the cross-border identity matching process. However, in many cases, despite the use of the minimum data set provided under the notified electronic identification schemes, ensuring accurate identity matching when Member States act as relying parties requires additional information about the user and specific complementary unique identification procedures to be performed at national level. To further support the usability of electronic identification means, provide better online public services and increase legal certainty in relation to the electronic identity of the users, Regulation (EU) No 910/2014 should require Member States to take specific online measures to ensure unequivocal identity matching when users intend to access online cross-border public services.
(42)
When developing European Digital Identity Wallets, it is essential to take into consideration the needs of users. Meaningful use cases and online services relying on European Digital Identity Wallets should be available. For the convenience of users and in order to ensure cross-border availability of such services, it is important to undertake actions in order to facilitate a similar approach to design, development and implementation of online services in all Member States. Non-binding guidelines on how to design, develop and implement online services relying on European Digital Identity Wallets have the potential of becoming a useful tool to achieve that goal. Such guidelines should be prepared taking into account the interoperability framework of the Union. Member States should have a leading role when it comes to adopting those guidelines.
(43)
In accordance with Directive (EU) 2019/882 of the European Parliament and of the Council 
(
12
)
, persons with disabilities should be able to use European Digital Identity Wallets, trust services and end-user products used in the provision of those services on an equal basis with other users.
(44)
In order to ensure effective enforcement of this Regulation, a minimum for the maximum of administrative fines for both qualified and non-qualified trust service providers should be established. Member States should provide for effective, proportionate and dissuasive penalties. When determining the penalties, the size of the affected entities, their business models and the severity of the infringements should be duly taken into consideration.
(45)
Member States should lay down rules on penalties for infringements such as direct or indirect practices leading to confusion between non-qualified and qualified trust services or to the abusive use of the EU trust mark by non-qualified trust service providers. The EU trust mark should not be used under conditions which, directly or indirectly, lead to the perception that any non-qualified trust services offered by those providers are qualified.
(46)
This Regulation should not cover aspects related to the conclusion and validity of contracts or other legal obligations where there are requirements as regards form laid down by Union or national law. In addition, it should not affect national form requirements pertaining to public registers, in particular commercial and land registers.
(47)
The provision and use of trust services and the benefits brought in terms of convenience and legal certainty in the context of cross-border transactions, in particular when qualified trust services are used, are becoming increasingly important for international trade and cooperation. International partners of the Union are establishing trust frameworks inspired by Regulation (EU) No 910/2014. In order to facilitate the recognition of qualified trust services and of their providers, the Commission may adopt implementing acts to set the conditions under which trust frameworks of third countries could be considered equivalent to the trust framework for qualified trust services and providers thereof in this Regulation. Such an approach should complement the possibility for the mutual recognition of trust services and providers thereof established in the Union and in third countries in accordance with Article 218 of the Treaty on the Functioning of the European Union (TFEU). When setting out the conditions under which the trust frameworks of third countries could be considered to be equivalent to the trust framework for qualified trust services and providers thereof under Regulation (EU) No 910/2014, compliance with the relevant provisions in the Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
13
)
 and Regulation (EU) 2016/679 should be ensured, as well as the use of trusted lists as essential elements to build trust.
(48)
This Regulation should foster choice and the possibility of switching between European Digital Identity Wallets where a Member State has endorsed more than one European Digital Identity Wallet solution on its territory. In order to avoid lock-in effects in such situations, where technically feasible, the providers of European Digital Identity Wallets should ensure the effective portability of data at the request of European Digital Identity Wallet users, and should not be allowed to use contractual, economic or technical barriers to prevent or to discourage effective switching between different European Digital Identity Wallets.
(49)
To ensure the proper functioning of European Digital Identity Wallets, European Digital Identity Wallet providers need effective interoperability and fair, reasonable and non-discriminatory conditions for the European Digital Identity Wallets to access specific hardware and software features of mobile devices. Those components could include, in particular, near field communication antennas and secure elements, including universal integrated circuit cards, embedded secure elements, microSD cards and Bluetooth Low Energy. Access to those components could be under the control of mobile network operators and equipment manufacturers. Therefore, where needed to provide the services of European Digital Identity Wallets, original equipment manufacturers of mobile devices or providers of electronic communication services should not refuse access to such components. In addition, the undertakings that are designated as gatekeepers for core platform services as listed by the Commission pursuant to Regulation (EU) 2022/1925 of the European Parliament and of the Council 
(
14
)
 should remain subject to the specific provisions of that Regulation, building on Article 6(7) thereof.
(50)
In order to streamline the cybersecurity obligations imposed on trust service providers, as well as to enable those providers and their respective competent authorities to benefit from the legal framework established by Directive (EU) 2022/2555, trust services are required to take appropriate technical and organisational measures pursuant to that Directive, such as measures addressing system failures, human error, malicious actions or natural phenomena in order to manage the risks posed to the security of network and information systems which those providers use in the provision of their services as well as to notify significant incidents and cyber threats in accordance with that Directive. With regard to the reporting of incidents, trust service providers should notify any incidents having a significant impact on the provision of their services, including such caused by theft or loss of devices, network cable damage or incidents that occur in the context of the identification of persons. The cybersecurity risk management requirements and reporting obligations under Directive (EU) 2022/2555 should be considered to be complementary to the requirements imposed on trust service providers under this Regulation. Where appropriate, established national practices or guidance in relation to the implementation of security and reporting requirements and supervision of compliance with such requirements under Regulation (EU) No 910/2014 should continue to be applied by the competent authorities designated under Directive (EU) 2022/2555. This Regulation does not affect the obligation to notify personal data breaches pursuant to Regulation (EU) 2016/679.
(51)
Due consideration should be given to ensure effective cooperation between the supervisory bodies designated pursuant to Article 46b of Regulation (EU) No 910/2014 and the competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555. Where such a supervisory body is different from such a competent authority, they should cooperate closely, in a timely manner by exchanging the relevant information in order to ensure effective supervision and compliance of trust service providers with the requirements set out in Regulation (EU) No 910/2014 and in Directive (EU) 2022/2555. In particular, supervisory bodies designated pursuant to Regulation (EU) No 910/2014 should be entitled to request competent authorities designated or established pursuant Directive (EU) 2022/2555 to provide relevant information needed to grant the qualified status and to carry out supervisory actions to verify compliance of the trust service providers with the relevant requirements under Directive (EU) 2022/2555 or to require them to remedy non-compliance.
(52)
It is essential to provide for a legal framework to facilitate cross-border recognition between existing national legal systems related to electronic registered delivery services. That framework could also open new market opportunities for Union trust service providers to offer new Union-wide electronic registered delivery services. In order to ensure that data using a qualified electronic registered delivery service is delivered to the correct addressee, qualified electronic registered delivery services should ensure complete certainty the identification of the addressee while a high level of confidence would suffice as regards the identification of the sender. Providers of qualified electronic registered delivery services should be encouraged by Member States to make their services interoperable with qualified electronic registered delivery services provided by other qualified trust service providers in order to easily transfer electronic registered data between two or more qualified trust service providers and to promote fair practices in the internal market.
(53)
In most cases, Union citizens and residents in the Union are unable to exchange digital information relating to their identity, such as their address, age, professional qualifications, driving licence and other permits and payment data, across borders, securely and with a high level of data protection.
(54)
It should be possible to issue and handle trustworthy electronic attributes and contribute to reducing administrative burden, empowering Union citizens and residents in the Union to use them in their private and public transactions. Union citizens and residents in the Union should be able, for instance, to demonstrate ownership of a valid driving licence issued by an authority in one Member State, which can be verified and relied upon by the relevant authorities in other Member States, to rely on their social security credentials or on future digital travel documents in a cross border context.
(55)
Any service provider that issues attested attributes in electronic form such as diplomas, licences, birth certificates or powers and mandates to represent or act on behalf of natural or legal persons should be considered to be a trust service provider of electronic attestation of attributes. An electronic attestation of attributes should not be denied legal effect on the grounds that it is in an electronic form or that it does not meet the requirements of the qualified electronic attestation of attributes. General requirements should be laid down to ensure that a qualified electronic attestation of attributes has the equivalent legal effect of lawfully issued attestations in paper form. However, those requirements should apply without prejudice to Union or national law defining additional sector-specific requirements as regards form with underlying legal effects and, in particular, the cross-border recognition of qualified electronic attestation of attributes, where appropriate.
(56)
The wide availability and usability of European Digital Identity Wallets should enhance their acceptance and trust in them both by private individuals and by private service providers. Therefore, private relying parties providing services, for example in the areas of transport, energy, banking and financial services, social security, health, drinking water, postal services, digital infrastructure, telecommunications or education, should accept the use of European Digital Identity Wallets for the provision of services where strong user authentication for online identification is required by Union or national law or by contractual obligation. Any request by the relying party for information from the user of a European Digital Identity Wallet should be necessary for, and proportionate to, the intended use in a given case, should be in line with the principle of data minimisation and should ensure transparency as regards which data is shared and for what purposes. To facilitate the use and acceptance of European Digital Identity Wallets, widely accepted industry standards and specifications should be taken into account in their deployment.
(57)
Where very large online platforms within the meaning of Article 33(1) of Regulation (EU) 2022/2065 of the European Parliament and of the Council 
(
15
)
 require users to be authenticated in order to access online services, those platforms should be required to accept the use of European Digital Identity Wallets upon the voluntary request of the user. Users should be under no obligation to use a European Digital Identity Wallet to access private services and should not be restricted or hindered in their access to services on the grounds that they do not use a European Digital Identity Wallet. However, if users wish to do so, very large online platforms should accept them for that purpose, while respecting the principle of data minimisation and the right of the users to use freely chosen pseudonyms. Given the importance of very large online platforms, due to their reach, in particular as expressed in number of recipients of the service and economic transactions, the obligation to accept European Digital Identity Wallets is necessary to increase the protection of users from fraud and to secure a high level of data protection.
(58)
Codes of conduct at Union level should be developed in order to contribute to the widespread availability and usability of electronic identification means, including European Digital Identity Wallets within the scope of this Regulation. The codes of conduct should facilitate broad acceptance of electronic identification means including European Digital Identity Wallets by those service providers which do not qualify as very large platforms and which rely on third party electronic identification services for user authentication.
(59)
Selective disclosure is a concept empowering the owner of data to disclose only certain parts of a larger data set, in order for the receiving entity to obtain only such information as is necessary for the provision of a service requested by a user. The European Digital Identity Wallet should technically enable the selective disclosure of attributes to relying parties. It should be technically possible for the user to selectively disclose attributes, including from multiple, distinct electronic attestations, and to combine and present them seamlessly to relying parties. This feature should become a basic design feature of European Digital Identity Wallets, thereby reinforcing convenience and the protection of personal data, including data minimisation.
(60)
Unless specific rules of Union or national law require users to identify themselves, accessing services by using a pseudonym should not be prohibited.
(61)
Attributes provided by the qualified trust service providers as part of the qualified attestation of attributes should be verified against authentic sources either directly by the qualified trust service provider or by means of designated intermediaries recognised at national level in accordance with Union or national law for the purpose of secure exchange of attested attributes between identity or attestation of attributes’ service providers and relying parties. Member States should establish appropriate mechanisms at national level to ensure that qualified trust service providers issuing qualified electronic attestation of attributes are able, on the basis of the consent of the person to whom the attestation is issued, to verify the authenticity of the attributes relying on authentic sources. It should be possible for appropriate mechanisms to include the use of specific intermediaries or technical solutions in accordance with national law allowing access to authentic sources. Ensuring the availability of a mechanism that allows the verification of attributes against authentic sources is intended to facilitate the compliance of the qualified trust service providers of qualified electronic attestation of attributes with their obligations under Regulation (EU) No 910/2014. A new annex to that Regulation should contain a list of categories of attributes with regard to which Member States are to ensure that measures are taken to allow qualified providers of electronic attestations of attributes to verify by electronic means, at the request of the user, their authenticity against the relevant authentic source.
(62)
Secure electronic identification and the provision of attestation of attributes should offer additional flexibility and solutions for the financial services sector to allow the identification of customers and the exchange of specific attributes necessary to comply with, for example, customer due diligence requirements under a future Regulation establishing the Anti Money Laundering Authority, with suitability requirements stemming from investor protection law, or to support the fulfilment of strong customer authentication requirements for online identification for the purposes of account login and of initiation of transactions in the field of payment services.
(63)
The legal effect of an electronic signature is not to be challenged on the grounds that it is in an electronic form or that it does not meet the requirements of the qualified electronic signature. However, it is for national law to establish the legal effect of electronic signatures, except for the requirements provided for in this Regulation according to which the legal effect of a qualified electronic signature is to be considered to be equivalent to that of a handwritten signature. In determining the legal effects of electronic signatures, Member States should take into account the principle of proportionality between the legal value of a document to be signed and the level of security and cost that an electronic signature requires. To increase the accessibility and use of electronic signatures, Member States are encouraged to consider the use of advanced electronic signatures in the day-to-day transactions for which they provide a sufficient level of security and confidence.
(64)
In order to ensure the consistency of certification practices across the Union, the Commission should issue guidelines on the certification and recertification of qualified electronic signature creation devices and of qualified electronic seal creation devices, including their validity and limitations in time. This Regulation does not prevent the public or private bodies that have certified qualified electronic signature creation devices from temporarily re-certifying such devices for a short certification period on the basis of the results of the previous certification process, where such re-certification cannot be performed within the legally set time frame for a reason other than a breach or security incident, without prejudice to the obligation to conduct a vulnerability assessment and without prejudice to the applicable certification practice.
(65)
The issuance of certificates for website authentication is intended to provide users with assurance with a high level of confidence in the identity of the entity standing behind the website, irrespective of the platform used to display that identity. Those certificates should contribute to the building of trust in conducting business online, as users would have confidence in a website that has been authenticated. The use of such certificates by websites should be voluntary. In order for website authentication to become a means by which to increase trust, to provide a better experience for the user and to foster growth in the internal market, this Regulation lays down a trust framework including minimal security and liability obligations for the providers of qualified certificates for website authentication and requirements for the issuance of those certificates. National trusted lists should confirm the qualified status of website authentication services and of their trust service providers, including their full compliance with the requirements of this Regulation with regard to the issuance of qualified certificates for website authentication. The recognition of qualified certificates for website authentication means that the providers of web-browsers should not deny the authenticity of qualified certificates for website authentication for the sole purpose of attesting the link between the website domain name and the natural or legal person to whom the certificate is issued or confirming the identity of that person. Providers of web-browsers should display the certified identity data and the other attested attributes to the end-user in a user-friendly manner in the browser environment, by technical means of their choice. To that end, providers of web-browsers should ensure support and interoperability with qualified certificates for website authentication issued in full compliance with this Regulation. The obligation of recognition and interoperability of and support for qualified certificates for website authentication does not affect the freedom of providers of web-browsers to ensure web security, domain authentication and the encryption of web traffic in a manner and by means of technology that they consider to be the most appropriate. In order to contribute to the online security of end-users, providers of web-browsers should, in exceptional circumstances, be able to take precautionary measures that are both necessary and proportionate in reaction to substantiated concerns regarding security breaches or the loss of integrity of an identified certificate or set of certificates. Where they take such precautionary measures, providers of web-browsers should notify, without undue delay, the Commission, the national supervisory body, the entity to which the certificate was issued and the qualified trust service provider that issued that certificate or set of certificates, of any concern with regard to such a security breach or loss of integrity as well as the measures taken relating to the single certificate or set of certificates. Those measures should be without prejudice to the obligation of the providers of web-browsers to recognise qualified website authentication certificates in accordance with the national trusted lists. To further protect Union citizens and residents in the Union and promote the use of qualified certificates for website authentication, public authorities in Member States should consider incorporating qualified certificates for website authentication in their websites. The measures provided for by this Regulation that aim to bring increased coherence between Member States’ divergent approaches and practices relating to supervisory procedures are intended to contribute to improved trust and confidence in the security, quality and availability of qualified certificates for website authentication.
(66)
Many Member States have introduced national requirements for services providing secure and trustworthy electronic archiving in order to allow for the long-term preservation of electronic data and electronic documents, and associated trust services. To ensure legal certainty, trust and harmonisation across Member States, a legal framework for qualified electronic archiving services should be established, inspired by the framework of the other trust services set out in this Regulation. The legal framework for qualified electronic archiving services should offer trust service providers and users an efficient toolbox that includes functional requirements for the electronic archiving service, as well as clear legal effects when a qualified electronic archiving service is used. Those provisions should apply to electronic data and electronic documents created in electronic form as well as paper documents that have been scanned and digitised. When required, those provisions should permit the preserved electronic data and electronic documents to be ported on different media or formats for the purpose of extending their durability and legibility beyond the technological validity period, while preventing loss and alteration to the extent possible. When electronic data and electronic documents submitted to the electronic archiving service contain one or more qualified electronic signatures or qualified electronic seals, the service should use procedures and technologies capable of extending their trustworthiness for the preservation period of such data, possibly relying on the use of other qualified trust services established by this Regulation. In order to create preservation evidence where electronic signatures, electronic seals or electronic timestamps are used, qualified trust services should be used. To the extent that electronic archiving services are not harmonised by this Regulation, it should be possible for Member States to maintain or introduce national provisions, in accordance with Union law, relating to those services, such as specific provisions for services integrated in an organisation and only used for the internal archives of that organisation. This Regulation should not distinguish between electronic data and electronic documents created in electronic form and physical documents that have been digitised.
(67)
The activities of national archives and memory institutions, in their capacity as organisations dedicated to preserving the documentary heritage in the public interest, are usually regulated in national law and they do not necessarily provide trust services within the meaning of this Regulation. In so far such institutions do not provide such trust services, this Regulation is without prejudice to their operation.
(68)
Electronic ledgers are a sequence of electronic data records which should ensure their integrity and the accuracy of their chronological ordering. Electronic ledgers should establish a chronological sequence of data records. In conjunction with other technologies, they should contribute to solutions for more efficient and transformative public services such as e-voting, cross-border cooperation of customs authorities, cross-border cooperation of academic institutions and the recording of ownership for real estate in decentralised land registries. Qualified electronic ledgers should establish a legal presumption for the unique and accurate sequential chronological ordering and integrity of the data records in the ledger. Due to their specificities, such as the sequential chronological ordering of data records, electronic ledgers should be distinguished from other trust services such as electronic time stamps and electronic registered delivery services. To ensure legal certainty and promote innovation, a Union-wide legal framework that provides for the cross-border recognition of trust services for the recording of data in electronic ledgers should be established. This should sufficiently prevent the same digital asset from being copied and sold more than once to different parties. The process of creating and updating an electronic ledger depends on the type of ledger used, namely whether it is centralised or distributed. This Regulation should ensure technological neutrality, namely neither favouring, nor discriminating against, any technology used to implement the new trust service for electronic ledgers. In addition, sustainability indicators with regard to any adverse impacts on the climate or other environment-related adverse impacts should be taken into account by the Commission, using adequate methodologies, when preparing the implementing acts specifying the requirements for qualified electronic ledgers.
(69)
The role of trust service providers for electronic ledgers should be to ascertain the sequential recording of data into the ledger. This Regulation is without prejudice to any legal obligations of users of electronic ledgers under Union or national law. For instance, use cases that involve the processing of personal data should comply with Regulation (EU) 2016/679 and use cases that relate to financial services should comply with the relevant Union financial services law.
(70)
In order to avoid the fragmentation of and barriers in the internal market, due to diverging standards and technical restrictions, and to ensure a coordinated process to avoid affecting the implementation of the European Digital Identity Framework, a process for close and structured cooperation between the Commission, Member States, civil society, academia and the private sector is needed. To achieve that objective, Member States and the Commission should cooperate within the framework set out in the Commission Recommendation (EU) 2021/946 
(
16
)
 to identify a common Union toolbox for the European Digital Identity Framework. In that context, Member States should agree on a comprehensive technical architecture and reference framework, a set of common standards and technical references including recognised existing standards and a set of guidelines and descriptions of best practices covering at least all functionalities and interoperability of European Digital Identity Wallets, including eSignatures and of the qualified trust service providers for electronic attestation of attributes as laid out in this Regulation. In that context, Member States should also agree on common elements with regard to a business model and fee structure for European Digital Identity Wallets, in order to facilitate take up, in particular by SMEs, in a cross-border context. The content of the toolbox should evolve in parallel with and reflect the outcome of the discussion and the process of adoption of the European Digital Identity Framework.
(71)
This Regulation provides for a harmonised level of quality, trustworthiness and security of qualified trust services, regardless of where the operations are conducted. Thus, a qualified trust service provider should be allowed to outsource its operations related to the provision of a qualified trust service in a third country, where that third country provides adequate guarantees, ensuring that supervisory activities and audits can be enforced as if they were carried out in the Union. When the compliance with this Regulation cannot be fully assured, the supervisory bodies should be able to adopt proportionate and justified measures including the withdrawal of the qualified status of the trust service provided.
(72)
To ensure legal certainty as regards the validity of advanced electronic signatures based on qualified certificates, it is essential that the assessment by the relying party carrying out the validation of that advanced electronic signature based on qualified certificates be specified.
(73)
Trust service providers should use cryptographic methods reflecting current best practices and trustworthy implementations of those algorithms in order to ensure security and reliability of their trust services.
(74)
This Regulation lays down an obligation for qualified trust service providers to verify the identity of a natural or legal person to whom the qualified certificate or the qualified electronic attestation of attribute is issued based on various harmonised methods across the Union. To ensure that qualified certificates and qualified electronic attestations of attributes are issued to the person to whom they belong and that they attest the correct and unique set of data representing the identity of that person, qualified trust service providers issuing qualified certificates or issuing qualified electronic attestations of attributes should, at the moment of the issuance of those certificates and attestations, ensure with complete certainty the identification of that person. Moreover, in addition to the mandatory verification of the identity of the person, if applicable for the issuance of qualified certificates and when issuing a qualified electronic attestation of attributes, qualified trust service providers should ensure with complete certainty the correctness and accuracy of the attested attributes of the person to whom the qualified certificate or the qualified electronic attestation of attributes is issued. Those obligations of result and complete certainty in verifying the attested data should be supported by appropriate means, including by using one or, where required, a combination of specific methods provided for in this Regulation. It should be possible to combine those methods to provide an appropriate basis for the verification of the identity of the person to whom the qualified certificate or a qualified electronic attestation of attributes is issued. It should be possible for such a combination to include reliance on electronic identification means which meet the requirements of assurance level substantial in combination with other means of identity verification. Such electronic identification would allow the fulfilment of the harmonised requirements set out in this Regulation as regards assurance level high as part of additional harmonised remote procedures, ensuring identification with a high level of confidence. Those methods should include the possibility for the qualified trust service provider issuing a qualified electronic attestation of attributes to verify the attributes to be attested by electronic means at the request of the user, in accordance with Union or national law, including against authentic sources.
(75)
To keep this Regulation in line with global developments and to follow the best practices on the internal market, the delegated and implementing acts adopted by the Commission should be reviewed and if necessary updated on a regular basis. The assessment of the necessity of those updates should take into account new technologies, practices, standards or technical specifications.
(76)
Since the objectives of this Regulation, namely the development of the Union-wide European Digital Identity Framework and of a trust service framework, cannot be sufficiently achieved by the Member States but can rather, by reason of their scale and effects, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(77)
The European Data Protection Supervisor has been consulted pursuant to Article 42(1) of Regulation (EU) 2018/1725.
(78)
Regulation (EU) No 910/2014 should therefore be amended accordingly,
HAVE ADOPTED THIS REGULATION:
Article 1
Amendments to Regulation (EU) No 910/2014
Regulation (EU) No 910/2014 is amended as follows:
(1)
Article 1 is replaced by the following:
‘Article 1
Subject matter
This Regulation aims to ensure the proper functioning of the internal market and the provision of an adequate level of security of electronic identification means and trust services used across the Union, in order to enable and facilitate the exercise by natural and legal persons of the right to participate in digital society safely and to access online public and private services throughout the Union. For those purposes, this Regulation:
(a)
lays down the conditions under which Member States are to recognise natural and legal persons’ electronic identification means falling under a notified electronic identification scheme of another Member State and provide and recognise European Digital Identity Wallets;
(b)
lays down rules for trust services, in particular for electronic transactions;
(c)
establishes a legal framework for electronic signatures, electronic seals, electronic time stamps, electronic documents, electronic registered delivery services, certificate services for website authentication, electronic archiving, electronic attestation of attributes, electronic signature creation devices, electronic seal creation devices, and electronic ledgers.’;
(2)
Article 2 is amended as follows:
(a)
paragraph 1 is replaced by the following:
‘1.   This Regulation applies to electronic identification schemes notified by a Member State, to European Digital Identity Wallets provided by a Member State and to trust service providers established in the Union.’;
(b)
paragraph 3 is replaced by the following:
‘3.   This Regulation does not affect Union or national law related to the conclusion and validity of contracts, other legal or procedural obligations relating to form, or sector-specific requirements relating to form.
4.   This Regulation is without prejudice to Regulation (EU) 2016/679 of the European Parliament and of the Council
 (
*1
)
.
(
*1
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).’;"
(3)
Article 3 is amended as follows:
(a)
points (1) to (5) are replaced by the following:
‘(1)
“electronic identification” means the process of using person identification data in electronic form uniquely representing either a natural or legal person, or a natural person representing another natural person or a legal person;
(2)
“electronic identification means” means a material and/or immaterial unit containing person identification data and which is used for authentication for an online service or, where appropriate, for an offline service;
(3)
“person identification data” means a set of data that is issued in accordance with Union or national law and that enables the establishment of the identity of a natural or legal person, or of a natural person representing another natural person or a legal person.
(4)
“electronic identification scheme” means a system for electronic identification under which electronic identification means are issued to natural or legal persons or natural persons representing other natural persons or legal persons;
(5)
“authentication” means an electronic process that enables the confirmation of the electronic identification of a natural or legal person or the confirmation of the origin and integrity of data in electronic form;’;
(b)
the following point is inserted:
‘(5a)
“user” means a natural or legal person, or a natural person representing another natural person or a legal person, that uses trust services or electronic identification means provided in accordance with this Regulation;’;
(c)
point (6) is replaced by the following:
‘(6)
“relying party” means a natural or legal person that relies upon electronic identification, European Digital Identity Wallets or other electronic identification means, or upon a trust service;’;
(d)
point (16) is replaced by the following:
‘(16)
“trust service” means an electronic service normally provided for remuneration which consists of any of the following:
(a)
the issuance of certificates for electronic signatures, certificates for electronic seals, certificates for website authentication or certificates for the provision of other trust services;
(b)
the validation of certificates for electronic signatures, certificates for electronic seals, certificates for website authentication or certificates for the provision of other trust services;
(c)
the creation of electronic signatures or electronic seals;
(d)
the validation of electronic signatures or electronic seals;
(e)
the preservation of electronic signatures, electronic seals, certificates for electronic signatures or certificates for electronic seals;
(f)
the management of remote electronic signature creation devices or remote electronic seal creation devices;
(g)
the issuance of electronic attestations of attributes;
(h)
the validation of electronic attestation of attributes;
(i)
the creation of electronic timestamps;
(j)
the validation of electronic timestamps;
(k)
the provision of electronic registered delivery services;
(l)
the validation of data transmitted through electronic registered delivery services and related evidence;
(m)
the electronic archiving of electronic data and electronic documents;
(n)
the recording of electronic data in an electronic ledger;’;
(e)
point (18) is replaced by the following:
‘(18)
“conformity assessment body” means a conformity assessment body as defined in Article 2, point 13, of Regulation (EC) No 765/2008, which is accredited in accordance with that Regulation as competent to carry out conformity assessment of a qualified trust service provider and the qualified trust services it provides, or as competent to carry out certification of European Digital Identity Wallets or electronic identification means;’;
(f)
point (21) is replaced by the following:
‘(21)
“product” means hardware or software, or relevant components of hardware or software, which are intended to be used for the provision of electronic identification and trust services;’;
(g)
the following points are inserted:
‘(23a)
“remote qualified electronic signature creation device” means a qualified electronic signature creation device that is managed by a qualified trust service provider in accordance with Article 29a on behalf of a signatory;
(23b)
“remote qualified electronic seal creation device” means a qualified electronic seal creation device that is managed by a qualified trust service provider in accordance with Article 39a on behalf of a seal creator;’;
(h)
point (38) is replaced by the following:
‘(38)
“certificate for website authentication” means an electronic attestation that makes it possible to authenticate a website and links the website to the natural or legal person to whom the certificate is issued;’;
(i)
point (41) is replaced by the following:
‘(41)
“validation” means the process of verifying and confirming that data in electronic form are valid in accordance with this Regulation;’;
(j)
the following points are added:
‘(42)
“European Digital Identity Wallet” means an electronic identification means which allows the user to securely store, manage and validate person identification data and electronic attestations of attributes for the purpose of providing them to relying parties and other users of European Digital Identity Wallets, and to sign by means of qualified electronic signatures or to seal by means of qualified electronic seals;
(43)
“attribute” means a characteristic, quality, right or permission of a natural or legal person or of an object;
(44)
“electronic attestation of attributes” means an attestation in electronic form that allows attributes to be authenticated;
(45)
“qualified electronic attestation of attributes” means an electronic attestation of attributes which is issued by a qualified trust service provider and meets the requirements laid down in Annex V;
(46)
“electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source” means an electronic attestation of attributes issued by a public sector body that is responsible for an authentic source or by a public sector body that is designated by the Member State to issue such attestations of attributes on behalf of the public sector bodies responsible for authentic sources in accordance with Article 45f and with Annex VII;
(47)
“authentic source” means a repository or system, held under the responsibility of a public sector body or private entity, that contains and provides attributes about a natural or legal person or object and that is considered to be a primary source of that information or recognised as authentic in accordance with Union or national law, including administrative practice;
(48)
“electronic archiving” means a service ensuring the receipt, storage, retrieval and deletion of electronic data and electronic documents in order to ensure their durability and legibility as well as to preserve their integrity, confidentiality and proof of origin throughout the preservation period;
(49)
“qualified electronic archiving service” means an electronic archiving service which is provided by a qualified trust service provider and which meets the requirements laid down in Article 45j;
(50)
“EU Digital Identity Wallet Trust Mark” means a verifiable, simple and recognisable indication which is communicated in a clear manner that a European Digital Identity Wallet has been provided in accordance with this Regulation;
(51)
“strong user authentication” means an authentication based on the use of at least two authentication factors from different categories of either knowledge, something only the user knows, possession, something only the user possesses or inherence, something the user is, that are independent, in that the breach of one does not compromise the reliability of the others, and is designed in such a way as to protect the confidentiality of the authentication data;
(52)
“electronic ledger” means a sequence of electronic data records, ensuring the integrity of those records and the accuracy of the chronological ordering of those records;
(53)
“qualified electronic ledger” means an electronic ledger which is provided by a qualified trust service provider and which meets the requirements laid down in Article 45l;
(54)
“personal data” means any information as defined in Article 4, point (1), of Regulation (EU) 2016/679;
(55)
“identity matching” means a process where person identification data, or electronic identification means are matched with or linked to an existing account belonging to the same person;
(56)
“data record” means electronic data recorded with related meta-data supporting the processing of the data;
(57)
“offline mode” means, as regards the use of European Digital Identity Wallets, an interaction between a user and a third party at a physical location using close proximity technologies, whereby the European Digital Identity Wallet is not required to access remote systems via electronic communication networks for the purpose of the interaction.’;
(4)
Article 5 is replaced by the following:
‘Article 5
Pseudonyms in electronic transaction
Without prejudice to specific rules of Union or national law requiring users to identify themselves or to the legal effect given to pseudonyms under national law, the use of pseudonyms that are chosen by the user shall not be prohibited.’;
(5)
in Chapter II, the following section is inserted:
‘SECTION 1
EUROPEAN DIGITAL IDENTITY WALLET
Article 5a
European Digital Identity Wallets
1.   For the purpose of ensuring that all natural and legal persons in the Union have secure, trusted and seamless cross-border access to public and private services, while having full control over their data, each Member State shall provide at least one European Digital Identity Wallet within 24 months of the date of entry into force of the implementing acts referred to in paragraph 23 of this Article and in Article 5c(6).
2.   European Digital Identity Wallets shall be provided in one or more of the following ways:
(a)
directly by a Member State;
(b)
under a mandate from a Member State;
(c)
independently of a Member State but recognised by that Member State.
3.   The source code of the application software components of European Digital Identity Wallets shall be open-source licensed. Member States may provide that, for duly justified reasons, the source code of specific components other than those installed on user devices shall not be disclosed.
4.   European Digital Identity Wallets shall enable the user, in a manner that is user-friendly, transparent, and traceable by the user, to:
(a)
securely request, obtain, select, combine, store, delete, share and present, under the sole control of the user, person identification data and, where applicable, in combination with electronic attestations of attributes, to authenticate to relying parties online and, where appropriate, in offline mode, in order to access public and private services, while ensuring that selective disclosure of data is possible;
(b)
generate pseudonyms and store them encrypted and locally within the European Digital Identity Wallet;
(c)
securely authenticate another person’s European Digital Identity Wallet, and receive and share person identification data and electronic attestations of attributes in a secured way between the two European Digital Identity Wallets;
(d)
access a log of all transactions carried out through the European Digital Identity Wallet via a common dashboard enabling the user to:
(i)
view an up-to-date list of relying parties with which the user has established a connection and, where applicable, all data exchanged;
(ii)
easily request the erasure by a relying party of personal data pursuant to Article 17 of the Regulation (EU) 2016/679;
(iii)
easily report a relying party to the competent national data protection authority, where an allegedly unlawful or suspicious request for data is received;
(e)
sign by means of qualified electronic signatures or seal by means of qualified electronic seals;
(f)
download, to the extent technically feasible, the user’s data, electronic attestation of attributes and configurations;
(g)
exercise the user’s rights to data portability.
5.   European Digital Identity Wallets shall, in particular:
(a)
support common protocols and interfaces:
(i)
for issuance of person identification data, qualified and non-qualified electronic attestations of attributes or qualified and non-qualified certificates to the European Digital Identity Wallet;
(ii)
for relying parties to request and validate person identification data and electronic attestations of attributes;
(iii)
for the sharing and presentation to relying parties of person identification data, electronic attestation of attributes or of selectively disclosed related data online and, where appropriate, in offline mode;
(iv)
for the user to allow interaction with the European Digital Identity Wallet and display an EU Digital Identity Wallet Trust Mark;
(v)
to securely onboard the user by using an electronic identification means in accordance with Article 5a(24);
(vi)
for interaction between two persons’ European Digital Identity Wallets for the purpose of receiving, validating and sharing person identification data and electronic attestations of attributes in a secure manner;
(vii)
for authenticating and identifying relying parties by implementing authentication mechanisms in accordance with Article 5b;
(viii)
for relying parties to verify the authenticity and validity of European Digital Identity Wallets;
(ix)
for requesting a relying party the erasure of personal data pursuant to Article 17 of Regulation (EU) 2016/679;
(x)
for reporting a relying party to the competent national data protection authority where an allegedly unlawful or suspicious request for data is received;
(xi)
for the creation of qualified electronic signatures or electronic seals by means of qualified electronic signature or electronic seal creation devices;
(b)
not provide any information to trust service providers of electronic attestations of attributes about the use of those electronic attestations;
(c)
ensure that the relying parties can be authenticated and identified by implementing authentication mechanisms in accordance with Article 5b;
(d)
meet the requirements set out in Article 8 with regard to assurance level high, in particular as applied to the requirements for identity proofing and verification, and electronic identification means management and authentication;
(e)
in the case of the electronic attestation of attributes with embedded disclosure policies, implement the appropriate mechanism to inform the user that the relying party or the user of the European Digital Identity Wallet requesting that electronic attestation of attributes has the permission to access such attestation;
(f)
ensure that the person identification data, which is available from the electronic identification scheme under which the European Digital Identity Wallet is provided, uniquely represents the natural person, legal person or the natural person representing the natural or legal person, and is associated with that European Digital Identity Wallet;
(g)
offer all natural persons the ability to sign by means of qualified electronic signatures by default and free of charge.
Notwithstanding point (g) of the first subparagraph, Member States may provide for proportionate measures to ensure that the use of qualified electronic signatures free-of-charge by natural persons is limited to non-professional purposes.
6.   Member State shall inform users, without delay, of any security breach that could have entirely or partially compromised their European Digital Identity Wallet or its contents, in particular if their European Digital Identity Wallet has been suspended or revoked pursuant to Article 5e.
7.   Without prejudice to Article 5f, Member States may provide, in accordance with national law, for additional functionalities of European Digital Identity Wallets, including interoperability with existing national electronic identification means. Those additional functionalities shall comply with this Article.
8.   Member States shall provide validation mechanisms free-of-charge, in order to:
(a)
ensure that the authenticity and validity of European Digital Identity Wallets can be verified;
(b)
allow users to verify the authenticity and validity of the identity of relying parties registered in accordance with Article 5b.
9.   Member States shall ensure that the validity of the European Digital Identity Wallet can be revoked in the following circumstances:
(a)
upon the explicit request of the user;
(b)
where the security of the European Digital Identity Wallet has been compromised;
(c)
upon the death of the user or cease of activity of the legal person.
10.   Providers of European Digital Identity Wallets shall ensure that users can easily request technical support and report technical problems or any other incidents having a negative impact on the use of European Digital Identity Wallets.
11.   European Digital Identity Wallets shall be provided under an electronic identification scheme with assurance level high.
12.   European Digital Identity Wallets shall ensure security-by-design.
13.   The issuance, use and revocation of the European Digital Identity Wallets shall be free of charge to all natural persons.
14.   Users shall have full control of the use of and of the data in their European Digital Identity Wallet. The provider of the European Digital Identity Wallet shall neither collect information about the use of the European Digital Identity Wallet which is not necessary for the provision of European Digital Identity Wallet services, nor combine person identification data or any other personal data stored or relating to the use of the European Digital Identity Wallet with personal data from any other services offered by that provider or from third-party services which are not necessary for the provision of European Digital Identity Wallet services, unless the user has expressly requested otherwise. Personal data relating to the provision of the European Digital Identity Wallet shall be kept logically separate from any other data held by the provider of the European Digital Identity Wallet. If the European Digital Identity Wallet is provided by private parties in accordance with paragraph 2, points (b) and (c), of this Article, the provisions of Article 45h(3) shall apply 
mutatis mutandis.
15.   The use of European Digital Identity Wallets shall be voluntary. Access to public and private services, access to the labour market and freedom to conduct business shall not in any way be restricted or made disadvantageous to natural or legal persons that do not use European Digital Identity Wallets. It shall remain possible to access public and private services by other existing identification and authentication means.
16.   The technical framework of the European Digital Identity Wallet shall:
(a)
not allow providers of electronic attestations of attributes or any other party, after the issuance of the attestation of attributes, to obtain data that allows transactions or user behaviour to be tracked, linked or correlated, or knowledge of transactions or user behaviour to be otherwise obtained, unless explicitly authorised by the user;
(b)
enable privacy preserving techniques which ensure unlikeability, where the attestation of attributes does not require the identification of the user.
17.   Any processing of personal data carried out by the Member States or on their behalf by bodies or parties responsible for the provision of European Digital Identity Wallets as electronic identification means shall be carried out in accordance with appropriate and effective data protection measures. Compliance of such processing with Regulation (EU) 2016/679 shall be demonstrated. Member States may introduce national provisions to further specify the application of such measures.
