Durchführungsverordnung (EU) 2015/1501 der Kommission vom 8. September 2015 über den Interoperabilitätsrahmen gemäß Artikel 12 Absatz 8 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (Text von Bedeutung für den EWR)

Diese Verordnung enthält technische und betriebliche Anforderungen für den Interoperabilitätsrahmen, durch die die Interoperabilität der elektronischen Identifizierungssysteme, die der Kommission von den Mitgliedstaaten notifiziert werden, gewährleistet werden soll. Diese Anforderungen betreffen insbesondere a) die technischen Mindestanforderungen an die Sicherheitsniveaus und die Entsprechung zwischen nationalen Sicherheitsniveaus notifizierter elektronischer Identifizierungsmittel, die nach einem notifizierten elektronischen Identifizierungssystem nach Artikel 8 der Verordnung (EU) Nr. 910/2014 ausgestellt wurden, gemäß den Artikeln 3 und 4; b) die technischen Mindestanforderungen für die Interoperabilität gemäß den Artikeln 5 bis 8; c) den Mindestsatz der Personenidentifizierungsdaten, die eine natürliche oder juristische Person eindeutig repräsentieren, gemäß Artikel 11 und dem Anhang; d) gemeinsame Sicherheitsnormen für den Betrieb gemäß den Artikeln 6, 7, 9 und 10; e) Regelungen zur Streitbeilegung gemäß Artikel 13.

Für die Zwecke dieser Verordnung gelten die folgenden Begriffsbestimmungen: 1. „Knoten“ ist ein Anschlusspunkt, der als Teil der Interoperabilitätsarchitektur für die elektronische Identifizierung an der grenzüberschreitenden Authentifizierung von Personen mitwirkt und der Datenübertragungen erkennen und verarbeiten oder an andere Knoten weiterleiten kann; er ermöglicht damit über eine Schnittstelle die Verbindung zwischen der nationalen elektronischen Identifizierungsinfrastruktur eines Mitgliedstaats und der nationalen elektronischen Identifizierungsinfrastruktur eines anderen Mitgliedstaats; 2. „Knotenbetreiber“ ist die Stelle, die dafür verantwortlich ist, dass der Knoten seine Funktion als Anschlusspunkt ordnungsgemäß und zuverlässig erfüllt.

Die technischen Mindestanforderungen an die Sicherheitsniveaus werden in der Durchführungsverordnung (EU) 2015/1502 der Kommission festgelegt.

Die Entsprechung zwischen nationalen Sicherheitsniveaus der notifizierten Identifizierungssysteme richtet sich nach den Anforderungen der Durchführungsverordnung (EU) 2015/1502. Die Entsprechungsergebnisse werden der Kommission anhand des im Durchführungsbeschluss (EU) 2015/1505 der Kommission festgelegten Notifizierungsmusters mitgeteilt.

1 Ein Knoten in einem Mitgliedstaat muss in der Lage sein, sich mit Knoten in anderen Mitgliedstaaten zu verbinden.

2 Die Knoten müssen in der Lage sein, anhand technischer Mittel zwischen öffentlichen Stellen und anderen vertrauenden Beteiligten zu unterscheiden.

3 Durch die Umsetzung der in dieser Verordnung festgelegten technischen Anforderungen in einem Mitgliedstaat dürfen anderen Mitgliedstaaten, um mit dem in jenem Mitgliedstaat umgesetzten System zusammenwirken zu können, keine überzogenen technischen Anforderungen bzw. übermäßigen Kosten auferlegt bzw. verursacht werden.

1 Der Schutz der Privatsphäre und der Vertraulichkeit der ausgetauschten Daten sowie die Erhaltung der Unversehrtheit der Daten zwischen den Knoten werden durch den Einsatz der besten verfügbaren technischen Lösungen und Schutzverfahren sichergestellt.

2 Außer zu dem in Artikel 9 Absatz 3 genannten Zweck dürfen die Knoten keine personenbezogenen Daten speichern.

Bei der Datenübermittlung wird die Unversehrtheit und Echtheit der Daten gewährleistet, um sicherzustellen, dass alle Abfragen und Antworten echt sind und nicht verfälscht worden sind. Zu diesem Zweck setzen die Knoten Lösungen ein, die sich im grenzüberschreitenden Betrieb bereits bewährt haben.

