Durchführungsverordnung (EU) 2024/2981 der Kommission vom 28. November 2024 zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf die Zertifizierung der europäischen Brieftaschen für die digitale Identität

Mit dieser Verordnung werden Referenzstandards sowie Spezifikationen und Verfahren festgelegt, um einen soliden Rahmen für die Zertifizierung von Brieftaschen aufzubauen, der regelmäßig aktualisiert wird, damit er mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 für ein gemeinsames Instrumentarium der Union für ein koordiniertes Herangehen an einen Rahmen für die europäische digitale Identität durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt hält.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck: 1. „Brieftaschenlösung“ eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen; 2. „Systeminhaber“ eine Organisation, die für die Entwicklung und Pflege eines Zertifizierungssystems verantwortlich ist; 3. „Zertifizierungsgegenstand“ Produkte, Prozesse und Dienste oder eine Kombination davon, für die bestimmte Anforderungen gelten; 4. „sichere Kryptoanwendung für Brieftaschen“ (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt; 5. „Brieftascheninstanz“ die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren; 6. „sicheres Kryptomodul für Brieftaschen“ (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen; 7. „Risikoregister“ eine Aufzeichnung von Informationen über festgestellte Risiken, die für den Zertifizierungsprozess relevant sind; 8. „Brieftaschenanbieter“ eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt; 9. „Zertifizierungsstelle“ eine als Dritte auftretende Konformitätsbewertungsstelle, die Zertifizierungssysteme betreibt; 10. „Einzelbrieftasche“ eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden; 11. „kritische Werte“ Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte; 12. „Brieftaschennutzer“ einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat; 13. „Sicherheitsvorfall“ einen Sicherheitsvorfall im Sinne des Artikels 6 Nummer 6 der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates ; 14. „einbettete Offenlegungsregelung“ eine Reihe von Vorschriften, die ein Anbieter in seine elektronische Attributsbescheinigung einbettet und die angibt, welche Bedingungen ein auf Brieftaschen vertrauender Beteiligter erfüllen muss, um auf die elektronische Attributsbescheinigung zugreifen zu können.

1 Die Mitgliedstaaten benennen für jedes nationale Zertifizierungssystem einen Systeminhaber.

2 Gegenstand der in den nationalen Zertifizierungssystemen festgelegten Zertifizierung sind die Bereitstellung und der Betrieb von Brieftaschenlösungen und der elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden.

3 Gemäß der Durchführungsverordnung (EU) 2015/1502 umfasst der Zertifizierungsgegenstand nationaler Zertifizierungssysteme folgende Elemente: a) Softwarekomponenten, einschließlich Einstellungen und Konfigurationen von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden; b) Hardwarekomponenten und -plattformen, auf denen die unter Nr. b) genannten Softwarekomponenten laufen oder auf die diese für kritische Vorgänge angewiesen sind, sofern sie direkt oder indirekt von der Brieftaschenlösung und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, zur Verfügung gestellt werden und sofern sie zur Einhaltung des gewünschten Sicherheitsniveaus für diese Softwarekomponenten erforderlich sind. Werden die Hardwarekomponenten und -plattformen nicht vom Brieftaschenanbieter zur Verfügung gestellt, so müssen die nationalen Zertifizierungssysteme Annahmen für die Evaluierung der Hardwarekomponenten und -plattformen formulieren, nach denen Angreifern mit hohem Angriffspotenzial im Einklang mit der Durchführungsverordnung (EU) 2015/1502 widerstanden werden kann, und die Evaluierungstätigkeiten zur Bestätigung dieser Annahmen gemäß Anhang IV angeben; c) Prozesse, die die Bereitstellung und den Betrieb einer Brieftaschenlösung unterstützen, einschließlich des in Artikel 5a der Verordnung (EU) Nr. 910/2014 genannten Verfahrens für die Nutzereinbindung, die mindestens die Anmeldung, die Verwaltung elektronischer Identifizierungsmittel und die Organisation gemäß Anhang I Abschnitte 2.1, 2.2 und 2.4 der Durchführungsverordnung (EU) 2015/1502 umfassen.