18.   Member States shall, without undue delay, notify the Commission of information about:
(a)
the body responsible for establishing and maintaining the list of registered relying parties that rely on European Digital Identity Wallets in accordance with Article 5b(5) and the location of that list;
(b)
the bodies responsible for the provision of European Digital Identity Wallets in accordance with Article 5a(1);
(c)
the bodies responsible for ensuring that the person identification data is associated with the European Digital Identity Wallet in accordance with Article 5a(5), point (f);
(d)
the mechanism allowing for the validation of the person identification data referred to in Article 5a(5), point (f), and of the identity of the relying parties;
(e)
the mechanism by which to validate the authenticity and validity of European Digital Identity Wallets.
The Commission shall make available the information notified pursuant to the first subparagraph to the public through a secure channel, in electronically signed or sealed form suitable for automated processing.
19.   Without prejudice to paragraph 22 of this Article, Article 11 shall apply 
mutatis mutandis
 to the European Digital Identity Wallet.
20.   Article 24(2), points (b), and (d) to (h), shall apply 
mutatis mutandis
 to providers of European Digital Identity Wallets.
21.   European Digital Identity Wallets shall be made accessible for use, by persons with disabilities, on an equal basis with other users, in accordance with Directive (EU) 2019/882 of the European Parliament and of the Council
 (
*2
)
.
22.   For the purposes of the provision of European Digital Identity Wallets, European Digital Identity Wallets and the electronic identification schemes under which they are provided shall not be subject to the requirements laid down in Articles 7, 9, 10, 12 and 12a.
23.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the requirements referred to in paragraphs 4, 5, 8 and 18 of this Article on the implementation of the European Digital Identity Wallet. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
24.   The Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures in order to facilitate the onboarding of users to the European Digital Identity Wallet either by electronic identification means conforming to assurance level high or by electronic identification means conforming to assurance level substantial in conjunction with additional remote onboarding procedures that together meet the requirements of assurance level high. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 5b
European Digital Identity Wallet-Relying Parties
1.   Where a relying party intends to rely upon European Digital Identity Wallets for the provision of public or private services by means of digital interaction, the relying party shall register in the Member State where it is established.
2.   The registration process shall be cost-effective and proportionate-to-risk. The relying party shall provide at least:
(a)
the information necessary to authenticate to European Digital Identity Wallets, which as a minimum includes:
(i)
the Member State in which the relying party is established; and
(ii)
the name of the relying party and, where applicable, its registration number as stated in an official record together with identification data of that official record;
(b)
the contact details of the relying party;
(c)
the intended use of European Digital Identity Wallets, including an indication of the data to be requested by the relying party from users.
3.   Relying parties shall not request users to provide any data other than that indicated pursuant to paragraph 2, point (c).
4.   Paragraphs 1 and 2 shall be without prejudice to Union or national law that is applicable to the provision of specific services.
5.   Member States shall make the information referred to in paragraph 2 publicly available online in electronically signed or sealed form suitable for automated processing.
6.   Relying parties registered in accordance with this Article shall inform Member States without delay about any changes to the information provided in the registration pursuant to paragraph 2.
7.   Member States shall provide a common mechanism for allowing the identification and authentication of relying parties, as referred to in Article 5a(5), point (c).
8.   Where relying parties intend to rely upon European Digital Identity Wallets, they shall identify themselves to the user.
9.   Relying parties shall be responsible for carrying out the procedure for authenticating and validating person identification data and electronic attestation of attributes requested from European Digital Identity Wallets. Relying parties shall not refuse the use of pseudonyms, where the identification of the user is not required by Union or national law.
10.   Intermediaries acting on behalf of relying parties shall be deemed to be relying parties and shall not store data about the content of the transaction.
11.   By 21 November 2024, the Commission shall establish technical specifications and procedures for the requirements referred to in paragraphs 2, 5 and 6 to 9 of this Article by means of implementing acts on the implementation of European Digital Identity Wallets as referred to in Article 5a(23). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 5c
Certification of European Digital Identity Wallets
1.   The conformity of European Digital Identity Wallets and the electronic identification scheme under which they are provided with the requirements laid down in Article 5a(4), (5), (8), the requirement for logical separation laid down in Article 5a(14) and, where applicable, with the standards and technical specifications referred to in Article 5a(24), shall be certified by conformity assessment bodies designated by Member States.
2.   Certification of the conformity of European Digital Identity Wallets with requirements referred to in paragraph 1 of this Article, or parts thereof, that are relevant for cybersecurity shall be carried out in accordance with European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 of the European Parliament and of the Council
 (
*3
)
 and referred to in the implementing acts referred to in paragraph 6 of this Article.
3.   For requirements referred to in paragraph 1 of this Article that are not relevant for cybersecurity, and, for requirements referred to in paragraph 1 of this Article that are relevant for cybersecurity, to the extent that cybersecurity certification schemes as referred to in paragraph 2 of this Article do not, or only partially, cover those cybersecurity requirements, also for those requirements, Member States shall establish national certification schemes following the requirements set out in the implementing acts referred to in paragraph 6 of this Article. Member States shall transmit their draft national certification schemes to the European Digital Identity Cooperation Group established pursuant to Article 46e(1) (the “Cooperation Group”). The Cooperation Group may issue opinions and recommendations.
4.   Certification pursuant to paragraph 1 shall be valid for up to five years, provided that a vulnerability assessment is carried out every two years. Where a vulnerability is identified and not remedied in a timely manner, certification shall be cancelled.
5.   Compliance with the requirements set out in Article 5a of this Regulation related to the personal data processing operations may be certified pursuant to Regulation(EU) 2016/679.
6.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the certification of European Digital Identity Wallets referred to in paragraph 1, 2 and 3 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
7.   Member States shall communicate to the Commission the names and addresses of the conformity assessment bodies referred to in paragraph 1. The Commission shall make that information available to all Member States.
8.   The Commission shall be empowered to adopt delegated acts in accordance with Article 47 establishing specific criteria to be met by the designated conformity assessment bodies referred to in paragraph 1 of this Article.
Article 5d
Publication of a list of certified European Digital Identity Wallets
1.   Member States shall inform the Commission and the Cooperation Group established pursuant to Article 46e(1) without undue delay of European Digital Identity Wallets that have been provided pursuant to Article 5a and certified by the conformity assessment bodies referred to in Article 5c(1). They shall inform the Commission and the Cooperation Group established pursuant to Article 46e(1), without undue delay if a certification is cancelled and shall state the reasons for the cancellation.
2.   Without prejudice to Article 5a(18), the information provided by Member States referred to in paragraph 1 of this Article shall include at least:
(a)
the certificate and certification assessment report of the certified European Digital Identity Wallet;
(b)
a description of the electronic identification scheme under which the European Digital Identity Wallet is provided;
(c)
the applicable supervisory regime and information on the liability regime with respect to the party providing the European Digital Identity Wallet;
(d)
the authority or authorities responsible for the electronic identification scheme;
(e)
arrangements for suspension or revocation of the electronic identification scheme or authentication or of the compromised parts concerned.
3.   On the basis of the information received pursuant to paragraph 1, the Commission shall establish, publish in the 
Official Journal of the European Union
 and maintain in a machine-readable form a list of certified European Digital Identity Wallets.
4.   A Member State may submit a request to the Commission to remove a European Digital Identity Wallet and the electronic identification scheme under which it is provided from the list referred to in paragraph 3.
5.   Where there are changes to the information provided pursuant to paragraph 1, the Member State shall provide the Commission with updated information.
6.   The Commission shall keep the list referred to in paragraph 3 updated by publishing in the 
Official Journal of the European Union
 the corresponding amendments to the list within one month of receipt of a request pursuant to paragraph 4 or of updated information pursuant to paragraph 5.
7.   By 21 November 2024, the Commission shall establish the formats and procedures applicable for the purposes of paragraphs 1, 4 and 5 of this Article by means of implementing acts on the implementation of European Digital Identity Wallets as referred to in Article 5a(23). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 5e
Security breach of European Digital Identity Wallets
1.   Where European Digital Identity Wallets provided pursuant to Article 5a, the validation mechanisms referred to in Article 5a(8) or the electronic identification scheme under which the European Digital Identity Wallets are provided are breached or partly compromised in a manner that affects their reliability or the reliability of other European Digital Identity Wallets, the Member State that provided the European Digital Identity Wallets shall, without undue delay, suspend the provision and the use of European Digital Identity Wallets.
Where justified by the severity of the security breach or compromise referred to in the first subparagraph, the Member State shall withdraw European Digital Identity Wallets without undue delay.
The Member State shall inform the users affected, the single points of contact designated pursuant to Article 46c(1), the relying parties and the Commission accordingly.
2.   If the security breach or compromise referred to in paragraph 1, first subparagraph, of this Article is not remedied within three months of the suspension, the Member State that provided the European Digital Identity Wallets shall withdraw European Digital Identity Wallets and revoke their validity. The Member State shall inform the users affected, the single points of contact designated pursuant to Article 46c(1), the relying parties and the Commission of the withdrawal accordingly.
3.   Where the security breach or compromise referred to in paragraph 1, first subparagraph, of this Article is remedied, the providing Member State shall re-establish the provision and the use of European Digital Identity Wallets and inform the affected users and relying parties, the single points of contact designated pursuant to Article 46c(1) and the Commission without undue delay.
4.   The Commission shall publish in the 
Official Journal of the European Union
 the corresponding amendments to the list referred to in Article 5d without undue delay.
5.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the measures referred to in paragraphs 1, 2 and 3 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 5f
Cross-border reliance on European Digital Identity Wallets
1.   Where Member States require electronic identification and authentication to access an online service provided by a public sector body, they shall also accept European Digital Identity Wallets that are provided in accordance with this Regulation.
2.   Where private relying parties that provide services, with the exception of microenterprises and small enterprises as defined in Article 2 of the Annex to Commission Recommendation 2003/361/EC
 (
*4
)
, are required by Union or national law to use strong user authentication for online identification or where strong user authentication for online identification is required by contractual obligation, including in the areas of transport, energy, banking, financial services, social security, health, drinking water, postal services, digital infrastructure, education or telecommunications, those private relying parties shall, no later than 36 months from the date of entry into force of the implementing acts referred to in Article 5a(23) and Article 5c(6) and only upon the voluntary request of the user, also accept European Digital Identity Wallets that are provided in accordance with this Regulation.
3.   Where providers of very large online platforms as referred to in Article 33 of Regulation (EU) 2022/2065 of the European Parliament and of the Council
 (
*5
)
 require user authentication for access to online services, they shall also accept and facilitate the use of European Digital Identity Wallets that are provided in accordance with this Regulation for user authentication only upon the voluntary request of the user and in respect of the minimum data necessary for the specific online service for which authentication is requested.
4.   In cooperation with Member States, the Commission shall facilitate the development of codes of conduct in close collaboration with all relevant stakeholders, including civil society, in order to contribute to the wide availability and usability of European Digital Identity Wallets within the scope of this Regulation, and to encourage service providers to complete the development of codes of conduct.
5.   Within 24 months after deployment of the European Digital Identity Wallets, the Commission shall assess the demand for, and the availability and usability of, European Digital Identity Wallets, taking into account criteria such as user take-up, cross-border presence of service providers, technological developments, evolution in usage patterns and consumer demand.
(
*2
)
  Directive (EU) 2019/882 of the European Parliament and of the Council of 17 April 2019on the accessibility requirements for products and services (
OJ L 151, 7.6.2019, p. 70
)."
(
*3
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
)."
(
*4
)
  Commission Recommendation 2003/361/EC of 6 May 2003concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
)."
(
*5
)
  Regulation (EU) 2022/2065 of the European Parliament and of the Council of 19 October 2022on a Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act) (
OJ L 277, 27.10.2022, p. 1
).’;"
(6)
the following heading is inserted before Article 6:
‘SECTION 2
ELECTRONIC IDENTIFICATION SCHEMES’;
(7)
in Article 7, point (g) is replaced by the following:
‘(g)
at least six months prior to notification pursuant to Article 9(1), the notifying Member State provides the other Member States, for the purposes of Article 12(5), with a description of that scheme in accordance with the procedural arrangements established by the implementing acts adopted pursuant to Article 12(6);’;
(8)
in Article 8(3), the first subparagraph is replaced by the following:
‘3   By 18 September 2015, taking into account relevant international standards and subject to paragraph 2, the Commission shall, by means of implementing acts, set out minimum technical specifications, standards and procedures with reference to which assurance levels low, substantial and high are specified for electronic identification means.’;
(9)
in Article 9, paragraphs 2 and 3 are replaced by the following:
‘2.   The Commission shall, without undue delay, publish in the 
Official Journal of the European Union
 a list of the electronic identification schemes which were notified pursuant to paragraph 1 together with basic information about those schemes.
3.   The Commission shall publish in the 
Official Journal of the European Union
 the amendments to the list referred to in paragraph 2 within one month of the date of receipt of that notification.’;
(10)
in Article 10, the title is replaced by the following:
‘Security breach of electronic identification schemes’;
(11)
the following article is inserted:
‘Article 11a
Cross-border identity matching
1.   When acting as relying parties for cross-border services, Member States shall ensure unequivocal identity matching for natural persons using notified electronic identification means or European Digital Identity Wallets.
2.   Member States shall provide for technical and organisational measures to ensure a high level of protection of personal data used for identity matching and to prevent the profiling of users.
3.   By 21 November 2024, the Commission shall establish a list of reference standards and, where necessary, establish specifications and procedures for the requirements referred to in paragraph 1 of this Article by means of implementing acts. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(12)
Article 12 is amended as follows:
(a)
the title is replaced by the following:
‘Interoperability’;
(b)
paragraph 3 is amended as follows:
(i)
point (c) is replaced by the following:
‘(c)
it facilitates the implementation of privacy and security by design;’;
(ii)
point (d) is deleted;
(c)
in paragraph 4, point (d) is replaced by the following:
‘(d)
a reference to a minimum set of person identification data necessary to uniquely represent a natural or legal person, or a natural person representing another natural person or a legal person, which is available from electronic identification schemes;’;
(d)
paragraphs 5 and 6 are replaced by the following:
‘5.   Member States shall carry out peer reviews of the electronic identification schemes that fall within the scope of this Regulation and that are to be notified pursuant to Article 9(1), point (a).
6.   By 18 March 2025, the Commission shall, by means of implementing acts, establish the necessary procedural arrangements for the peer reviews referred to in paragraph 5 of this Article with a view to fostering a high level of trust and security appropriate to the degree of risk. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(e)
paragraph 7 is deleted;
(f)
paragraph 8 is replaced by the following:
‘8.   By 18 September 2025, for the purpose of setting uniform conditions for the implementation of the requirement under paragraph 1 of this Article, the Commission shall, subject to the criteria set out in paragraph 3 of this Article and taking into account the results of the cooperation between Member States, adopt implementing acts on the interoperability framework as set out in paragraph 4 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(13)
the following articles are inserted in Chapter II:
‘Article 12a
Certification of electronic identification schemes
1.   The conformity of electronic identification schemes to be notified with the cybersecurity requirements laid down in this Regulation, including conformity with the cybersecurity relevant requirements set out in Article 8(2) regarding the assurance levels of electronic identification schemes, shall be certified by conformity assessment bodies designated by Member States.
2.   Certification pursuant to paragraph 1 of this Article shall be carried out under a relevant cybersecurity certification scheme pursuant to Regulation (EU) 2019/881 or parts thereof, insofar as the cybersecurity certificate or parts thereof cover those cybersecurity requirements.
3.   Certification pursuant to paragraph 1 shall be valid for up to five years, provided that a vulnerability assessment is carried out every two years. Where a vulnerability is identified and not remedied within three months of such identification, certification shall be cancelled.
4.   Notwithstanding paragraph 2, Member States may request, in accordance with that paragraph, additional information from a notifying Member State about electronic identification schemes or part thereof certified.
5.   The peer review of electronic identification schemes referred to in Article 12(5) shall not apply to electronic identification schemes or parts of such schemes certified in accordance with paragraph 1 of this Article. Member States may use a certificate or a statement of conformity, issued in accordance with a relevant certification scheme or parts of such schemes, with the non-cybersecurity-related requirements set out in Article 8(2) regarding the assurance level of electronic identification schemes.
6.   Member States shall communicate to the Commission the names and addresses of the conformity assessment bodies referred to in paragraph 1. The Commission shall make that information available to all Member States.
Article 12b
Access to hardware and software features
Where providers of European Digital Identity Wallets and issuers of notified electronic identification means that act in a commercial or professional capacity and use core platform services as defined in Article 2, point (2), of Regulation (EU) 2022/1925 of the European Parliament and of the Council
 (
*6
)
 for the purpose or in the course of providing European Digital Identity Wallet services and electronic identification means to end-users are business users as defined in Article 2, point (21), of that Regulation, gatekeepers shall in particular allow them effective interoperability with, and, for the purposes of interoperability, access to, the same operating system, hardware or software features. Such effective interoperability and access shall be allowed free of charge and regardless of whether the hardware or software features are part of the operating system, are available to, or are used by, that gatekeeper when providing such services, within the meaning of Article 6(7) of Regulation (EU) 2022/1925. This Article is without prejudice to Article 5a(14) of this Regulation.
(
*6
)
  Regulation (EU) 2022/1925 of the European Parliament and of the Council of 14 September 2022on contestable and fair markets in the digital sector and amending Directives (EU) 2019/1937 and (EU) 2020/1828 (Digital Markets Act) (
OJ L 265, 12.10.2022, p. 1
).’;"
(14)
in Article 13, paragraph 1 is replaced by the following:
‘1.   Notwithstanding paragraph 2 of this Article and without prejudice to Regulation (EU) 2016/679, trust service providers shall be liable for damage caused intentionally or negligently to any natural or legal person due to a failure to comply with the obligations under this Regulation. Any natural or legal person who has suffered material or non-material damage as a result of an infringement of this Regulation by a trust service provider shall have the right to seek compensation in accordance with Union and national law.
The burden of proving the intention or negligence of a non-qualified trust service provider shall lie with the natural or legal person claiming the damage referred to in the first subparagraph.
The intention or negligence of a qualified trust service provider shall be presumed unless that qualified trust service provider proves that the damage referred to in the first subparagraph occurred without the intention or negligence of that qualified trust service provider.’;
(15)
Articles 14, 15 and 16 are replaced by the following:
‘Article 14
International aspects
1.   Trust services provided by trust service providers established in a third country or by an international organisation shall be recognised as legally equivalent to qualified trust services provided by qualified trust service providers established in the Union, where the trust services originating from the third country or from the international organisation are recognised by means of implementing acts or an agreement concluded between the Union and the third country or the international organisation pursuant to Article 218 TFEU.
The implementing acts referred to in the first subparagraph shall be adopted in accordance with the examination procedure referred to in Article 48(2).
2.   The implementing acts and the agreement referred to in paragraph 1 shall ensure that the requirements applicable to qualified trust service providers established in the Union and the qualified trust services they provide are met by the trust service providers in the third country concerned or by the international organisation and by the trust services they provide. Third countries and international organisations shall in particular establish, maintain and publish a trusted list of recognised trust service providers.
3.   The agreement referred to in paragraph 1 shall ensure that the qualified trust services provided by qualified trust service providers established in the Union are recognised as legally equivalent to trust services provided by trust service providers in the third country or by the international organisation with which the agreement is concluded.
Article 15
Accessibility for persons with disabilities and special needs
The provision of electronic identification means, trust services and end-user products that are used in the provision of those services shall be made available in plain and intelligible language, in accordance with the United Nations Convention on the Rights of Persons with Disabilities and with the accessibility requirements of Directive (EU) 2019/882, thus also benefiting persons who experience functional limitations, such as elderly people, and persons with limited access to digital technologies.
Article 16
Penalties
1.   Without prejudice to Article 31 of Directive (EU) 2022/2555 of the European Parliament and of the Council
 (
*7
)
, Member States shall lay down the rules on penalties applicable to infringements of this Regulation. Those penalties shall be effective, proportionate and dissuasive.
2.   Member States shall ensure that infringements of this Regulation by qualified and non-qualified trust service providers be subject to administrative fines of a maximum of at least:
(a)
EUR 5 000 000 where the trust service provider is a natural person; or
(b)
where the trust service provider is a legal person, EUR 5 000 000 or 1 % of the total worldwide annual turnover of the undertaking to which the trust service provider belonged in the financial year preceding the year in which the infringement occurred, whichever is higher.
3.   Depending on the legal system of the Member States, the rules on administrative fines may be applied in such a manner that the fine is initiated by the competent supervisory body and imposed by competent national courts. The application of such rules in those Member States shall ensure that those legal remedies are effective and have an equivalent effect to administrative fines imposed directly by supervisory authorities.
(
*7
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).’;"
(16)
in Chapter III, Section 2, the title is replaced by the following:
‘Non-qualified trust services’;
(17)
Articles 17 and 18 are deleted;
(18)
the following article is inserted in Chapter III, Section 2:
‘Article 19a
Requirements for non-qualified trust service providers
1.   A non-qualified trust service provider providing non-qualified trust services shall:
(a)
have appropriate policies and take corresponding measures to manage legal, business, operational and other direct or indirect risks to the provision of the non-qualified trust service, which shall, notwithstanding Article 21 of Directive (EU) 2022/2555, include at least measures relating to:
(i)
registration and onboarding procedures for a trust service;
(ii)
procedural or administrative checks needed to provide trust services;
(iii)
the management and implementation of trust services;
(b)
notifying the supervisory body, the identifiable affected individuals, the public if it is of public interest and, where applicable, other relevant competent authorities, of any security breaches or disruptions in the provision of the service or the implementation of the measures referred to in point (a) (i), (ii) or (iii), that have a significant impact on the trust service provided or on the personal data maintained therein, without undue delay and in any case no later than 24 hours of having become aware of any security breaches or disruptions.
2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for paragraph 1, point (a), of this Article. Compliance with the requirements laid down in this Article shall be presumed where those standards, specifications and procedures are met. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(19)
Article 20 is amended as follows:
(a)
paragraph 1 is replaced by the following:
‘1.   Qualified trust service providers shall be audited at their own expense at least every 24 months by a conformity assessment body. The audit shall confirm that the qualified trust service providers and the qualified trust services provided by them fulfil the requirements laid down in this Regulation and in Article 21 of Directive (EU) 2022/2555. Qualified trust service providers shall submit the resulting conformity assessment report to the supervisory body within three working days of receipt.’
(b)
the following paragraphs are inserted:
‘1a.   Qualified trust service providers shall inform the supervisory body at the latest one month before any planned audits and shall allow the supervisory body to participate as an observer upon request.
1b.   Member States shall, without undue delay, notify to the Commission the names, addresses and accreditation details of the conformity assessment bodies referred to in paragraph 1 and any subsequent changes thereto. The Commission shall make that information available to all Member States.’;
(c)
paragraphs 2, 3 and 4 are replaced by the following:
‘2.   Without prejudice to paragraph 1, the supervisory body may at any time audit or request a conformity assessment body to perform a conformity assessment of the qualified trust service providers, at the expense of those trust service providers, to confirm that they and the qualified trust services provided by them fulfil the requirements laid down in this Regulation. Where personal data protection rules appear to have been breached, the supervisory body shall, without undue delay, inform the competent supervisory authorities established pursuant to Article 51 of Regulation (EU) 2016/679.
3.   Where the qualified trust service provider fails to fulfil any of the requirements set out by this Regulation, the supervisory body shall require it to provide a remedy within a set time limit, if applicable.
Where that provider does not provide a remedy and, where applicable within the time limit set by the supervisory body, the supervisory body, where justified in particular by the extent, duration and consequences of that failure, shall withdraw the qualified status of that provider or of the affected service it provides.
3a.   Where the competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555 informs the supervisory body that the qualified trust service provider fails to fulfil any of the requirements set out in Article 21 of that Directive, the supervisory body, where justified in particular by the extent, duration and consequences of that failure, shall withdraw the qualified status of that provider or of the affected service that it provides.
3b.   Where the supervisory authorities established pursuant to Article 51 of Regulation (EU) 2016/679 informs the supervisory body that the qualified trust service provider fails to fulfil any of the requirements set out in that Regulation, the supervisory body, where justified in particular by the extent, duration and consequences of that failure, shall withdraw the qualified status of that provider or of the affected service it provides.
3c.   The supervisory body shall inform the qualified trust service provider of the withdrawal of its qualified status or of the qualified status of the service concerned. The supervisory body shall inform the body notified pursuant to Article 22(3) of this Regulation for the purposes of updating the trusted lists referred to in paragraph 1 of that Article and the competent authority designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555.
4.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the following:
(a)
the accreditation of the conformity assessment bodies and for the conformity assessment report referred to in paragraph 1;
(b)
the auditing requirements for the conformity assessment bodies to carry out their conformity assessment, including composite assessment, of the qualified trust service providers as referred to in paragraph 1;
(c)
the conformity assessment schemes for carrying out the conformity assessment of the qualified trust service providers by the conformity assessment bodies and for the provision of the report referred to in paragraph 1.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(20)
Article 21 is amended as follows:
(a)
paragraphs 1 and 2 are replaced by the following:
‘1.   Where trust service providers intend to start providing a qualified trust service, they shall notify the supervisory body of their intention together with a conformity assessment report issued by a conformity assessment body confirming the fulfilment of the requirements laid down in this Regulation and in Article 21 of Directive (EU) 2022/2555.
2.   The supervisory body shall verify whether the trust service provider and the trust services provided by it comply with the requirements laid down in this Regulation and, in particular, with the requirements for qualified trust service providers and for the qualified trust services they provide.
In order to verify the compliance of the trust service provider with the requirements laid down in Article 21 of Directive (EU) 2022/2555, the supervisory body shall request the competent authorities designated or established pursuant to Article 8(1) of that Directive to carry out supervisory actions in that regard and to provide information about the outcome without undue delay and in any event within two months of receipt of that request. If the verification is not concluded within two months of the notification, those competent authorities shall inform the supervisory body specifying the reasons for the delay and the period within which the verification is to be concluded.
Where the supervisory body concludes that the trust service provider and the trust services provided by it comply with the requirements laid down in this Regulation, the supervisory body shall grant qualified status to the trust service provider and the trust services it provides and inform the body referred to in Article 22(3) for the purposes of updating the trusted lists referred to in Article 22(1), not later than three months after notification in accordance with paragraph 1 of this Article.
Where the verification is not concluded within three months of notification, the supervisory body shall inform the trust service provider specifying the reasons for the delay and the period within which the verification is to be concluded.’;
(b)
paragraph 4 is replaced by the following:
‘4.   By 21 May 2025, the Commission shall, by means of implementing acts, establish the formats and procedures of the notification and verification for the purposes of paragraphs 1 and 2 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(21)
Article 24 is amended as follows:
(a)
paragraph 1 is replaced by the following:
‘1.   When issuing a qualified certificate or a qualified electronic attestation of attributes, a qualified trust service provider shall verify the identity and, if applicable, any specific attributes of the natural or legal person to whom the qualified certificate or the qualified electronic attestation of attributes is to be issued.
1a.   The verification of the identity referred to in paragraph 1 shall be performed, by appropriate means, by the qualified trust service provider, either directly or by means of a third party, on the basis of one of the following methods or, when needed, on a combination thereof in accordance with the implementing acts referred to in paragraph 1c:
(a)
by means of the European Digital Identity Wallet or a notified electronic identification means which meets the requirements set out in Article 8 with regard to assurance level high;
(b)
by means of a certificate of a qualified electronic signature or of a qualified electronic seal, issued in compliance with point (a), (c) or (d);
(c)
by using other identification methods which ensure the identification of the person with a high level of confidence, the conformity of which shall be confirmed by a conformity assessment body;
(d)
through the physical presence of the natural person or of an authorised representative of the legal person, by means of appropriate evidence and procedures, in accordance with national law.
1b.   The verification of the attributes referred to in paragraph 1 shall be performed, by appropriate means, by the qualified trust service provider, either directly or by means of a third party, on the basis of one of the following methods or, where necessary, on a combination thereof, in accordance with the implementing acts referred to in paragraph 1c:
(a)
by means of the European Digital Identity Wallet or a notified electronic identification means which meets the requirements set out in Article 8 with regard to assurance level high;
(b)
by means of a certificate of a qualified electronic signature or of a qualified electronic seal, issued in accordance with paragraph 1a, point (a), (c) or (d);
(c)
by means of a qualified electronic attestation of attributes;
(d)
by using other methods, which ensure the verification of the attributes with a high level of confidence, the conformity of which shall be confirmed by a conformity assessment body;
(e)
by means of the physical presence of the natural person or of an authorised representative of the legal person, by means of appropriate evidence and procedures, in accordance with national law.
1c.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the verification of identity and attributes in accordance with paragraphs 1, 1a and 1b of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(b)
paragraph 2 is amended as follows:
(i)
point (a) is replaced by the following:
‘(a)
inform the supervisory body at least one month before implementing any change in the provision of its qualified trust services or at least three months in case of an intention to cease those activities;’;
(ii)
points (d) and (e) are replaced by the following:
‘(d)
before entering into a contractual relationship, inform, in a clear, comprehensive and easily accessible manner, in a publicly accessible space and individually any person seeking to use a qualified trust service of the precise terms and conditions regarding the use of that service, including any limitations on its use;
(e)
use trustworthy systems and products that are protected against modification and ensure the technical security and reliability of the processes supported by them, including using suitable cryptographic techniques;’;
(iii)
the following points are inserted:
‘(fa)
notwithstanding Article 21 of Directive (EU) 2022/2555, have appropriate policies and take corresponding measures to manage legal, business, operational and other direct or indirect risks to the provision of the qualified trust service, including at least measures related to the following:
(i)
registration and onboarding procedures for a service;
(ii)
procedural or administrative checks;
(iii)
the management and implementation of services;
(fb)
notify the supervisory body, the identifiable affected individuals, other relevant competent bodies where applicable and, at the request of the supervisory body, the public if it is of public interest, of any security breaches or disruptions in the provision of the service or the implementation of the measures referred to in point (fa)(i), (ii) or (iii) that have a significant impact on the trust service provided or on the personal data maintained therein, without undue delay and in any event within 24 hours of the incident;’;
(iv)
points (g), (h) and (i) are replaced by the following:
‘(g)
take appropriate measures against forgery, theft or misappropriation of data or, without right, deleting, altering or rendering data inaccessible;
(h)
record and keep accessible for as long as necessary after the activities of the qualified trust service provider have ceased, all relevant information concerning data issued and received by the qualified trust service provider, for the purpose of providing evidence in legal proceedings and for the purpose of ensuring continuity of the service. Such recording may be done electronically;
(i)
have an up-to-date termination plan to ensure the continuity of service in accordance with provisions that are verified by the supervisory body pursuant to Article 46b(4), point (i);’;
(v)
point (j) is deleted;
(vi)
the following subparagraph is added:
‘The supervisory body may request information in addition to the information notified pursuant to point (a) of the first subparagraph or the result of a conformity assessment and may condition the granting of the permission to implement the intended changes to the qualified trust services. If the verification is not concluded within three months of notification, the supervisory body shall inform the trust service provider, specifying the reasons for the delay and the period within which the verification is to be concluded.’;
(c)
paragraph 5 is replaced by the following:
‘4a.   Paragraphs 3 and 4 shall apply accordingly to the revocation of qualified electronic attestations of attributes.
4b.   The Commission shall be empowered to adopt delegated acts in accordance with Article 47, establishing additional measures referred to in paragraph 2, point (fa), of this Article.
5.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the requirements referred to in paragraph 2 of this Article. Compliance with the requirements laid down in this paragraph shall be presumed where those standards, specifications and procedures are met. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(22)
the following article is inserted in Chapter III, Section 3:
‘Article 24a
Recognition of qualified trust services
1.   Qualified electronic signatures based on a qualified certificate issued in one Member State and qualified electronic seals based on a qualified certificate issued in one Member State shall be recognised, respectively, as qualified electronic signatures and qualified electronic seals in all other Member States.
2.   Qualified electronic signature creation devices and qualified electronic seal creation devices certified in one Member State shall be recognised, respectively, as qualified electronic signature creation devices and qualified electronic seal creation devices in all other Member States.
3.   A qualified certificate for electronic signatures, a qualified certificate for electronic seals, a qualified trust service for the management of remote qualified electronic signature creation devices and a qualified trust service for the management of remote qualified electronic seal creation devices provided in one Member State shall be recognised, respectively, as a qualified certificate for electronic signatures, a qualified certificate for electronic seals, a qualified trust service for the management of remote qualified electronic signature creation devices and a qualified trust service for the management of remote qualified electronic seal creation devices in all other Member States.
4.   A qualified validation service for qualified electronic signatures and a qualified validation service for qualified electronic seals provided in one Member State shall be recognised, respectively, as a qualified validation service for qualified electronic signatures and a qualified validation service for qualified electronic seals in all other Member States.
5.   A qualified preservation service for qualified electronic signatures and a qualified preservation service for qualified electronic seals provided in one Member State shall be recognised, respectively, as a qualified preservation service for qualified electronic signatures and a qualified preservation service for qualified electronic seals in all other Member States.
6.   A qualified electronic time stamp provided in one Member State shall be recognised as a qualified electronic time stamp in all other Member States.
7.   A qualified certificate for website authentication issued in one Member State shall be recognised as a qualified certificate for website authentication in all other Member States.
8.   A qualified electronic registered delivery service provided in one Member State shall be recognised as a qualified electronic registered delivery service in all other Member States.
9.   A qualified electronic attestation of attributes issued in one Member State shall be recognised as a qualified electronic attestation of attributes in all other Member States.
10.   A qualified electronic archiving service provided in one Member State shall be recognised as a qualified electronic archiving service in all other Member States.
11.   A qualified electronic ledger provided in one Member State shall be recognised as a qualified electronic ledger in all other Member States.’;
(23)
in Article 25, paragraph 3 is deleted;
(24)
Article 26 is amended as follows:
(a)
the single paragraph becomes paragraph 1;
(b)
the following paragraph is added:
‘2.   By 21 May 2026, the Commission shall assess whether it is necessary to adopt implementing acts to establish a list of reference standards and, where necessary, establish specifications and procedures for advanced electronic signatures. On the basis of that assessment, the Commission may adopt such implementing acts. Compliance with the requirements for advanced electronic signatures shall be presumed where an advanced electronic signature complies with the standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(25)
in Article 27, paragraph 4 is deleted;
(26)
in Article 28, paragraph 6 is replaced by the following:
‘6.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified certificates for electronic signature. Compliance with the requirements laid down in Annex I shall be presumed where a qualified certificate for electronic signature complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(27)
in Article 29, the following paragraph is inserted:
‘1a.   Generating or managing electronic signature creation data or duplicating such signature creation data for back-up purposes shall be carried out only on behalf of the signatory, at the request of the signatory, and by a qualified trust service provider providing a qualified trust service for the management of a remote qualified electronic signature creation device.’;
(28)
the following article is inserted:
‘Article 29a
Requirements for a qualified service for the management of remote qualified electronic signature creation devices
1.   The management of remote qualified electronic signature creation devices as a qualified service shall be carried out only by a qualified trust service provider that:
(a)
generates or manages electronic signature creation data on behalf of the signatory;
(b)
notwithstanding point (1)(d) of Annex II, duplicates the electronic signature creation data for back-up purposes only, provided that the following requirements are met:
(i)
the security of the duplicated datasets must be at the same level as for the original datasets;
(ii)
the number of duplicated datasets must not exceed the minimum needed to ensure continuity of the service;
(c)
complies with any requirements identified in the certification report of the specific remote qualified electronic signature creation device issued pursuant to Article 30.
2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, specifications and procedures for the purposes of paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(29)
in Article 30, the following paragraph is inserted:
‘3a   . The validity of a certification referred to in paragraph 1 shall not exceed five years, provided that vulnerabilities assessments are carried out every two years. Where vulnerabilities are identified and not remedied, the certification shall be cancelled.’;
(30)
in Article 31, paragraph 3 is replaced by the following:
‘3.   By 21 May 2025, the Commission shall, by means of implementing acts, establish the formats and procedures applicable for the purpose of paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(31)
Article 32 is amended as follows:
(a)
in paragraph 1, the following subparagraph is added:
‘Compliance with the requirements laid down in the first subparagraph of this paragraph shall be presumed where the validation of qualified electronic signatures complies with the standards, specifications and procedures referred to in paragraph 3.’;
(b)
paragraph 3 is replaced by the following:
‘3.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the validation of qualified electronic signatures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(32)
the following article is inserted:
‘Article 32a
Requirements for the validation of advanced electronic signatures based on qualified certificates
1.   The process for the validation of an advanced electronic signature based on a qualified certificate shall confirm the validity of an advanced electronic signature based on a qualified certificate, provided that:
(a)
the certificate that supports the signature was, at the time of signing, a qualified certificate for electronic signature complying with Annex I;
(b)
the qualified certificate was issued by a qualified trust service provider and was valid at the time of signing;
(c)
the signature validation data corresponds to the data provided to the relying party;
(d)
the unique set of data representing the signatory in the certificate is correctly provided to the relying party;
(e)
the use of any pseudonym is clearly indicated to the relying party if a pseudonym was used at the time of signing;
(f)
the integrity of the signed data has not been compromised;
(g)
the requirements provided for in Article 26 were met at the time of signing.
2.   The system used for validating the advanced electronic signature based on qualified certificate shall provide to the relying party the correct result of the validation process and shall allow the relying party to detect any security relevant issues.
3.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the validation of advanced electronic signatures based on qualified certificates. Compliance with the requirements laid down in paragraph 1 of this Article shall be presumed where the validation of advanced electronic signature based on qualified certificates complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(33)
in Article 33, paragraph 2 is replaced with the following text:’
‘2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified validation service referred to in paragraph 1 of this Article. Compliance with the requirements laid down in paragraph 1 of this Article shall be presumed where the qualified validation service for qualified electronic signatures complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(34)
Article 34 is amended as follows:
(a)
the following paragraph is inserted:
‘1a.   Compliance with the requirements laid down in paragraph 1 shall be presumed where the arrangements for the qualified preservation service for qualified electronic signatures complies with the standards, specifications and procedures referred to in paragraph 2.’;
(b)
paragraph 2 is replaced by the following:
‘2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the qualified preservation service for qualified electronic signatures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(35)
in Article 35, paragraph 3 is deleted;
(36)
Article 36 is amended as follows:
(a)
the single paragraph becomes paragraph 1;
(b)
the following paragraph is added:
‘2.   By 21 May 2026, the Commission shall assess whether it is necessary to adopt implementing acts to establish a list of reference standards and, where necessary, establish specifications and procedures for advanced electronic seals. On the basis of that assessment, the Commission may adopt such implementing acts. Compliance with the requirements for advanced electronic seals shall be presumed where an advanced electronic seal complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(37)
in Article 37, paragraph 4 is deleted;
(38)
in Article 38, paragraph 6 is replaced by the following:
‘6.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified certificates for electronic seals. Compliance with the requirements laid down in Annex III shall be presumed where a qualified certificate for electronic seal complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(39)
the following article is inserted:
‘Article 39a
Requirements for a qualified service for the management of remote qualified electronic seal creation devices
Article 29a shall apply 
mutatis mutandis
 to a qualified service for the management of remote qualified electronic seal creation devices.’;
(40)
the following article is inserted in Chapter III, Section 5:
‘Article 40a
Requirements for the validation of advanced electronic seals based on qualified certificates
Article 32a shall apply 
mutatis mutandis
 to the validation of advanced electronic seals based on qualified certificates.’;
(41)
in Article 41, paragraph 3 is deleted;
(42)
Article 42 is amended as follows:
(a)
the following paragraph is inserted:
‘1a.   Compliance with the requirements laid down in paragraph 1 shall be presumed where the binding of date and time to data and the accuracy of the time source comply with the standards, specifications and procedures referred to in paragraph 2.’;
(b)
paragraph 2 is replaced by the following
‘2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the binding of date and time to data and for establishing the accuracy of time sources. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(43)
Article 44 is amended as follows:
(a)
the following paragraph is inserted:
‘1a.   Compliance with the requirements laid down in paragraph 1 shall be presumed where the process for sending and receiving data complies with the standards, specifications and procedures referred to in paragraph 2.’;
(b)
paragraph 2 is replaced by the following:
‘2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for processes for sending and receiving data. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(c)
the following paragraphs are inserted:
‘2a.   Providers of qualified electronic registered delivery services may agree on interoperability between qualified electronic registered delivery services which they provide. Such interoperability framework shall comply with the requirements laid down in paragraph 1 and such compliance shall be confirmed by a conformity assessment body.