Die Knoten verwenden als Syntax gemeinsame Meldungsformate, die auf Normen beruhen, welche bereits mehrfach zwischen Mitgliedstaaten eingesetzt worden sind und sich im Betriebsumfeld bewährt haben. Die Syntax muss Folgendes ermöglichen: a) ordnungsgemäße Verarbeitung des Mindestsatzes von Personenidentifizierungsdaten, die eine natürliche oder juristische Person eindeutig repräsentieren; b) ordnungsgemäße Verarbeitung der Sicherheitsniveaus der elektronischen Identifizierungsmittel; c) Unterscheidung zwischen öffentlichen Stellen und anderen vertrauenden Beteiligten; d) Flexibilität im Falle eines Bedarfs an zusätzlichen Merkmalen für die Identifizierung.

1 Der Knotenbetreiber übermittelt die Metadaten der Knotenverwaltung in genormter maschinenlesbarer Form auf sichere und vertrauenswürdige Weise.

2 Zumindest die sicherheitsbezogenen Parameter werden automatisch abgerufen.

3 Der Knotenbetreiber speichert Daten, mit denen im Falle eines Vorfalls die Abfolge des Meldungsaustauschs rekonstruiert werden kann, damit Ort und Art des Vorfalls festgestellt werden können. Die Daten werden für einen Zeitraum gespeichert, der im Einklang mit nationalen Vorgaben steht, und müssen zumindest folgende Elemente umfassen: a) Kennung des Knotens; b) Kennung der Meldung; c) Datum und Uhrzeit der Meldung.

1 Knotenbetreiber von Knoten, die eine Authentifizierung vornehmen, müssen durch Zertifizierung oder ein gleichwertiges Bewertungsverfahren oder durch Einhaltung nationaler Rechtsvorschriften nachweisen, dass ihr Knoten im Hinblick auf die am Interoperabilitätsrahmen beteiligten Knoten die Anforderungen der Norm ISO/IEC 27001 erfüllt.

2 Knotenbetreiber führen sicherheitskritische Aktualisierungen unverzüglich durch.

1 Wird ein Mindestsatz von Personenidentifizierungsdaten, die eine natürliche oder juristische Person eindeutig repräsentieren, in einem grenzüberschreitenden Umfeld verwendet, so muss er den Anforderungen des Anhangs entsprechen.

2 Wird ein Mindestdatensatz einer natürlichen Person, die eine juristische Person repräsentiert, in einem grenzüberschreitenden Umfeld verwendet, so muss er die Kombination der Merkmale enthalten, die im Anhang für natürliche und juristische Personen aufgeführt sind.

3 Die Datenübertragung erfolgt in den Original-Schriftzeichen sowie gegebenenfalls transliteriert in lateinischen Schriftzeichen.

1 Soweit der Prozess der Umsetzung des Interoperabilitätsrahmens es rechtfertigt, kann das durch den Durchführungsbeschluss (EU) 2015/296 der Kommission geschaffene Kooperationsnetz Stellungnahmen gemäß Artikel 14 Buchstabe d des genannten Beschlusses bezüglich des Bedarfs der Ausarbeitung technischer Spezifikationen abgeben. In solchen technischen Spezifikationen werden weitere Einzelheiten zu den technischen Anforderungen dieser Verordnung festgelegt.

2 Aufgrund der in Absatz 1 genannten Stellungnahme arbeitet die Kommission in Zusammenarbeit mit den Mitgliedstaaten die technischen Spezifikationen als Teil der digitalen Diensteinfrastrukturen der Verordnung (EU) Nr. 1316/2013 aus.

3 Das Kooperationsnetz gibt eine Stellungnahme gemäß Artikel 14 Buchstabe d des Durchführungsbeschlusses (EU) 2015/296 ab, in der es beurteilt, ob und in welchem Maße die gemäß Absatz 2 ausgearbeiteten technischen Spezifikationen dem in der Stellungnahme nach Absatz 1 festgestellten Bedarf oder den Anforderungen dieser Verordnung entsprechen. Es kann den Mitgliedstaaten empfehlen, die technischen Spezifikationen bei der Umsetzung des Interoperabilitätsrahmens zu berücksichtigen.

4 Die Kommission stellt eine Referenzimplementierung als Beispiel für die Auslegung der technischen Spezifikationen bereit. Die Mitgliedstaaten können diese Referenzimplementierung anwenden oder sie als Muster zur Erprobung anderer Implementierungen der technischen Spezifikationen verwenden.

1 Soweit möglich, werden Streitigkeiten in Bezug auf den Interoperabilitätsrahmen von den betroffenen Mitgliedstaaten auf dem Verhandlungsweg beigelegt.

2 Wird keine Lösung gemäß Absatz 1 gefunden, ist das durch Artikel 12 des Durchführungsbeschlusses (EU) 2015/296 geschaffene Kooperationsnetz im Einklang mit seiner Geschäftsordnung für die Beilegung des Streits zuständig.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.