4 Die nationalen Zertifizierungssysteme enthalten eine Beschreibung der spezifischen Architektur der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden. Umfassen nationale Zertifizierungssysteme mehr als eine spezifische Architektur, müssen sie ein Profil für jede spezifische Architektur enthalten.

5 Für jedes Profil müssen die nationalen Zertifizierungssysteme mindestens Folgendes festlegen: a) die spezifische Architektur einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen die Lösung bereitgestellt wird; b) die Sicherheitskontrollen im Zusammenhang mit den Sicherheitsniveaus gemäß Artikel 8 der Verordnung (EU) Nr. 910/2014; c) einen Evaluierungsplan, der gemäß der Norm EN ISO/IEC 17065:2012 Abschnitt 7.4.1 erstellt wurde; d) die erforderlichen Sicherheitsanforderungen, um die im Risikoregister gemäß Anhang I der vorliegenden Verordnung verzeichneten Cybersicherheitsrisiken und -bedrohungen bis zum erforderlichen Sicherheitsniveau zu bewältigen und gegebenenfalls die in Artikel 51 der Verordnung (EU) 2019/881 festgelegten Ziele einzuhalten; e) Zuordnungen zu den Kontrollen gemäß Buchstabe b dieses Absatzes in Bezug auf die Komponenten der Architektur; f) eine Beschreibung, wie die Sicherheitskontrollen, die Zuordnungen, die Sicherheitsanforderungen und der Evaluierungsplan gemäß den Buchstaben b bis c es den Anbietern von Brieftaschenlösungen und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, ermöglichen, die Cybersicherheitsrisiken und -bedrohungen, die in dem unter Buchstabe d genannten Risikoregister verzeichnet sind, bis zum erforderlichen Sicherheitsniveau auf der Grundlage einer Risikobewertung, anhand der im Risikoregister verzeichneten Risiken und Bedrohungen, die durch architekturspezifische Risiken und Bedrohungen präzisiert und ergänzt werden, angemessen zu behandeln.

6 In dem in Absatz 5 Buchstabe c genannten Evaluierungsplan werden Evaluierungstätigkeiten aufgeführt, die bei der Evaluierung der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, zu berücksichtigen sind.

7 Im Rahmen der in Absatz 6 genannten Evaluierungstätigkeit müssen Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, Informationen gemäß den Anforderungen in Anhang II bereitstellen.

1 Die nationalen Zertifizierungssysteme müssen funktionale Cybersicherheits- und Datenschutzanforderungen abdecken, indem — soweit verfügbar und anwendbar — die folgenden Zertifizierungssysteme verwendet werden: a) europäische Systeme (Schemata) für die Cybersicherheitszertifizierung gemäß der Verordnung (EU) 2019/881, einschließlich des EUCC-Systems; b) nationale Systeme für die Cybersicherheitszertifizierung, die gemäß Artikel 49 der Durchführungsverordnung (EU) 2024/482 unter das EUCC-System fallen.

2 Soweit verfügbar und anwendbar, können sich nationale Zertifizierungssysteme zusätzlich auf Folgendes stützen: a) andere einschlägige nationale Zertifizierungssysteme, b) internationale, europäische und nationale Normen, c) technische Spezifikationen, die die Anforderungen des Anhangs II der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates erfüllen.

3 Die nationalen Zertifizierungssysteme a) führen die in Abschnitt 6.5 der Norm EN ISO/IEC 17067:2013 aufgeführten Elemente auf; b) werden gemäß EN ISO/IEC 17067:2013 Abschnitt 5.3.8 als System des Typs 6 umgesetzt.