2b.   The Commission may, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the interoperability framework referred to in paragraph 2a of this Article. The technical specifications and content of standards shall be cost-effective and proportionate. The implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(44)
Article 45 is replaced by the following:
‘Article 45
Requirements for qualified certificates for website authentication
1.   Qualified certificates for website authentication shall meet the requirements laid down in Annex IV. The evaluation of compliance with those requirements shall be carried out in accordance with the standards, specifications and procedures referred to in paragraph 2 of this Article.
1a.   Qualified certificates for website authentication issued in accordance with paragraph 1 of this Article shall be recognised by providers of web-browsers. Providers of web-browsers shall ensure that the identity data attested in the certificate and additional attested attributes are displayed in a user-friendly manner. Providers of web-browsers shall ensure support and interoperability with qualified certificates for website authentication referred to in paragraph 1 of this Article, with the exception of microenterprises or small enterprises as defined in Article 2 of the Annex to Recommendation 2003/361/EC during the first five years of operating as providers of web-browsing services.
1b.   Qualified certificates for website authentication shall not be subject to any mandatory requirements other than the requirements laid down in paragraph 1.
2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified certificates for website authentication, referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(45)
the following article is inserted:
‘Article 45a
Cybersecurity precautionary measures
1.   Providers of web-browsers shall not take any measures contrary to their obligations set out in Article 45, in particular the requirements to recognise qualified certificates for website authentication and to display the identity data provided in a user-friendly manner.
2.   By way of derogation from paragraph 1 and only in the event of substantiated concerns related to security breaches or the loss of integrity of an identified certificate or set of certificates, providers of web-browsers may take precautionary measures in relation to that certificate or set of certificates.
3.   Where a provider of a web-browser takes precautionary measures pursuant to paragraph 2, the provider of the web-browser shall notify its concerns in writing, without undue delay, together with a description of the measures taken to mitigate those concerns, to the Commission, the competent supervisory body, the entity to whom the certificate was issued and to the qualified trust service provider that issued that certificate or set of certificates. Upon receipt of such a notification, the competent supervisory body shall issue an acknowledgement of receipt to the provider of the web-browser in question.
4.   The competent supervisory body shall investigate the issues raised in the notification in accordance with Article 46b(4), point (k). Where the outcome of that investigation does not result in the withdrawal of the qualified status of the certificate, the supervisory body shall inform the provider of the web-browser accordingly and shall request that provider to put an end to the precautionary measures referred to in paragraph 2 of this Article.’;
(46)
the following sections are added in Chapter III:
‘SECTION 9
ELECTRONIC ATTESTATION OF ATTRIBUTES
Article 45b
Legal effects of electronic attestation of attributes
1.   An electronic attestation of attributes shall not be denied legal effect or admissibility as evidence in legal proceedings on the sole ground that it is in electronic form or that it does not meet the requirements for qualified electronic attestations of attributes.
2.   A qualified electronic attestation of attributes and attestations of attributes issued by, or on behalf of, a public sector body responsible for an authentic source shall have the same legal effect as lawfully issued attestations in paper form.
3.   An attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source in one Member State shall be recognised as an attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source in all Member States.
Article 45c
Electronic attestation of attributes in public services
Where an electronic identification using an electronic identification means and authentication is required under national law to access an online service provided by a public sector body, person identification data in the electronic attestation of attributes shall not substitute electronic identification using an electronic identification means and authentication for electronic identification unless specifically allowed by the Member State. In such a case, qualified electronic attestation of attributes from other Member States shall also be accepted.
Article 45d
Requirements for qualified electronic attestation of attributes
1.   Qualified electronic attestation of attributes shall meet the requirements laid down in Annex V.
2.   The evaluation of compliance with the requirements laid down in Annex V shall be carried out in accordance with the standards, specifications and procedures referred to in paragraph 5 of this Article.
3.   Qualified electronic attestations of attributes shall not be subject to any mandatory requirement in addition to the requirements laid down in Annex V.
4.   Where a qualified electronic attestation of attributes has been revoked after initial issuance, it shall lose its validity from the moment of its revocation and its status shall not in any circumstances be reverted.
5.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified electronic attestations of attributes. Those implementing acts shall be consistent with the implementing acts referred to in Article 5a(23) on the implementation of the European Digital Identity Wallet. They shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 45e
Verification of attributes against authentic sources
1.   Member States shall ensure, within 24 months of the date of entry into force of the implementing acts referred to in Articles 5a(23) and 5c(6), that, at least for the attributes listed in Annex VI, wherever those attributes rely on authentic sources within the public sector, measures are taken to allow qualified trust service providers of electronic attestations of attributes to verify those attributes by electronic means at the request of the user, in accordance with Union or national law.
2.   By 21 November 2024, the Commission shall, taking into account relevant international standards, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the catalogue of attributes, as well as schemes for the attestation of attributes and verification procedures for qualified electronic attestations of attributes for the purposes of paragraph 1 of this Article. Those implementing acts shall be consistent with the implementing acts referred to in Article 5a(23) on the implementation of the European Digital Identity Wallet. They shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 45f
Requirements for electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source
1.   An electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source shall meet the following requirements:
(a)
those set out in Annex VII;
(b)
the qualified certificate supporting the qualified electronic signature or qualified electronic seal of the public sector body referred to in Article 3, point (46), identified as the issuer referred to in point (b), of Annex VII, containing a specific set of certified attributes in a form suitable for automated processing and:
(i)
indicating that the issuing body is established in accordance with Union or national law as the responsible for the authentic source on the basis of which the electronic attestation of attributes is issued or as the body designated to act on its behalf;
(ii)
providing a set of data unambiguously representing the authentic source referred to in point (i); and
(iii)
identifying the Union or national law referred to in point (i).
2.   The Member State where public sector bodies referred to in Article 3, point (46), are established shall ensure that the public sector bodies that issue electronic attestations of attributes meet a level of reliability and trustworthiness equivalent to qualified trust service providers in accordance with Article 24.
3.   Member States shall notify public sector bodies referred to in Article 3, point (46), to the Commission. That notification shall include a conformity assessment report issued by a conformity assessment body confirming that the requirements set out in paragraphs 1, 2 and 6 of this Article are met. The Commission shall make available to the public, through a secure channel, the list of public sector bodies referred to in Article 3, point (46), in electronically signed or sealed form suitable for automated processing.
4.   Where an electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source has been revoked after initial issuance, it shall lose its validity from the moment of its revocation and its status shall not be reverted.
5.   An electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source shall be deemed to be compliant with the requirements laid down in paragraph 1, where it complies with the standards, specifications and procedures referred to in paragraph 6.
6.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for electronic attestation of attributes issued by or on behalf of a public sector body responsible for an authentic source. Those implementing acts shall be consistent with the implementing acts referred to in Article 5a(23) on the implementation of the European Digital Identity Wallet. They shall be adopted in accordance with the examination procedure referred to in Article 48(2).
7.   By 21 November 2024, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the purposes of paragraph 3 of this Article. Those implementing acts shall be consistent with the implementing acts referred to in Article 5a(23) on the implementation of the European Digital Identity Wallet. They shall be adopted in accordance with the examination procedure referred to in Article 48(2).
8.   Public sector bodies referred to in Article 3, point (46), issuing electronic attestation of attributes shall provide an interface with European Digital Identity Wallets that are provided in accordance with Article 5a.
Article 45g
Issuing of electronic attestation of attributes to European Digital Identity Wallets
1.   Providers of electronic attestations of attributes shall provide European Digital Identity Wallet users with the possibility to request, obtain, store and manage the electronic attestation of attributes irrespective of the Member State where the European Digital Identity Wallet is provided.
2.   Providers of qualified electronic attestations of attributes shall provide an interface with European Digital Identity Wallets that are provided in accordance in Article 5a.
Article 45h
Additional rules for the provision of electronic attestation of attributes services
1.   Providers of qualified and non-qualified electronic attestation of attributes services shall not combine personal data relating to the provision of those services with personal data from any other services offered by them or their commercial partners.
2.   Personal data relating to the provision of electronic attestation of attributes services shall be kept logically separate from other data held by the provider of electronic attestation of attributes.
3.   Providers of qualified electronic attestation of attributes’ services shall implement the provision of such qualified trust services in a manner that is functionally separate from other services provided by them.
SECTION 10
ELECTRONIC ARCHIVING SERVICES
Article 45i
Legal effect of electronic archiving services
1.   Electronic data and electronic documents preserved using an electronic archiving service shall not be denied legal effect or admissibility as evidence in legal proceedings on the sole ground that they are in electronic form or that they are not preserved using a qualified electronic archiving service.
2.   Electronic data and electronic documents preserved using a qualified electronic archiving service shall enjoy the presumption of their integrity and of their origin for the duration of the preservation period by the qualified trust service provider.
Article 45j
Requirements for qualified electronic archiving services
1.   Qualified electronic archive services shall meet the following requirements:
(a)
they are provided by qualified trust service providers;
(b)
they use procedures and technologies capable of ensuring the durability and legibility of electronic data and electronic documents beyond the technological validity period and at least throughout the legal or contractual preservation period, while maintaining their integrity and the accuracy of their origin;
(c)
they ensure that those electronic data and those electronic documents are preserved in such a way that they are safeguarded against loss and alteration, except for changes concerning their medium or electronic format;
(d)
they shall allow authorised relying parties to receive a report in an automated manner that confirms that electronic data and electronic documents retrieved from a qualified electronic archive enjoy the presumption of integrity of the data from the beginning of the preservation period to the moment of retrieval.
The report referred to in point (d) of the first subparagraph shall be provided in a reliable and efficient way and shall bear the qualified electronic signature or qualified electronic seal of the provider of the qualified electronic archiving service.
2.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for qualified electronic archiving services. Compliance with the requirements for qualified electronic archive services shall be presumed where a qualified electronic archive service complies with those standards, specifications and procedures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
SECTION 11
ELECTRONIC LEDGERS
Article 45k
Legal effects of electronic ledgers
1.   An electronic ledger shall not be denied legal effect or admissibility as evidence in legal proceedings solely on the grounds that it is in an electronic form or that it does not meet the requirements for qualified electronic ledgers.
2.   Data records contained in a qualified electronic ledger shall enjoy the presumption of their unique and accurate sequential chronological ordering and of their integrity.
Article 45l
Requirements for qualified electronic ledgers
1.   Qualified electronic ledgers shall meet the following requirements:
(a)
they are created and managed by one or more qualified trust service providers;
(b)
they establish the origin of data records in the ledger;
(c)
they ensure the unique sequential chronological ordering of data records in the ledger;
(d)
they record data in such a way that any subsequent change to the data is immediately detectable, ensuring their integrity over time.
2.   Compliance with the requirements laid down in paragraph 1 shall be presumed where an electronic ledger complies with the standards, specifications and procedures referred to in paragraph 3.
3.   By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the requirements laid down in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(47)
the following chapter is inserted:
‘CHAPTER IVa
GOVERNANCE FRAMEWORK
Article 46a
Supervision of the European Digital Identity Wallet Framework
1.   Member States shall designate one or more supervisory bodies established in their territory.
The supervisory bodies designated pursuant to the first subparagraph shall be given the necessary powers and adequate resources for the exercise of their tasks in an effective, efficient and independent manner.
2.   Member States shall notify to the Commission the names and the addresses of their supervisory bodies designated pursuant to paragraph 1 and any subsequent changes thereto. The Commission shall publish a list of the notified supervisory bodies.
3.   The role of the supervisory bodies designated pursuant to paragraph 1 shall be:
(a)
to supervise providers of European Digital Identity Wallets established in the designating Member State and to ensure, by means of 
ex ante
 and 
ex post
 supervisory activities, that those providers and European Digital Identity Wallets they provide meet the requirements laid down in this Regulation;
(b)
to take action, if necessary, in relation to providers of European Digital Identity Wallets established in the territory of the designating Member State, by means of 
ex post
 supervisory activities, when informed that providers or European Digital Identity Wallets that they provide infringe this Regulation.
4.   The tasks of the supervisory bodies designated pursuant to paragraph 1 shall include, in particular, the following:
(a)
to cooperate with other supervisory bodies and to provide them with assistance in accordance with Articles 46c and 46e;
(b)
to request information necessary to monitor compliance with this Regulation;
(c)
to inform the relevant competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555 of the Member States concerned of any significant security breaches or loss of integrity of which they become aware in the performance of their tasks and, in the case of a significant security breach or loss of integrity which concerns other Member States, to inform the single point of contact designated or established pursuant to Article 8(3) of Directive (EU) 2022/2555 of the Member State concerned and the single points of contact designated pursuant to Article 46c(1) of this Regulation in the other Member States concerned, and to inform the public or require providers of European Digital Identity Wallet to do so where the supervisory body determines that disclosure of the security breach or of the loss of integrity would be in the public interest;
(d)
to carry out on-site inspections and off-site supervision;
(e)
to require that providers of European Digital Identity Wallets remedy any failure to fulfil the requirements laid down in this Regulation;
(f)
to suspend or cancel the registration and inclusion of relying parties in the mechanism referred to in Article 5b(7) in the case of illegal or fraudulent use of the European Digital Identity Wallet;
(g)
to cooperate with competent supervisory authorities established pursuant to Article 51 of Regulation (EU) 2016/679, in particular, by informing them without undue delay, where personal data protection rules appear to have been infringed and about security breaches which appear to constitute personal data breaches.
5.   Where the supervisory body designated pursuant to paragraph 1 requires the provider of a European Digital Identity Wallet to remedy any failure to fulfil requirements under this Regulation pursuant to paragraph 4, point (e), and that provider does not act accordingly and, if applicable, within a time limit set by that supervisory body, the supervisory body designated pursuant to paragraph 1 may, taking into account, in particular, the extent, duration and consequences of that failure, order the provider to suspend or to cease the provision of the European Digital Identity Wallet. The supervisory body shall inform the supervisory bodies of other Member States, the Commission, relying parties and users of the European Digital Identity Wallet without undue delay of the decision to require the suspension or cessation of the provision of the European Digital Identity Wallet.
6.   By 31 March each year, each supervisory body designated pursuant to paragraph 1 shall submit to the Commission a report on its main activities in the previous calendar year. The Commission shall make those annual reports available to the European Parliament and the Council.
7.   By 21 May 2025, the Commission shall, by means of implementing acts, establish the formats and procedures for the report referred to in paragraph 6 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 46b
Supervision of trust services
1.   Member States shall designate a supervisory body established in their territory or designate, upon mutual agreement with another Member State, a supervisory body established in that other Member State. That supervisory body shall be responsible for supervisory tasks in the designating Member State as regards trust services.
The supervisory bodies designated pursuant to the first subparagraph shall be given the necessary powers and adequate resources for the exercise of their tasks.
2.   Member States shall notify to the Commission the names and addresses of their supervisory bodies designated pursuant to paragraph 1 and any subsequent changes thereto. The Commission shall publish a list of the notified supervisory bodies.
3.   The role of the supervisory bodies designated pursuant to paragraph 1 shall be:
(a)
to supervise qualified trust service providers established in the territory of the designating Member State and to ensure, by means of 
ex ante
 and 
ex post
 supervisory activities, that those qualified trust service providers and the qualified trust services that they provide meet the requirements laid down in this Regulation;
(b)
to take action, if necessary, in relation to non-qualified trust service providers established in the territory of the designating Member State, by means of 
ex post
 supervisory activities, when informed that those non-qualified trust service providers or the trust services they provide allegedly do not meet the requirements laid down in this Regulation.
4.   The tasks of the supervisory body designated pursuant to paragraph 1 shall include in particular the following:
(a)
to inform the relevant competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555 of the Member States concerned of any significant security breach or loss of integrity of which it becomes aware in the performance of its tasks and, in the case of a significant security breach or loss of integrity which concerns other Member States, to inform the single point of contact designated or established pursuant to Article 8(3) Directive (EU) 2022/2555 of the Member State concerned and the single points of contact designated pursuant to Article 46c(1) of this Regulation in the other Member States concerned, and to inform the public or require the trust service provider to do so where the supervisory body determines that disclosure of the breach of security or loss of integrity would be in the public interest;
(b)
to cooperate with other supervisory bodies and to provide them with assistance in accordance with Articles 46c and 46e;
(c)
to analyse the conformity assessment reports referred to in Article 20(1) and Article 21(1);
(d)
to report to the Commission about its main activities in accordance with paragraph 6 of this Article;
(e)
to carry out audits or request a conformity assessment body to perform a conformity assessment of the qualified trust service providers in accordance with Article 20(2);
(f)
to cooperate with competent supervisory authorities established pursuant to Article 51 of Regulation (EU) 2016/679, in particular, by informing them, without undue delay, where personal data protection rules appear to have been breached and about security breaches which appear to constitute personal data breaches;
(g)
to grant qualified status to trust service providers and to the services they provide, and to withdraw that status in accordance with Articles 20 and 21;
(h)
to inform the body responsible for the national trusted list referred to in Article 22(3) of its decisions to grant or withdraw qualified status, unless that body is also the supervisory body designated pursuant to paragraph 1 of this Article;
(i)
to verify the existence and correct application of provisions on termination plans where the qualified trust service provider ceases its activities, including how information is kept accessible in accordance with Article 24(2), point (h);
(j)
to require that trust service providers remedy any failure to fulfil the requirements laid down in this Regulation;
(k)
to investigate claims made by providers of web-browsers pursuant to Article 45a and to take action if necessary.
5.   Member States may require the supervisory body designated pursuant to paragraph 1 to establish, maintain and update a trust infrastructure in accordance with national law.
6.   By 31 March each year, each supervisory body designated pursuant to paragraph 1 shall submit to the Commission a report on its main activities in the previous calendar year. The Commission shall make those annual reports available to the European Parliament and the Council.
7.   By 21 May 2025, the Commission shall adopt guidelines on the exercise by the supervisory bodies designated pursuant to paragraph 1 of this Article of the tasks referred to in paragraph 4 of this Article, and, by means of implementing acts, establish the formats and procedures for the report referred to in paragraph 6 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
Article 46c
Single points of contact
1.   Each Member State shall designate a single point of contact for trust services, European Digital Identity Wallets and notified electronic identification schemes.
2.   Each single point of contact shall exercise a liaison function to facilitate cross-border cooperation between the supervisory bodies for trust service providers and between the supervisory bodies for the providers of European Digital Identity Wallets and, where appropriate, with the Commission and European Union Agency for Cybersecurity (ENISA) and with other competent authorities within its Member State.
3.   Each Member State shall make public and, without undue delay, notify to the Commission the names and the addresses of the single point of contact designated pursuant to paragraph 1 and any subsequent change thereto.
4.   The Commission shall publish a list of the single points of contact notified pursuant to paragraph 3.
Article 46d
Mutual assistance
1.   In order to facilitate the supervision and enforcement of obligations under this Regulation, the supervisory bodies designated pursuant to Article 46a(1) and Article 46b(1) may seek, including through the Cooperation Group established pursuant to Article 46e(1), mutual assistance from the supervisory bodies of another Member State where the provider of the European Digital Identity Wallet or the trust service provider is established, or where its network and information systems are located or its services are provided.
2.   The mutual assistance shall at least entail that:
(a)
the supervisory body applying supervisory and enforcement measures in one Member State shall inform and consult the supervisory body from the other Member State concerned;
(b)
a supervisory body may request the supervisory body of another Member State concerned to take supervisory or enforcement measures, including, for instance, requests to carry out inspections related to the conformity assessment reports as referred to in Articles 20 and 21 regarding the provision of trust services;
(c)
where appropriate, supervisory bodies may carry out joint investigations with the supervisory bodies of other Member States.
The arrangements and procedures for joint actions under the first subparagraph shall be agreed upon and established by the Member States concerned in accordance with their national law.
3.   A supervisory body to which a request for assistance is addressed may refuse that request on any of the following grounds:
(a)
the assistance requested is not proportionate to the supervisory activities of the supervisory body carried out in accordance with Articles 46a and 46b;
(b)
the supervisory body is not competent to provide the requested assistance;
(c)
providing the requested assistance would be incompatible with this Regulation.
4.   By 21 May 2025 and every two years thereafter, the Cooperation Group established pursuant to Article 46e(1) shall issue guidance on the organisational aspects and procedures for the mutual assistance referred to in paragraphs 1 and 2 of this Article.
Article 46e
The European Digital Identity Cooperation Group
1.   In order to support and facilitate Member States’ cross-border cooperation and exchange of information on trust services, European Digital Identity Wallets and notified electronic identification schemes, the Commission shall establish a European Digital Identity Cooperation Group (the “Cooperation Group”).
2.   The Cooperation Group shall be composed of representatives appointed by the Member States and of the Commission. The Cooperation Group shall be chaired by the Commission. The Commission shall provide the Cooperation Group’s Secretariat.
3.   Representatives of relevant stakeholders may, on an ad hoc basis, be invited to attend meetings of the Cooperation Group and to participate in its work as observers.
4.   ENISA shall be invited to participate as observer in the workings of the Cooperation Group when it exchanges views, best practices and information on relevant cybersecurity aspects such as notification of security breaches, and when the use of cybersecurity certificates or standards are addressed.
5.   The Cooperation Group shall have the following tasks:
(a)
exchange advice and cooperate with the Commission on emerging policy initiatives in the field of digital identity wallets, electronic identification means and trust services;
(b)
advise the Commission, as appropriate, in the early preparation of draft implementing and delegated acts to be adopted pursuant to this Regulation;
(c)
in order to support the supervisory bodies in the implementation of the provisions of this Regulation:
(i)
exchange best practices and information regarding the implementation of the provisions of this Regulation;
(ii)
assess the relevant developments in the digital identity wallet, electronic identification and trust services sectors;
(iii)
organise joint meetings with relevant interested parties from across the Union to discuss activities carried out by the cooperation group and gather input on emerging policy challenges;
(iv)
with the support of ENISA, exchange views, best practices and information on relevant cybersecurity aspects concerning European Digital Identity Wallets, electronic identification schemes and trust services;
(v)
exchange best practices in relation to the development and implementation of policies on the notification of security breaches, and common measures as referred to in Articles 5e and 10;
(vi)
organise joint meetings with the NIS Cooperation Group established pursuant to Article 14(1) of Directive (EU) 2022/2555 to exchange relevant information in relation to trust services and electronic identification related cyber threats, incidents, vulnerabilities, awareness raising initiatives, trainings, exercises and skills, capacity building, standards and technical specifications capacity as well as standards and technical specifications;
(vii)
discuss, upon a request of a supervisory body, specific requests for mutual assistance as referred to in Article 46d;
(viii)
facilitate the exchange of information between the supervisory bodies by providing guidance on the organisational aspects and procedures for the mutual assistance referred to in Article 46d;
(d)
organise peer reviews of electronic identification schemes to be notified under this Regulation.
6.   Member States shall ensure effective and efficient cooperation of their designated representatives in the Cooperation Group.
7.   By 21 May 2025, the Commission shall, by means of implementing acts, establish the necessary procedural arrangements to facilitate the cooperation between the Member States referred to in paragraph 5, point (d), of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).’;
(48)
Article 47 is amended as follows:
(a)
paragraphs 2 and 3 are replaced by the following:
‘2.   The power to adopt delegated acts referred to in Article 5c(7), Article 24(4b) and Article 30(4) shall be conferred on the Commission for an indeterminate period of time from 17 September 2014.
3.   The delegation of power referred to in Article 5c(7), Article 24(4b) and Article 30(4) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.’;
(b)
paragraph 5 is replaced by the following:
‘5.   A delegated act adopted pursuant to Article 5c(7), Article 24(4b) or Article 30(4) shall enter into force only if no objection has been expressed either by the European Parliament or the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.’;
(49)
the following article is inserted in Chapter VI:
‘Article 48a
Reporting requirements
1.   Member States shall ensure the collection of statistics in relation to the functioning of European Digital Identity Wallets and the qualified trust services provided on their territory.
2.   The statistics collected in accordance with paragraph 1 shall include the following:
(a)
the number of natural and legal persons having a valid European Digital Identity Wallet;
(b)
the type and number of services accepting the use of the European Digital Identity Wallet;
(c)
the number of user complaints and consumer protection or data protection incidents relating to relying parties and qualified trust services;
(d)
a summary report including data on incidents preventing the use of the European Digital Identity Wallet;
(e)
a summary of significant security incidents, data breaches and affected users of European Digital Identity Wallets or of qualified trust services.
3.   The statistics referred to in paragraph 2 shall be made available to the public in an open and commonly used, machine-readable format.
4.   By 31 March each year, Member States shall submit to the Commission a report on the statistics collected in accordance with paragraph 2.’;
(50)
Article 49 is replaced by the following:
‘Article 49
Review
1.   The Commission shall review the application of this Regulation and shall, by 21 May 2026, submit a report to the European Parliament and to the Council. In that report, the Commission shall, in particular, evaluate whether it is appropriate to modify the scope of this Regulation or its specific provisions including, in particular, the provisions included in Article 5c(5), taking into account the experience gained in the application of this Regulation, as well as technological, market and legal developments. Where necessary, that report shall be accompanied by a proposal to amend this Regulation.
2.   The report referred to in paragraph 1 shall include an assessment of the availability, security and usability of the notified electronic identification means and European Digital Identity Wallets that fall within the scope of this Regulation and assess whether all online private service providers relying on third-party electronic identification services for users authentication, shall be required to accept the use of notified electronic identification means and European Digital Identity Wallet.
3.   By 21 May 2030 and every four years thereafter, the Commission shall submit a report to the European Parliament and the Council on progress made towards achieving the objectives of this Regulation.’;
(51)
Article 51 is replaced by the following:
‘Article 51
Transitional measures
1.   Secure signature creation devices of which the conformity has been determined in accordance with Article 3(4) of Directive 1999/93/EC shall continue to be considered to be qualified electronic signature creation devices under this Regulation until 21 May 2027.
2.   Qualified certificates issued to natural persons under Directive 1999/93/EC shall continue to be considered as qualified certificates for electronic signatures under this Regulation until 21 May 2026.
3.   The management of remote qualified electronic signature and seal creation devices by qualified trust service providers other than qualified trust service providers providing qualified trust services for the management of remote qualified electronic signature and seal creation devices in accordance with Articles 29a and 39a may be carried out without the need to obtain the qualified status for the provision of these management services until 21 May 2026.
4.   Qualified trust service providers that have been granted their qualified status under this Regulation before 20 May 2024 shall submit a conformity assessment report to the supervisory body proving compliance with Article 24(1), (1a) and (1b) as soon as possible and in any event by 21 May 2026.’;
(52)
Annexes I to IV are amended, respectively, in accordance with Annexes I to IV to this Regulation;
(53)
new Annexes V, VI and VII are added as set out in Annexes V, VI and VII to this Regulation.
Article 2
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 11 April 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
H. LAHBIB
(
1
)
  
            
OJ C 105, 4.3.2022, p. 81
.
(
2
)
  
            
OJ C 61, 4.2.2022, p. 42
.
(
3
)
  Position of the European Parliament of 29 February 2024 (not yet published in the Official Journal) and decision of the Council of 26 March 2024.
(
4
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
5
)
  Decision (EU) 2022/2481 of the European Parliament and of the Council of 14 December 2022 establishing the Digital Decade Policy Programme 2030 (
OJ L 323, 19.12.2022, p. 4
).
(
6
)
  
            
OJ C 23, 23.1.2023, p. 1
.
(
7
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
8
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
9
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
10
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
).
(
11
)
  Regulation (EU) 2019/1157 of the European Parliament and of the Council of 20 June 2019 on strengthening the security of identity cards of Union citizens and of residence documents issued to Union citizens and their family members exercising their right of free movement (
OJ L 188, 12.7.2019, p. 67
).
(
12
)
  Directive (EU) 2019/882 of the European Parliament and of the Council of 17 April 2019 on the accessibility requirements for products and services (
OJ L 151, 7.6.2019, p. 70
).
(
13
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
(
14
)
  Regulation (EU) 2022/1925 of the European Parliament and of the Council of 14 September 2022 on contestable and fair markets in the digital sector and amending Directives (EU) 2019/1937 and (EU) 2020/1828 (Digital Markets Act) (
OJ L 265, 12.10.2022, p. 1
).
(
15
)
  Regulation (EU) 2022/2065 of the European Parliament and of the Council of 19 October 2022 on a Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act) (
OJ L 277, 27.10.2022, p. 1
).
(
16
)
  Commission Recommendation (EU) 2021/946 of 3 June 2021 on a common Union Toolbox for a coordinated approach towards a European Digital Identity Framework (
OJ L 210, 14.6.2021, p. 51
).
ANNEX I
In Annex I to Regulation (EU) No 910/2014, point (i) is replaced by the following:
‘(i)
the information or the location of the services that can be used to enquire about the validity status of the qualified certificate;’.
ANNEX II
In Annex II to Regulation (EU) No 910/2014, points 3 and 4 are deleted.
ANNEX III
In Annex III to Regulation (EU) No 910/2014, point (i) is replaced by the following:
‘(i)
the information or the location of the services that can be used to enquire about the validity status of the qualified certificate;’.
ANNEX IV
Annex IV to Regulation (EU) No 910/2014 is amended as follows:
(1)
point (c) is replaced by the following:
‘(c)
for natural persons: at least the name of the person to whom the certificate has been issued, or a pseudonym; if a pseudonym is used, it shall be clearly indicated;
(ca)
for legal persons: a unique set of data unambiguously representing the legal person to whom the certificate is issued, with at least the name of the legal person to whom the certificate is issued and, where applicable, the registration number as stated in the official records;’;
(2)
point (j) is replaced by the following:
‘(j)
the information or the location of the certificate validity status services that can be used to enquire about the validity status of the qualified certificate.’.
ANNEX V
‘ANNEX V
REQUIREMENTS FOR QUALIFIED ELECTRONIC ATTESTATION OF ATTRIBUTES
Qualified electronic attestation of attributes shall contain:
(a)
an indication, at least in a form suitable for automated processing, that the attestation has been issued as a qualified electronic attestation of attributes;
(b)
a set of data unambiguously representing the qualified trust service provider issuing the qualified electronic attestation of attributes including at least, the Member State in which that provider is established and:
(i)
for a legal person: the name and, where applicable, registration number as stated in the official records;
(ii)
for a natural person: the person’s name;
(c)
a set of data unambiguously representing the entity to which the attested attributes refer; if a pseudonym is used, it shall be clearly indicated;
(d)
the attested attribute or attributes, including, where applicable, the information necessary to identify the scope of those attributes;
(e)
details of the beginning and end of the attestation’s period of validity;
(f)
the attestation identity code, which must be unique for the qualified trust service provider and, if applicable, the indication of the scheme of attestations that the attestation of attributes is part of;
(g)
the qualified electronic signature or qualified electronic seal of the issuing qualified trust service provider;
(h)
the location where the certificate supporting the qualified electronic signature or qualified electronic seal referred to in point (g) is available free of charge;
(i)
the information or location of the services that can be used to enquire about the validity status of the qualified attestation.’.
ANNEX VI
‘ANNEX VI
MINIMUM LIST OF ATTRIBUTES
Pursuant to Article 45e, Member States shall ensure that measures are taken to allow qualified trust service providers of electronic attestations of attributes to verify by electronic means at the request of the user, the authenticity of the following attributes against the relevant authentic source at national level or via designated intermediaries recognised at national level, in accordance with Union or national law and where these attributes rely on authentic sources within the public sector:
1.
Address;
2.
Age;
3.
Gender;
4.
Civil status;
5.
Family composition;
6.
Nationality or citizenship;
7.
Educational qualifications, titles and licences;
8.
Professional qualifications, titles and licences;
9.
Powers and mandates to represent natural or legal persons;
10.
Public permits and licences;
11.
For legal persons, financial and company data.’.
ANNEX VII
‘ANNEX VII
REQUIREMENTS FOR ELECTRONIC ATTESTATION OF ATTRIBUTES ISSUED BY OR ON BEHALF OF A PUBLIC BODY RESPONSIBLE FOR AN AUTHENTIC SOURCE
An electronic attestation of attributes issued by or on behalf of a public body responsible for an authentic source shall contain:
(a)
an indication, at least in a form suitable for automated processing, that the attestation has been issued as an electronic attestation of attributes issued by or on behalf of a public body responsible for an authentic source;
(b)
a set of data unambiguously representing the public body issuing the electronic attestation of attributes, including at least, the Member State in which that public body is established and its name and, where applicable, its registration number as stated in the official records;
(c)
a set of data unambiguously representing the entity to which the attested attributes refer; if a pseudonym is used, it shall be clearly indicated;
(d)
the attested attribute or attributes, including, where applicable, the information necessary to identify the scope of those attributes;
(e)
details of the beginning and end of the attestation’s period of validity;
(f)
the attestation identity code, which must be unique for the issuing public body and, if applicable, an indication of the scheme of attestations that the attestation of attributes is part of;
(g)
the qualified electronic signature or qualified electronic seal of the issuing body;
(h)
the location where the certificate supporting the qualified electronic signature or qualified electronic seal referred to in point (g) is available free of charge;
(i)
the information or location of the services that can be used to enquire about the validity status of the attestation.’.
ELI: http://data.europa.eu/eli/reg/2024/1183/oj
ISSN 1977-0677 (electronic edition)

Summary:
EU Digital Identity Wallet
SUMMARY OF:
Regulation (EU) 2024/1183 establishing the European digital identity framework
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2024/1183 amending Regulation (EU) 
No 
910/2014
 (the electronic identification and trust services regulation, see 
summary
), establishes the European digital identity framework, mandating the 
European Union
 (EU) 
Member States
 provide their citizens, residents and businesses with an EU Digital Identity Wallet, built on the same specifications, by the end of 2026. This framework aims to ensure 
EU citizens
 secure online and offline identification, allowing seamless and trusted access to both public and private digital services across borders.
KEY POINTS
The European digital identity framework
The European digital identity framework includes the following three configurations.
EU Digital Identity Wallet.
 All EU natural and legal persons will be able to securely identify themselves via a mobile device to access public and private services across Europe, while remaining in full control of their own data.
Mutual recognition of national electronic identification schemes.
 Each Member State will accept electronic identification means from other Member States for cross-border authentication to access a public service.
Trust services.
 These include a legal framework for services such as electronic signatures, seals and time stamps, along with a list of new trust services such as the management of remote qualified electronic signature creation devices, the management of remote qualified electronic seal creation devices, the issuance of qualified electronic attestation of attributes, qualified electronic archiving services and qualified electronic ledgers, ensuring transactions are safe, secure and reliable.
The EU Digital Identity Wallet
The EU Digital Identity Wallet is a means of electronic identification that allows the user to securely store, manage and validate person identification data and electronic attestations of attributes. Persons using the wallets in a personal capacity will have the ability to electronically sign with legal validity, free of any charge.
Its features include the following.
Linking to national digital identities.
 Wallets can be linked to users’ national digital identities.
Authentication.
 Users can authenticate online and offline, ensuring data is only shared selectively.
Proof of personal attributes.
 Users can share digital documents, such as driving licences, travel documents, academic and vocational qualifications and bank account documents.
Data control.
 Users can choose which aspects of their identity and data they share with third parties and manage (e.g. request, store, share or delete) their own data.
Pseudonym generation.
 For added privacy, users can generate encrypted pseudonyms stored locally within the wallet.
Secure connections.
 The wallet allows secure, direct data sharing and authentication with other EU Digital Identity Wallets.
Transparency.
 Users can access a transaction log, view a common dashboard and utilise qualified electronic signatures.
Open source and security
For full transparency, the wallet’s application software is open-source licensed. While certain components may remain undisclosed for justified security reasons, this open-source approach aims to foster trust and innovation across the framework.
Safeguards and accessibility
Voluntary use.
 The wallet remains entirely optional for all citizens, with robust protections against discrimination for those who choose not to use it.
No hidden costs.
 The issuing of a wallet, its use and verification are free for individuals, with Member States covering validation costs to guarantee that the wallet remains accessible.
Strict data processing limits.
 Data processing is designed to be limited to what is necessary for the wallet to function. No additional personal data can be accessed or stored by wallet providers.
Compliance and accountability
Rigorous standards for registration, monitoring and validation ensure that only verified entities use the wallet. Relying parties
1
 offering services through the wallet will register within their Member State, upholding accountability and traceability.
FROM WHEN DOES THE REGULATION APPLY?
The regulation has applied since 
20 May 2024
.
BACKGROUND
For further information, see:
European Declaration on Digital Rights and Principles
 (European Commission)
European digital identity
 (European Commission)
European digital identity (EUDI) regulation
 (European Commission)
EU Digital Identity Wallet
 (European Commission).
KEY TERMS
Relying party.
 Natural or legal person that relies upon an electronic identification or a trust service.
MAIN DOCUMENT
Regulation (EU) 
2024/1183
 of the European Parliament and of the Council of 
11 April 2024
 amending Regulation (EU) 
No 910/2014
 as regards establishing the European Digital Identity Framework (OJ L, 2024/1183, 
30.4.2024
).
RELATED DOCUMENTS
Decision (EU) 
2022/2481
 of the European Parliament and of the Council of 14 December 2022 establishing the Digital Decade Policy Programme 2030 (OJ L 323, 
19.12.2022
, 
pp. 4–26
).
Regulation (EU) 
No 
910/2014
 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (OJ L 257, 
28.8.2014
, 
pp. 73–114
).
Successive amendments to Regulation (EU) 
No 910/2014
 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
last update 
6.3.2025

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2024/1183
30.4.2024
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2024/1183
af 11. april 2024
om ændring af forordning (EU) nr. 910/2014 for så vidt angår fastlæggelse af den europæiske ramme for digital identitet
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
I Kommissionens meddelelse af 19. februar 2020 med titlen »Europas digitale fremtid i støbeskeen« bebudes en revision af Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
4
)
 for at forbedre dens effektivitet, lade dens fordele omfatte den private sektor og fremme pålidelige digitale identiteter for alle europæere.
(2)
I sine konklusioner af 1.-2. oktober 2020 opfordrede Det Europæiske Råd Kommissionen til at foreslå, at der udvikles en EU-dækkende ramme for sikker offentlig elektronisk identifikation, herunder interoperable digitale signaturer, for at give borgerne kontrol over deres onlineidentitet og -data og muliggøre adgang til offentlige, private og grænseoverskridende digitale tjenester.
(3)
I politikprogrammet for det digitale årti 2030, der blev etableret ved Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 
(
5
)
, fastsættes målsætningerne og de digitale mål for en EU-ramme, som senest i 2030 har til formål at føre til en bred indførelse af en pålidelig, frivillig og brugerkontrolleret digital identitet, der er anerkendt i hele Unionen, og som giver alle brugere kontrol over deres data i onlineinteraktioner.
