Durchführungsverordnung (EU) 2024/2977 der Kommission vom 28. November 2024 zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf an europäische Brieftaschen für die digitale Identität ausgestellte Personenidentifizierungsdaten und elektronische Attributsbescheinigungen

Mit dieser Verordnung werden Vorschriften für die Ausstellung von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen für Einzelbrieftaschen festgelegt, die regelmäßig zu aktualisieren sind, damit sie mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt halten.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Brieftaschennutzer“ einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat; 2. „Einzelbrieftasche“ eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden; 3. „Brieftaschenlösung“ eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen; 4. „Anbieter von Personenidentifizierungsdaten“ eine natürliche oder juristische Person, die für die Ausstellung und den Widerruf der Personenidentifizierungsdaten verantwortlich ist und sicherstellt, dass die Personenidentifizierungsdaten eines Nutzers kryptografisch an eine Einzelbrieftasche gebunden sind; 5. „Einzelbrieftaschenbescheinigung“ ein Datenobjekt, das die Komponenten der Einzelbrieftasche beschreibt oder die Authentifizierung und Validierung dieser Komponenten ermöglicht; 6. „Brieftascheninstanz“ die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren; 7. „sichere Kryptoanwendung für Brieftaschen“ (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und den nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt; 8. „sicheres Kryptomodul für Brieftaschen“ (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen; 9. „Brieftaschenanbieter“ eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt; 10. „kritische Werte“ Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte; 11. „auf Brieftaschen vertrauender Beteiligter“ einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen; 12. „Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte“ ein Zertifikat für elektronische Siegel oder Signaturen, mit dem auf Brieftaschen vertrauende Beteiligte authentifiziert und validiert werden und das von einem Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte ausgestellt wird; 13. „Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte“ eine natürliche oder juristische Person, die von einem Mitgliedstaat beauftragt wurde, Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte auszustellen, die in diesem Mitgliedstaat registriert sind.

1 Die Anbieter von Personenidentifizierungsdaten stellen Personenidentifizierungsdaten an Einzelbrieftaschen im Einklang mit den elektronischen Identifizierungssystemen aus, in deren Rahmen Brieftaschenlösungen bereitgestellt werden.

2 Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die an Einzelbrieftaschen ausgestellten Personenidentifizierungsdaten die Informationen enthalten, die für die Authentifizierung und Validierung der Personenidentifizierungsdaten erforderlich sind.

3 Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die an Einzelbrieftaschen ausgestellten Personenidentifizierungsdaten den technischen Spezifikationen im Anhang entsprechen.

4 Die Mitgliedstaaten stellen sicher, dass die einem bestimmten Brieftaschennutzer ausgestellten Personenidentifizierungsdaten für den Mitgliedstaat eindeutig zuzuordnen sind.

5 Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die von ihnen ausgestellten Personenidentifizierungsdaten kryptografisch an die Einzelbrieftasche, an die sie ausgestellt werden, gebunden sind.

6 Die Mitgliedstaaten veröffentlichen eine Liste der Brieftaschenlösungen, die von Anbietern von Personenidentifizierungsdaten, die Teil der elektronischen Identifizierungssysteme des betreffenden Mitgliedstaats sind, unterstützt werden.

7 Die Mitgliedstaaten melden die Brieftaschennutzer gemäß den in der Durchführungsverordnung (EU) 2015/1502 der Kommission festgelegten Anforderungen an die Anmeldung auf dem Sicherheitsniveau „hoch“ an. Im Zusammenhang mit dem Anmeldeverfahren führen die Anbieter von Personenidentifizierungsdaten eine Identitätsüberprüfung des Brieftaschennutzers gemäß den Anforderungen an Identitätsnachweis und -überprüfung durch, bevor sie die Personenidentifizierungsdaten an die Einzelbrieftasche des betreffenden Brieftaschennutzers ausstellen.

8 Bei der Ausstellung von Personenidentifizierungsdaten an Einzelbrieftaschen identifizieren sich die Anbieter von Personenidentifizierungsdaten anhand ihres Zugriffszertifikats für auf Brieftaschen vertrauende Beteiligte oder eines anderen Authentifizierungsmechanismus gemäß einem auf dem Sicherheitsniveau „hoch“ notifizierten elektronischen Identifizierungssystem.