4 Die nationalen Zertifizierungssysteme müssen den folgenden Anforderungen genügen: a) Nur den Anbietern gemäß Artikel 5a Absatz 2 der Verordnung (EU) Nr. 910/2014 dürfen Zertifikate im Rahmen der nationalen Zertifizierungssysteme ausgestellt werden; b) nur das Vertrauenssiegel wird als Konformitätssiegel verwendet; c) Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, verweisen auf die Verordnung (EU) Nr. 910/2014 und die vorliegende Verordnung, wenn sie auf das System Bezug nehmen; d) Anbieter von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, ergänzen die Risikobewertung des Systems gemäß Artikel 3 Absatz 5 Buchstabe f, um spezifische Risiken und Bedrohungen für ihre Umsetzung zu ermitteln und geeignete Behandlungsmaßnahmen für alle relevanten Risiken und Bedrohungen vorzuschlagen; e) die Zuständigkeiten und rechtlichen Schritte werden festgelegt und enthalten Verweise auf die geltenden nationalen Rechtsvorschriften, in denen die Zuständigkeiten und möglichen rechtlichen Schritte für den Fall festgelegt sind, dass die Zertifizierung im Rahmen des Systems in betrügerischer Absicht verwendet wird.

5 Die Bewertung gemäß Absatz 4 Buchstabe d wird der Zertifizierungsstelle zur Evaluierung übermittelt.

1 Nationale Zertifizierungssysteme enthalten Anforderungen an das Sicherheitsvorfall- und Schwachstellenmanagement gemäß den Absätzen 2 bis 9.

2 Der Inhaber eines Konformitätszertifikats einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, meldet seiner Zertifizierungsstelle unverzüglich jeden Verstoß oder jede Beeinträchtigung in Bezug auf eine Brieftaschenlösung oder das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird, die sich auf deren/dessen Konformität mit den Anforderungen der nationalen Zertifizierungssysteme auswirken könnten.

3 Der Inhaber eines Konformitätszertifikats muss ein Konzept und Verfahren für das Schwachstellenmanagement festlegen, aufrechterhalten und anwenden und dabei die Verfahren berücksichtigen, die in bestehenden europäischen und internationalen Normen, einschließlich der Norm EN ISO/IEC 30111:2019, festgelegt sind.

4 Der Inhaber des Konformitätszertifikats meldet der ausstellenden Zertifizierungsstelle die Schwachstellen und Änderungen, die sich auf die Brieftaschenlösung auswirken, auf der Grundlage der für die Auswirkungen dieser Schwachstellen und Veränderungen festgelegten Kriterien.

5 Der Inhaber des Konformitätszertifikats erstellt einen Bericht über die Analyse der Auswirkungen von Schwachstellen, die sich auf die Softwarekomponenten der Brieftaschenlösung auswirken. Der Bericht umfasst folgende Informationen: a) die Auswirkungen der Schwachstelle auf die zertifizierte Brieftaschenlösung; b) mögliche Risiken im Zusammenhang mit der Nähe oder Wahrscheinlichkeit einer Angriffsmöglichkeit; c) ob die Schwachstelle mit den verfügbaren Mitteln behoben werden kann; d) falls die Schwachstelle mit den verfügbaren Mitteln behoben werden kann, Möglichkeiten zur Behebung der Schwachstelle.

6 Ist eine Meldung nach Absatz 4 erforderlich, übermittelt der Inhaber des Konformitätszertifikats der Zertifizierungsstelle unverzüglich den Bericht über die Analyse der Auswirkungen der Schwachstelle gemäß Absatz 5.

7 Der Inhaber eines Konformitätszertifikats muss ein Konzept für das Schwachstellenmanagement festlegen, aufrechterhalten und anwenden, das die Anforderungen des Anhangs I der Cyberresilienz-Verordnung erfüllt.

8 In den nationalen Zertifizierungssystemen werden Anforderungen an die Offenlegung von Schwachstellen festgelegt, die für Zertifizierungsstellen gelten.

9 Der Inhaber eines Konformitätszertifikats legt alle öffentlich bekannten und behobenen Schwachstellen in der Brieftaschenlösung offen oder trägt sie in eines der in Anhang V genannten Online-Register ein.