(4)
I »Europæisk erklæring om digitale rettigheder og principper for det digitale årti«, som Europa-Parlamentet, Rådet og Kommissionen har proklameret 
(
6
)
 (»erklæringen«), understreges det, at alle har ret til at få adgang til digitale teknologier, produkter og tjenester, der er udformet således, at de er sikre og trygge og beskytter privatlivets fred. Dette omfatter sikring af, at alle personer, der bor i Unionen, tilbydes en tilgængelig, sikker og pålidelig digital identitet, der giver adgang til en bred vifte af online- og offlinetjenester, der er beskyttet mod cybersikkerhedsrisici og cyberkriminalitet, herunder brud på datasikkerheden og identitetstyveri eller -manipulation. I erklæringen fastsættes det også, at enhver har ret til beskyttelse af sine personoplysninger. Denne ret omfatter kontrol over, hvordan oplysningerne anvendes, og hvem de deles med.
(5)
Unionsborgere og indbyggere i Unionen bør have ret til en digital identitet, som er under deres enekontrol, og som sætter dem i stand til at udøve deres rettigheder i det digitale miljø og deltage i den digitale økonomi. For at nå dette mål bør der etableres en europæisk ramme for digital identitet, der gør det muligt for unionsborgere og indbyggere i Unionen at få adgang til offentlige og private online- og offlinetjenester i hele Unionen.
(6)
En harmoniseret ramme for digital identitet bør bidrage til at skabe en mere digitalt integreret Union ved at mindske de digitale barrierer mellem medlemsstaterne og ved at sætte unionsborgere og indbyggerne i Unionen i stand til at nyde godt af fordelene ved digitalisering, samtidig med at gennemsigtigheden og beskyttelsen af deres rettigheder øges.
(7)
En mere harmoniseret tilgang til elektronisk identifikation bør mindske risiciene og omkostningerne ved den nuværende fragmentering som følge af divergerende nationale løsninger eller, i nogle medlemsstater, manglen på sådanne elektroniske identifikationsløsninger. En sådan tilgang bør styrke det indre marked ved at gøre det muligt for unionsborgere, indbyggere i Unionen som defineret i national ret og virksomheder at identificere sig selv og sørge for autentifikation af deres identitet online og offline på en sikker, pålidelig, brugervenlig, bekvem, tilgængelig og harmoniseret måde i hele Unionen. Den europæiske digitale identitetstegnebog bør give fysiske og juridiske personer i hele Unionen et harmoniseret elektronisk identifikationsmiddel, der muliggør autentifikation og deling af data, der er knyttet til deres identitet. Alle bør kunne få adgang til offentlige og private tjenester på sikker vis ved hjælp af et forbedret økosystem for tillidstjenester og verificerede identitetsbeviser og elektroniske attesteringer af attributter, såsom akademiske kvalifikationer, herunder universitetsgrader, eller andre uddannelses- eller erhvervsmæssige kvalifikationer. Den europæiske ramme for digital identitet har til formål at opnå et skifte fra benyttelse af udelukkende nationale digitale identitetsløsninger til leveringen af elektroniske attesteringer af attributter, der er gyldige og juridisk anerkendte i hele Unionen. Udbydere af elektroniske attesteringer af attributter bør drage fordel af et klart og ensartet regelsæt, samtidig med at offentlige forvaltninger bør kunne forlade sig på elektroniske dokumenter i et givet format.
(8)
Flere medlemsstater har indført og anvender elektroniske identifikationsmidler, som accepteres af tjenesteudbydere i Unionen. Desuden er der foretaget investeringer i både nationale og grænseoverskridende løsninger på grundlag af forordning (EU) nr. 910/2014, herunder anmeldte elektroniske identifikationsordningers interoperabilitet i henhold til nævnte forordning. For at sikre komplementaritet og at de nuværende brugere af anmeldte elektroniske identifikationsmidler hurtigt tager europæiske digitale identitetstegnebøger til sig, og for at minimere indvirkningen på eksisterende tjenesteudbydere forventes det, at de europæiske digitale identitetstegnebøger kan nyde godt af at bygge videre på de indhøstede erfaringer med eksisterende elektroniske identifikationsmidler og fra den infrastruktur for anmeldte elektroniske identifikationsordninger, der anvendes på EU-plan og nationalt plan.
(9)
Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
7
)
 og, hvor det er relevant, Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
8
)
 finder anvendelse på alle behandlingsaktiviteter vedrørende personoplysninger i henhold til forordning (EU) nr. 910/2014. Løsningerne inden for den interoperabilitetsramme, der fastsættes i denne forordning, er også i overensstemmelse med de pågældende regler. Unionens databeskyttelsesret indeholder databeskyttelsesprincipper såsom princippet om dataminimering og formålsbegrænsning og forpligtelser såsom databeskyttelse gennem design og gennem standardindstillinger.
(10)
For at støtte EU-virksomheders konkurrenceevne bør både online- og offlinetjenesteudbydere kunne benytte digitale identitetsløsninger, der er anerkendt i hele Unionen, uanset i hvilken medlemsstat disse løsninger er leveret, og således drage fordel af en harmoniseret EU-tilgang til tillid, sikkerhed og interoperabilitet. Både brugere og tjenesteudbydere bør kunne nyde godt af, at elektroniske attesteringer af attributter tillægges samme juridiske værdi i hele Unionen. En harmoniseret ramme for digital identitet har til formål at skabe økonomisk værdi ved at give lettere adgang til varer og tjenester og ved i væsentlig grad at reducere de driftsomkostninger, der er forbundet med elektroniske identifikations- og autentifikationsprocedurer, f.eks. i forbindelse med onboarding af nye kunder, ved at reducere muligheden for cyberkriminalitet, f.eks. identitets- og datatyveri og onlinesvindel, og dermed fremme effektivitetsgevinster og en sikker digital omstilling af Unionens mikrovirksomheder og små og mellemstore virksomheder (SMV'er).
(11)
Europæiske digitale identitetstegnebøger bør lette anvendelsen af engangsprincippet og dermed mindske den administrative byrde og støtte grænseoverskridende mobilitet for unionsborgere, indbyggere i Unionen og virksomheder i hele Unionen og fremme udviklingen af interoperable e-forvaltningstjenester i hele Unionen.
(12)
Forordning (EU) 2016/679 og Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
9
)
 samt direktiv 2002/58/EF finder anvendelse på behandling af personoplysninger i forbindelse med gennemførelsen af nærværende forordning. Derfor bør der i nærværende forordning fastsættes specifikke garantier for at forhindre udbydere af elektroniske identifikationsmidler og elektroniske attesteringer af attributter i at kombinere personoplysninger, der er indhentet ved levering af andre tjenester, med personoplysninger, som behandles med henblik på at levere de tjenester, der er omfattet af nærværende forordnings anvendelsesområde. Personoplysninger vedrørende levering af europæiske digitale identitetstegnebøger bør opbevares logisk adskilt fra alle andre data, der opbevares af udbyderen af den europæiske digitale identitetstegnebog. Nærværende forordning bør ikke forhindre udbydere af europæiske digitale identitetstegnebøger i at anvende yderligere tekniske foranstaltninger, der bidrager til at beskytte personoplysninger, såsom fysisk adskillelse af personoplysninger vedrørende leveringen af europæiske digitale identitetstegnebøger fra andre oplysninger, som udbyderen er i besiddelse af. Uden at det berører forordning (EU) 2016/679 præciserer nærværende forordning anvendelsen af principperne om formålsbegrænsning, dataminimering og databeskyttelse gennem design og gennem standardindstillinger.
(13)
Europæiske digitale identitetstegnebøger bør have en funktion bestående af et fælles dashboard, der er indbygget i designet, for at sikre brugerne en højere grad af gennemsigtighed, privatlivsbeskyttelse og kontrol over deres personoplysninger. Denne funktion bør give en let og brugervenlig grænseflade med overblik over alle modtagerparter, som brugeren deler data med, herunder attributter, og typen af data, der deles med hver modtagerpart. Den vil gøre det muligt for brugerne at spore alle transaktioner, der udføres gennem den europæiske digitale identitetstegnebog, med følgende data som minimum: transaktionstidspunktet og -datoen, modpartens identifikation, de personoplysninger, der er anmodet om og de delte data. Disse oplysninger bør lagres, også selv om transaktionen ikke blev gennemført. Det bør ikke være muligt at afvise ægtheden af oplysningerne i transaktionshistorikken. En sådan funktion bør være aktiv som standard. Det bør gøre det let for brugerne at anmode om en modtagerparts omgående sletning af personoplysninger i henhold til artikel 17 i forordning (EU) 2016/679 og nemt at indberette modtagerparten til den kompetente nationale databeskyttelsesmyndighed, hvis der modtages en angiveligt ulovlig eller mistænkelig anmodning om personoplysninger, direkte via den europæiske digitale identitetstegnebog.
(14)
Medlemsstaterne bør integrere forskellige teknologier til beskyttelse af privatlivets fred såsom nulvidenbevis i den europæiske digitale identitetstegnebog. Disse kryptografiske metoder bør gøre det muligt for en modtagerpart at validere, hvorvidt en given erklæring baseret på personens identifikationsdata og attestering af attributter er sand, uden at afsløre nogen af de data, som erklæringen er baseret på, således at brugerens privatliv beskyttes.
(15)
Denne forordning fastsætter harmoniserede betingelser for fastlæggelsen af en ramme for europæiske digitale identitetstegnebøger, der skal stilles til rådighed af medlemsstaterne. Alle unionsborgere og indbyggere i Unionen som defineret i national ret bør have beføjelse til på sikker vis at anmode om, udvælge, kombinere, lagre, slette, dele og fremlægge data vedrørende deres identitet og anmode om sletning af deres personoplysninger på en brugervenlig og bekvem måde under brugerens enekontrol, samtidig med at der gives mulighed for selektiv videregivelse af personoplysninger. Denne forordning afspejler fælles europæiske værdier og respekterer grundlæggende rettigheder, retsgarantier og ansvar og beskytter dermed demokratiske samfund, unionsborgere og indbyggere i Unionen. Der bør udvikles teknologier, der anvendes til at nå disse mål, med det sigte at opnå det højeste niveau af sikkerhed, privatlivsbeskyttelse, brugerbekvemmelighed, tilgængelighed, udbredt anvendelighed og gnidningsløs interoperabilitet. Medlemsstaterne bør sikre lige adgang til elektronisk identifikation for alle deres borgere og indbyggere. Medlemsstaterne bør ikke direkte eller indirekte begrænse adgangen til offentlige eller private tjenester for fysiske eller juridiske personer, som vælger ikke at anvende europæiske digitale identitetstegnebøger, og bør stille passende alternative løsninger til rådighed.
(16)
Medlemsstaterne bør gøre brug af de muligheder, som denne forordning giver, for under deres ansvar at levere europæiske digitale identitetstegnebøger til brug for fysiske og juridiske personer, der er hjemmehørende på deres område. For at give medlemsstaterne fleksibilitet og udnytte den nyeste teknologi bør denne forordning give mulighed for levering af europæiske digitale identitetstegnebøger direkte af en medlemsstat, på grundlag af et mandat fra en medlemsstat eller uafhængigt af en medlemsstat, men anerkendt af denne medlemsstat.
(17)
Med henblik på registrering bør modtagerparter give de oplysninger, der er nødvendige for at muliggøre elektronisk identifikation og autentifikation af dem med henblik på europæiske digitale identitetstegnebøger. Når modtagerparterne angiver deres påtænkte anvendelse af den europæiske digitale identitetstegnebog, bør de give oplysninger om de data, som de vil anmode om, hvis sådanne forefindes, med henblik på levering af deres tjenester, og begrundelsen for anmodningen. Registrering af modtagerparter letter medlemsstaternes kontrol for så vidt angår lovligheden af modtagerparternes aktiviteter i overensstemmelse med EU-retten. Forpligtelsen til at registrere sig, der fastsættes i denne forordning, bør ikke berøre de forpligtelser, der er fastsat i anden EU-ret eller national ret, såsom de oplysninger, der skal gives til de registrerede i henhold til forordning (EU) 2016/679. Modtagerparterne bør overholde de garantier, der er fastsat i nævnte forordnings artikel 35 og 36, navnlig ved at foretage konsekvensanalyser vedrørende databeskyttelse og ved at høre de kompetente databeskyttelsesmyndigheder forud for databehandlingen, hvis konsekvensanalyserne vedrørende databeskyttelse viser, at behandlingen indebærer en høj risiko. Sådanne garantier bør understøtte modtagerparternes lovlige behandling af personoplysninger, navnlig for så vidt angår særlige kategorier af oplysninger såsom sundhedsoplysninger. Registreringen af modtagerparter har til formål at øge gennemsigtigheden af og tilliden til brugen af europæiske digitale identitetstegnebøger. Registreringen bør være omkostningseffektiv og stå i et rimeligt forhold til de dermed forbundne risici for at sikre udbredelsen blandt tjenesteudbydere. I den forbindelse bør registreringen omfatte anvendelse af automatiserede procedurer, herunder medlemsstaternes benyttelse og anvendelse af eksisterende registre, og bør ikke indebære en forhåndsgodkendelsesproces. Registreringsprocessen bør muliggøre en række forskellige brugstilfælde, der kan variere med hensyn til betjeningsmåde, uanset om det er online eller offline, eller med hensyn til kravet om at autentificere enheder med henblik på at kommunikere med den europæiske digitale identitetstegnebog. Registrering bør udelukkende finde anvendelse på modtagerparter, der leverer tjenester ved hjælp af digital interaktion.
(18)
Beskyttelse af unionsborgere og indbyggere i Unionen mod uautoriseret eller svigagtig brug af europæiske digitale identitetstegnebøger er af stor betydning for at sikre tilliden til og den brede udbredelse af europæiske digitale identitetstegnebøger. Brugerne bør sikres effektiv beskyttelse mod et sådant misbrug. Navnlig når en national judiciel myndighed i forbindelse med en anden procedure konstaterer forhold, der danner grundlag for svigagtig eller anden ulovlig brug af en europæisk digital identitetstegnebog, bør de tilsynsorganer, der er ansvarlige for udstedere af europæiske digitale identitetstegnebøger, efter anmeldelse træffe de nødvendige foranstaltninger til at sikre, at registreringen af modtagerparten og medtagelsen af modtagerparter i autentifikationsmekanismen trækkes tilbage eller suspenderes, indtil den anmeldende myndighed bekræfter, at de konstaterede uregelmæssigheder er afhjulpet.
(19)
Alle europæiske digitale identitetstegnebøger bør give brugerne mulighed for elektronisk identifikation af dem selv og autentifikation online og offline på tværs af grænser for at få adgang til en bred vifte af offentlige og private tjenester. Europæiske digitale identitetstegnebøger kan også imødekomme institutionelle behov hos offentlige forvaltninger, internationale organisationer og Unionens institutioner, organer, kontorer og agenturer, uden at det berører medlemsstaternes beføjelser med hensyn til identifikation af deres borgere og indbyggere. Autentifikation offline vil være vigtig i mange sektorer, herunder i sundhedssektoren, hvor tjenester ofte leveres gennem personlig interaktion, og der bør i forbindelse med e-recepter kunne benyttes QR-koder eller lignende teknologier til at kontrollere autenticiteten. Idet de forlader sig på sikringsniveauet »høj« for så vidt angår elektroniske identifikationsordninger, bør de europæiske digitale identitetstegnebøger for at opfylde sikkerhedskravene i denne forordning nyde godt af det potentiale, som manipulationssikrede løsninger såsom sikre elementer indeholder. Europæiske digitale identitetstegnebøger bør også give brugerne mulighed for at oprette og anvende kvalificerede elektroniske signaturer og segl, der accepteres i hele Unionen. Når fysiske personer er onboarded i en europæisk digital identitetstegnebog, bør de som standard og gratis kunne bruge den til at underskrive med kvalificerede elektroniske signaturer uden at skulle igennem yderligere administrative procedurer. Brugerne bør kunne underskrive eller forsegle erklæringer eller attributter, som de selv påberåber sig. For at give personer og virksomheder i hele Unionen fordele med hensyn til forenkling og besparelse af omkostninger, herunder ved at give mulighed for repræsentationsbeføjelser og e-mandater, bør medlemsstaterne levere europæiske digitale identitetstegnebøger, der benytter fælles standarder og tekniske specifikationer, for at sikre gnidningsløs interoperabilitet og for at højne IT-sikkerhedsniveauet tilstrækkeligt, styrke robustheden mod cyberangreb og dermed væsentligt reducere de potentielle risici ved den igangværende digitalisering for unionsborgere, indbyggere i Unionen og virksomheder. Kun medlemsstaternes kompetente myndigheder kan give en høj grad af tillid, når en persons identitet skal fastslås, og dermed garantere, at den person, der påberåber sig eller gør en bestemt identitet gældende, faktisk er den person, som vedkommende hævder at være. Det er derfor nødvendigt, at leveringen af europæiske digitale identitetstegnebøger er baseret på den juridiske identitet af unionsborgere, indbyggere i Unionen eller juridiske personer. Benyttelse af den juridiske identitet bør ikke hindre brugere af europæiske digitale identitetstegnebøger i at få adgang til tjenester under et pseudonym, hvis der ikke er noget retligt krav om en juridisk identitet med henblik på autentifikation. Tillid til europæiske digitale identitetstegnebøger vil blive styrket, hvis de udstedende og forvaltende parter er forpligtede til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre det højest mulige sikkerhedsniveau, der står i et rimeligt forhold til risiciene for fysiske personers rettigheder og frihedsrettigheder i overensstemmelse med forordning (EU) 2016/679.
(20)
Anvendelsen af en kvalificeret elektronisk signatur bør være gratis for alle fysiske personer til ikkeerhvervsmæssige formål. Det bør være muligt for medlemsstaterne at træffe foranstaltninger til at forhindre fysiske personers gratis anvendelse af kvalificerede elektroniske signaturer til erhvervsmæssige formål, samtidig med at det sikres, at sådanne foranstaltninger står i et rimeligt forhold til de identificerede risici og er berettigede.
(21)
Det er gavnligt at lette udbredelsen og anvendelsen af europæiske digitale identitetstegnebøger ved gnidningsløst at integrere dem i det økosystem af offentlige og private digitale tjenester, der allerede er indført på nationalt, lokalt eller regionalt plan. For at nå dette mål bør det være muligt for medlemsstaterne at fastsætte retlige og organisatoriske foranstaltninger med henblik på at øge fleksibiliteten for udbydere af europæiske digitale identitetstegnebøger og for at give mulighed for yderligere funktionaliteter i europæiske digitale identitetstegnebøger udover dem, der er fastsat i denne forordning, herunder gennem øget interoperabilitet med eksisterende nationale elektroniske identifikationsmidler. Sådanne yderligere funktionaliteter bør på ingen måde være til skade for leveringen af europæiske digitale identitetstegnebøgers centrale funktioner, der er fastsat i denne forordning, eller fremme eksisterende nationale løsninger frem for europæiske digitale identitetstegnebøger. Da sådanne yderligere funktionaliteter rækker ud over, hvad der er fastsat i denne forordning, er de ikke omfattet af forordningens bestemmelser om grænseoverskridende benyttelse af europæiske digitale identitetstegnebøger.
(22)
Europæiske digitale identitetstegnebøger bør indeholde en funktionalitet til generering af brugervalgte og -forvaltede pseudonymer, der autentificeres ved adgang til onlinetjenester.
(23)
For at opnå et højt sikkerheds- og pålidelighedsniveau fastsætter denne forordning kravene til europæiske digitale identitetstegnebøger. De europæiske digitale identitetstegnebøgers overensstemmelse med disse krav bør certificeres af akkrediterede overensstemmelsesvurderingsorganer, som udpeges af medlemsstaterne.
(24)
For at undgå divergerende tilgange og harmonisere gennemførelsen af de krav, der fastsættes i denne forordning, bør Kommissionen med henblik på certificering af europæiske digitale identitetstegnebøger vedtage gennemførelsesretsakter for at fastlægge en liste af referencestandarder og, hvor det er nødvendigt, fastlægge specifikationer og procedurer med henblik på at angive detaljerede tekniske specifikationer for disse krav. I det omfang certificeringen af europæiske digitale identitetstegnebøgers overensstemmelse med relevante cybersikkerhedskrav ikke er omfattet af eksisterende cybersikkerhedscertificeringsordninger, der er omhandlet i denne forordning, og for så vidt angår ikkecybersikkerhedsrelaterede krav, der er relevante for europæiske digitale identitetstegnebøger, bør medlemsstaterne indføre nationale certificeringsordninger i henhold til de harmoniserede krav, der er fastsat i og vedtaget i henhold til denne forordning. Medlemsstaterne bør fremsende deres udkast til nationale certificeringsordninger til den europæiske samarbejdsgruppe for digital identitet, som bør kunne afgive udtalelser og udstede henstillinger.
(25)
Certificering af overensstemmelse med de cybersikkerhedskrav, der er fastsat i denne forordning, bør, hvor det er muligt, baseres på de relevante europæiske cybersikkerhedscertificeringsordninger, der er fastlagt i henhold til Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
10
)
, som fastlægger en frivillig europæisk ramme for cybersikkerhedscertificering af IKT-produkter, -processer og -tjenester.
(26)
For løbende at vurdere og afbøde sikkerhedsrelaterede risici bør certificerede europæiske digitale identitetstegnebøger underkastes regelmæssige sårbarhedsvurderinger, der sigter mod afdækning af eventuelle sårbarheder i den europæiske digitale identitetstegnebogs certificerede produkt-, proces- og tjenesterelaterede komponenter.
(27)
Ved at beskytte brugere og virksomheder mod cybersikkerhedsrisici bidrager de grundlæggende cybersikkerhedsrelaterede krav i denne forordning også til at forbedre beskyttelsen af personoplysninger og privatlivets fred for enkeltpersoner. Synergier med hensyn til både standardisering og certificering af cybersikkerhedsaspekter bør overvejes inden for rammerne af samarbejdet mellem Kommissionen, de europæiske standardiseringsorganisationer, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), Det Europæiske Databeskyttelsesråd oprettet ved forordning (EU) 2016/679 og de nationale databeskyttelsestilsynsmyndigheder.
(28)
Onboarding af unionsborgere og indbyggere i Unionen til den europæiske digitale identitetstegnebog bør lettes ved hjælp af elektroniske identifikationsmidler, der er udstedt på sikringsniveauet »høj«. Elektroniske identifikationsmidler, der er udstedt på sikringsniveauet »betydelig«, bør kun anvendes, hvis harmoniserede tekniske specifikationer og procedurer, der benytter elektroniske identifikationsmidler udstedt på sikringsniveauet »betydelig« i kombination med supplerende identitetskontrolmidler, vil gøre det muligt at opfylde kravene i nærværende forordning for så vidt angår sikringsniveauet »høj«. Sådanne supplerende midler bør være pålidelige og lette at anvende og kunne bygge på muligheden for at anvende onboardingprocedurer på afstand, kvalificerede certifikater understøttet af kvalificerede elektroniske signaturer, kvalificeret elektronisk attestering af attributter eller en kombination heraf. For at sikre en tilstrækkelig udbredelse af europæiske digitale identitetstegnebøger bør der i gennemførelsesretsakter fastsættes harmoniserede tekniske specifikationer og procedurer for onboarding af brugere ved hjælp af elektroniske identifikationsmidler, herunder dem, der udstedes på sikringsniveauet »betydelig«.
(29)
Formålet med denne forordning er at forsyne brugeren med en fuldt mobil, sikker og brugervenlig europæisk digital identitetstegnebog. Som en overgangsforanstaltning, indtil certificerede manipulationssikrede løsninger er tilgængelige såsom sikre elementer i brugernes enheder, bør europæiske digitale identitetstegnebøger kunne benytte certificerede eksterne sikre elementer til at beskytte kryptografisk materiale og andre følsomme oplysninger eller anmeldte elektroniske identifikationsmidler på sikringsniveauet »høj« med henblik på at påvise overensstemmelse med denne forordnings relevante krav for så vidt angår den europæiske digitale identitetstegnebogs sikringsniveau. Denne forordning bør ikke berøre nationale betingelser for så vidt angår udstedelsen og anvendelsen af et certificeret eksternt sikkert element, hvor overgangsforanstaltningen afhænger af det.
(30)
Europæiske digitale identitetstegnebøger bør sikre det højeste databeskyttelses- og sikkerhedsniveau med henblik på elektronisk identifikation og autentifikation for at lette adgangen til offentlige og private tjenester, uanset om sådanne data lagres lokalt eller i cloudbaserede løsninger, under behørig hensyntagen til de forskellige risikoniveauer.
(31)
Europæiske digitale identitetstegnebøger bør have sikkerhed gennem design og bør indføre avancerede sikkerhedselementer for at beskytte mod identitetstyveri og andet datatyveri, nægtelse af tjeneste og enhver anden cybertrussel. Sådan sikkerhed bør omfatte de nyeste krypterings- og lagringsmetoder, som er tilgængelige udelukkende for, og kan dekrypteres udelukkende af, brugeren, og som benytter end-to-end-krypteret kommunikation med andre europæiske digitale identitetstegnebøger og modtagerparter. Desuden bør europæiske digitale identitetstegnebøger kræve sikker, udtrykkelig og aktiv brugerbekræftelse for de operationer, der udføres via europæiske digitale identitetstegnebøger.
(32)
Den gratis anvendelse af europæiske digitale identitetstegnebøger bør ikke føre til behandling af data ud over data, der er nødvendige for at levere europæiske digitale identitetstegnebogstjenester. Denne forordning bør ikke give mulighed for, at udbyderen af den europæiske digitale identitetstegnebog behandler personoplysninger, der er lagret i eller er et resultat af anvendelsen af den europæiske digitale identitetstegnebog, til andre formål end levering af europæiske digitale identitetstegnebogstjenester. For at sikre privatlivsbeskyttelse bør udbydere af europæiske digitale identitetstegnebøger sikre ikkeobserverbarhed ved ikke at indsamle data og ikke at have indsigt i transaktioner foretaget af brugerne af den europæiske digitale identitetstegnebog. Sådan ikkeobserverbarhed betyder, at udbyderne ikke er i stand til at se nærmere oplysninger om de transaktioner, som brugeren har foretaget. I særlige tilfælde baseret på brugerens udtrykkelige forudgående samtykke i hvert af disse særlige tilfælde og i fuld overensstemmelse med forordning (EU) 2016/679 vil udbydere af europæiske digitale identitetstegnebøger dog kunne få adgang til de oplysninger, der er nødvendige for at levere en bestemt tjeneste i forbindelse med europæiske digitale identitetstegnebøger.
(33)
Europæiske digitale identitetstegnebøgers gennemsigtighed og deres udbyderes ansvarlighed er centrale faktorer for at skabe social tillid og afstedkomme accept af rammen. De europæiske digitale identitetstegnebøger bør derfor fungere på en gennemsigtig måde og navnlig give mulighed for kontrollerbar behandling af personoplysninger. For at opnå dette bør medlemsstaterne offentliggøre kildekoden til brugerapplikationens softwarekomponenter i europæiske digitale identitetstegnebøger, herunder dem, der vedrører behandling af personoplysninger og data om juridiske personer. Offentliggørelse af denne kildekode med en open source-licens bør give samfundet, herunder brugere og udviklere, mulighed for at forstå, hvordan den fungerer, og revidere og gennemgå koden. Dette vil øge brugernes tillid til økosystemet og bidrage til europæiske digitale identitetstegnebøgers sikkerhed ved at give alle mulighed for at rapportere om sårbarheder og fejl i koden. Samlet set bør dette tilskynde udbyderne til at levere og opretholde et meget sikkert produkt. I visse tilfælde vil videregivelse af kildekoden til de anvendte biblioteker, kommunikationskanaler eller andre elementer, der ikke hostes på brugerenheden, dog kunne begrænses af medlemsstaterne af behørigt begrundede årsager, navnlig af hensyn til den offentlige sikkerhed.
(34)
Brugen af europæiske digitale identitetstegnebøger og ophør heraf bør udelukkende være brugernes ret og valg. Medlemsstaterne bør udvikle enkle og sikre procedurer, så brugerne kan anmode om øjeblikkelig tilbagekaldelse af gyldigheden af europæiske digitale identitetstegnebøger, herunder i tilfælde af tab eller tyveri. Ved brugerens død eller ved ophør af en juridisk persons aktivitet bør der indføres en mekanisme, der gør det muligt for den myndighed, der er ansvarlig for at opgøre boet efter den fysiske person eller den juridiske persons aktiver, at anmode om den øjeblikkelige tilbagekaldelse af en europæisk digital identitetstegnebog.
(35)
For at fremme udbredelsen af europæiske digitale identitetstegnebøger og den bredere anvendelse af digitale identiteter bør medlemsstaterne ikke blot fremme fordelene ved de relevante tjenester, men bør i samarbejde med den private sektor, forskere og den akademiske verden også udvikle uddannelsesprogrammer, der har til formål at styrke deres borgeres og indbyggeres digitale færdigheder, navnlig for sårbare grupper såsom personer med handicap og ældre. Medlemsstaterne bør øge bevidstheden om fordelene og risiciene ved europæiske digitale identitetstegnebøger ved hjælp af kommunikationskampagner.
(36)
For at sikre, at den europæiske ramme for digital identitet er åben for innovation og teknologisk udvikling og er fremtidssikret, tilskyndes medlemsstaterne til i fællesskab at oprette sandkasser til afprøvning af innovative løsninger i et kontrolleret og sikkert miljø, navnlig for at forbedre løsningernes funktionalitet, beskyttelse af personoplysninger, sikkerhed og interoperabilitet og bidrage til fremtidige ajourføringer af tekniske referencer og retlige krav. Dette miljø bør fremme inddragelsen af SMV'er, nystartede virksomheder og individuelle innovatorer og forskere samt relevante interessenter i industrien. Sådanne initiativer bør bidrage til og styrke den reguleringsmæssige overholdelse og tekniske robusthed af europæiske digitale identitetstegnebøger, der skal leveres til unionsborgere og indbyggere i Unionen, og dermed forhindre udviklingen af løsninger, der ikke er overholder EU-retten om databeskyttelse, eller som er åbne for sikkerhedsmæssige sårbarheder.
(37)
Europa-Parlamentet og Rådets forordning (EU) 2019/1157 
(
11
)
 styrker sikkerheden af identitetskort med forbedrede sikkerhedselementer senest i august 2021. Medlemsstaterne bør overveje muligheden for at anmelde dem som led i elektroniske identifikationsordninger for at udvide den grænseoverskridende adgang til elektroniske identifikationsmidler.
(38)
Proceduren for anmeldelse af elektroniske identifikationsordninger bør forenkles og fremskyndes for at fremme adgangen til bekvemme, pålidelige, sikre og innovative autentifikations- og identifikationsløsninger og, hvor det er relevant, tilskynde private identitetsudbydere til at udbyde elektroniske identifikationsordninger til medlemsstaternes myndigheder til anmeldelse som nationale elektroniske identifikationsordninger i henhold til forordning (EU) nr. 910/2014.
(39)
En strømlining af de nuværende procedurer for anmeldelse og peerevaluering vil forhindre uensartede tilgange til vurdering af forskellige anmeldte elektroniske identifikationsordninger og gøre det lettere at opbygge tillid mellem medlemsstaterne. Nye, forenklede mekanismer har til formål at fremme medlemsstaternes samarbejde om sikkerhed og interoperabilitet i deres anmeldte elektroniske identifikationsordninger.
(40)
Medlemsstaterne bør nyde godt af nye, fleksible værktøjer til at sikre overholdelse af kravene i denne forordning og i de relevante gennemførelsesretsakter, der er vedtaget i medfør heraf. Denne forordning bør give medlemsstaterne mulighed for at anvende rapporter og vurderinger, der er udarbejdet eller udført af akkrediterede overensstemmelsesvurderingsorganer, som fastsat inden for rammerne af certificeringsordninger, der skal oprettes på EU-plan i henhold til forordning (EU) 2019/881, til at understøtte deres påstande om tilpasning af ordningerne eller dele heraf til forordning (EU) nr. 910/2014.
(41)
Offentlige tjenesteudbydere anvender de personidentifikationsdata, der er tilgængelige fra elektroniske identifikationsmidler i henhold til forordning (EU) nr. 910/2014, til at matche den elektroniske identitet af brugere fra andre medlemsstater med de personidentifikationsdata, der gives til disse brugere i den medlemsstat, der udfører processen for identitetssammenkobling på tværs af grænserne. På trods af anvendelsen af det minimumsdatasæt, der stilles til rådighed i henhold til de anmeldte elektroniske identifikationsordninger, kræver det imidlertid i mange tilfælde yderligere oplysninger om brugeren og specifikke supplerende entydige identifikationsprocedurer, der skal gennemføres på nationalt plan, for at sikre en nøjagtig identitetssammenkobling, når medlemsstaterne fungerer som modtagerparter. For yderligere at støtte anvendeligheden af elektroniske identifikationsmidler, sikre bedre offentlige onlinetjenester og øge retssikkerheden i forbindelse med brugernes elektroniske identitet bør forordning (EU) nr. 910/2014 kræve, at medlemsstaterne skal træffe specifikke onlineforanstaltninger for at sikre utvetydig identitetssammenkobling, når brugerne agter at få adgang til grænseoverskridende offentlige onlinetjenester.
(42)
Når der udvikles europæiske digitale identitetstegnebøger, er det afgørende at tage hensyn til brugernes behov. Meningsfulde brugstilfælde og onlinetjenester, der benytter europæiske digitale identitetstegnebøger bør stilles til rådighed. Af hensyn til brugernes bekvemmelighed og for at sikre sådanne tjenesters tilgængelighed på tværs af grænserne er det vigtigt at træffe tiltag med henblik på at fremme en ensartet tilgang til udformning, udvikling og gennemførelse af onlinetjenester i alle medlemsstater. Ikkebindende retningslinjer for udformning, udvikling og gennemførelse af onlinetjenester, der benytter europæiske digitale identitetstegnebøger, har potentiale til at blive et nyttigt redskab til at nå dette mål. Sådanne retningslinjer bør udarbejdes under hensyntagen til Unionens interoperabilitetsramme. Medlemsstaterne bør have en fremtrædende rolle i forbindelse med vedtagelsen af disse retningslinjer.
(43)
I overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2019/882 
(
12
)
 skal personer med handicap kunne anvende europæiske digitale identitetstegnebøger, tillidstjenester og de slutbrugerprodukter, der anvendes til levering af sådanne tjenester, på lige fod med andre brugere.
(44)
For at sikre en effektiv håndhævelse af denne forordning bør der fastsættes et minimumsniveau for de maksimale administrative bøder for både kvalificerede og ikkekvalificerede tillidstjenesteudbydere. Medlemsstaterne bør fastsætte sanktioner, der er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning. Ved fastsættelsen af sanktionerne bør der tages behørigt hensyn til de berørte enheders størrelse, deres forretningsmodeller og alvoren af overtrædelsen.
(45)
Medlemsstaterne bør fastsætte regler om sanktioner for overtrædelser såsom direkte eller indirekte praksis, der fører til forveksling mellem ikkekvalificerede og kvalificerede tillidstjenester eller til ikkekvalificerede tillidstjenesteudbyderes misbrug af EU-tillidsmærket. EU-tillidsmærket bør ikke anvendes på betingelser, der direkte eller indirekte fører til den opfattelse, at ikkekvalificerede tillidstjenester, der tilbydes af disse udbydere, er kvalificerede.
(46)
Denne forordning bør ikke omfatte aspekter relateret til indgåelse og gyldighed af kontrakter eller andre retlige forpligtelser, som ifølge EU-retten eller national ret er undergivet formkrav. Den bør heller ikke berøre nationale formkrav til offentlige registre, navnlig handelsregistre og tingbøger.
(47)
Levering og anvendelse af tillidstjenester og fordelene i form af bekvemmelighed og retssikkerhed i forbindelse med grænseoverskridende transaktioner, navnlig når der anvendes kvalificerede tillidstjenester, er af stadig større betydning for international handel og internationalt samarbejde. Unionens internationale partnere fastlægger tillidsrammer inspireret af forordning (EU) nr. 910/2014. For at lette anerkendelsen af kvalificerede tillidstjenester og deres udbydere kan Kommissionen vedtage gennemførelsesretsakter for at fastsætte betingelser for, hvornår tredjelandes tillidsrammer kan anses for at svare til tillidsrammerne for kvalificerede tillidstjenester og udbydere heraf i denne forordning. En sådan tilgang bør supplere muligheden for gensidig anerkendelse af tillidstjenester og udbydere heraf, der er hjemmehørende i Unionen og i tredjelande i overensstemmelse med artikel 218 i traktaten om Den Europæiske Unions funktionsmåde (TEUF). Ved fastsættelsen af betingelserne for, hvornår tredjelandes tillidsrammer kan anses for at svare til tillidsrammerne for kvalificerede tillidstjenester og udbydere heraf i forordning (EU) nr. 910/2014, bør det sikres, at de relevante bestemmelser i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
13
)
 og forordning (EU) 2016/679 overholdes, samt at der anvendes positivlister som grundlæggende elementer for opbygning af tillid.
(48)
Denne forordning bør fremme valgmuligheder og muligheden for at skifte mellem europæiske digitale identitetstegnebøger, hvis en medlemsstat har godkendt mere end én europæisk digital identitetstegnebogsløsning på sit område. For at undgå fastlåsning i sådanne situationer bør udbydere af europæiske digitale identitetstegnebøger, hvor det er teknisk muligt, sikre effektiv dataportabilitet efter anmodning fra brugere af europæiske digitale identitetstegnebøger og bør ikke kunne anvende kontraktlige, økonomiske eller tekniske hindringer for at forhindre eller afskrække fra effektive skift mellem forskellige europæiske digitale identitetstegnebøger.
(49)
For at sikre, at europæiske digitale identitetstegnebøger fungerer korrekt, har udbydere af europæiske digitale identitetstegnebøger behov for effektiv interoperabilitet og retfærdige, rimelige og ikkediskriminerende betingelser for, at de europæiske digitale identitetstegnebøger kan få adgang til specifikke hardware- og softwarefunktioner på mobile enheder. Disse komponenter vil navnlig kunne omfatte near-field-communication-antenner og sikre elementer, herunder universelle integrerede kredsløbskort, indbyggede sikre elementer, mikroSD-kort og Bluetooth Low Energy. Adgangen til disse komponenter vil kunne være kontrolleret af mobilnetoperatører og udstyrsfabrikanter. Hvor det er nødvendigt for at levere tjenester fra europæiske digitale identitetstegnebøger, bør fabrikanter af originaludstyr til mobile enheder eller udbydere af elektroniske kommunikationstjenester derfor ikke nægte adgang til sådanne komponenter. Desuden bør de virksomheder, der er udpeget som gatekeepere for centrale platformstjenester som anført af Kommissionen i medfør af Europa-Parlamentets og Rådets forordning (EU) 2022/1925 
(
14
)
, fortsat være omfattet af de specifikke bestemmelser i nævnte forordning på grundlag af artikel 6, stk. 7, deri.