9 Vor der Ausstellung von Personenidentifizierungsdaten an eine Brieftasche authentifizieren und validieren die Anbieter von Personenidentifizierungsdaten die Einzelbrieftaschenbescheinigung und überprüfen, ob die Einzelbrieftasche zu einer Brieftaschenlösung gehört, die der Anbieter von Personenidentifizierungsdaten akzeptiert, oder sie verwenden dazu einen anderen Authentifizierungsmechanismus gemäß einem auf dem Sicherheitsniveau „hoch“ notifizierten elektronischen Identifizierungssystem.

1 Elektronische Attributsbescheinigungen, die an Einzelbrieftaschen ausgestellt werden, müssen zumindest einer der Normen entsprechen, die in der Liste in Anhang I der Durchführungsverordnung (EU) 2024/2979 aufgeführt ist.

2 Die Anbieter elektronischer Attributsbescheinigungen müssen sich anhand ihres Zugriffszertifikats für auf Brieftaschen vertrauende Beteiligte gegenüber der Einzelbrieftasche identifizieren.

3 Die Anbieter elektronischer Attributsbescheinigungen stellen sicher, dass die an Einzelbrieftaschen ausgestellten elektronischen Attributsbescheinigungen die Informationen enthalten, die für die Authentifizierung und Validierung dieser elektronischen Attributsbescheinigungen erforderlich sind.

1 Anbieter von Personenidentifizierungsdaten, die an eine Einzelbrieftasche ausgestellt wurden, verfügen über schriftliche und öffentlich zugängliche Konzepte für die Verwaltung des Gültigkeitsstatus, gegebenenfalls einschließlich der Bedingungen, unter denen solche Personenidentifizierungsdaten unverzüglich widerrufen werden können.

2 Nur Anbieter von Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen können die von ihnen ausgestellten Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen widerrufen.

3 Wenn Anbieter von Personenidentifizierungsdaten solche Personenidentifizierungsdaten widerrufen haben, informieren sie die Brieftaschennutzer, auf die sich diese Personenidentifizierungsdaten beziehen, innerhalb von 24 Stunden über spezielle sichere Kanäle über den Widerruf und die Gründe für den Widerruf. Dies muss auf präzise und leicht zugängliche Weise und in klarer und einfacher Sprache erfolgen.

4 Anbieter von Personenidentifizierungsdaten müssen Personenidentifizierungsdaten, die an Brieftascheneinheiten ausgestellt wurden, in jedem der folgenden Fälle widerrufen: a) auf ausdrückliches Ersuchen des Brieftaschennutzers, an dessen Einzelbrieftasche die Personenidentifizierungsdaten oder die elektronische Attributsbescheinigung ausgestellt wurden; b) wenn die Einzelbrieftaschenbescheinigung der Einzelbrieftasche, an die die Personenidentifizierungsdaten ausgestellt wurden, widerrufen wurde; c) in anderen Situationen, die von den Anbietern von Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen in ihren in Absatz 1 genannten Konzepten festgelegt werden.

5 Anbieter von Personenidentifizierungsdaten, die an eine Einzelbrieftasche ausgestellt wurden, stellen sicher, dass Widerrufe nicht rückgängig gemacht werden können.

6 Die widerrufenen Personenidentifizierungsdaten bleiben so lange zugänglich, wie dies nach Unionsrecht oder nationalem Recht erforderlich ist.

7 Wenn Anbieter von Personenidentifizierungsdaten Personenidentifizierungsdaten, die an Einzelbrieftaschen ausgestellt wurden, widerrufen, machen sie den Gültigkeitsstatus der von ihnen ausgestellten Personenidentifizierungsdaten unter Wahrung der Privatsphäre öffentlich zugänglich und geben in den Personenidentifizierungsdaten an, wo diese Informationen abrufbar sind.

8 Anbieter elektronischer Identifizierungsmittel ermöglichen technische Verfahren zum Schutz der Privatsphäre, die die Unverknüpfbarkeit gewährleisten, wenn für die elektronischen Attributsbescheinigungen keine Identifizierung des Nutzers erforderlich ist.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.