(50)
For at strømline de forpligtelser vedrørende cybersikkerhed, der pålægges tillidstjenesteudbydere, og for at gøre det muligt for disse udbydere og deres respektive kompetente myndigheder at drage fordel af den retlige ramme, der er fastlagt ved direktiv (EU) 2022/2555, er tillidstjenester forpligtet til at træffe passende tekniske og organisatoriske foranstaltninger i medfør af nævnte direktiv såsom foranstaltninger til håndtering af systemsvigt, menneskelige fejl, ondsindede handlinger eller naturfænomener med henblik på at styre risiciene for sikkerheden i de net- og informationssystemer, som disse udbydere anvender som led i deres levering af tjenester, samt foretage underretninger om væsentlige hændelser og cybertrusler i overensstemmelse med nævnte direktiv. For så vidt angår underretning om hændelser bør tillidstjenesteudbydere underrette om alle hændelser, der har en væsentlig indvirkning på leveringen af deres tjenester, herunder som følge af tyveri eller tab af udstyr, skader på netkabler eller hændelser, der indtræffer i forbindelse med identifikation af personer. Kravene vedrørende risikostyring i forbindelse med cybersikkerhed og rapporteringsforpligtelserne i henhold til direktiv (EU) 2022/2555 bør betragtes som værende et supplement til de krav, der pålægges tillidstjenesteudbydere i henhold til denne forordning. Hvis det er relevant, bør fastsatte nationale praksisser eller retningslinjer i forbindelse med gennemførelsen af sikkerheds- og rapporteringskrav og tilsyn med overholdelsen af sådanne krav i henhold til forordning (EU) nr. 910/2014 fortsat anvendes af de kompetente myndigheder, der er udpeget i henhold til direktiv (EU) 2022/2555. Nærværende forordning berører ikke forpligtelsen til i medfør af forordning (EU) 2016/679 at anmelde brud på persondatasikkerheden.
(51)
Der bør tages behørigt hensyn til at sikre et effektivt samarbejde mellem de tilsynsorganer, der er udpeget i henhold til artikel 46b i forordning (EU) nr. 910/2014, og de kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555. Hvis et sådant tilsynsorgan er et andet end en sådan kompetent myndighed, bør de samarbejde tæt og på en rettidig måde ved at udveksle relevante oplysninger med henblik på at sikre et effektivt tilsyn med tillidstjenesteudbyderne og deres overholdelse af de krav, der er fastsat i forordning (EU) nr. 910/2014 og direktiv (EU) 2022/2555. Tilsynsorganer, der er udpeget i henhold til forordning (EU) nr. 910/2014, bør navnlig have ret til at anmode kompetente myndigheder, der er udpeget i henhold til direktiv (EU) 2022/2555, om at fremlægge de relevante oplysninger, der er nødvendige for at tildele status som kvalificeret og gennemføre tilsynsforanstaltninger for at kontrollere, at tillidstjenesteudbyderne overholder de i henhold til direktiv (EU) 2022/2555 relevante krav, eller pålægge dem at afhjælpe manglende overholdelse.
(52)
Det er afgørende at fastlægge en retlig ramme for at lette grænseoverskridende anerkendelse mellem eksisterende nationale retlige systemer vedrørende elektroniske registrerede leveringstjenester. Denne ramme vil også kunne åbne nye markedsmuligheder for tillidstjenesteudbydere i Unionen med hensyn til at udbyde nye EU-dækkende tjenester for elektroniske registrerede leveringstjenester. For at sikre, at data via en kvalificeret elektronisk registreret leveringstjeneste leveres til den korrekte modtager, bør kvalificerede elektroniske registrerede leveringstjenester med fuldstændig sikkerhed sikre identifikation af modtageren, mens en høj grad af tillid vil være tilstrækkelig for så vidt angår identifikation af afsenderen. Medlemsstaterne bør tilskynde udbydere af kvalificerede elektroniske registrerede leveringstjenester til at gøre deres tjenester interoperable med kvalificerede elektroniske registrerede leveringstjenester, der leveres af andre kvalificerede tillidstjenesteudbydere, for at der nemt kan overføres elektronisk registrerede data mellem to eller flere kvalificerede tillidstjenesteudbydere, og for at fremme fair praksis på det indre marked.
(53)
I de fleste tilfælde er unionsborgere og indbyggere i Unionen ikke i stand til at udveksle digitale oplysninger vedrørende deres identitet såsom deres adresser, alder, erhvervsmæssige kvalifikationer, kørekort og andre tilladelser og betalingsdata på tværs af grænserne på sikker vis og med et højt databeskyttelsesniveau.
(54)
Det bør være muligt at udstede og håndtere pålidelige elektroniske attributter og bidrage til at mindske den administrative byrde og derved give unionsborgere og indbyggere i Unionen mulighed for at anvende dem i deres private og offentlige transaktioner. Unionsborgere og indbyggere i Unionen bør for eksempel være i stand til at dokumentere, at de er i besiddelse af et gyldigt kørekort, der er udstedt af en myndighed i én medlemsstat, hvilket de relevante myndigheder i andre medlemsstater kan kontrollere og have tillid til, og til at forlade sig på deres socialsikringsoplysninger eller fremtidige digitale rejsedokumenter i grænseoverskridende sammenhæng.
(55)
Enhver tjenesteudbyder, der udsteder attesterede attributter i elektronisk form såsom eksamensbeviser, tilladelser og fødselsattester eller beføjelser og mandater til at repræsentere eller handle på vegne af fysiske eller juridiske personer bør betragtes som en tillidstjenesteudbyder af elektroniske attesteringer af attributter. En elektronisk attestering af attributter bør ikke nægtes retsvirkning alene af den grund, at den er i elektronisk form, eller at den ikke opfylder kravene til kvalificerede elektroniske attesteringer af attributter. Der bør fastsættes generelle krav for at sikre, at en kvalificeret elektronisk attestering af attributter har samme retsvirkning som lovligt udstedte attesteringer i papirform. Disse krav bør dog finde anvendelse, uden at det berører EU-ret eller national ret, der fastsætter yderligere sektorspecifikke krav for så vidt angår formkrav med underliggende retsvirkning og navnlig grænseoverskridende anerkendelse af kvalificerede elektroniske attesteringer af attributter, hvis det er relevant.
(56)
Den brede tilgængelighed og anvendelighed af europæiske digitale identitetstegnebøger bør øge accepten heraf og tilliden til dem både hos privatpersoner og private tjenesteudbydere. De private modtagerparter, der leverer tjenester, f.eks. inden for transport, energi, banktjenester, finansielle tjenesteydelser, social sikring, sundhed, drikkevand, posttjenester, digital infrastruktur, telekommunikation eller uddannelse, bør derfor acceptere anvendelsen af europæiske digitale identitetstegnebøger til levering af tjenester, hvor stærk brugerautentifikation til onlineidentifikation er påkrævet i henhold til EU-retten eller national ret eller i henhold til en kontraktlig forpligtelse. Enhver anmodning fra modtagerparten om oplysninger fra brugeren af en europæisk digital identitetstegnebog bør være nødvendig for og stå i et rimeligt forhold til den påtænkte anvendelse i et givent tilfælde, bør være i overensstemmelse med princippet om dataminimering og bør sikre gennemsigtighed med hensyn til, hvilke data der deles, og til hvilke formål. For at lette anvendelsen og accepten af europæiske digitale identitetstegnebøger bør der i forbindelse med deres udbredelse tages hensyn til bredt anerkendte industristandarder og -specifikationer.
(57)
Hvis meget store onlineplatforme i den i artikel 33, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2022/2065 
(
15
)
 anvendte betydning kræver, at brugere autentificeres for at få adgang til onlinetjenester, bør disse platforme være forpligtet til at acceptere anvendelse af europæiske digitale identitetstegnebøger, når brugeren frivilligt anmoder herom. Brugere bør ikke være forpligtede til at anvende en europæisk digital identitetstegnebog for at få adgang til private tjenester, og deres adgang til tjenester bør ikke begrænses eller hindres med den begrundelse, at de ikke anvender en europæisk digital identitetstegnebog. Hvis brugerne imidlertid ønsker det, bør meget store onlineplatforme acceptere dem til dette formål, samtidig med at princippet om dataminimering og brugernes ret til frit valgte pseudonymer respekteres. I betragtning af den betydning, som meget store onlineplatforme har grundet deres rækkevidde, navnlig som udtrykt i antallet af modtagere af en tjeneste og økonomiske transaktioner, er forpligtelsen til at acceptere europæiske digitale identitetstegnebøger nødvendig for at øge beskyttelsen af brugerne mod svig og sikre et højt databeskyttelsesniveau.
(58)
Der bør udarbejdes adfærdskodekser på EU-plan med henblik på at bidrage til udbredt tilgængelighed og anvendelighed af elektroniske identifikationsmidler, herunder europæiske digitale identitetstegnebøger, inden for denne forordnings anvendelsesområde. Adfærdskodekserne bør lette en bred accept af elektroniske identifikationsmidler, herunder europæiske digitale identitetstegnebøger, hos de tjenesteudbydere, der ikke betragtes som meget store platforme, og som benytter tredjeparters elektroniske identifikationstjenester til brugerautentifikation.
(59)
Selektiv videregivelse er et begreb, der giver ejeren af data mulighed for kun at videregive visse dele af et større datasæt, således at den modtagende enhed kun modtager de oplysninger, som er nødvendige for leveringen af en tjeneste, som en bruger har anmodet om. Den europæiske digitale identitetstegnebog bør gøre selektiv videregivelse af attributter til modtagerparter teknisk mulig. Det bør være teknisk muligt for brugeren selektivt at videregive attributter, herunder fra flere særskilte elektroniske attesteringer, og kombinere og fremlægge dem gnidningsløst for modtagerparter. Denne funktion bør blive et grundlæggende element i udformningen af europæiske digitale identitetstegnebøger og derved styrke bekvemmeligheden og beskyttelsen af personoplysninger, herunder dataminimering.
(60)
Medmindre specifikke regler i EU-retten eller national ret kræver, at brugerne identificerer sig selv, bør adgang til tjenester ved hjælp af et pseudonym ikke forbydes.
(61)
Attributter, der leveres af kvalificerede tillidstjenesteudbydere som led i kvalificerede attesteringer af attributter, bør kontrolleres i forhold til autentiske kilder enten direkte af den kvalificerede tillidstjenesteudbyder eller ved hjælp af udpegede mellemmænd, der er anerkendt på nationalt plan i overensstemmelse med EU-retten eller national ret, med henblik på sikker udveksling af attesterede attributter mellem udbydere af identitetstjenester eller attesteringer af attributter og modtagerparter. Medlemsstaterne bør indføre passende mekanismer på nationalt plan for at sikre, at kvalificerede tillidstjenesteudbydere, der udsteder kvalificeret elektronisk attestering af attributter, er i stand til på grundlag af samtykke fra den person, som attesten er udstedt til, at kontrollere ægtheden af attributterne på grundlag af autentiske kilder. Det bør være muligt for passende mekanismer at omfatte anvendelsen af specifikke mellemmænd eller tekniske løsninger i overensstemmelse med national ret, der giver adgang til autentiske kilder. At sikre, at en mekanisme, der gør det muligt at kontrollere attributter i forhold til autentiske kilder, er til rådighed, har til formål at gøre det lettere for kvalificerede tillidstjenesteudbydere af kvalificeret elektronisk attestering af attributter at overholde deres forpligtelser i henhold til forordning (EU) nr. 910/2014. Et nyt bilag til nævnte forordning bør indeholde en liste over kategorier af attributter med hensyn til hvilke medlemsstaterne skal sikre, at der træffes foranstaltninger, der gør det muligt for kvalificerede udbydere af elektroniske attesteringer af attributter på brugerens anmodning elektronisk at kontrollere deres ægthed i forhold til den relevante autentiske kilde.
(62)
Sikker elektronisk identifikation og levering af attesteringer af attributter bør give sektoren for finansielle tjenesteydelser yderligere fleksibilitet og løsninger, således at det bliver muligt at identificere kunder og udveksle specifikke attributter for at overholde f.eks. kundekendskabskravene i henhold til en fremtidig forordning om oprettelse af myndigheden for bekæmpelse af hvidvask af penge eller egnethedskrav, der følger af investorbeskyttelsesret, eller for at støtte opfyldelsen af krav om stærk kundeautentifikation til onlineidentifikation med henblik på kontologin og iværksættelse af transaktioner inden for betalingstjenester.
(63)
Retsvirkningen af en elektronisk signatur skal ikke anfægtes, alene af den grund at den er i elektronisk form, eller at den ikke opfylder kravene til en kvalificeret elektronisk signatur. Elektroniske signaturers retsvirkning skal dog fastlægges i national ret, med undtagelse af kravene i denne forordning, der fastsætter, at retsvirkningen af en kvalificeret elektronisk signatur skal anses for at svare til en håndskreven underskrift. Ved fastlæggelsen af elektroniske signaturers retsvirkning bør medlemsstaterne tage hensyn til princippet om proportionalitet mellem den retlige værdi af et dokument, der skal underskrives, og det sikkerhedsniveau og de omkostninger, som en elektronisk signatur kræver. For at øge tilgængeligheden og anvendelsen af elektroniske signaturer opfordres medlemsstaterne til at overveje at anvende avancerede elektroniske signaturer i de daglige transaktioner, for hvilke de giver et tilstrækkeligt niveau af sikkerhed og tillid.
(64)
For at sikre ensartet certificeringspraksis i hele Unionen bør Kommissionen udstede retningslinjer for certificering og fornyet certificering af kvalificerede elektroniske signaturgenereringssystemer og af kvalificerede elektroniske seglgenereringssystemer, herunder deres gyldighed og tidsmæssige begrænsninger. Denne forordning forhindrer ikke offentlige eller private organer, der har certificerede kvalificerede elektroniske signaturgenereringssystemer, i midlertidigt at forny certificeringen af sådanne systemer for en kortvarig certificeringsperiode på grundlag af resultatet af den seneste certificeringsproces, hvor en sådan fornyet certificering ikke kan foretages inden for den lovbestemte tidsramme af andre årsager end et brud eller en sikkerhedshændelse, og uden at det berører forpligtelsen til at foretage en sårbarhedsvurdering, og uden at det berører gældende certificeringspraksis.
(65)
Udstedelsen af certifikater for webstedsautentifikation har til formål at give brugere en sikkerhed med en høj grad af tillid til identiteten af den enhed, der står bag et websted, uanset hvilken platform der anvendes til at vise denne identitet. Disse certifikater bør bidrage til at opbygge tillid til at drive forretning online, da brugerne vil have tillid til et websted, som er autentificeret. Websteders brug af sådanne certifikater bør være frivillig. For at sådanne certifikater kan blive et middel til at fremme tillid, give brugeren en bedre oplevelse og fremme vækst på det indre marked, fastsættes der ved denne forordning en tillidsramme inklusive minimumsforpligtelser med hensyn til sikkerhed og ansvar for udbydere af kvalificerede certifikater for webstedsautentifikation og krav til udstedelsen af disse certifikater. Webstedsautentifikationstjenesters og deres tillidstjenesteudbyderes status som kvalificeret bør bekræftes af nationale positivlister, herunder deres fulde overholdelse af denne forordnings krav med hensyn til udstedelse af kvalificerede certifikater for webstedsautentifikation. Anerkendelsen af kvalificerede certifikater for webstedsautentifikation betyder, at webbrowserudbydere ikke bør nægte autenticiteten af kvalificerede certifikater for webstedsautentifikation med det ene formål at attestere tilknytningen mellem webstedets domænenavn og den fysiske eller juridiske person, som certifikatet er udstedt til, eller bekræfte den pågældende persons identitet. Webbrowserudbydere bør vise de certificerede identitetsdata og de øvrige attesterede attributter for slutbrugeren på en brugervenlig måde i browsermiljøet ved tekniske midler efter eget valg. Med henblik herpå bør webbrowserudbydere sørge for støtte af og interoperabilitet med kvalificerede certifikater for webstedsautentifikation udstedt under fuld overholdelse af denne forordning. Forpligtelsen til anerkendelse af, interoperabilitet med og støtte til kvalificerede certifikater for webstedsautentifikation berører ikke webbrowserudbyderes frihed til at sikre websikkerhed, domæneautentifikation og kryptering af webtrafik på en måde og ved brug af teknologi, som de anser for at være den mest hensigtsmæssige. For at bidrage til slutbrugernes onlinesikkerhed bør webbrowserudbydere under ekstraordinære omstændigheder kunne træffe forebyggende foranstaltninger, der er både nødvendige og forholdsmæssige, som reaktion på en begrundet mistanke om sikkerhedsbrud eller tab af integritet i forbindelse med et identificeret certifikat eller sæt af certifikater. Hvor webbrowserudbydere træffer sådanne forebyggende foranstaltninger, bør de uden unødigt ophold underrette Kommissionen, det nationale tilsynsorgan og den enhed, som certifikatet er udstedt til, samt den kvalificerede tillidstjenesteudbyder, der udstedte det pågældende certifikat eller sæt af certifikater, om enhver mistanke med hensyn til et sådant sikkerhedsbrud eller tab af integritet samt om de foranstaltninger, der er truffet i forbindelse med det enkelte certifikat eller sættet af certifikater. Disse foranstaltninger bør ikke berøre webbrowserudbyderes forpligtelse til at anerkende kvalificerede certifikater for webstedsautentifikation i overensstemmelse med de nationale positivlister. For yderligere at beskytte unionsborgerne og indbyggerne i Unionen og fremme brugen af kvalificerede certifikater for webstedsautentifikation bør offentlige myndigheder i medlemsstaterne overveje at indføre kvalificerede certifikater for webstedsautentifikation for deres websteder. De foranstaltninger, der er fastsat i denne forordning med henblik på at skabe større sammenhæng mellem medlemsstaternes forskellige tilgange og praksis vedrørende tilsynsprocedurer, har til formål at bidrage til at øge tilliden til sikkerheden, kvaliteten og tilgængeligheden af kvalificerede certifikater for webstedsautentifikation.
(66)
Mange medlemsstater har indført nationale krav til tjenester, der leverer sikker og pålidelig elektronisk arkivering, for at gøre det muligt at opbevare elektroniske data og elektroniske dokumenter i lang tid, og tilknyttede tillidstjenester. For at sikre retssikkerhed, tillid og harmonisering på tværs af medlemsstaterne bør der fastlægges en retlig ramme for kvalificerede elektroniske arkiveringstjenester, der er inspireret af rammen for de andre tillidstjenester, der er fastsat i denne forordning. Denne retlige ramme for kvalificerede elektroniske arkiveringstjenester bør give tillidstjenesteudbydere og -brugere en effektiv værktøjskasse, der omfatter funktionelle krav til den elektroniske arkiveringstjeneste, samt klare retsvirkninger, når der anvendes en kvalificeret elektronisk arkiveringstjeneste. Disse bestemmelser bør gælde for elektroniske data og elektroniske dokumenter, der er oprettet i elektronisk form, og papirdokumenter, der er blevet scannet og digitaliseret. Når det kræves, bør det i henhold til disse bestemmelser være tilladt at overføre de opbevarede elektroniske data og elektroniske dokumenter til forskellige medier eller formater med henblik på at forlænge deres holdbarhed og læsbarhed ud over den teknologiske gyldighedsperiode og samtidig i videst mulige omfang forebygge tab og ændringer. Når elektroniske data og elektroniske dokumenter, der indgives til den elektroniske arkivtjeneste, indeholder én eller flere kvalificerede elektroniske signaturer eller kvalificerede elektroniske segl, bør tjenesten anvende procedurer og teknologier, der kan forlænge deres pålidelighed for opbevaringsperioden for sådanne data, eventuelt ved brug af andre kvalificerede tillidstjenester, der er oprettet ved denne forordning. Der bør anvendes kvalificerede tillidstjenester med henblik på at frembringe opbevaringsdokumentation, hvor der anvendes elektroniske signaturer, elektroniske segl eller elektroniske tidsstempler. I det omfang elektroniske arkiveringstjenester ikke er harmoniseret ved denne forordning, bør det være muligt for medlemsstaterne i overensstemmelse med EU-retten at opretholde eller indføre nationale bestemmelser vedrørende disse tjenester såsom specifikke bestemmelser for tjenester, der er integreret i en organisation og udelukkende anvendes til denne organisations interne arkiver. I denne forordning bør der ikke skelnes mellem elektroniske data og elektroniske dokumenter, der er oprettet i elektronisk form, og fysiske dokumenter, der er blevet digitaliseret.
(67)
Nationale arkivers og hukommelsesinstitutioners aktiviteter er i deres egenskab af organisationer, der har til opgave at bevare den dokumenterede arv i offentlighedens interesse, normalt reguleret i national ret og ret, og de leverer ikke nødvendigvis tillidstjenester i den i denne forordning anvendte betydning. For så vidt sådanne institutioner ikke leverer sådanne tillidstjenester, berører denne forordning ikke deres drift.
(68)
Elektroniske hovedbøger er en sekvens af elektroniske dataposter, der bør sikre deres integritet og nøjagtigheden af deres kronologiske rækkefølge. Elektroniske hovedbøger bør fastlægge en kronologisk sekvens af dataposter. Sammen med andre teknologier bør de bidrage til løsninger med henblik på mere effektive og transformative offentlige tjenester såsom elektronisk afstemning, grænseoverskridende samarbejde mellem toldmyndighederne, grænseoverskridende samarbejde mellem akademiske institutioner og registrering af ejerskab til fast ejendom i decentrale matrikelregistre. Kvalificerede elektroniske hovedbøger bør indføre en retlig formodning for den entydige og nøjagtige kronologiske rækkefølge og integritet af dataposterne i hovedbogen. På grund af deres særtræk såsom den sekventielle kronologiske rækkefølge af dataposterne bør elektroniske hovedbøger adskilles fra andre tillidstjenester såsom elektroniske tidsstempler og elektroniske registrerede leveringstjenester. For at sikre retssikkerhed og fremme innovation bør der fastlægges en EU-dækkende retlig ramme, der fastsætter grænseoverskridende anerkendelse af tillidstjenester med hensyn til registrering af data i elektroniske hovedbøger. Dette bør i tilstrækkelig grad forhindre, at det samme digitale aktiv kopieres og sælges mere end én gang til forskellige parter. Processen med at oprette og ajourføre en elektronisk hovedbog afhænger af, hvilken type hovedbog der anvendes, navnlig hvorvidt den er centraliseret eller distribueret. Denne forordning bør sikre teknologisk neutralitet, dvs. at den hverken begunstiger eller forskelsbehandler nogen teknologi, som anvendes til at gennemføre den nye tillidstjeneste for elektroniske hovedbøger. Desuden bør Kommissionen tage højde for bæredygtighedsindikatorer med hensyn til eventuelle negative indvirkninger på klimaet eller andre miljørelaterede negative indvirkninger ved hjælp af hensigtsmæssige metoder, når den udarbejder de gennemførelsesretsakter, der præciserer kravene til kvalificerede elektroniske hovedbøger.
(69)
Tillidstjenesteudbyderes rolle i forbindelse med elektroniske hovedbøger bør være at fastslå den sekventielle registrering af data i hovedbogen. Denne forordning berører ikke eventuelle retlige forpligtelser, som brugere af elektroniske hovedbøger har i henhold til EU-retten eller national ret. F.eks. bør brugstilfælde, der involverer behandling af personoplysninger, overholde forordning (EU) 2016/679, og brugstilfælde, som vedrører finansielle tjenesteydelser, bør overholde relevant EU-ret om finansielle tjenesteydelser.
(70)
For at undgå fragmentering af og hindringer på det indre marked som følge af divergerende standarder og tekniske restriktioner og for at sikre en koordineret proces, hvorved det undgås at påvirke gennemførelsen af den europæiske ramme for digital identitet, er der behov for en procedure for et tæt og struktureret samarbejde mellem Kommissionen, medlemsstaterne, civilsamfundet, den akademiske verden og den private sektor. For at nå dette mål bør medlemsstaterne og Kommissionen samarbejde inden for de rammer, der er fastsat i Kommissionens henstilling (EU) 2021/946 
(
16
)
 om at udarbejde en fælles EU-værktøjskasse for den europæiske ramme for digital identitet. I den forbindelse bør medlemsstaterne nå til enighed om en omfattende teknisk struktur og referenceramme, et sæt fælles standarder og tekniske referencer, herunder anerkendte eksisterende standarder, og et sæt retningslinjer for og beskrivelser af bedste praksis, der som minimum dækker hele funktionaliteten og interoperabiliteten af europæiske digitale identitetstegnebøger, herunder e-signaturer, og af de kvalificerede tillidstjenesteudbydere af elektronisk attestering af attributter som fastsat i denne forordning. I den forbindelse bør medlemsstaterne også nå til enighed om fælles elementer med hensyn til en forretningsmodel og en gebyrstruktur for europæiske digitale identitetstegnebøger for at lette udbredelsen, navnlig blandt SMV'er, i en grænseoverskridende sammenhæng. Værktøjskassens indhold bør udvikles parallelt med og bør afspejle resultatet af drøftelserne af og processen for vedtagelsen af den europæiske ramme for digital identitet.
(71)
Denne forordning fastsætter et harmoniseret niveau af kvalitet, pålidelighed og sikkerhed for kvalificerede tillidstjenester, uanset hvor aktiviteterne udføres. En kvalificeret tillidstjenesteudbyder bør derfor have mulighed for at outsource sine aktiviteter i forbindelse med levering af en kvalificeret tillidstjeneste til et tredjeland, hvor dette tredjeland giver tilstrækkelige garantier, der sikrer, at tilsynsaktiviteter og revisioner kan håndhæves, som om de blev udført i Unionen. Når overholdelsen af denne forordning ikke kan sikres fuldt ud, bør tilsynsorganerne kunne vedtage forholdsmæssige og begrundede foranstaltninger, herunder inddragelse af status som kvalificeret for den udbudte tillidstjeneste.
(72)
For at sikre retssikkerhed for så vidt angår gyldigheden af avancerede elektroniske signaturer, der er baseret på kvalificerede certifikater, er det afgørende at angive vurderingen, som udføres af den modtagerpart, som foretager valideringen af den pågældende avancerede elektroniske signatur, der er baseret på kvalificerede certifikater.
(73)
Tillidstjenesteudbydere bør anvende kryptografiske metoder, der afspejler nuværende bedste praksis og pålidelige implementeringer af disse algoritmer, for at sikre deres tillidstjenesters sikkerhed og pålidelighed.
(74)
Denne forordning fastsætter en forpligtelse for kvalificerede tillidstjenesteudbydere til at kontrollere identiteten af en fysisk eller juridisk person, som det kvalificerede certifikat eller den kvalificerede elektroniske attestering af attributter er udstedt til, på grundlag af forskellige harmoniserede metoder i hele Unionen. For at sikre, at kvalificerede certifikater og kvalificerede elektroniske attesteringer af attributter udstedes til den person, de tilhører, og at de attesterer det korrekte og unikke sæt data, der repræsenterer den pågældende persons identitet, bør kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede certifikater eller udsteder kvalificerede elektroniske attesteringer af attributter, på tidspunktet for udstedelsen af disse certifikater og attesteringer med fuld sikkerhed sikre identifikationen af denne person. Ud over den obligatoriske kontrol af personens identitet, hvis det er relevant for udstedelse af kvalificerede certifikater, og når der udstedes en kvalificeret elektronisk attestering af attributter, bør kvalificerede tillidstjenesteudbydere desuden med fuld sikkerhed sikre korrektheden og nøjagtigheden af de attesterede attributter hos den person, som det kvalificerede certifikat eller den kvalificerede elektroniske attestering af attributter udstedes til. Disse forpligtelser til resultat og fuld sikkerhed i forbindelse med kontrollen af de attesterede data bør understøttes af passende midler, herunder ved hjælp af én metode eller, hvis det er nødvendigt, en kombination af specifikke metoder fastsat i denne forordning. Det bør være muligt at kombinere disse metoder for at skabe et passende grundlag for kontrol af identiteten af den person, som det kvalificerede certifikat eller en kvalificeret elektronisk attestering af attributter udstedes til. Det bør være muligt for en sådan kombination at omfatte benyttelse af elektroniske identifikationsmidler, der opfylder kravene til sikringsniveauet »betydelig«, kombineret med andre metoder til identitetskontrol. Sådan elektronisk identifikation vil gøre det muligt at opfylde de harmoniserede krav i denne forordning for så vidt angår sikringsniveauet »høj« som led i yderligere harmoniserede procedurer på afstand, hvilket sikrer identifikation med en høj grad af tillid. Disse metoder bør omfatte muligheden for, at den kvalificerede tillidstjenesteudbyder, som udsteder en kvalificeret elektronisk attestering af attributter, på brugerens anmodning kan kontrollere de attributter, der skal attesteres, herunder i forhold til autentiske kilder, ved hjælp af elektroniske midler i overensstemmelse med EU-retten eller national ret.
(75)
For at sikre denne forordnings overensstemmelse med den globale udvikling og følge bedste praksis på det indre marked bør de delegerede retsakter og gennemførelsesretsakter, som Kommissionen vedtager, revideres og om nødvendigt ajourføres regelmæssigt. Ved vurderingen af nødvendigheden af disse ajourføringer bør der tages hensyn til nye teknologier, praksisser, standarder eller tekniske specifikationer.
(76)
Målene for denne forordning, nemlig at udvikle den EU-dækkende europæiske ramme for digital identitet og en ramme for tillidstjenester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af deres omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(77)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725.
(78)
Forordning (EU) nr. 910/2014 bør derfor ændres i overensstemmelse hermed —
VEDTAGET DENNE FORORDNING:
Artikel 1
Ændringer til forordning (EU) nr. 910/2014
I forordning (EU) nr. 910/2014 foretages følgende ændringer:
1)
Artikel 1 affattes således:
»Artikel 1
Genstand
Denne forordning har til formål at sikre et velfungerende indre marked og et tilstrækkeligt sikkerhedsniveau for elektroniske identifikationsmidler og tillidstjenester, som anvendes i hele Unionen, for at muliggøre og lette fysiske og juridiske personers udøvelse af retten til at deltage sikkert i det digitale samfund og få adgang til offentlige og private onlinetjenester i hele Unionen. Med henblik herpå omfatter denne forordning:
a)
fastsættelse af betingelser i henhold til hvilke medlemsstaterne skal anerkende fysiske og juridiske personers elektroniske identifikationsmidler, der er omfattet af en anmeldt elektronisk identifikationsordning i en anden medlemsstat, og levere og anerkende europæiske digitale identitetstegnebøger
b)
fastsættelse af regler for tillidstjenester, navnlig for elektroniske transaktioner
c)
fastlæggelse af et retsgrundlag for elektroniske signaturer, elektroniske segl, elektroniske tidsstempler, elektroniske dokumenter, elektroniske registrerede leveringstjenester, certificeringstjenester for webstedsautentifikation, elektronisk arkivering, elektronisk attestering af attributter, elektroniske signaturgenereringssystemer og elektroniske sejlgenereringssystemer samt elektroniske hovedbøger.«
2)
I artikel 2 foretages følgende ændringer:
a)
Stk. 1 affattes således:
»1.   Denne forordning finder anvendelse på elektroniske identifikationsordninger, der er anmeldt af en medlemsstat, på europæiske digitale identitetstegnebøger, der er leveret af en medlemsstat, og på tillidstjenesteudbydere, der er hjemmehørende i Unionen.«
b)
Stk. 3 affattes således:
»3.   Denne forordning påvirker ikke EU-ret eller national ret vedrørende kontrakters indgåelse og gyldighed, andre retlige eller proceduremæssige forpligtelser, der vedrører formkrav, eller sektorspecifikke krav, der vedrører formkrav.
4.   Denne forordning berører ikke Europa-Parlamentets og Rådets forordning (EU) 2016/679
 (
*1
)
.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).«
                                                "
3)
I artikel 3 foretages følgende ændringer:
a)
Nr. 1)-5) affattes således:
»1)
»elektronisk identifikation«: det at bruge personidentifikationsdata i elektronisk form, der entydigt repræsenterer enten en fysisk eller en juridisk person eller en fysisk person, der repræsenterer en anden fysisk person eller en juridisk person
2)
»elektronisk identifikationsmiddel«: en materiel og/eller immateriel enhed, der indeholder personidentifikationsdata, og som bruges til autentifikation i forbindelse med en onlinetjeneste eller, hvis det er relevant, en offlinetjeneste
3)
»personidentifikationsdata«: et sæt data, der er udstedt i overensstemmelse med EU-retten eller national ret, og som gør det muligt at fastslå identiteten på en fysisk eller juridisk person eller på en fysisk person, der repræsenterer en anden fysisk person eller en juridisk person
4)
»elektronisk identifikationsordning«: et system til elektronisk identifikation, som led i hvilket der udstedes elektroniske identifikationsmidler til fysiske eller juridiske personer eller til fysiske personer, der repræsenterer andre fysiske personer eller juridiske personer
5)
»autentifikation«: en elektronisk proces, der muliggør bekræftelse af den elektroniske identifikation af en fysisk eller juridisk person eller bekræftelse af oprindelsen og integriteten af data i elektronisk form«.
b)
Følgende nummer indsættes:
»5a)
»bruger«: en fysisk eller juridisk person eller en fysisk person, der repræsenterer en anden fysisk person eller en juridisk person, som anvender tillidstjenester eller elektroniske identifikationsmidler, der leveres i overensstemmelse med denne forordning«.
c)
Nr. 6) affattes således:
»6)
»modtagerpart«: en fysisk eller juridisk person, der er afhængig af elektronisk identifikation, europæiske digitale identitetstegnebøger eller andre elektroniske identifikationsmidler eller af en tillidstjeneste«.
d)
Nr. 16) affattes således:
»16)
»tillidstjeneste«: en elektronisk tjeneste, der normalt udføres mod betaling, og som består af et eller flere af følgende:
a)
udstedelse af certifikater for elektroniske signaturer, certifikater for elektroniske segl, certifikater for webstedsautentifikation eller certifikater for levering af andre tillidstjenester
b)
validering af certifikater for elektroniske signaturer, certifikater for elektroniske segl, certifikater for webstedsautentifikation eller certifikater for levering af andre tillidstjenester
c)
generering af elektroniske signaturer eller elektroniske segl
d)
validering af elektroniske signaturer eller elektroniske segl
e)
bevaring af elektroniske signaturer, elektroniske segl, certifikater for elektroniske signaturer eller certifikater for elektroniske segl
f)
forvaltning af elektroniske signaturgenereringssystemer på afstand eller elektroniske seglgenereringssystemer på afstand
g)
udstedelse af elektroniske attesteringer af attributter
h)
validering af elektronisk attestering af attributter
i)
generering af elektroniske tidsstempler
j)
validering af elektroniske tidsstempler
k)
udførelse af elektroniske registrerede leveringstjenester
l)
validering af data fremsendt via elektroniske registrerede leveringstjenester og tilhørende dokumentation
m)
elektronisk arkivering af elektroniske data og elektroniske dokumenter
n)
registrering af elektroniske data i en elektronisk hovedbog«.
e)
Nr. 18) affattes således:
»18)
»overensstemmelsesvurderingsorgan«: et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008, der er akkrediteret i overensstemmelse med nævnte forordning med kompetence til at udføre overensstemmelsesvurderinger af en kvalificeret tillidstjenesteudbyder og de kvalificerede tillidstjenester, den udbyder, eller med kompetence til at udføre certificering af europæiske digitale identitetstegnebøger eller elektroniske identifikationsmidler«.
f)
Nr. 21) affattes således:
»21)
»produkt«: hardware eller software eller relevante hardware- eller softwarekomponenter, som er beregnet til at blive brugt til levering af elektroniske identifikationstjenester og tillidstjenester«.
g)
Følgende numre indsættes:
»23a)
»kvalificeret elektronisk signaturgenereringssystem på afstand«: et kvalificeret elektronisk signaturgenereringssystem, der i overensstemmelse med artikel 29a forvaltes af en kvalificeret tillidstjenesteudbyder på vegne af en underskriver
23b)
»kvalificeret elektronisk seglgenereringssystem på afstand«: et kvalificeret elektronisk seglgenereringssystem, der i overensstemmelse med artikel 39a forvaltes af en kvalificeret tillidstjenesteudbyder på vegne af en forseglende part«.
h)
Nr. 38) affattes således:
»38)
»certifikat for webstedsautentifikation«: en elektronisk attestering, der gør det muligt at autentificere et websted og knytter webstedet til den fysiske eller juridiske person, som certifikatet er udstedt til«.
i)
Nr. 41) affattes således:
»41)
»validering«: en fremgangsmåde til at kontrollere og bekræfte gyldigheden af data i elektronisk form i overensstemmelse med kravene i denne forordning«.
j)
Følgende numre tilføjes:
»42)
»europæisk digital identitetstegnebog«: et elektronisk identifikationsmiddel, der gør det muligt for brugeren på sikker vis at lagre, forvalte og validere personidentifikationsdata og elektroniske attesteringer af attributter med henblik på at levere dem til modtagerparter og andre brugere af europæiske digitale identitetstegnebøger og at underskrive ved hjælp af kvalificerede elektroniske signaturer eller forsegle ved hjælp af kvalificerede elektroniske segl
43)
»attribut«: en fysisk eller juridisk persons eller en genstands egenskab, kvalitet, rettigheder eller tilladelser
44)
»elektronisk attestering af attributter«: en attestering i elektronisk form, der muliggør autentifikation af attributter
45)
»kvalificeret elektronisk attestering af attributter«: en elektronisk attestering af attributter, der er udstedt af en kvalificeret tillidstjenesteudbyder, og som opfylder de krav, der er fastsat i bilag V
46)
»elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde«: en elektronisk attestering af attributter, der er udstedt af en offentlig myndighed med ansvar for en autentisk kilde eller af en offentlig myndighed udpeget af medlemsstaten til at udstede sådanne attesteringer af attributter på vegne af de offentlige myndigheder med ansvar for autentiske kilder i overensstemmelse med artikel 45f og bilag VII
47)
»autentisk kilde«: et register eller et system, som en offentlig myndighed eller en privat enhed har ansvaret for, og som indeholder og leverer attributter om en fysisk eller juridisk person eller genstand, og som anses for at være en primær kilde til disse oplysninger eller er anerkendt som autentisk i overensstemmelse med EU-retten eller national ret, herunder administrativ praksis
48)
»elektronisk arkivering«: en tjeneste, der sikrer modtagelse, lagring, hentning og sletning af elektroniske data og elektroniske dokumenter med henblik på at sikre deres holdbarhed og læsbarhed samt at bevare deres integritet, fortrolighed og oprindelsesbevis i hele opbevaringsperioden
49)
»kvalificeret elektronisk arkiveringstjeneste«: en elektronisk arkiveringstjeneste, der ydes af en kvalificeret tillidstjenesteudbyder og som opfylder de krav, der er fastsat i artikel 45j
50)
»EU-tillidsmærke for europæiske digitale identitetstegnebøger«: en kontrollerbar, simpel og genkendelig angivelse, der er meddelt på en tydelig måde, af, at en europæisk digital identitetstegnebog er udstedt i overensstemmelse med denne forordning
51)
»stærk brugerautentifikation«: en autentifikation baseret på anvendelse af mindst to autentifikationsfaktorer fra forskellige kategorier af enten viden, noget kun brugeren ved, besiddelse, noget kun brugeren besidder, eller iboende egenskab, noget brugeren er, og som er uafhængige, i den betydning at et brud på et af dem ikke svækker de andres pålidelighed, og som desuden er udformet på en måde, der beskytter fortroligheden af autentifikationsdataene
52)
»elektronisk hovedbog«: en sekvens af elektroniske dataposter, der sikrer integriteten af disse registreringer og nøjagtigheden af disse registres kronologiske rækkefølge
53)
»kvalificeret elektronisk hovedbog«: en elektronisk hovedbog, der ydes af en kvalificeret tillidstjenesteudbyder og som opfylder de krav, der er fastsat i artikel 45l
54)
»personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
55)
»identitetssammenkobling«: en proces, hvorved personidentifikationsdata eller personidentifikationsmidler sammenholdes med eller knyttes til en eksisterende konto, der tilhører den samme person
56)
»datapost«: elektroniske data, der er registreret med tilhørende metadata til støtte for behandlingen af dataene
57)
»offline«: for så vidt angår anvendelse af europæiske digitale identitetstegnebøger, interaktion mellem en bruger og en tredjepart på et fysisk sted ved hjælp af teknologier i umiddelbar nærhed, hvor det ikke er påkrævet, at den europæiske digitale identitetstegnebog kan få adgang til fjernsystemer via elektroniske kommunikationsnet med henblik på interaktionen«.
4)
Artikel 5 affattes således:
»Artikel 5
Pseudonymer i elektroniske transaktioner
Uden at det berører specifikke regler i EU-retten eller national ret, der kræver, at brugere identificerer sig selv, eller den retsvirkning, der tillægges pseudonymer i henhold til national ret, må anvendelsen af de pseudonymer, som brugeren har valgt, ikke forbydes.«
5)
I kapitel II indsættes følgende afdeling:
»AFDELING 1
EUROPÆISKE DIGITALE ID-TEGNEBØGER
Artikel 5a
Europæiske digitale identitetstegnebøger
1.   Med henblik på at sikre, at alle fysiske og juridiske personer i Unionen har sikker, pålidelig og gnidningsløs grænseoverskridende adgang til offentlige og private tjenester og samtidig har fuld kontrol over deres data, skal hver medlemsstat sikre, at der leveres mindst én europæisk digital identitetstegnebog senest 24 måneder efter ikrafttrædelsesdatoen for de gennemførelsesretsakter, der er omhandlet i denne artikels stk. 23 og i artikel 5c, stk. 6.
2.   Europæiske digitale identitetstegnebøger leveres på én eller flere af følgende måder:
a)
direkte af en medlemsstat
b)
i henhold til et mandat fra en medlemsstat
c)
uafhængigt af en medlemsstat, men med anerkendelse fra, den medlemsstat.
3.   Kildekoden for applikationens softwarekomponenter i de europæiske digitale identitetstegnebøger skal være open source-licensieret. Medlemsstaterne kan fastsætte, at kildekoden for andre specifikke komponenter end dem, der er installeret på brugerenheder, af behørigt begrundede årsager ikke skal oplyses.
4.   Europæiske digitale identitetstegnebøger skal gøre det muligt for brugeren på en måde, der er brugervenlig, gennemsigtig og sporbar for brugeren:
a)
på sikker vis og under brugerens enekontrol at anmode om, indhente, udvælge, kombinere, lagre, slette, dele og fremlægge personidentifikationsdata og, hvis det er relevant, i kombination med elektroniske attesteringer af attributter, til autentifikation over for modtagerparter online og, hvis det er relevant, offline med henblik på at få adgang til offentlige og private tjenester, samtidig med at det sikres, at selektiv videregivelse af data er mulig
b)
at generere pseudonymer og lagre dem krypteret og lokalt i den europæiske identitetstegnebog
c)
på sikker vis at autentificere en anden persons europæiske digitale identitetstegnebog og modtage og dele personidentifikationsdata og elektroniske attesteringer af attributter på en sikret måde mellem de to europæiske digitale identitetstegnebøger
d)
at få adgang til en log over alle transaktioner, der gennemføres via den europæiske digitale identitetstegnebog, via et fælles dashboard, der gør det muligt for brugeren:
i)
at se en ajourført liste over modtagerparter, som brugeren har etableret en forbindelse med, og, hvis det er relevant, alle udvekslede data
ii)
let at anmode en modtagerpart om at slette personoplysninger i henhold til artikel 17 i forordning (EU) 2016/679
iii)
let at indberette en modtagerpart til den kompetente nationale databeskyttelsesmyndighed, hvis der modtages en angiveligt ulovlig eller mistænkelig anmodning om data
e)
at underskrive ved hjælp af kvalificerede elektroniske signaturer eller forsegle ved hjælp af kvalificerede elektroniske segl
f)
i det omfang det er teknisk muligt, at downloade brugerens data, elektroniske attestering af attributter og konfigurationer
g)
at udøve brugerens ret til dataportabilitet.
5.   Europæiske digitale identitetstegnebøger skal navnlig:
a)
understøtte fælles protokoller og grænseflader:
i)
til udstedelse af personidentifikationsdata, kvalificerede og ikkekvalificerede elektroniske attesteringer af attributter eller kvalificerede og ikkekvalificerede certifikater til europæiske digitale identitetstegnebøger
ii)
således at modtagerparter kan anmode om og validere personidentifikationsdata og elektroniske attesteringer af attributter
iii)
til deling og forelæggelse for modtagerparter af personidentifikationsdata, af elektronisk attestering af attributter eller af selektivt videregivne relaterede data online og, hvis det er relevant, offline
iv)
således at brugeren kan interagere med den europæiske digitale identitetstegnebog og fremvise et EU-tillidsmærke for europæiske digitale identitetstegnebøger
v)
til på sikker vis at onboarde brugeren ved hjælp af et elektronisk identifikationsmiddel i overensstemmelse med artikel 5a, stk. 24
vi)
til interaktion mellem to personers europæiske digitale identitetstegnebøger med henblik på at modtage, validere og dele personidentifikationsdata og elektroniske attesteringer af attributter på en sikker måde
vii)
til autentifikation og identificering af modtagerparter ved at gennemføre autentifikationsmekanismer i overensstemmelse med artikel 5b
viii)
til modtagerparters validering af autenticiteten og gyldigheden af europæiske digitale identitetstegnebøger
ix)
til at anmode en modtagerpart om at slette personoplysninger i medfør af artikel 17 i forordning (EU) 2016/679
x)
til indberetning af en modtagerpart til den kompetente nationale databeskyttelsesmyndighed, hvis der modtages en angiveligt ulovlig eller mistænkelig anmodning om data
xi)
til oprettelse af kvalificerede elektroniske signaturer eller elektroniske segl ved hjælp af kvalificerede elektroniske signatur- eller elektroniske seglgenereringssystemer
b)
ikke give tillidstjenesteudbydere af elektroniske attesteringer af attributter oplysninger om anvendelsen af disse elektroniske attesteringer
c)
sikre, at modtagerparters identitet kan autentificeres og identificeres ved at indføre autentifikationsmekanismer i overensstemmelse med artikel 5b
d)
opfylde de krav, der er fastsat i artikel 8, med hensyn til sikringsniveauet »høj«, navnlig hvad angår kravene til godtgørelse og kontrol af identitet og forvaltning og autentifikation af elektroniske identifikationsmidler
e)
i tilfælde af elektronisk attestering af attributter med indbyggede videregivelsespolitikker, gennemføre en passende mekanisme til at underrette brugeren om, at modtagerparten eller brugeren af den europæiske digitale identitetstegnebog, der anmoder om denne elektronisk attestering af attributter, har tilladelse til at få adgang til en sådan attestering
f)
sikre, at de personidentifikationsdata, der er tilgængelige fra den elektroniske identifikationsordning, i henhold til hvilken den europæiske digitale identitetstegnebog leveres, entydigt repræsenterer den fysiske person, den juridiske person eller den fysiske person, der repræsenterer den fysiske eller juridiske person, og er knyttet til den pågældende europæiske digitale identitetstegnebog
g)
give alle fysiske personer mulighed for at underskrive ved hjælp af kvalificerede elektroniske signaturer som standard og gratis.
Uanset første afsnit, litra g), kan medlemsstaterne træffe forholdsmæssige foranstaltninger for at sikre, at fysiske personers gratis anvendelse af kvalificerede elektroniske signaturer begrænses til ikkeerhvervsmæssige formål.
6.   Medlemsstaterne skal straks informere brugere om ethverts sikkerhedsbrud, der helt eller delvis vil kunne have kompromitteret deres europæiske digitale identitetstegnebog eller dens indhold, navnlig hvis det har resulteret i suspension eller ophævelse af deres europæiske digitale identitetstegnebogs gyldighed i medfør af artikel 5e.
7.   Uden at det berører artikel 5f, kan medlemsstaterne i overensstemmelse med national ret indføre yderligere funktionaliteter i de europæiske digitale identitetstegnebøger, herunder interoperabilitet med eksisterende nationale elektroniske identifikationsmidler. Disse yderligere funktionaliteter skal overholde nærværende artikel.
8.   Medlemsstaterne stiller valideringsmekanismer gratis til rådighed for at:
a)
sikre, at de europæiske digitale identitetstegnebøgers autenticitet og gyldighed kan kontrolleres
b)
gøre det muligt for brugere at kontrollere autenticiteten og gyldigheden af identiteten af modtagerparter, der er registreret i overensstemmelse med artikel 5b.
9.   Medlemsstaterne sikrer, at gyldigheden af den europæiske digitale identitetstegnebog kan tilbagekaldes under følgende omstændigheder:
a)
på brugerens udtrykkelige anmodning
b)
hvis den europæiske digitale identitetstegnebogs sikkerhed er kompromitteret
c)
ved brugerens død eller ved ophør af en juridisk persons aktivitet.
10.   Udbydere af europæiske digitale identitetstegnebøger sikrer, at brugerne nemt kan anmode om teknisk støtte og indberette tekniske problemer eller andre hændelser, der har en negativ indvirkning på brugen af den europæiske digitale identitetstegnebog.
11.   Europæiske digitale identitetstegnebøger leveres i henhold til en elektronisk identifikationsordning med sikringsniveauet »høj«.
12.   Europæiske digitale identitetstegnebøger skal have sikkerhed gennem design.
13.   Udstedelse, anvendelse og tilbagekaldelse af europæiske digitale identitetstegnebøger skal være gratis for alle fysiske personer.
14.   Brugere har fuld kontrol over anvendelsen af og dataene i deres europæiske digitale identitetstegnebog. Udbyderen af den europæiske digitale identitetstegnebog indsamler hverken oplysninger om anvendelsen af den europæiske digitale identitetstegnebog, som ikke er nødvendige for leveringen af europæiske digitale identitetstegnebogstjenester, eller kombinerer personidentifikationsdata eller andre personoplysninger, der er lagret, eller som vedrører anvendelsen af den europæiske digitale identitetstegnebog, med personoplysninger fra andre tjenester, som udbydes af denne udbyder, eller fra tredjepartstjenester, som ikke er nødvendige for leveringen af europæiske digitale identitetstegnebogstjenester, medmindre brugeren udtrykkeligt har anmodet om noget andet. Personoplysninger vedrørende levering af den europæiske digitale identitetstegnebog opbevares logisk adskilt fra alle andre data, der opbevares af udbyderen af den europæiske digitale identitetstegnebog. Hvis den europæiske digitale identitetstegnebog er leveret af en privat part i overensstemmelse med denne artikels stk. 2, litra b) og c), finder bestemmelserne i artikel 45h, stk. 3, tilsvarende anvendelse.
15.   Brugen af europæiske digitale identitetstegnebøger er frivillig. Adgangen til offentlige og private tjenester, adgang til arbejdsmarkedet og friheden til at oprette og drive forretning må ikke på nogen måde begrænses eller gøres ufordelagtig for fysiske eller juridiske personer, der ikke anvender europæiske digitale identitetstegnebøger. Det skal fortsat være muligt at få adgang til offentlige og private tjenester ved hjælp af andre eksisterende identifikations- og autentifikationsmidler.
16.   Den tekniske ramme for den europæiske digitale identitetstegnebog:
a)
må ikke give udbydere af elektroniske attesteringer af attributter eller enhver anden part efter udstedelsen af attesteringen af attributter mulighed for at indhente data, der gør det muligt for transaktioner eller brugeradfærd at blive sporet, forbundet, korrelere eller på anden måde opnå viden om transaktioner eller brugeradfærd, medmindre brugeren udtrykkeligt har givet tilladelse hertil
b)
skal muliggøre teknikker til beskyttelse af privatlivets fred, som sikrer uforbindelighed, hvor attesteringen af attributter ikke kræver identifikation af brugeren.
17.   Enhver behandling af personoplysninger, der foretages af medlemsstaterne eller på deres vegne af organer eller parter, der er ansvarlige for levering af europæiske digitale identitetstegnebøger som elektroniske identifikationsmidler, foretages i overensstemmelse med passende og effektive databeskyttelsesforanstaltninger. Sådanne behandlingsaktiviteters overholdelse af forordning (EU) 2016/679 skal påvises. Medlemsstaterne kan indføre nationale bestemmelser for yderligere at præcisere anvendelsen af sådanne foranstaltninger.
18.   Medlemsstaterne meddeler uden unødigt ophold Kommissionen oplysninger om:
a)
det organ, der er ansvarligt for at oprette og ajourføre listen over registrerede modtagerparter, der benytter de europæiske digitale identitetstegnebøger i overensstemmelse med artikel 5b, stk. 5, og hvor denne liste befinder sig
b)
de organer, der er ansvarlige for leveringen af europæiske digitale identitetstegnebøger i overensstemmelse med artikel 5a, stk. 1
c)
de organer, der er ansvarlige for at sikre, at personidentifikationsdataene har tilknytning til den europæiske digitale identitetstegnebog i overensstemmelse med artikel 5a, stk. 5, litra f)
d)
den mekanisme, der gør det muligt at validere de personidentifikationsdata, der er omhandlet i artikel 5a, stk. 5, litra f), og modtagerparternes identitet
e)
mekanismen til validering af autenticiteten og gyldigheden af europæiske digitale identitetstegnebøger.
Kommissionen stiller de oplysninger, der er meddelt i medfør af første afsnit, til rådighed for offentligheden via en sikker kommunikationsforbindelse og i en elektronisk underskrevet eller forseglet form, der egner sig til automatiseret behandling.
19.   Uden at det berører denne artikels stk. 22, finder artikel 11 tilsvarende anvendelse på europæiske digitale identitetstegnebøger.
20.   Artikel 24, stk. 2, litra b) og d)-h), finder tilsvarende anvendelse på leverandører af europæiske digitale identitetstegnebøger.
21.   De europæiske digitale identitetstegnebøger gøres tilgængelige til brug for personer med handicap på lige fod med andre brugere i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2019/882
 (
*2
)
.
22.   Med henblik på levering af europæiske digitale identitetstegnebøger er europæiske digitale identitetstegnebøger og de elektroniske identifikationsordninger, efter hvilke de leveres, ikke omfattet af kravene i artikel 7, 9, 10, 12 og 12a.
23.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 4, 5, 8 og 18 omhandlede krav for gennemførelsen af den europæiske digitale identitetstegnebog. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
24.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer med henblik på at lette brugernes onboarding af den europæiske digitale identitetstegnebog ved hjælp af enten elektroniske identifikationsmidler, der opfylder sikringsniveauet »høj«, eller elektroniske identifikationsmidler, der opfylder sikringsniveauet »betydelig«, sammenholdt med yderligere onboardingprocedurer på afstand, som tilsammen opfylder kravene til sikringsniveauet »høj«. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 5b
Modtagerparter i forbindelse med europæiske digitale identitetstegnebøger
1.   Hvis en modtagerpart har til hensigt at benytte europæiske digitale identitetstegnebøger til levering af offentlige eller private tjenester ved hjælp af digital interaktion, registrerer modtagerparten sig i den medlemsstat, hvor den er hjemmehørende.
2.   Registreringsprocessen skal være omkostningseffektiv og stå i et rimeligt forhold til risikoen. Modtagerparten skal som minimum meddele:
a)
de oplysninger, der er nødvendige for autentifikation til europæiske digitale identitetstegnebøger, hvilket som minimum omfatter:
i)
den medlemsstat, hvor modtagerparten er hjemmehørende, og
ii)
modtagerpartens navn og, hvis det er relevant, registreringsnummer, som det fremgår af et officielt register, sammen med dette officielle registers identifikationsdata
b)
modtagerpartens kontaktoplysninger
c)
den tilsigtede anvendelse af europæiske digitale identitetstegnebøger, herunder en angivelse af de data, som modtagerparten skal anmode brugere om.
3.   Modtagerparter må ikke anmode brugere om at levere andre data end dem, der er angivet i beskrivelsen givet i medfør af stk. 2, litra c).
4.   Stk. 1 og 2 berører ikke EU-retten eller national ret, der finder anvendelse på leveringen af specifikke tjenester.
5.   Medlemsstaterne gør de oplysninger, der er omhandlet i stk. 2, offentligt tilgængelige online i en elektronisk underskrevet eller forseglet form, der egner sig til automatiseret behandling.
6.   Modtagerparter, der er registreret i overensstemmelse med denne artikel, underretter straks medlemsstaterne om ændringer af de oplysninger, der er meddelt ved registreringen i medfør af stk. 2.
7.   Medlemsstaterne indfører en fælles mekanisme til identifikation og autentifikation af modtagerparter som omhandlet i artikel 5a, stk. 5, litra c).
8.   Hvis modtagerparter har til hensigt at benytte europæiske digitale identitetstegnebøger, skal de identificere sig over for brugeren.
9.   Modtagerparterne er ansvarlige for at gennemføre proceduren for autentifikation og validering af personidentifikationsdata og elektronisk attestering af attributter, som der er anmodet om fra europæiske digitale identitetstegnebøger. Modtagerparterne må ikke nægte anvendelsen af pseudonymer, hvis identifikation af brugeren ikke er påkrævet i henhold til EU-retten eller national ret.
10.   Formidlere, der handler på vegne af modtagerparter, betragtes som modtagerparter og må ikke lagre data om transaktionens indhold.
11.   Senest den 21. november 2024 fastsætter Kommissionen tekniske specifikationer og procedurer for de i denne artikels stk. 2, 5 og 6-9 omhandlede krav ved hjælp af gennemførelsesretsakter om gennemførelsen af europæiske digitale identitetstegnebøger som omhandlet i artikel 5a, stk. 23. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 5c
Certificering af europæiske digitale identitetstegnebøger
1.   Overensstemmelsen af europæiske digitale identitetstegnebøger og den elektroniske identifikationsordning, i henhold til hvilken de leveres, med kravene i artikel 5a, stk. 4, 5 og 8, med kravet om logisk adskillelse i artikel 5a, stk. 14, og, hvor det er relevant, med de standarder og tekniske specifikationer, der er omhandlet i artikel 5a, stk. 24, certificeres af overensstemmelsesvurderingsorganer, der er udpeget af medlemsstaterne.
2.   Certificering af europæiske digitale identitetstegnebøgers overensstemmelse med de i denne artikels stk. 1, omhandlede krav, eller dele deraf, som er relevante for cybersikkerhed, foretages i overensstemmelse med europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i medfør af Europa-Parlamentets og Rådets forordning (EU) 2019/881
 (
*3
)
, og som der henvises til i de gennemførelsesretsakter, der er omhandlet i denne artikels stk. 6.
3.   For krav, der er omhandlet i denne artikels stk. 1, der ikke er relevante for cybersikkerhed, og for krav, der er omhandlet i denne artikels stk. 1, der er relevante for cybersikkerhed, i det omfang cybersikkerhedscertificeringsordninger som omhandlet i denne artikels stk. 2 ikke eller kun delvist dækker disse cybersikkerhedskrav, også for disse krav opretter medlemsstaterne nationale certificeringsordninger i overensstemmelse med de krav, der er fastsat i de gennemførelsesretsakter, der er omhandlet i denne artikels stk. 6. Medlemsstaterne fremsender deres udkast til nationale certificeringsordninger til den europæiske samarbejdsgruppe for digital identitet, der nedsættes i henhold til artikel 46e, stk. 1 (»samarbejdsgruppen«). Samarbejdsgruppen kan afgive udtalelser og udstede henstillinger.
4.   Certificering i medfør af stk. 1 er gyldig i op til fem år, forudsat at der foretages en sårbarhedsvurdering hvert andet år. Hvis der konstateres en sårbarhed, og den ikke afhjælpes på en rettidig måde, annulleres certificeringen.
5.   Overholdelse af kravene fastsat i denne forordnings artikel 5a for så vidt angår aktiviteter vedrørende behandling af personoplysninger kan certificeres i medfør af forordning (EU) 2016/679.
6.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for den i denne artikels stk. 1, 2 og 3 omhandlede certificering af den europæiske digitale identitetstegnebog. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
7.   Medlemsstaterne meddeler Kommissionen navn og adresse på de i stk. 1 omhandlede overensstemmelsesvurderingsorganer. Kommissionen stiller disse oplysninger til rådighed for alle medlemsstaterne.
8.   Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 47, der fastsætter de særlige kriterier, som de i denne artikels stk. 1 omhandlede overensstemmelsesvurderingsorganer skal opfylde.
Artikel 5d
Offentliggørelse af en liste over certificerede europæiske digitale identitetstegnebøger
1.   Medlemsstaterne underretter uden unødigt ophold Kommissionen og samarbejdsgruppen nedsat i medfør af artikel 46e, stk. 1, om de europæiske digitale identitetstegnebøger, der er leveret i henhold til artikel 5a og certificeret af de overensstemmelsesvurderingsorganer, der er omhandlet i artikel 5c, stk. 1. De underretter uden unødigt ophold Kommissionen og samarbejdsgruppen nedsat i medfør af artikel 46e, stk. 1, hvis certificering annulleres, og angiver årsagerne til annulleringen.
2.   Uden at det berører artikel 5a, stk. 18, skal de i nærværende artikels stk. 1 omhandlede oplysninger fra medlemsstaterne mindst omfatte:
a)
certifikatet og certificeringsvurderingsrapporten for den certificerede europæiske digitale identitetstegnebog
b)
en beskrivelse af den elektroniske identifikationsordning, i henhold til hvilken den europæiske digitale identitetstegnebog leveres
c)
den gældende tilsynsordning og oplysninger om erstatningsansvarsordningen med hensyn til den part, der leverer den europæiske digitale identitetstegnebog
d)
oplysning om, hvilken eller hvilke myndigheder der er ansvarlige for den elektroniske identifikationsordning
e)
ordninger for suspension eller spærring af den elektroniske identifikationsordning eller autentifikationen eller af de kompromitterede dele heraf.
3.   Kommissionen opstiller, offentliggør i 
Den Europæiske Unions Tidende
 og opretholder i maskinlæsbar form på grundlag af de oplysninger, den modtager i medfør af stk. 1, en liste over certificerede europæiske digitale identitetstegnebøger.
4.   En medlemsstat kan anmode Kommissionen om at fjerne en europæisk digital identitetstegnebog og den elektroniske identifikationsordning, i henhold til hvilken den leveres, fra den i stk. 3 omhandlede liste.
5.   Hvis der sker ændringer i de oplysninger, der er indgivet i medfør af stk. 1, giver medlemsstaten Kommissionen ajourførte oplysninger.
6.   Kommissionen ajourfører den i stk. 3 omhandlede liste ved at offentliggøre de tilsvarende ændringer af listen i 
Den Europæiske Unions Tidende
 senest én måned efter modtagelsen af en anmodning i medfør af stk. 4 eller af ajourførte oplysninger i medfør af stk. 5.
7.   Senest den 21. november 2024 fastsætter Kommissionen de formater og procedurer, der finder anvendelse med henblik på denne artikels stk. 1, 4 og 5 ved hjælp af gennemførelsesretsakter om gennemførelsen af europæiske digitale identitetstegnebøger som omhandlet i artikel 5a, stk. 23. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 5e
Sikkerhedsbrud i europæiske digitale identitetstegnebøger
1.   Hvis europæiske digitale identitetstegnebøger, der er leveret i medfør af artikel 5a, de valideringsmekanismer, der er omhandlet i artikel 5a, stk. 8, eller den elektroniske identifikationsordning, i henhold til hvilken de europæiske digitale identitetstegnebøger leveres, er udsat for sikkerhedsbrud eller er delvist kompromitteret på en måde, som har indvirkning på deres pålidelighed eller andre europæiske digitale identitetstegnebøgers pålidelighed, suspenderer den medlemsstat, der leverede de europæiske digitale identitetstegnebøger uden unødigt ophold leveringen og anvendelsen af europæiske digitale identitetstegnebøger.
Hvis det er begrundet i alvoren af sikkerhedsbruddet eller kompromitteringen omhandlet i første afsnit, trækker medlemsstaten europæiske digitale identitetstegnebøger tilbage uden unødigt ophold.
Medlemsstaten underretter de berørte brugere, de centrale kontaktpunkter, der er udpeget i henhold til artikel 46c, stk. 1, modtagerparterne og Kommissionen herom.
2.   Hvis sikkerhedsbruddet eller kompromitteringen omhandlet i. denne artikels stk. 1, første afsnit, ikke er afhjulpet senest tre måneder efter suspensionen, trækker den medlemsstat, der leverede de europæiske digitale identitetstegnebøger, europæiske digitale identitetstegnebøger tilbage og tilbagekalder deres gyldighed. Medlemsstaten underretter de berørte brugere, de centrale kontaktpunkter, der er udpeget i medfør af artikel 46c, stk. 1, modtagerparterne og Kommissionen om tilbagetrækningen.
3.   Hvor sikkerhedsbruddet eller kompromitteringen omhandlet i denne artikels stk. 1, først afsnit, er afhjulpet, genoptager den leverende medlemsstat leveringen og anvendelsen af europæiske digitale identitetstegnebog og underretter uden unødigt ophold de berørte brugere og modtagerparter, de centrale kontaktpunkter, der er udpeget i medfør af artikel 46c, stk. 1, og Kommissionen herom.
4.   Kommissionen offentliggør uden unødigt ophold de tilsvarende ændringer af den i artikel 5d omhandlede liste i 
Den Europæiske Unions Tidende
.
5.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarderne og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 1, 2 og 3 omhandlede foranstaltninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 5f
Grænseoverskridende benyttelse af europæiske digitale identitetstegnebøger
1.   Hvis medlemsstaterne kræver elektronisk identifikation og autentifikation for adgang til en onlinetjeneste, der udbydes af en offentlig myndighed, skal de også acceptere europæiske digitale identitetstegnebøger, der er leveret i overensstemmelse med denne forordning.
2.   Hvis private modtagerparter, der udbyder tjenester, med undtagelse af mikrovirksomheder og små virksomheder som defineret i artikel 2 i bilaget til Kommissionens henstilling 2003/361/EF
 (
*4
)
, i henhold til EU-retten eller national ret er forpligtede til at anvende stærk brugerautentifikation til onlineidentifikation, eller hvis stærk brugerautentifikation til onlineidentifikation er krævet i henhold til kontraktlige forpligtelser, herunder inden for transport, energi, banktjenester, finansielle tjenesteydelser, social sikring, sundhed, drikkevand, posttjenester, digital infrastruktur, uddannelse eller telekommunikation, skal disse private modtagerparter senest 36 måneder fra datoen for de i artikel 5a, stk. 23, og artikel 5c, stk. 6, omhandlede gennemførelsesretsakters ikrafttræden, og udelukkende efter brugerens frivillige anmodning acceptere europæiske digitale identitetstegnebøger, der er leveret i overensstemmelse med denne forordning.
3.   Hvis udbydere af meget store onlineplatforme som omhandlet i artikel 33 i Europa-Parlamentets og Rådets forordning (EU) 2022/2065
 (
*5
)
 kræver autentifikation af brugere for adgang til onlinetjenester, skal de også acceptere og lette anvendelsen af europæiske digitale identitetstegnebøger, der er leveret i overensstemmelse med denne forordning, med henblik på brugerautentifikation, udelukkende efter brugerens frivillige anmodning og under hensyntagen til de minimumsdata, der er nødvendige for den specifikke onlinetjeneste, for hvilken der anmodes om autentifikation.
4.   I samarbejde med medlemsstaterne fremmer Kommissionen udviklingen af adfærdskodekser i tæt samarbejde med alle relevante interessenter, herunder civilsamfundet, med henblik på at bidrage til bred tilgængelighed og anvendelighed af europæiske digitale identitetstegnebøger inden for denne forordnings anvendelsesområde og på at tilskynde tjenesteudbydere til at færdiggøre udviklingen af adfærdskodekser.
5.   Senest 24 måneder efter indførelsen af europæiske digitale identitetstegnebøger vurderer Kommissionen efterspørgslen efter og tilgængeligheden og anvendeligheden af europæiske digitale identitetstegnebøger under hensyntagen til kriterier såsom udbredelse blandt brugerne, tjenesteudbydernes tilstedeværelse på tværs af grænserne, den teknologiske udvikling, udviklingen i forbrugsmønstre og forbrugerefterspørgslen.
(
*2
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (
EUT L 151 af 7.6.2019, s. 70
)."
(
*3
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
)."
(
*4
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
)."
(
*5
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2065 af 19. oktober 2022 om et indre marked for digitale tjenester og om ændring af direktiv 2000/31/EF (forordning om digitale tjenester) (
EUT L 277 af 27.10.2022, s. 1
).«
                                          "
6)
Som overskrift indsættes før artikel 6:
»AFDELING 2
ELEKTRONISKE IDENTIFIKATIONSORDNINGER«.
7)
Artikel 7, litra g), affattes således:
»g)
senest seks måneder forud for anmeldelse i henhold til artikel 9, stk. 1, fremlægger den anmeldende medlemsstat med henblik på artikel 12, stk. 5, en beskrivelse af ordningen for de andre medlemsstater i overensstemmelse med de proceduremæssige ordninger, der er fastsat ved de gennemførelsesretsakter, der er vedtaget i medfør af i artikel 12, stk. 6«.
8)
Artikel 8, stk. 3, første afsnit, affattes således:
»3.   Senest den 18. september 2015 fastsætter Kommissionen, idet der tages hensyn til relevante internationale standarder og med forbehold af stk. 2, ved hjælp af gennemførelsesretsakter de tekniske minimumsspecifikationer, minimumsstandarder, og procedurer, der henvises til i forbindelse med fastsættelse af sikringsniveauerne »lav«, »betydelig« og »høj« for de elektroniske identifikationsmidler.«
9)
Artikel 9, stk. 2 og 3, affattes således:
»2.   Kommissionen offentliggør i 
Den Europæiske Unions Tidende
 uden unødigt ophold en liste over de elektroniske identifikationsordninger, der er anmeldt i henhold til stk. 1, sammen med grundlæggende oplysninger om disse ordninger.
3.   Kommissionen offentliggør i 
Den Europæiske Unions Tidende
 de ændringer til den liste, der er omhandlet i stk. 2, senest én måned efter datoen for modtagelse af anmeldelsen.«
10)
I artikel 10 affattes overskriften således:
»Sikkerhedsbrud i elektroniske identifikationsordninger«.
11)
Følgende artikel indsættes:
»Artikel 11a
Grænseoverskridende identitetssammenkobling
1.   Når medlemsstaterne fungerer som modtagerparter for grænseoverskridende tjenester, sikrer de en entydig identitetssammenkobling for fysiske personer ved hjælp af anmeldte elektroniske identifikationsmidler eller europæiske digitale identitetstegnebøger.
2.   Medlemsstaterne indfører tekniske og organisatoriske foranstaltninger for at sikre et højt beskyttelsesniveau for personoplysninger, der anvendes til identitetssammenkobling, og for at forhindre profilering af brugere.
3.   Senest den 21. november 2024, fastsætter Kommissionen en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 1 omhandlede krav ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
12)
I artikel 12 foretages følgende ændringer:
a)
Overskriften affattes således:
»Interoperabilitet«.
b)
I stk. 3 foretages følgende ændringer:
i)
Litra c) affattes således:
»c)
den letter gennemførelsen af privatlivsbeskyttelse og sikkerhed gennem design«.
ii)
Litra d) udgår.
c)
Stk. 4, litra d), affattes således:
»d)
en henvisning til et minimum af personidentifikationsdata, der er nødvendige for entydigt at repræsentere en fysisk eller juridisk person eller en fysisk person, der repræsenterer en anden fysisk person eller en juridisk person, og som stilles til rådighed fra elektroniske identifikationsordninger«
d)
Stk. 5 og 6 affattes således:
»5.   Medlemsstaterne foretager peerevalueringer af de elektroniske identifikationsordninger, der er omfattet af denne forordnings anvendelsesområde, og som skal anmeldes i henhold til artikel 9, stk. 1, litra a).
6.   Senest den 18. marts 2025 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter de fornødne proceduremæssige ordninger for de peerevalueringer, der er omhandlet i denne artikels stk. 5, med henblik på at fremme et højt niveau af tillid og sikkerhed, der står i et passende forhold til risikoen. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
e)
Stk. 7 udgår.
f)
Stk. 8 affattes således:
»8.   Senest den 18. september 2025 vedtager Kommissionen med forbehold af kriterierne i denne artikels stk. 3 og under hensyn til resultaterne af samarbejdet mellem medlemsstaterne gennemførelsesretsakter om interoperabilitetsrammen som fastsat i denne artikels stk. 4 med henblik på at fastsætte ensartede betingelser for gennemførelsen af kravet i denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
13)
I kapitel II indsættes følgende artikler:
»Artikel 12a
Certificering af elektroniske identifikationsordninger
1.   Overensstemmelsen af elektroniske identifikationsordninger, der skal anmeldes, med de cybersikkerhedskrav, der er fastsat i denne forordning, herunder overensstemmelsen med de cybersikkerhedsrelevante krav, der er fastsat i artikel 8, stk. 2, vedrørende sikringsniveauerne for elektroniske identifikationsordninger, certificeres af overensstemmelsesvurderingsorganer, der er udpeget af medlemsstaterne.
2.   Certificering i medfør af denne artikels stk. 1 udføres i overensstemmelse med en relevant cybersikkerhedscertificeringsordning i henhold til forordning (EU) 2019/881 eller dele heraf, for så vidt cybersikkerhedsattesten eller dele heraf omfatter disse cybersikkerhedskrav.
3.   Certificering i medfør af stk. 1 er gyldig i op til fem år, forudsat at der foretages en sårbarhedsvurdering hvert andet år. Hvis der konstateres en sårbarhed, og den ikke afhjælpes inden for tre måneder efter en sådan konstatering, annulleres certificeringen.
4.   Uanset stk. 2 kan medlemsstater i overensstemmelse med nævnte stykke anmode en anmeldende medlemsstat om yderligere oplysninger om elektroniske identifikationsordninger eller dele heraf, der er certificeret.
5.   Peerevalueringen af elektroniske identifikationsordninger, der er omhandlet i artikel 12, stk. 5, finder ikke anvendelse på elektroniske identifikationsordninger eller dele af sådanne ordninger, der er certificeret i overensstemmelse med denne artikels stk. 1. Medlemsstaterne kan benytte et certifikat eller en erklæring om overensstemmelse med de ikkecybersikkerhedsrelaterede krav i artikel 8, stk. 2, der er udstedt i overensstemmelse med en relevant certificeringsordning eller dele af sådanne ordninger, for så vidt angår elektroniske identifikationsordningers sikringsniveau.
6.   Medlemsstaterne meddeler Kommissionen navn og adresse på de i stk. 1 omhandlede overensstemmelsesvurderingsorganer. Kommissionen stiller disse oplysninger til rådighed for alle medlemsstaterne.
Artikel 12b
Adgang til hardware og softwarefunktioner
Hvis leverandører af europæiske digitale identitetstegnebøger og udstedere af anmeldte elektroniske identifikationsmidler, der handler i kommerciel eller professionel egenskab og anvender centrale platformstjenester som defineret i artikel 2, nr. 2), i Europa-Parlamentets og Rådets forordning (EU) 2022/1925
 (
*6
)
 med henblik på eller i forbindelse med levering af europæiske digitale identitetstegnebogstjenester og elektroniske identifikationsmidler til slutbrugere, er erhvervsbrugere som defineret i nævnte forordnings artikel 2, nr. 21), giver gatekeeperne navnlig dem effektiv interoperabilitet med og, med henblik på interoperabilitet, adgang til det samme styresystem eller de samme hardware- eller softwarefunktioner. Sådan effektiv interoperabilitet og adgang skal gives gratis, og uanset om hardware- eller softwarefunktionerne er en del af styresystemet, er tilgængelige for eller anvendes af den pågældende gatekeeper, når denne udbyder sådanne tjenester i den i artikel 6, stk. 7, i forordning (EU) 2022/1925 anvendte betydning. Nærværende artikel berører ikke nærværende forordnings artikel 5a, stk. 14.
(
*6
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/1925 af 14. september 2022 om åbne og fair markeder i den digitale sektor og om ændring af direktiv (EU) 2019/1937 og (EU) 2020/1828 (forordningen om digitale markeder) (
EUT L 265 af 12.10.2022, s. 1
).«
                                    "
14)
Artikel 13, stk. 1, affattes således:
»1.   Uanset denne artikels stk. 2 og med forbehold af forordning (EU) 2016/679 er tillidstjenesteudbydere ansvarlige for skader, der forsætligt eller uagtsomt forvoldes en fysisk eller juridisk person som følge af manglende opfyldelse af forpligtelser i henhold til denne forordning. Enhver fysisk eller juridisk person, der har lidt materiel eller immateriel skade som følge af en tillidstjenesteudbyders overtrædelse af nærværende forordning, har ret til at kræve erstatning i overensstemmelse med EU-retten og national ret.
Den fysiske eller juridiske person, der hævder at have lidt skade som omhandlet i første afsnit, bærer bevisbyrden for, at en ikkekvalificeret tillidstjenesteudbyder har handlet forsætligt eller uagtsomt.
En kvalificeret tillidstjenesteudbyder formodes at have handlet forsætligt eller uagtsomt, medmindre den pågældende kvalificerede tillidstjenesteudbyder beviser, at den i første afsnit omhandlede skade indtraf uden den pågældende kvalificerede tillidstjenesteudbyders forsæt eller uagtsomhed.«
15)
Artikel 14, 15 og 16 affattes således:
»Artikel 14
Internationale aspekter
1.   Tillidstjenester, der udbydes af tillidstjenesteudbydere, som er hjemmehørende i et tredjeland, eller af en international organisation, anerkendes som retligt ligestillede med kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, der er hjemmehørende i Unionen, hvis tredjelandstillidstjenesterne eller den internationale organisation er anerkendt ved hjælp af gennemførelsesretsakter eller en aftale, som er indgået mellem Unionen og tredjelandet eller den internationale organisation i medfør af artikel 218 i TEUF.
De gennemførelsesretsakter, der er omhandlet i første afsnit, vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
2.   De i stk. 1 omhandlede gennemførelsesretsakter og aftaler skal sikre, at tillidstjenesteudbyderne i det pågældende tredjeland eller de internationale organisationer og de tillidstjenester, som de udbyder, opfylder de krav, der gælder for kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, og de kvalificerede tillidstjenester, som de udbyder. Tredjelande og internationale organisationer skal navnlig oprette, ajourføre og offentliggøre en positivliste over anerkendte tillidstjenesteudbydere.
3.   De i stk. 1 omhandlede aftaler skal sikre, at de kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, anerkendes som retligt ligestillede med tillidstjenester, der udbydes af tillidstjenesteudbydere i det tredjeland eller den internationale organisation, som aftalen indgås med.
Artikel 15
Tilgængelighed for personer med handicap og særlige behov
Leveringen af elektroniske identifikationsmidler, tillidstjenester og slutbrugerprodukter, der anvendes til levering af disse tjenester, skal gøres tilgængelige på et klart og forståeligt sprog i overensstemmelse med De Forenede Nationers konvention om rettigheder for personer med handicap og med tilgængelighedskravene i direktiv (EU) 2019/882, således at også personer, der oplever funktionelle begrænsninger, såsom ældre, og personer med begrænset adgang til digitale teknologier, får gavn heraf.
Artikel 16
Sanktioner
1.   Uden at det berører artikel 31 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555
 (
*7
)
 fastsætter medlemsstaterne regler om sanktioner for overtrædelse af denne forordning. Disse sanktioner skal være effektive, forholdsmæssige og have afskrækkende virkning.
2.   Medlemsstaterne sikrer, at kvalificerede og ikkekvalificerede tillidstjenesteudbyderes overtrædelser af denne forordning straffes med administrative bøder på mindst:
a)
5 000 000 EUR, hvis tillidstjenesteudbyderen er en fysisk person, eller
b)
hvis tillidstjenesteyderen er en juridisk person, 5 000 000 EUR eller 1 % af den samlede globale årsomsætning i den virksomhed, som tillidstjenesteudbyderen tilhørte, i det regnskabsår, der går forud for det år, hvor overtrædelsen fandt sted, alt efter hvilket beløb der er højest.
3.   Afhængigt af medlemsstaternes retssystem kan reglerne om administrative bøder anvendes på en sådan måde, at det kompetente tilsynsorgan tager skridt til bøden, og de kompetente nationale domstole pålægger bøden. Anvendelsen af sådanne regler i de pågældende medlemsstater skal sikre, at nævnte retsmidler er effektive, og at deres virkning svarer til virkningen af de administrative bøder, som pålægges direkte af tilsynsmyndigheder.
(
*7
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).«
                                       "
16)
I kapitel III, afdeling 2, affattes overskriften således:
»Ikkekvalificerede tillidstjenester«.
17)
Artikel 17 og 18 udgår.
18)
I kapitel III, afdeling 2, indsættes følgende artikel:
»Artikel 19a
Krav til ikkekvalificerede tillidstjenesteudbydere
1.   En ikkekvalificeret tillidstjenesteudbyder, der udbyder ikkekvalificerede tillidstjenester, skal:
a)
indføre passende politikker og træffe tilsvarende foranstaltninger til at styre juridiske, erhvervsmæssige, operationelle og andre direkte eller indirekte risici i forbindelse med leveringen af den ikkekvalificerede tillidstjeneste, der uanset artikel 21 i direktiv (EU) 2022/2555 skal omfatte som minimum foranstaltninger vedrørende:
i)
registrerings- og onboardingprocedurer for en tillidstjeneste
ii)
den proceduremæssige eller administrative kontrol, der er nødvendig for at udbyde tillidstjenester
iii)
forvaltning og gennemførelse af tillidstjenester
b)
uden unødigt ophold og under alle omstændigheder senest 24 timer efter at være blevet opmærksom på et sikkerhedsbrud eller en forstyrrelse underrette tilsynsorganet, de identificerbare berørte enkeltpersoner, offentligheden, hvis det er i offentlighedens interesse, og, hvis det er relevant, andre relevante kompetente myndigheder om eventuelle sikkerhedsbrud eller forstyrrelser i leveringen af tjenesten eller gennemførelsen af de foranstaltninger, der er omhandlet i litra a), nr. i), ii) eller iii), som har en betydelig indvirkning på den tillidstjeneste, der udbydes, eller på de personoplysninger, der opbevares deri.
2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer med henblik på denne artikels stk. 1, litra a). Kravene i denne artikel anses for opfyldt, hvor disse standarder, specifikationer og procedurer er overholdt. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
19)
I artikel 20 foretages følgende ændringer:
a)
Stk. 1 affattes således:
»1.   Kvalificerede tillidstjenesteudbydere kontrolleres for egen regning af et overensstemmelsesvurderingsorgan mindst hver 24. måned. Formålet med kontrollen er at bekræfte, at de kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, som de udbyder, opfylder de krav, der er fastsat i denne forordning og i artikel 21 i direktiv (EU) 2022/2555. Kvalificerede tillidstjenesteudbydere forelægger den resulterende overensstemmelsesvurderingsrapport for tilsynsorganet senest tre arbejdsdage efter modtagelsen heraf.«
b)
Følgende stykker indsættes:
»1a.   Kvalificerede tillidstjenesteudbydere underretter tilsynsorganet senest én måned før planlagte kontroller og giver efter anmodning tilsynsorganet mulighed for at deltage som observatør.
1b.   Medlemsstaterne meddeler uden unødigt ophold Kommissionen navn, adresse og akkrediteringsoplysninger for de overensstemmelsesvurderingsorganer, der er omhandlet i stk. 1, og eventuelle senere ændringer heraf. Kommissionen stiller disse oplysninger til rådighed for alle medlemsstaterne.«
c)
Stk. 2, 3 og 4 erstattes af følgende:
»2.   Uden at dette berører stk. 1, kan tilsynsorganet til enhver tid foretage kontrol hos eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere for disses tillidstjenesteudbyderes regning for at bekræfte, at de og deres kvalificerede tillidstjenester opfylder de krav, der er fastsat i denne forordning. Ved mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger underretter tilsynsorganet uden unødigt ophold de kompetente tilsynsmyndigheder oprettet i henhold til artikel 51 i forordning (EU) 2016/679.
3.   Hvis den kvalificerede tillidstjenesteudbyder ikke opfylder hvilket som helst af de krav, der er fastsat i denne forordning, kræver tilsynsorganet, at udbyderen afhjælper denne mangel inden for en fastsat frist, hvis det er relevant.
Hvis udbyderen ikke afhjælper manglen og, hvis det er relevant, inden for den frist, der er fastsat af tilsynsorganet, tilbagetrækker tilsynsorganet, hvis det er berettiget navnlig ud fra omfanget, varigheden og konsekvenserne af manglen, den pågældende tjenesteudbyders eller den udbudte berørte tjenestes status som kvalificeret.
3a.   Hvis de kompetente myndigheder, der er udpeget eller oprettet i medfør af artikel 8, stk. 1, i direktiv (EU) 2022/2555, underretter tilsynsorganet om, at den kvalificerede tillidstjenesteudbyder ikke opfylder hvilket som helst af de krav, der er fastsat i nævnte direktivs artikel 21, tilbagetrækker tilsynsorganet, hvis det er berettiget navnlig ud fra omfanget, varigheden og konsekvenserne af manglen, den pågældende tjenesteudbyders eller den udbudte berørte tjenestes status som kvalificeret.
3b.   Hvis tilsynsmyndighederne oprettet i henhold til artikel 51 i forordning (EU) 2016/679 underretter tilsynsorganet om, at den kvalificerede tillidstjenesteudbyder ikke opfylder de krav, der er fastsat i nævnte forordning, tilbagetrækker tilsynsorganet, hvis det er berettiget navnlig ud fra omfanget, varigheden og konsekvenserne af manglen, den pågældende tjenesteudbyders eller den udbudte berørte tjenestes status som kvalificeret.
3c.   Tilsynsorganet underretter den kvalificerede tillidstjenesteudbyder om tilbagetrækningen af vedkommendes eller den pågældende kvalificerede tjenestes status som kvalificeret. Tilsynsorganet underretter det organ, der er meddelt i henhold til denne forordnings artikel 22, stk. 3, med henblik på ajourføring af positivlisterne, der er omhandlet i nævnte artikels stk. 1, og den kompetente myndighed, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555.
4.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer med henblik på følgende:
a)
akkreditering af overensstemmelsesvurderingsorganerne og for overensstemmelsesvurderingsrapporten omhandlet i stk. 1
b)
revisionskrav, i henhold til hvilke overensstemmelsesvurderingsorganerne foretager overensstemmelsesvurderingen, herunder en samlet vurdering, af de kvalificerede tillidstjenesteudbydere som omhandlet i stk. 1
c)
overensstemmelsesvurderingsordninger for overensstemmelsesvurderingsorganernes overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere og for udarbejdelse af rapporten omhandlet i stk. 1.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
20)
I artikel 21 foretages følgende ændringer:
a)
Stk. 1 og 2 affattes således:
»1.   Ønsker tillidstjenesteudbydere at udbyde kvalificerede tillidstjenester, skal de anmelde deres hensigt til tilsynsorganet og indsende en overensstemmelsesvurderingsrapport udstedt af et overensstemmelsesvurderingsorgan, der bekræfter, at kravene i denne forordning og i artikel 21 i direktiv (EU) 2022/2555 er opfyldt.
2.   Tilsynsorganet kontrollerer, om tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, opfylder de i denne forordning fastsatte krav, og navnlig kravene til kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, som de udbyder.
For at kontrollere, at tillidstjenesteudbyderen opfylder de krav, der er fastsat i artikel 21 i direktiv (EU) 2022/2555, anmoder tilsynsorganet de kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i nævnte direktiv, om at gennemføre tilsynsforanstaltninger med dette formål og fremlægge oplysninger om resultatet uden unødigt ophold og under alle omstændigheder senest to måneder efter modtagelsen af denne anmodning. Er kontrollen ikke afsluttet inden to måneder efter anmeldelsen, underretter disse kompetente myndigheder tilsynsorganet herom og forklarer årsagerne til forsinkelsen samt oplyser, hvornår kontrollen skal være afsluttet.
Hvis tilsynsorganet konkluderer, at tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, overholder de i denne forordning fastsatte krav, tildeler tilsynsorganet tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, status som kvalificeret og underretter senest tre måneder efter anmeldelsen i overensstemmelse med nærværende artikels stk. 1, det i artikel 22, stk. 3, omhandlede organ med henblik på ajourføring af positivlisterne omhandlet i artikel 22, stk. 1.
Er kontrollen ikke afsluttet inden tre måneder efter anmeldelsen, underretter tilsynsorganet tillidstjenesteudbyderen herom og forklarer årsagerne til forsinkelsen samt oplyser, hvornår kontrollen skal være afsluttet.«
b)
Stk. 4 affattes således:
»4.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter formater og procedurer for anmeldelse og kontrol med henblik på denne artikels stk. 1 og 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
21)
I artikel 24 foretages følgende ændringer:
a)
Stk. 1erstattes af følgende:
»1.   Når en kvalificeret tillidstjenesteudbyder udsteder et kvalificeret certifikat eller en kvalificeret elektronisk attestering af attributter, kontrollerer udbyderen identiteten af og, hvis det er relevant, attributter knyttet til den fysiske eller juridiske person, til hvem det kvalificerede certifikat eller den kvalificerede elektroniske attestering af attributter skal udstedes.
1a.   Den kontrol af identiteten, der er omhandlet i stk. 1, udføres med hensigtsmæssige midler af den kvalificerede tillidstjenesteudbyder enten direkte eller via en tredjemand på grundlag af én af følgende metoder eller, når det er nødvendigt, en kombination heraf og i overensstemmelse med de gennemførelsesretsakter, der er omhandlet i stk. 1c:
a)
ved hjælp af den europæiske digitale identitetstegnebog eller et anmeldt elektronisk identifikationsmiddel, der opfylder de krav, der er fastsat i artikel 8 med hensyn til sikringsniveauet »høj«
b)
ved hjælp af et certifikat af en kvalificeret elektronisk signatur eller af et kvalificeret elektronisk segl udstedt under overholdelse af litra a), c) eller d)
c)
ved hjælp af andre identifikationsmetoder, der sikrer identifikation af personen med en høj grad af tillid, og hvis overensstemmelse bekræftes af et overensstemmelsesvurderingsorgan
d)
ved fysisk tilstedeværelse af den fysiske person eller af en bemyndiget repræsentant for den juridiske person, ved hjælp af passende dokumentation og procedurer, i overensstemmelse med national ret.
1b.   Den kontrol af attributterne, der er omhandlet i stk. 1, udføres med hensigtsmæssige midler af den kvalificerede tillidstjenesteudbyder enten direkte eller via en tredjemand på grundlag af én af følgende metoder eller, når det er nødvendigt, en kombination heraf og i overensstemmelse med de gennemførelsesretsakter, der er omhandlet i stk. 1c:
a)
ved hjælp af den europæiske digitale identitetstegnebog eller et anmeldt elektronisk identifikationsmiddel, der opfylder de krav, der er fastsat i artikel 8 med hensyn til sikringsniveauet »høj«
b)
ved hjælp af et certifikat for en kvalificeret elektronisk signatur eller for et kvalificeret elektronisk segl, der er udstedt i overensstemmelse med stk. 1a, litra a), c) eller d)
c)
ved hjælp af en kvalificeret elektronisk attestering af attributter
d)
ved hjælp af andre metoder, der sikrer kontrol af attributterne med en høj grad af tillid, og hvis overensstemmelse bekræftes af et overensstemmelsesvurderingsorgan
e)
ved fysisk tilstedeværelse af den fysiske person eller af en bemyndiget repræsentant for den juridiske person, ved hjælp af passende dokumentation og procedurer, i overensstemmelse med national ret.
1c.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, tekniske specifikationer og procedurer for kontrollen af identitet og attributter i overensstemmelse med denne artikels stk. 1, 1a og 1b. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
b)
I stk. 2 foretages følgende ændringer:
i)
Litra a) affattes således:
»a)
informere tilsynsorganet mindst én måned, før der gennemføres ændringer i udbuddet af dennes kvalificerede tillidstjenester, eller mindst tre måneder før, hvis det er hensigten at ophøre med denne virksomhed«.
ii)
Litra d) og e) affattes således:
»d)
på en klar, udførlig og let forståelig måde underrette på et offentligt tilgængeligt sted eller individuelt de personer, der ønsker at gøre brug af en kvalificeret tillidstjeneste, om de nøjagtige vilkår og betingelser for anvendelsen af denne tjeneste, herunder eventuelle begrænsninger for anvendelsen heraf, inden de indgår i et kontraktforhold
e)
anvende pålidelige systemer og produkter, som er beskyttet mod ændringer, og sikre den tekniske sikkerhed og pålidelighed i de processer, som disse systemer og produkter understøtter, herunder ved hjælp af passende kryptografiske teknikker«.
iii)
Følgende litraer indsættes:
»fa)
uanset artikel 21 i direktiv (EU) 2022/2555 indføre passende politikker og træffe tilsvarende foranstaltninger til at styre juridiske, erhvervsmæssige, operationelle og andre direkte eller indirekte risici i forbindelse med leveringen af den kvalificerede tillidstjeneste, herunder som minimum foranstaltninger vedrørende følgende:
i)
registrerings- og onboardingprocedurer for en tjeneste
ii)
proceduremæssig eller administrativ kontrol
iii)
forvaltning og gennemførelse af tjenester
fb)
uden unødigt ophold og under alle omstændigheder inden for 24 timer efter hændelsen underrette tilsynsorganet, de identificerbare berørte enkeltpersoner, andre relevante kompetente organer, hvis det er relevant, og efter anmodning fra tilsynsorganet offentligheden, hvis det er i offentlighedens interesse, om eventuelle sikkerhedsbrud eller forstyrrelser i leveringen af tjenester eller gennemførelsen af de foranstaltninger, der er omhandlet i litra fa), nr. i), ii) eller iii), som har en betydelig indvirkning på den tillidstjeneste, der udbydes, eller på de personoplysninger, der opbevares heri«.
iv)
Litra g), h) og i) affattes således:
»g)
træffe passende foranstaltninger mod forfalskning, tyveri eller misbrug af data eller sletning, ændring eller utilgængeliggørelse af data uden ret hertil
h)
så længe det er nødvendigt, efter at den kvalificerede tillidstjenesteudbyder har indstillet sin virksomhed, registrere alle relevante oplysninger om de data, den kvalificerede tillidstjenesteudbyder har udstedt og modtaget, og sørge for, at de er tilgængelige, for at kunne fremlægge bevis i retssager og for at garantere tjenestens kontinuitet. Sådan registrering kan ske elektronisk
i)
have en ajourført plan i tilfælde af virksomhedsafbrydelse for at sikre tjenestens kontinuitet i overensstemmelse med bestemmelser, der er kontrolleret af tilsynsorganet i henhold til artikel 46b, stk. 4, litra i)«.
v)
Litra j) udgår.
vi)
Følgende afsnit tilføjes:
»Tilsynsorganet kan anmode om oplysninger ud over de oplysninger, der er meddelt i medfør af første afsnit, litra a), eller om resultatet af en overensstemmelsesvurdering og kan stille betingelser for tilladelsen til at gennemføre de påtænkte ændringer af de kvalificerede tillidstjenester. Er kontrollen ikke afsluttet inden tre måneder efter anmeldelsen, underretter tilsynsorganet tillidstjenesteudbyderen herom og forklarer årsagerne til forsinkelsen samt oplyser, hvornår kontrollen skal være afsluttet.«
c)
Stk. 5 erstattes af følgende:
»4a.   Stk. 3 og 4 finder tilsvarende anvendelse på tilbagekaldelse af kvalificerede elektroniske attesteringer af attributter.
4b.   Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 47 vedrørende fastlæggelse af de i denne artikels stk. 2, litra fa), omhandlede yderligere foranstaltninger.
5.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 2 omhandlede krav. Det formodes, at kravene i nærværende stykke er opfyldt, når disse standarder, specifikationer og procedurer er overholdt. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
22)
I kapitel III, afdeling 3, indsættes følgende artikel:
»Artikel 24a
Anerkendelse af kvalificerede tillidstjenester
1.   Kvalificerede elektroniske signaturer baseret på et kvalificeret certifikat, der er udstedt i én medlemsstat, og kvalificerede elektroniske segl baseret på et kvalificeret certifikat, der er udstedt i én medlemsstat, anerkendes som henholdsvis kvalificerede elektroniske signaturer og kvalificerede elektroniske segl i alle andre medlemsstater.
2.   Kvalificerede elektroniske signaturgenereringssystemer og kvalificerede elektroniske seglgenereringssystemer, der er certificeret i én medlemsstat, anerkendes som henholdsvis kvalificerede elektroniske signaturgenereringssystemer og kvalificerede elektroniske seglgenereringssystemer i alle andre medlemsstater.
3.   Et kvalificeret certifikat for elektroniske signaturer, et kvalificeret certifikat for elektroniske segl, en kvalificeret tillidstjeneste til forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og en kvalificeret tillidstjeneste til forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand, der udbydes i én medlemsstat, anerkendes som henholdsvis et kvalificeret certifikat for elektroniske signaturer, et kvalificeret certifikat for elektroniske segl, en kvalificeret tillidstjeneste til forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand og en kvalificeret tillidstjeneste til forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand i alle andre medlemsstater.
4.   En kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer og en kvalificeret valideringstjeneste for kvalificerede elektroniske segl, der udbydes i én medlemsstat, anerkendes som henholdsvis en kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer og en kvalificeret valideringstjeneste for kvalificerede elektroniske segl i alle andre medlemsstater.
5.   En kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer og en kvalificeret tjeneste til bevaring af kvalificerede elektroniske segl, der udbydes i én medlemsstat, anerkendes som henholdsvis en kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer og en kvalificeret tjeneste til bevaring af kvalificerede elektroniske segl i alle andre medlemsstater.
6.   Et kvalificeret elektronisk tidsstempel, der udbydes i én medlemsstat, anerkendes som et kvalificeret elektronisk tidsstempel i alle andre medlemsstater.
7.   Et kvalificeret certifikat for webstedsautentifikation, der udstedes i én medlemsstat, anerkendes som et kvalificeret certifikat for webstedsautentifikation i alle andre medlemsstater.
8.   En kvalificeret elektronisk registreret leveringstjeneste, der udbydes i én medlemsstat, anerkendes som en kvalificeret elektronisk registreret leveringstjeneste i alle andre medlemsstater.
9.   En kvalificeret elektronisk attestering af attributter, der udstedes i én medlemsstat, anerkendes som en kvalificeret elektronisk attestering af attributter i alle andre medlemsstater.
10.   En kvalificeret elektronisk arkiveringstjeneste, der udbydes i én medlemsstat, anerkendes som en kvalificeret elektronisk arkiveringstjeneste i alle andre medlemsstater.
11.   En kvalificeret elektronisk hovedbog, der udbydes i én medlemsstat, anerkendes som en kvalificeret elektronisk hovedbog i alle andre medlemsstater.«
23)
I artikel 25 udgår stk. 3.
24)
I artikel 26 foretages følgende ændringer:
a)
Det eneste stykke nummereres stk. 1.
b)
Følgende stykke tilføjes:
»2.   Senest den 21. maj 2026 vurderer Kommissionen, hvorvidt det er nødvendigt at vedtage gennemførelsesretsakter for at fastsætte en liste over referencestandarder og, hvor det er nødvendigt, fastsætte specifikationer og procedurer for avancerede elektroniske signaturer. På grundlag af denne vurdering kan Kommissionen vedtage sådanne gennemførelsesretsakter. En avanceret elektronisk signatur, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde kravene til avancerede elektroniske signaturer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
25)
I artikel 27 udgår stk. 4.
26)
Artikel 28, stk. 6, affattes således:
»6.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for kvalificerede certifikater for elektroniske signaturer. Et kvalificeret certifikat for elektronisk signatur, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde kravene i bilag I. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
27)
I artikel 29 indsættes følgende stykke:
»1a.   Generering eller forvaltning af elektroniske signaturgenereringsdata eller kopiering af sådanne signaturgenereringsdata til backupformål må kun foretages på underskriverens vegne, på underskriverens anmodning og af en kvalificeret tillidstjenesteudbyder, der udbyder en kvalificeret tillidstjeneste til forvaltning af et kvalificeret elektronisk signaturgenereringssystem på afstand.«
28)
Følgende artikel indsættes:
»Artikel 29a
Krav til kvalificerede tjenester til forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand
1.   Forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand som en kvalificeret tjeneste må kun varetages af en kvalificeret tillidstjenesteudbyder, som:
a)
genererer eller forvalter elektroniske signaturgenereringsdata på underskriverens vegne
b)
uagtet bilag II, punkt 1), litra d), kopierer de elektroniske signaturgenereringsdata udelukkende til backupformål, forudsat at følgende krav er opfyldt:
i)
der opretholdes samme niveau af sikkerhed for de kopierede datasæt som for de originale datasæt
ii)
antallet af kopierede datasæt overstiger ikke det minimum, der er nødvendigt for at sikre tjenestens kontinuitet
c)
opfylder de krav, der er angivet i certificeringsrapporten for det specifikke kvalificerede elektroniske signaturgenereringssystem på afstand, der er udstedt i medfør af artikel 30.
2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og, hvor det er nødvendigt, specifikationer og procedurer med henblik på denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
29)
I artikel 30 indsættes følgende stykke:
»3a.   Gyldigheden af en i stk. 1 omhandlet certificering må ikke overstige fem år, forudsat at der foretages sårbarhedsvurderinger hvert andet år. Hvis der konstateres sårbarheder, og disse ikke afhjælpes, annulleres certificeringen.«
30)
Artikel 31, stk. 3, affattes således:
»3.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter formater og procedurer, der finder anvendelse med henblik på denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
31)
I artikel 32 foretages følgende ændringer:
a)
I stykke 1 tilføjes følgende afsnit:
»En validering af kvalificerede elektroniske signaturer, der overholder de i stk. 3 omhandlede standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i dette stykkes første afsnit.«
b)
Stk. 3 affattes således:
»3.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for validering af kvalificerede elektroniske signaturer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
32)
Følgende artikel indsættes:
»Artikel 32a
Krav til validering af avancerede elektroniske signaturer, der er baseret på kvalificerede certifikater
1.   Processen for validering af en avanceret elektronisk signatur, der er baseret på et kvalificeret certifikat skal bekræfte gyldigheden af en avanceret elektronisk signatur, der er baseret på et kvalificeret certifikat, forudsat at:
a)
det certifikat, der understøtter signaturen, på underskriftstidspunktet var et kvalificeret certifikat for elektronisk signatur, der overholder bilag I
b)
det kvalificerede certifikat var udstedt af en kvalificeret tillidstjenesteudbyder og var gyldigt på underskriftstidspunktet
c)
signaturvalideringsdataene stemmer overens med de data, der leveres til modtagerparten
d)
det entydige sæt data, der repræsenterer underskriveren i certifikatet, leveres korrekt til modtagerparten
e)
en eventuel anvendelse af et pseudonym fremgår klart for modtagerparten, hvis der på underskriftstidspunktet blev anvendt et pseudonym
f)
de underskrevne datas integritet ikke er bragt i fare
g)
kravene i artikel 26 er opfyldt på underskriftstidspunktet.
2.   Det system, der anvendes til validering af den avancerede elektroniske signatur, der er baseret på et kvalificeret certifikat, skal levere det korrekte resultat af valideringsprocessen til modtagerparten og gøre det muligt for vedkommende at opdage eventuelle sikkerhedsproblemer.
3.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for validering af avancerede elektroniske signaturer, der er baseret på kvalificerede certifikater. En validering af avancerede elektroniske signaturer, der er baseret på kvalificerede certifikater, og som overholder disse standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
33)
Artikel 33, stk. 2, affattes således:
»2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for den i denne artikels stk. 1 omhandlede kvalificerede valideringstjeneste. En kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
34)
I artikel 34 foretages følgende ændringer:
a)
Følgende stykke indsættes:
»1a.   Ordninger for kvalificerede tjenester til bevaring af kvalificerede elektroniske signaturer, der overholder de i stk. 2 omhandlede standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i stk. 1.«
b)
Stk. 2 affattes således:
»2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for den kvalificerede tjeneste til bevaring af kvalificerede elektroniske signaturer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
35)
I artikel 35 udgår stk. 3.
36)
I artikel 36 foretages følgende ændringer:
a)
Det eneste stykke nummereres stk. 1.
b)
Følgende stykke tilføjes:
»2.   Senest den 21. maj 2026 vurderer Kommissionen, hvorvidt det er nødvendigt at vedtage gennemførelsesretsakter for at fastsætte en liste over referencestandarder og, hvor det er nødvendigt, fastsætte specifikationer og procedurer for avancerede elektroniske segl. På grundlag af denne vurdering kan Kommissionen vedtage sådanne gennemførelsesretsakter. Et avanceret elektronisk segl, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde kravene til avancerede elektroniske segl. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
37)
I artikel 37 udgår stk. 4.
38)
Artikel 38, stk. 6, affattes således:
»6.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for kvalificerede certifikater for elektroniske segl. Et kvalificeret certifikat for elektronisk segl, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde kravene i bilag III. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
39)
Følgende artikel indsættes:
»Artikel 39a
Krav til kvalificerede tjenester til forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand
Artikel 29a finder tilsvarende anvendelse på kvalificerede tjenester til forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand.«
40)
I kapitel III, afdeling 5, indsættes følgende artikel:
»Artikel 40a
Krav til validering af avancerede elektroniske segl, der er baseret på kvalificerede certifikater
Artikel 32a finder tilsvarende anvendelse på validering af avancerede elektroniske segl, der er baseret på kvalificerede certifikater.«
41)
I artikel 41 udgår stk. 3.
42)
I artikel 42 foretages følgende ændringer:
a)
Følgende stykke indsættes:
»1a.   Forbindelser af dato og tidspunkt med data og nøjagtighed af tidskilden, der overholder de i stk. 2 omhandlede standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i stk. 1.«
b)
Stk. 2 affattes således:
»2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for forbindelser af dato og tidspunkt med data og for fastsættelse af nøjagtigheden af tidskilder. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
43)
I artikel 44 foretages følgende ændringer:
a)
Følgende stykke indsættes:
»1a.   En dataafsendelses- og -modtagelsesproces, der overholder de i stk. 2 omhandlede standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i stk. 1.«
b)
Stk. 2 affattes således:
»2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for dataafsendelses- og -modtagelsesprocesser. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
c)
Følgende stykker indsættes:
»2a.   Udbydere af kvalificerede elektroniske registrerede leveringstjenester kan nå til enighed om interoperabilitet mellem de kvalificerede elektroniske registrerede leveringstjenester, som de udbyder. En sådan interoperabilitetsramme skal opfylde kravene i stk. 1, og en sådan opfyldelse skal bekræftes af et overensstemmelsesvurderingsorgan.
2b.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte en liste over referencestandarder og, hvor det er nødvendigt, fastsætte specifikationer og procedurer for den i denne artikels stk. 2a omhandlede interoperabilitetsramme. Standardernes tekniske specifikationer og indhold skal være omkostningseffektive og forholdsmæssige. Gennemførelsesretsakterne vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
44)
Artikel 45 affattes således:
»Artikel 45
Krav til kvalificerede certifikater for webstedsautentifikation
1.   Kvalificerede certifikater for webstedsautentifikation skal opfylde kravene i bilag IV. Evalueringen af opfyldelsen af de pågældende krav foretages i overensstemmelse med de standarder, specifikationer og procedurer, der er omhandlet i denne artikels stk. 2.
1a.   De kvalificerede certifikater for webstedsautentifikation, der udstedes i overensstemmelse med denne artikels stk. 1, skal anerkendes af webbrowserudbydere. Webbrowserudbydere sikrer, at de identitetsdata, der attesteres i certifikatet, og yderligere attesterede attributter vises på en brugervenlig måde. Webbrowserudbydere sikrer støtte af og interoperabilitet med kvalificerede certifikater for webstedsautentifikation omhandlet i denne artikels stk. 1 med undtagelse af mikrovirksomheder eller små virksomheder som defineret i artikel 2 til bilaget til henstilling 2003/361/EF i de første fem år, hvor de fungerer som udbydere af webbrowsertjenester.
1b.   Kvalificerede certifikater for webstedsautentifikation må ikke undergives andre ufravigelige krav end kravene i stk. 1.
2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 1 omhandlede kvalificerede certifikater for webstedsautentifikation. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
45)
Følgende artikel indsættes:
»Artikel 45a
Forebyggende foranstaltninger vedrørende cybersikkerhed
1.   Webbrowserudbydere må ikke træffe foranstaltninger i strid med deres forpligtelser fastsat i artikel 45, navnlig kravene om at anerkende kvalificerede certifikater for webstedsautentifikation og vise de opgivne identitetsdata på en brugervenlig måde.
2.   Uanset stk. 1 og kun i tilfælde af begrundet mistanke om sikkerhedsbrud eller tab af integritet for et identificeret certifikat eller sæt af certifikater kan webbrowserudbydere træffe forebyggende foranstaltninger vedrørende det pågældende certifikat eller sæt af certifikater.
3.   Hvor en webbrowserudbyder træffer forebyggende foranstaltninger i medfør af stk. 2, underretter webbrowserudbyderen skriftligt og uden ugrundet ophold Kommissionen, det kompetente tilsynsorgan, den enhed, som certifikatet er udstedt til, og den kvalificerede tillidstjenesteudbyder, der har udstedt det pågældende certifikat eller sæt af certifikater, om sin mistanke sammen med en beskrivelse af de foranstaltninger, der er truffet for at afbøde denne mistanke. Når det kompetente tilsynsorgan modtager en sådan underretning, udsteder den en kvittering for modtagelsen til den pågældende webbrowserudbyder.
4.   Det kompetente tilsynsorgan undersøger spørgsmålene i underretningen i overensstemmelse med artikel 46b, stk. 4, litra k). Når resultatet af denne undersøgelse ikke fører til inddragelse af certifikatets status som kvalificeret, underretter tilsynsorganet webbrowserudbyderen herom og anmoder den pågældende udbyder om at bringe de forebyggende foranstaltninger, der er omhandlet i nærværende artikels stk. 2, til ophør.«
46)
I kapitel III tilføjes følgende afdelinger:
»AFDELING 9
ELEKTRONISK ATTESTERING AF ATTRIBUTTER
Artikel 45b
Retsvirkninger af elektronisk attestering af attributter
1.   Retsvirkning eller antagelighed som bevis i retssager af elektroniske attesteringer af attributter må ikke nægtes alene af den grund, at attesteringen er i elektronisk form, eller at den ikke opfylder kravene til kvalificerede elektroniske attesteringer af attributter.
2.   En kvalificeret elektronisk attestering af attributter og attesteringer af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, har samme retsvirkning som lovligt udstedte attesteringer i papirform.
3.   En attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde i én medlemsstat, anerkendes som en attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde i alle medlemsstater.
Artikel 45c
Elektronisk attestering af attributter i offentlige tjenester
Hvis der i henhold til national ret kræves elektronisk identifikation ved hjælp af et elektronisk identifikationsmiddel og autentifikation for adgang til en onlinetjeneste, der leveres af en offentlig myndighed, erstatter personidentifikationsdata i den elektroniske attestering af attributter ikke elektronisk identifikation ved hjælp af et elektronisk identifikationsmiddel og autentifikation med elektronisk identifikation, medmindre medlemsstaten specifikt tillader dette. I disse tilfælde accepteres kvalificeret elektronisk attestering af attributter fra andre medlemsstater også.
Artikel 45d
Krav til kvalificeret elektronisk attestering af attributter
1.   Kvalificeret elektronisk attestering af attributter skal opfylde kravene i bilag V.
2.   Evalueringen af opfyldelsen af de krav, der er fastsat i bilag V, foretages i overensstemmelse med de standarder, specifikationer og procedurer, der er omhandlet i denne artikels stk. 5.
3.   Kvalificerede elektroniske attesteringer af attributter er ikke omfattet af ufravigelige krav ud over de krav, der er fastsat i bilag V.
4.   Hvis en kvalificeret elektronisk attestering af attributter er blevet tilbagekaldt efter den første udstedelse, mister den sin gyldighed fra tidspunktet for tilbagekaldelsen, og dens status kan under ingen omstændigheder genetableres.
5.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for kvalificerede elektroniske attesteringer af attributter. Disse gennemførelsesretsakter skal være i overensstemmelse med de i artikel 5a, stk. 23, omhandlede gennemførelsesretsakter om gennemførelsen af den europæiske digitale identitetstegnebog. De vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 45e
Kontrol af attributter i forhold til autentiske kilder
1.   Medlemsstaterne sikrer senest 24 måneder fra ikrafttrædelsesdatoen for de i artikel 5a, stk. 23, og artikel 5c, stk. 6, omhandlede gennemførelsesretsakter, at der i det mindste for de i bilag VI anførte attributter, når disse attributter er afhængige af autentiske kilder i den offentlige sektor, træffes foranstaltninger til at gøre det muligt for kvalificerede tillidstjenesteudbydere af elektroniske attesteringer af attributter ved hjælp af elektroniske midler at kontrollere de pågældende attributter efter anmodning fra brugeren, i overensstemmelse med EU-retten eller national ret.
2.   Senest den 21. november 2024 fastsætter Kommissionen under hensyntagen til relevante internationale standarder ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for kataloget over attributter samt ordninger for attestering af attributter og kontrolprocedurer for kvalificerede elektroniske attesteringer af attributter med henblik på denne artikels stk. 1. Disse gennemførelsesretsakter skal være i overensstemmelse med de i artikel 5a, stk. 23, omhandlede gennemførelsesretsakter om gennemførelsen af den europæiske digitale identitetstegnebog. De vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 45f
Krav til elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde
1.   En elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, skal opfylde følgende krav:
a)
dem, der er fastsat i bilag VII
b)
det kvalificerede certifikat, der støtter den kvalificerede elektroniske signatur eller det kvalificerede elektroniske segl fra den i artikel 3, nr. 46), omhandlede offentlige myndighed, der er identificeret som den i bilag VII, litra b), omhandlede udsteder, indeholdende et specifikt sæt certificerede attributter i en form, der egner sig til automatisk behandling:
i)
med angivelse af, at den udstedende myndighed er etableret i overensstemmelse med EU-retten eller national ret som ansvarlig for den autentiske kilde, på grundlag af hvilken den elektroniske attestering af attributter udstedes, eller som den myndighed, der er udpeget til at handle på dens vegne
ii)
med tilvejebringelse af et sæt data, der utvetydigt repræsenterer den i nr. i) omhandlede autentiske kilde, og
iii)
med fastlæggelse af den i nr. i) omhandlede EU-ret eller nationale ret.
2.   Den medlemsstat, hvori de i artikel 3, nr. 46), omhandlede offentlige myndigheder er hjemmehørende, sikrer, at de offentlige myndigheder, der udsteder elektroniske attesteringer af attributter, lever op til et pålideligheds- og troværdighedsniveau, der svarer til kvalificerede tillidstjenesteudbydere i overensstemmelse med artikel 24.
3.   Medlemsstaterne underretter Kommissionen om de i artikel 3, nr. 46), omhandlede offentlige myndigheder. Denne underretning skal omfatte en overensstemmelsesvurderingsrapport udstedt af et overensstemmelsesvurderingsorgan, der bekræfter, at kravene i denne artikels stk. 1, 2 og 6 er opfyldt. Kommissionen stiller listen over de offentlige myndigheder, der er omhandlet i artikel 3, nr. 46), til rådighed for offentligheden via en sikker kommunikationsforbindelse og i en elektronisk underskrevet eller forseglet form, der egner sig til automatiseret behandling.
4.   Hvis en elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, er blevet tilbagekaldt efter den første udstedelse, mister den sin gyldighed fra tidspunktet for tilbagekaldelsen og dens status må ikke genetableres.
5.   En elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, anses for at overholde kravene i stk. 1, hvis den opfylder de i stk. 6 omhandlede standarder, specifikationer og procedurer.
6.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde. Disse gennemførelsesretsakter skal være i overensstemmelse med den i artikel 5a, stk. 23, omhandlede gennemførelsesretsakt om gennemførelsen af den europæiske digitale identitetstegnebog. De vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
7.   Senest den 21. november 2024 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer med henblik på denne artikels stk. 3. Disse gennemførelsesretsakter skal være i overensstemmelse med den i artikel 5a, stk. 23, omhandlede gennemførelsesretsakt om gennemførelsen af den europæiske digitale identitetstegnebog. De vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
8.   De i artikel 3, nr. 46), omhandlede offentlige myndigheder, der udsteder elektronisk attestering af attributter, stiller en grænseflade til europæiske digitale identitetstegnebøger, der er leveret i overensstemmelse med artikel 5a, til rådighed.
Artikel 45g
Udstedelse af elektroniske attesteringer af attributter til europæiske digitale identitetstegnebøger
1.   Udbydere af elektroniske attesteringer af attributter giver brugere af europæiske digitale identitetstegnebøger mulighed for at anmode om, indhente, lagre og forvalte den elektroniske attestering af attributter, uanset i hvilke medlemsstater den europæiske digitale identitetstegnebog leveres.
2.   Udbydere af kvalificerede elektroniske attesteringer af attributter stiller en grænseflade med europæiske digitale identitetstegnebøger, der er leveret i overensstemmelse med artikel 5a, til rådighed.
Artikel 45h
Supplerende regler for levering af tjenester til elektronisk attestering af attributter
1.   Udbydere af kvalificerede og ikkekvalificerede tjenester til elektronisk attestering af attributter må ikke kombinere personoplysninger relateret til leveringen af sådanne tjenester med personoplysninger fra andre tjenester, som de eller deres handelspartnere udbyder.
2.   Personoplysninger, der er relateret til elektronisk attestering af attributter, holdes logisk adskilt fra andre data, der opbevares af udbyderen af elektronisk attestering af attributter.
3.   Udbydere af tjenester til elektronisk attestering af attributter gennemfører leveringen af sådanne kvalificerede tillidstjenester på en måde, der er funktionelt adskilt fra andre tjenester, som de leverer.
AFDELING 10
ELEKTRONISKE ARKIVERINGSTJENESTER
Artikel 45i
Retsvirkning af elektronisk arkiveringstjeneste
1.   Elektroniske data og elektroniske dokumenter, der opbevares ved hjælp af en elektronisk arkiveringstjeneste, må ikke nægtes retsvirkning eller antagelighed som bevismateriale under retssager alene af den grund, at de er i elektronisk form, eller at de ikke er opbevaret ved hjælp af en kvalificeret elektronisk arkiveringstjeneste.
2.   Elektroniske data og elektroniske dokumenter, der opbevares ved hjælp af en kvalificeret elektronisk arkiveringstjeneste, formodes at have deres integritet og oprindelse i hele opbevaringsperioden af den kvalificerede tillidstjenesteudbyder.
Artikel 45j
Krav til kvalificerede elektroniske arkiveringstjenester
1.   Kvalificerede elektroniske arkiveringstjenester skal opfylde følgende krav:
a)
de udbydes af kvalificerede tillidstjenesteudbydere
b)
de anvender procedurer og teknologier, der kan sikre elektroniske data og elektroniske dokumenters holdbarhed og læsbarhed ud over den teknologiske gyldighedsperiode og i det mindste i den lovbestemte eller kontraktlige opbevaringsperiode, samtidig med at deres integritet og nøjagtigheden af deres oprindelse bevares
c)
de sikrer, at disse elektroniske data og elektroniske dokumenter opbevares på en sådan måde, at de beskyttes mod tab og ændringer, bortset fra ændringer vedrørende deres medium eller elektroniske format
d)
de gør det muligt for bemyndigede modtagerparter automatisk at modtage en rapport, der bekræfter, at elektroniske data og elektroniske dokumenter, der hentes fra et kvalificeret elektronisk arkiv, er omfattet af formodningen om dataenes integritet fra begyndelsen af opbevaringsperioden til det tidspunkt, hvor de hentes.
Den i første afsnits litra d) omhandlede rapport skal leveres på en pålidelig og effektiv måde og være forsynet med den kvalificerede elektroniske signatur eller det kvalificerede elektroniske segl fra udbyderen af den kvalificerede elektroniske arkiveringstjeneste.
2.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for kvalificerede elektroniske arkiveringstjenester. En kvalificeret elektronisk arkiveringstjeneste, der overholder disse standarder, specifikationer og procedurer, formodes at opfylde kravene til kvalificerede elektroniske arkiveringstjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
AFDELING 11
ELEKTRONISKE HOVEDBØGER
Artikel 45k
Retsvirkninger af elektroniske hovedbøger
1.   Retsvirkning og antagelighed som bevis i retssager af elektroniske hovedbøger må ikke nægtes alene af den grund, at hovedbogen er i elektronisk form, eller at den ikke opfylder kravene til kvalificerede elektroniske hovedbøger.
2.   Dataposter i kvalificerede elektroniske hovedbøger er omfattet af formodningen om deres entydige og nøjagtige kronologiske rækkefølge og om deres integritet.
Artikel 45l
Krav til kvalificerede elektroniske hovedbøger
1.   Kvalificerede elektroniske hovedbøger skal opfylde følgende krav:
a)
de er oprettet og forvaltes af én eller flere kvalificerede tillidstjenesteudbydere
b)
de fastlægger oprindelsen af dataposterne i hovedbogen
c)
de sikrer en entydig kronologisk rækkefølge af dataposterne i hovedbogen
d)
de registrerer data på en sådan måde, at enhver efterfølgende ændring af dataene omgående kan konstateres, hvorved deres integritet over tid sikres.
2.   En elektronisk hovedbog, der overholder de i stk. 3 omhandlede standarder, specifikationer og procedurer, formodes at opfylde de krav, der er fastsat i stk. 1.
3.   Senest den 21. maj 2025, fastsætter Kommissionen ved hjælp af gennemførelsesretsakter en liste over referencestandarder og fastsætter, hvor det er nødvendigt, specifikationer og procedurer for de i denne artikels stk. 1 fastsatte krav. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
47)
Følgende kapitel indsættes:
»KAPITEL IVa
STYRINGSRAMME
Artikel 46a
Tilsyn med rammen for den europæiske digitale identitetstegnebog
1.   Hver medlemsstat udpeger et eller flere tilsynsorganer, der er hjemmehørende på deres område.
De tilsynsorganer, der er udpeget i medfør af første afsnit, tillægges de nødvendige beføjelser og tilstrækkelige ressourcer til varetagelsen af deres opgaver på en virkningsfuld, effektiv og uafhængig måde.
2.   Medlemsstaterne meddeler Kommissionen navn og adresse på de tilsynsorganer, der er udpeget i medfør af stk. 1, og eventuelle senere ændringer heraf. Kommissionen offentliggør en liste over de meddelte tilsynsorganer.
3.   De i medfør af stk. 1 udpegede tilsynsorganer har følgende rolle:
a)
at føre tilsyn med udbydere af europæiske digitale identitetstegnebøger, der er hjemmehørende i den udpegende medlemsstat, og ved hjælp af forudgående og efterfølgende tilsynsvirksomhed at sikre, at disse udbydere og europæiske digitale identitetstegnebøger, som de udbyder, opfylder kravene i denne forordning
b)
om nødvendigt at gribe ind over for udbydere af europæiske digitale identitetstegnebøger, der er hjemmehørende på den udpegende medlemsstats område, ved hjælp af efterfølgende tilsynsaktiviteter, når de får oplysninger om, at udbydere eller europæiske digitale identitetstegnebøger, som de udbyder, overtræder denne forordning.
4.   De i medfør af stk. 1 udpegede tilsynsorganers opgaver omfatter navnlig følgende:
a)
at samarbejde med andre tilsynsorganer og yde dem bistand i overensstemmelse med artikel 46c og 46e
b)
at anmode om de oplysninger, der er nødvendige for at føre tilsyn med overholdelsen af denne forordning
c)
at underrette de relevante kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555 i de berørte medlemsstater, om alle væsentlige sikkerhedsbrud eller tab af integritet, som de får kendskab til i forbindelse med udførelsen af sine opgaver, og i tilfælde af væsentlige sikkerhedsbrud eller tab af integritet, som vedrører andre medlemsstater, at underrette det centrale kontaktpunkt, der er udpeget eller oprettet i henhold til artikel 8, stk. 3, i direktiv (EU) 2022/2555, i den berørte medlemsstat, og de centrale kontaktpunkter, der er udpeget i henhold til denne forordnings artikel 46c, stk. 1, i de øvrige berørte medlemsstater, og at informere offentligheden eller pålægge udbydere af europæiske digitale identitetstegnebøger at gøre det, hvis tilsynsorganet fastslår, at det er i offentlighedens interesse, at sikkerhedsbruddet eller tabet af integritet offentliggøres
d)
at foretage inspektioner på stedet og eksternt tilsyn
e)
at pålægge udbydere af europæiske digitale identitetstegnebøger at afhjælpe mangler i opfyldelsen af de krav, der er fastsat i denne forordning
f)
at suspendere eller annullere registreringen og medtagelsen af modtagerparter i den mekanisme, der er omhandlet i artikel 5b, stk. 7, i tilfælde af ulovlig eller svigagtig anvendelse af den europæiske digitale identitetstegnebog
g)
at samarbejde med de kompetente tilsynsmyndigheder, der er oprettet i henhold til artikel 51 i forordning (EU) 2016/679, navnlig ved uden unødigt ophold at underrette dem, hvor der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger, og om sikkerhedsbrud, der synes at udgøre brud på persondatasikkerheden.
5.   Kræver det i medfør af stk. 1 udpegede tilsynsorgan, at udbyderen af en europæisk digital identitetstegnebog afhjælper enhver forsømmelse af at opfylde kravene i denne forordning i medfør af stk. 4, litra e), og handlet den pågældende udbyder ikke i overensstemmelse hermed og i givet fald inden for en af dette tilsynsorgan fastsat frist, kan det i medfør af stk. 1 udpegede tilsynsorgan under hensyntagen til navnlig denne forsømmelses omfang, varighed og konsekvenser pålægge udbyderen at suspendere eller ophøre med at levere den europæiske digitale identitetstegnebog. Tilsynsorganet underretter uden unødigt ophold tilsynsorganerne i andre medlemsstater, Kommissionen, modtagerparterne og brugerne af den europæiske digitale identitetstegnebog om afgørelsen om at kræve suspension eller ophør af leveringen af den europæiske digitale identitetstegnebog.
6.   Senest den 31. marts hvert år forelægger de i medfør af stk. 1 udpegede tilsynsorganer Kommissionen en rapport om det foregående kalenderårs primære tilsynsvirksomhed. Kommissionen stiller disse årlige rapporter til rådighed for Europa-Parlamentet og Rådet.
7.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter formaterne og procedurerne for den i denne artikels stk. 6 omhandlede rapport. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 46b
Tilsyn med tillidstjenester
1.   Hver medlemsstat udpeger et tilsynsorgan, der er oprettet på dens område, eller udpeger efter gensidig aftale med en anden medlemsstat et tilsynsorgan, der er hjemmehørende i den pågældende anden medlemsstat. Dette tilsynsorgan er ansvarligt for tilsynsopgaver i den udpegende medlemsstat for så vidt angår tillidstjenester.
De tilsynsorganer, der er udpeget i medfør af første afsnit, tillægges de nødvendige beføjelser og tilstrækkelige ressourcer til varetagelsen af deres opgaver.
2.   Medlemsstaterne meddeler Kommissionen navn og adresse på deres tilsynsorganer, der er udpeget i medfør af stk. 1, og eventuelle senere ændringer heraf. Kommissionen offentliggør en liste over de meddelte tilsynsorganer.
3.   De tilsynsorganer, der er udpeget i medfør af stk. 1, har følgende rolle:
a)
at føre tilsyn med kvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område, og at sikre ved hjælp af forudgående og efterfølgende tilsynsvirksomhed, at disse kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, de udbyder, opfylder kravene i denne forordning
b)
om nødvendigt at gribe ind over for ikkekvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område ved hjælp af efterfølgende tilsynsvirksomhed, når det underrettes om, at disse ikkekvalificerede tillidstjenesteudbydere eller de tillidstjenester, de udbyder, angiveligt ikke opfylder kravene i denne forordning.
4.   Det tilsynsorgan, der er udpeget i medfør af stk. 1, har navnlig følgende opgaver:
a)
at underrette de relevante kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555 i de berørte medlemsstater, om væsentlige sikkerhedsbrud eller tab af integritet, som det får kendskab til i forbindelse med udførelsen af sine opgaver, og i tilfælde af væsentlige sikkerhedsbrud eller tab af integritet, som vedrører andre medlemsstater, at underrette det centrale kontaktpunkt, der er udpeget eller oprettet i henhold til artikel 8, stk. 3, i direktiv (EU) 2022/2555, i den berørte medlemsstat og de centrale kontaktpunkter, der er udpeget i henhold til denne forordnings artikel 46c, stk. 1, i de øvrige berørte medlemsstater, og at informere offentligheden eller pålægge tillidstjenesteudbyderen at gøre det, hvis tilsynsorganet fastslår, at det er i offentlighedens interesse, at sikkerhedsbruddet eller tabet af integritet offentliggøres
b)
at samarbejde med andre tilsynsorganer og yde dem bistand i overensstemmelse med artikel 46c og 46e
c)
at analysere de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20, stk. 1, og artikel 21, stk. 1
d)
at aflægge rapport til Kommissionen om sin primære virksomhed i overensstemmelse med denne artikels stk. 6
e)
at foretage kontrolundersøgelser eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere i overensstemmelse med artikel 20, stk. 2
f)
at samarbejde med de kompetente tilsynsmyndigheder, der er oprettet i henhold til artikel 51 i forordning (EU) 2016/679, navnlig ved uden unødigt ophold at underrette dem, hvor der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger, og om sikkerhedsbrud, der synes at udgøre brud på persondatasikkerheden
g)
at tildele kvalificerede tillidstjenesteudbydere og de tjenester, de udbyder, status som kvalificeret og at trække denne status tilbage i overensstemmelse med artikel 20 og 21
h)
at underrette det organ, der er ansvarligt for den nationale positivliste, der er omhandlet i artikel 22, stk. 3, om sine afgørelser om tildeling eller tilbagetrækning af status som kvalificeret, medmindre dette organ også er det tilsynsorgan, der er udpeget i medfør af nærværende artikels stk. 1
i)
at kontrollere, at der findes bestemmelser om planer for virksomhedsafbrydelse, og at de anvendes korrekt, i tilfælde hvor den kvalificerede tillidstjenesteudbyder afbryder sin virksomhed, herunder hvordan oplysninger forbliver tilgængelige i overensstemmelse med artikel 24, stk. 2, litra h)
j)
at pålægge tillidstjenesteudbydere at afhjælpe mangler i opfyldelsen af de krav, der er fastsat i denne forordning
k)
at undersøge påstande fremsat af webbrowserudbydere i henhold til artikel 45a og om nødvendigt at gribe ind.
5.   Medlemsstaterne kan kræve, at det tilsynsorgan, der er udpeget i medfør af stk. 1, opretter, vedligeholder og ajourfører en tillidsinfrastruktur i overensstemmelse med national ret.
6.   Senest den 31. marts hvert år forelægger hvert tilsynsorganer, der er udpeget i medfør af stk. 1, Kommissionen en rapport om det foregående kalenderårs primære tilsynsvirksomhed. Kommissionen stiller disse årlige rapporter til rådighed for Europa-Parlamentet og Rådet.
7.   Senest den 21. maj 2025 vedtager Kommissionen retningslinjer for de i medfør af denne artikels stk. 1 udpegede tilsynsorganers udførelse af de i denne artikels stk. 4 omhandlede opgaver, og fastsætter ved hjælp af gennemførelsesretsakter formater og procedurer for den i denne artikels stk. 6 omhandlede rapport. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.
Artikel 46c
Centrale kontaktpunkter
1.   Hver medlemsstat udpeger et centralt kontaktpunkt for tillidstjenester, europæiske digitale identitetstegnebøger og anmeldte elektroniske identifikationsordninger.
2.   Hvert centralt kontaktpunkt udøver en forbindelsesfunktion for at lette det grænseoverskridende samarbejde mellem tilsynsorganerne for tillidstjenesteudbydere og mellem tilsynsorganerne for udbydere af europæiske digitale identitetstegnebøger og, hvor det er relevant, med Kommissionen og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) og med andre kompetente myndigheder i sin medlemsstat.
3.   Hver medlemsstat offentliggør og meddeler uden unødig forsinkelse Kommissionen navn og adresse på det centrale kontaktpunkt, der er udpeget i medfør af stk. 1, og enhver efterfølgende ændring heraf.
4.   Kommissionen offentliggør en liste over de centrale kontaktpunkter, der er meddelt i henhold til stk. 3.
Artikel 46d
Gensidig bistand
1.   For at lette tilsynet med og håndhævelsen af forpligtelserne i henhold til denne forordning kan de tilsynsorganer, der er udpeget i medfør af artikel 46a, stk. 1, og artikel 46b, stk. 1, herunder gennem den samarbejdsgruppe, der er nedsat i medfør af artikel 46e, stk. 1, søge gensidig bistand fra tilsynsorganerne i en anden medlemsstat, hvor udbyderen af den europæiske digitale identitetstegnebog eller tillidstjenesteudbyderen er etableret, eller hvor dennes net- og informationssystemer befinder sig, eller dens tjenester leveres.
2.   Den gensidige bistand skal som minimum indebære, at:
a)
det tilsynsorgan, der anvender tilsyns- og håndhævelsesforanstaltninger i én medlemsstat, underretter og hører tilsynsorganet i den anden berørte medlemsstat
b)
et tilsynsorgan kan anmode tilsynsorganet i en anden berørt medlemsstat om at træffe tilsyns- eller håndhævelsesforanstaltninger, herunder f.eks. anmodninger om at udføre inspektioner i forbindelse med de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20 og 21 vedrørende levering af tillidstjenester
c)
tilsynsorganerne, når det er hensigtsmæssigt, kan gennemføre undersøgelser i fællesskab med andre medlemsstaters tilsynsorganer.
Reglerne for og fremgangsmåden ved fælles tiltag i henhold til første afsnit undersøgelser aftales og fastlægges af de berørte medlemsstater i overensstemmelse med deres nationale ret.
3.   Et tilsynsorgan, der modtager en anmodning om bistand, kan afvise denne anmodning med en af følgende begrundelser:
a)
den bistand, der anmodes om, står ikke i rimeligt forhold til tilsynsorganets tilsynsopgaver, der udføres i overensstemmelse med artikel 46a og 46b
b)
tilsynsorganet er ikke kompetent til at yde den bistand, der anmodes om
c)
det ville være uforeneligt med denne forordning at yde den bistand, der anmodes om.
4.   Senest den 21. maj 2025 og derefter hvert andet år udsteder den samarbejdsgruppe, der er nedsat i medfør af artikel 46e, stk. 1, retningslinjer for de organisatoriske aspekter og procedurer for den gensidige bistand, der er omhandlet i nærværende artikels stk. 1 og 2.
Artikel 46e
Den europæiske samarbejdsgruppe for digital identitet
1.   For at støtte og lette medlemsstaternes grænseoverskridende samarbejde og udveksling af oplysninger om tillidstjenester, europæiske digitale identitetstegnebøger og anmeldte elektroniske identifikationsordninger nedsætter Kommissionen en europæisk samarbejdsgruppe for digital identitet (»samarbejdsgruppen«).
2.   Samarbejdsgruppen består af repræsentanter udpeget af medlemsstaterne og Kommissionen. Samarbejdsgruppen ledes af Kommissionen. Kommissionen som varetager sekretariatsfunktionen for samarbejdsgruppen.
3.   Repræsentanter for relevante interessenter kan på ad hoc-basis inviteres til at deltage i samarbejdsgruppens møder og til at deltage i dens arbejde som observatører.
4.   ENISA opfordres til at deltage som observatør i samarbejdsgruppens arbejde, når den udveksler synspunkter, bedste praksis og oplysninger om relevante cybersikkerhedsaspekter såsom underretning om sikkerhedsbrud, og når anvendelsen af cybersikkerhedsattester eller -standarder drøftes.
5.   Samarbejdsgruppen har følgende opgaver:
a)
at udveksle rådgivning og samarbejde med Kommissionen om nye politiske initiativer inden for digitale identitetstegnebøger, elektroniske identifikationsmidler og tillidstjenester
b)
i det omfang det er relevant, at rådgive Kommissionen tidligt i forberedelsen af udkast til gennemførelsesretsakter og delegerede retsakter, der skal vedtages i henhold til denne forordning
c)
for at støtte tilsynsorganerne i gennemførelsen af bestemmelserne i denne forordning:
i)
at udveksle bedste praksis og oplysninger om gennemførelsen af bestemmelserne i denne forordning
ii)
at vurdere den relevante udvikling inden for europæisk digital identitetstegnebog, elektronisk identifikation og tillidstjenester
iii)
at tilrettelægge fælles møder med relevante interessenter fra hele Unionen for at drøfte aktiviteter, der gennemføres af samarbejdsgruppen, og indsamle input om nye politiske udfordringer
iv)
med støtte fra ENISA at udveksle synspunkter, bedste praksis og oplysninger om relevante cybersikkerhedsaspekter vedrørende europæiske digitale identitetstegnebøger, elektroniske identifikationsordninger og tillidstjenester
v)
at udveksle bedste praksis vedrørende udvikling og gennemførelse af politikker for anmeldelsen af sikkerhedsbrud og fælles foranstaltninger som omhandlet i artikel 5e og 10
vi)
at tilrettelægge fælles møder med NIS-samarbejdsgruppen, der er nedsat i medfør af artikel 14, stk. 1, i direktiv (EU) 2022/2555, for at udveksle relevante oplysninger vedrørende tillidstjenester og elektronisk identifikation og dertil relaterede cybertrusler, hændelser, sårbarheder, bevidstgørelsesinitiativer, uddannelse, øvelser og færdigheder, kapacitetsopbygning, kapaciteter med hensyn til standarder og tekniske specifikationer samt standarder og tekniske specifikationer
vii)
efter anmodning fra et tilsynsorgan at drøfte specifikke anmodninger om gensidig bistand som omhandlet i artikel 46d
viii)
at lette udvekslingen af oplysninger mellem tilsynsorganerne ved at give vejledning om de organisatoriske aspekter og procedurer for den gensidige bistand, der er omhandlet i artikel 46d
d)
at tilrettelægge peerevalueringer af elektroniske identifikationsordninger, der skal anmeldes i henhold til denne forordning.
6.   Medlemsstaterne sikrer et effektivt og virkningsfuldt samarbejde mellem deres udpegede repræsentanter i samarbejdsgruppen.
7.   Senest den 21. maj 2025 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de fornødne proceduremæssige ordninger for at lette samarbejdet mellem medlemsstaterne, der er omhandlet i denne artikels stk. 5, litra d). Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 48, stk. 2.«
48)
I artikel 47 foretages følgende ændringer:
a)
Stk. 2 og 3 affattes således:
»2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 5c, stk. 7, artikel 24, stk. 4b, og artikel 30, stk. 4, tillægges Kommissionen for en ubegrænset periode fra den 17. september 2014.
3.   Den i artikel 5c, stk. 7, artikel 24, stk. 4b, og artikel 30, stk. 4, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Afgørelsen får virkning fra dagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
 eller fra en senere dato, der fastsættes nærmere i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.«
b)
Stk. 5 affattes således:
»5.   En delegeret retsakt vedtaget i henhold til artikel 5c, stk. 7, artikel 24, stk. 4b, og artikel 30, stk. 4, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har informeret Kommissionen om, at de ikke agter at gøre indsigelse. Denne frist forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.«
49)
I kapitel VI indsættes følgende artikel:
»Artikel 48a
Rapporteringskrav
1.   Medlemsstaterne sikrer indsamling af statistikker vedrørende funktionen af europæiske digitale identitetstegnebøger og kvalificerede tillidstjenester, der leveres på deres område.
2.   De statistikker, der indsamles i overensstemmelse med stk. 1, omfatter følgende:
a)
antallet af fysiske og juridiske personer, der har en gyldig europæisk digital identitetstegnebog
b)
typen og antallet af tjenester, der accepterer anvendelse af den europæiske digitale identitetstegnebog
c)
antallet af klager fra brugere og antallet af hændelser vedrørende forbrugerbeskyttelse eller databeskyttelse for så vidt angår modtagerparter og kvalificerede tillidstjenester
d)
en sammenfattende rapport, herunder data om hændelser, som forhindrer anvendelse af den europæiske digitale identitetstegnebog
e)
en sammenfatning af væsentlige sikkerhedshændelser, brud på datasikkerheden og berørte brugere af europæiske digitale identitetstegnebøger eller kvalificerede tillidstjenester.
3.   De i stk. 2 omhandlede statistikker stilles til rådighed for offentligheden i et åbent og almindeligt anvendt maskinlæsbart format.
4.   Senest den 31. marts hvert år forelægger medlemsstaterne Kommissionen en rapport om de statistikker, der er indsamlet i overensstemmelse med stk. 2.«
50)
Artikel 49 affattes således:
»Artikel 49
Revision
1.   Kommissionen reviderer anvendelsen af denne forordning og forelægger senest den 21. maj 2026 en rapport for Europa-Parlamentet og Rådet. I denne rapport evaluerer Kommissionen navnlig, hvorvidt det er hensigtsmæssigt at ændre denne forordnings anvendelsesområde eller de specifikke bestemmelser heri, herunder navnlig artikel 5c, stk. 5, under hensyntagen til de erfaringer, der er gjort med anvendelsen af denne forordning, og til den teknologiske, markedsmæssige og retlige udvikling. Denne rapport ledsages, hvor det er nødvendigt, af et forslag til ændring af denne forordning.
2.   Den i stk. 1 omhandlede rapport skal indeholde en vurdering af tilgængeligheden, sikkerheden og anvendeligheden af anmeldte elektroniske identifikationsmidler og europæiske digitale identitetstegnebøger, der er omfattet af denne forordnings anvendelsesområde, og skal vurdere, hvorvidt alle private onlinetjenesteudbydere, der benytter tredjeparters elektroniske identifikationstjenester til autentifikation af brugere, skal være forpligtede til at acceptere anvendelsen af anmeldte elektroniske identifikationsmidler og europæiske digitale identitetstegnebøger.
3.   Senest den 21. maj 2030 og hver hvert fjerde år derefter forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet en rapport om de fremskridt, der er gjort hen imod opfyldelse af målene for denne forordning.«
51)
Artikel 51 affattes således:
»Artikel 51
Overgangsforanstaltninger
1.   Sikre signaturgenereringssystemer, for hvilke det i overensstemmelse med artikel 3, stk. 4, i direktiv 1999/93/EF er afgjort, at de opfylder kravene, betragtes fortsat som værende kvalificerede elektroniske signaturgenereringssystemer i henhold til denne forordning indtil den 21. maj 2027.
2.   Kvalificerede certifikater, der er udstedt til fysiske personer i henhold til direktiv 1999/93/EF, betragtes fortsat som værende kvalificerede certifikater for elektroniske signaturer i henhold til denne forordning indtil den 21. maj 2026.
3.   Den forvaltning af kvalificerede elektroniske signatur- og seglgenereringssystemer på afstand, der foretages af andre kvalificerede tillidstjenesteudbydere end kvalificerede tillidstjenesteudbydere, der leverer kvalificerede tillidstjenester til forvaltning af kvalificerede elektroniske signatur- og seglgenereringssystemser på afstand i overensstemmelse med artikel 29a og 39a, kan udføres, uden at det er nødvendigt at opnå status som kvalificeret med hensyn til levering af disse forvaltningstjenester indtil den 21. maj 2026.
4.   Kvalificerede tillidstjenesteudbydere, der har fået deres status som kvalificeret i henhold til denne forordning inden den 20. maj 2024, skal hurtigst muligt og under alle omstændigheder senest den 21. maj 2026 forelægge tilsynsorganet en overensstemmelsesvurderingsrapport, der dokumenterer overholdelsen af artikel 24, stk. 1, 1a og 1b.«
52)
Bilag I-IV ændres i overensstemmelse med bilag I-IV til denne forordning.
53)
Der tilføjes nye bilag V, VI og VII som angivet i bilag V, VI og VII til denne forordning.
Artikel 2
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 11. april 2024.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
H. LAHBIB
Formand
(
1
)
  
            
EUT C 105 af 4.3.2022, s. 81
.
(
2
)
  
            
EUT C 61 af 4.2.2022, s. 42
.
(
3
)
  Europa-Parlamentets holdning af 29.2.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 26.3.2024.
(
4
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
5
)
  Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 af 14. december 2022 om etablering af politikprogrammet for det digitale årti 2030 (
EUT L 323 af 19.12.2022, s. 4
).
(
6
)
  
            
EUT C 23 af 23.1.2023, s. 1
.
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1157 af 20. juni 2019 om styrkelse af sikkerheden af unionsborgeres identitetskort og af opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed (
EUT L 188 af 12.7.2019, s. 67
).
(
12
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (
EUT L 151 af 7.6.2019, s. 70
).
(
13
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/1925 af 14. september 2022 om åbne og fair markeder i den digitale sektor og om ændring af direktiv (EU) 2019/1937 og (EU) 2020/1828 (forordningen om digitale markeder) (
EUT L 265 af 12.10.2022, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2065 af 19. oktober 2022 om et indre marked for digitale tjenester og om ændring af direktiv 2000/31/EF (forordning om digitale tjenester) (
EUT L 277 af 27.10.2022, s. 1
).
(
16
)
  Kommissionens henstilling (EU) 2021/946 af 3. juni 2021 om en fælles EU-værktøjskasse for en koordineret tilgang til en ramme for en europæisk digital identitet (
EUT L 210 af 14.6.2021, s. 51
).
BILAG I
Punkt i) i bilag I til forordning (EU) nr. 910/2014 affattes således:
»i)
oplysninger om det kvalificerede certifikats gyldighedsstatus eller om, hvor de tjenester, hvortil der kan rettes forespørgsel herom, befinder sig«.
BILAG II
Punkt 3 og 4 i bilag II til forordning (EU) nr. 910/2014 udgår.
BILAG III
Punkt i) i bilag III til forordning (EU) nr. 910/2014 affattes således:
»i)
oplysninger om det kvalificerede certifikats gyldighedsstatus eller om, hvor de tjenester, hvortil der kan rettes forespørgsel herom, befinder sig«.
BILAG IV
Bilag IV til forordning (EU) nr. 910/2014 ændres således:
1)
Litra c) affattes således:
»c)
for fysiske personer: som minimum navnet på den person, som certifikatet er udstedt til, eller et pseudonym; hvis der anvendes et pseudonym, en tydelig angivelse heraf
ca)
for juridiske personer: et unikt sæt data, der entydigt repræsenterer den juridiske person, som certifikatet er udstedt til, med som minimum navnet på den juridiske person, som certifikatet er udstedt til, og, når det er relevant, registreringsnummer, som det fremgår af de officielle registre«.
2)
Litra j) affattes således:
»j)
oplysninger om det kvalificerede certifikats gyldighedsstatus eller om, hvor de certifikatgyldighedstjenester, hvortil der kan rettes forespørgsel herom, befinder sig.«
BILAG V
»BILAG V
KRAV TIL KVALIFICERET ATTESTERING AF ATTRIBUTTER
Kvalificeret elektronisk attestering af attributter indeholder:
a)
en angivelse — som minimum i en form, der egner sig til automatiseret behandling — af, at attesteringen er udstedt som en kvalificeret elektronisk attestering af attributter
b)
et sæt data, der entydigt repræsenterer den kvalificerede tillidstjenesteudbyder, der udsteder den kvalificerede elektroniske attestering af attributter, herunder som minimum oplysninger om, hvilken medlemsstat den pågældende udbyder er hjemmehørende i, og
i)
for en juridisk person: navn og, når det er relevant, registreringsnummer, som det fremgår af de officielle registre
ii)
for en fysisk person: personens navn
c)
et sæt data, der entydigt repræsenterer den enhed, som de attesterede attributter henviser til; hvis der anvendes et pseudonym, en tydelig angivelse heraf
d)
den attesterede attribut eller de attesterede attributter, herunder, hvis det er relevant, de oplysninger, der er nødvendige for at bestemme attributternes omfang
e)
oplysninger om attesteringens ikrafttrædelses- og udløbsdato
f)
attesteringens identifikationskode, som skal være entydig for den kvalificerede tillidstjenesteudbyder, og, hvis det er relevant, attesteringsordningen, som attesteringen af attributter er en del af
g)
den udstedende kvalificerede tillidstjenesteudbyders kvalificerede elektroniske signatur eller kvalificerede elektroniske segl
h)
oplysninger om, hvor certifikatet for den kvalificerede elektroniske signatur eller det kvalificerede elektroniske segl, der henvises til i litra g), er gratis tilgængeligt
i)
oplysninger om den kvalificerede attesterings gyldighedsstatus eller om, hvor de tjenester, hvortil der kan rettes forespørgsel herom, befinder sig.«
BILAG VI
»BILAG VI
MINIMUMSLISTE OVER ATTRIBUTTER
I medfør af artikel 45e sikrer medlemsstaterne, at der træffes foranstaltninger til at gøre det muligt for kvalificerede tillidstjenesteudbydere af elektroniske attesteringer af attributter ved hjælp af elektroniske midler efter anmodning fra brugeren at kontrollere autenticiteten af følgende attributter i forhold til de relevante autentiske kilder på nationalt plan eller via udpegede mellemmænd, der er anerkendte på nationalt plan, i overensstemmelse med EU-retten eller national ret og hvor disse attributter er afhængige af autentiske kilder i den offentlige sektor:
1.
adresse
2.
alder
3.
køn
4.
civilstand
5.
familiesammensætning
6.
nationalitet eller statsborgerskab
7.
uddannelsesmæssige kvalifikationer, titler og licenser
8.
erhvervsmæssige kvalifikationer, titler og licenser
9.
beføjelser og mandater til at repræsentere fysiske eller juridiske personer
10.
offentlige tilladelser og licenser
11.
for juridiske personer, finansielle data og virksomhedsoplysninger.«
BILAG VII
»BILAG VII
KRAV TIL ELEKTRONISK ATTESTERING AF ATTRIBUTTER, DER ER UDSTEDT AF ELLER PÅ VEGNE AF EN OFFENTLIG MYNDIGHED MED ANSVAR FOR EN AUTENTISK KILDE
En elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde, skal indeholde:
a)
en angivelse — som minimum i en form, der egner sig til automatiseret behandling — af, at attesteringen er udstedt som en elektronisk attestering af attributter, der er udstedt af eller på vegne af en offentlig myndighed med ansvar for en autentisk kilde
b)
et sæt data, der entydigt repræsenterer den offentlige myndighed, der udsteder den elektroniske attestering af attributter, herunder som minimum oplysninger om, hvilken medlemsstat den pågældende offentlige myndighed er hjemmehørende i, og dens navn og, hvis det er relevant, registreringsnummer, som det fremgår af de officielle registre
c)
et sæt data, der entydigt repræsenterer den enhed, som de attesterede attributter henviser til; hvis der anvendes et pseudonym, en tydelig angivelse heraf
d)
den attesterede attribut eller de attesterede attributter, herunder, hvis det er relevant, de oplysninger, der er nødvendige for at bestemme attributternes omfang
e)
oplysninger om attesteringens ikrafttrædelses- og udløbsdato
f)
attesteringens identifikationskode, som skal være entydig for den udstedende offentlige myndighed, og, hvis det er relevant, en angivelse af den attesteringsordning, som attesteringen af attributter er en del af
g)
den udstedende myndigheds kvalificerede elektroniske signatur eller kvalificerede elektroniske segl
h)
oplysninger om, hvor certifikatet for den kvalificerede elektroniske signatur eller det kvalificerede elektroniske segl, der henvises til i litra g), er gratis tilgængeligt
i)
oplysninger om attesteringens gyldighedsstatus eller om, hvor de tjenester, hvortil der kan rettes forespørgsel herom, befinder sig.«
ELI: http://data.europa.eu/eli/reg/2024/1183/oj
ISSN 1977-0634 (electronic edition)

Summary:
EU’s digitale identitetstegnebog
RESUMÉ AF:
Forordning (EU) 2024/1183 om fastlæggelse af den europæiske ramme for digital identitet
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordning (EU) 2024/1183 om ændring af forordning (EU) 
nr. 
910/2014
 (forordningen om elektronisk identifikation og tillidstjenester, se 
resumé
) fastlægger den europæiske ramme for digital identitet, der giver 
medlemsstaterne
 i 
Den Europæiske Union
 (EU) mandat til at give deres borgere, indbyggere og virksomheder en europæisk digital identitetstegnebog, der er baseret på de samme specifikationer, ved udgangen af 2026. Denne ramme har til formål at sikre sikker online- og offline-identifikation af 
EU-borgerne
, så de får gnidningsløs og pålidelig grænseoverskridende adgang til både offentlige og private digitale tjenester.
HOVEDPUNKTER
Den europæiske ramme for digital identitet
Den europæiske ramme for digital identitet omfatter de følgende tre konfigurationer.
EU’s digitale identitetstegnebog.
 Alle fysiske og juridiske personer i EU kan sikkert identificere sig selv via en mobilenhed for at få adgang til offentlige og private tjenester i hele Europa, samtidig med at de har fuld kontrol over deres egne data.
Gensidig anerkendelse af nationale elektroniske identifikationsordninger.
 Hver medlemsstat accepterer elektroniske identifikationsmidler fra andre medlemsstater til grænseoverskridende autentifikation for at få adgang til en offentlig tjeneste.
Tillidstjenester.
 Disse omfatter en retlig ramme for tjenester såsom elektroniske signaturer, segl og tidsstempler samt en liste over nye tillidstjenester, såsom forvaltning af kvalificerede elektroniske signaturgenereringssystemer på afstand, forvaltning af kvalificerede elektroniske seglgenereringssystemer på afstand, udstedelse af kvalificerede elektroniske attesteringer af attributter, kvalificerede elektroniske arkiveringstjenester og kvalificerede elektroniske hovedbøger, der sikrer, at transaktioner er sikre og pålidelige.
EU’s digitale identitetstegnebog
EU’s digitale identitetstegnebog er et elektronisk identifikationsmiddel, der gør det muligt for brugeren på sikker vis at lagre, forvalte og validere personidentifikationsdata og elektroniske attesteringer af attributter. Personer, der bruger disse tegnebøger i personligt øjemed, vil uden beregning kunne underskrive elektronisk med juridisk gyldighed.
Den omfatter følgende funktioner.
Tilknytning til nationale digitale identiteter.
 Tegnebøger kan kædes sammen med brugernes nationale digitale identiteter.
Autentifikation.
 Brugere kan autentificere online og offline og sikre, at data kun deles selektivt.
Dokumentation for personlige attributter.
 Brugerne kan dele digitale dokumenter, såsom kørekort, rejsedokumenter, akademiske og faglige kvalifikationer samt bankkontodokumenter.
Datastyring.
 Brugerne kan vælge, hvilke aspekter af deres identitet og data de deler med tredjeparter, og administrere (f.eks. anmode om, gemme, dele eller slette) deres egne data.
Pseudonym.
 Brugere kan generere krypterede pseudonymer, der er lagret lokalt i tegnebogen, for at øge privatlivsbeskyttelsen.
Sikre forbindelser.
 Tegnebogen giver mulighed for sikker, direkte dataudveksling og autentifikation med andre digitale EU-identitetstegnebøger.
Gennemsigtighed.
 Brugerne kan få adgang til en transaktionslog, se et fælles dashboard og bruge kvalificerede elektroniske signaturer.
Open source og sikkerhed
For at sikre fuld gennemsigtighed er tegnebogens softwareapplikation open source-licenseret. Selvom visse komponenter kan forblive skjulte af berettigede sikkerhedsgrunde, har denne open souce-tilgang til formål at fremme tillid og innovation på tværs af rammen.
Sikkerhedsforanstaltninger og tilgængelighed
Frivillig anvendelse.
 Brugen af tegnebogen er komplet valgfri for alle borgere, og dem, der vælger ikke at bruge den, får robust beskyttelse mod forskelsbehandling.
Ingen skjulte omkostninger.
 Tegnebogens udstedelse, anvendelse og kontrol er gratis for enkeltpersoner. Medlemsstaterne betaler kontrolomkostningerne for at garantere, at tegnebogen forbliver tilgængelig.
Strikse begrænsninger for databehandling.
 Databehandling skal være begrænset til, hvad der er nødvendigt, for at tegnebogen kan fungere. Udbydere af tegnebøger kan ikke få adgang til eller lagre yderligere personoplysninger.
Overholdelse og ansvar
Strenge standarder for registrering, overvågning og kontrol sikrer, at kun kontrollerede enheder bruger tegnebogen. Modtagerparter
1
, der tilbyder tjenester gennem tegnebogen, registreres i den pågældende medlemsstat, så ansvaret og sporbarheden opretholdes.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen trådte i kraft den 
20. maj
 2024
.
BAGGRUND
For yderligere oplysninger henvises til:
Europæisk erklæring om digitale rettigheder og principper
 (Europa-Kommissionen)
Den europæiske digitale identifikation
 (Europa-Kommissionen)
Forordning om den europæiske digitale identitet
 (Europa-Kommissionen)
EU’s digitale identitetstegnebog
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Modtagerpart.
 Fysisk eller juridisk person, der er afhængig af elektronisk identifikation eller en tillidstjeneste.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2024/1183
 af 
 
11. april
 2024
 om ændring af forordning (EU) 
nr. 910/2014
 for så vidt angår fastlæggelse af den europæiske ramme for digital identitet (EUT 
L, 2024/1183
 af 
30.4.2024
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets afgørelse (EU) 
2022/2481
 af 
14. december
 2022 om etablering af politikprogrammet for det digitale årti 2030 (EUT 
L 323
 af 
19.12.2022
, 
s. 4-26
).
Europa-Parlamentets og Rådets forordning (EU) 
nr. 
910/2014
 af 
23. juli
 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (EUT 
L 257
 af 
28.8.2014
, 
s. 73-114
).
Efterfølgende ændringer til forordning (EU) 
nr. 910/2014
 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
seneste ajourføring 
06.03.2025