1 Die nationalen Zertifizierungssysteme müssen einen Prozess zur regelmäßigen Überprüfung ihrer Funktionsweise vorsehen. Ziel dieses Prozesses ist es, ihre Angemessenheit zu bestätigen und unter Berücksichtigung der Rückmeldungen der Interessenträger verbesserungsbedürftige Aspekte zu ermitteln.

2 Die nationalen Zertifizierungssysteme müssen Bestimmungen über ihre Pflege enthalten. Dieser Prozess umfasst zumindest folgende Anforderungen: a) Vorschriften für die Leitung der Festlegung und der Anforderungen der nationalen Zertifizierungssysteme; b) Festlegung von Fristen für die Ausstellung von Zertifikaten nach der Annahme aktualisierter Versionen der nationalen Zertifizierungssysteme, sowohl für neue als auch für zuvor ausgestellte Konformitätszertifikate; c) eine regelmäßige Überprüfung der nationalen Zertifizierungssysteme, damit die entsprechenden Anforderungen einheitlich angewandt werden, wobei mindestens folgende Aspekte zu berücksichtigen sind: an den Systeminhaber gerichtete Klarstellungsersuchen in Bezug auf die Anforderungen des nationalen Zertifizierungssystems; Rückmeldungen von Beteiligten und anderen interessierten Kreisen; Reaktionsfähigkeit des Inhabers des nationalen Zertifizierungssystems auf Anfragen; d) Vorschriften für die Überwachung von Referenzdokumenten und Verfahren für die Weiterentwicklung der Referenzversionen der nationalen Zertifizierungssysteme, zumindest mit Übergangszeiträumen; e) ein Prozess, mit dem sichergestellt wird, dass die jeweils jüngsten Cybersicherheitsrisiken und -bedrohungen, die im Risikoregister gemäß Anhang I dieser Verordnung verzeichnet sind, abgedeckt werden; f) ein Prozess zur Verwaltung anderer Änderungen der nationalen Zertifizierungssysteme.

3 Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Durchführung von Evaluierungen derzeit zertifizierter Produkte innerhalb eines bestimmten Zeitraums nach der Überarbeitung des Systems oder nach der Veröffentlichung neuer Spezifikationen oder Normen oder neuer Fassungen davon, denen die Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, entsprechen müssen.

1 Die Systeminhaber entwickeln und pflegen nationale Zertifizierungssysteme und regeln ihren Betrieb.

2 Die Systeminhaber können ihre Aufgaben ganz oder teilweise an Dritte übertragen. Bei der Vergabe von Unteraufträgen an einen privaten Auftragnehmer legen die Systeminhaber die Pflichten und Verantwortlichkeiten aller Beteiligten vertraglich fest. Die Systeminhaber bleiben für alle an Unterauftragnehmer übertragenen Tätigkeiten verantwortlich.

3 Die Systeminhaber nehmen ihre Überwachungstätigkeiten gegebenenfalls zumindest auf der Grundlage der folgenden Informationen wahr: a) Informationen von Zertifizierungsstellen, nationalen Akkreditierungsstellen und zuständigen Marktüberwachungsbehörden; b) Informationen aus eigenen Prüfungen und Untersuchungen und denen anderer Behörden; c) Beschwerden und Einsprüche gemäß Artikel 15.

4 Die Systeminhaber unterrichten die Kooperationsgruppe über Änderungen der nationalen Zertifizierungssysteme. Diese Meldungen enthalten angemessene Informationen, damit die Kooperationsgruppe Empfehlungen an die Systeminhaber und Stellungnahmen zu den aktualisierten nationalen Zertifizierungssystemen abgeben kann.

1 Die nationalen Zertifizierungssysteme enthalten Cybersicherheitsanforderungen auf der Grundlage einer Risikobewertung jeder spezifischen unterstützten Architektur. Diese Cybersicherheitsanforderungen zielen darauf ab, die ermittelten Cybersicherheitsrisiken und -bedrohungen, die in dem in Anhang I genannten Risikoregister verzeichnet sind, zu behandeln.

2 Im Einklang mit Artikel 5a Absatz 23 der Verordnung (EU) Nr. 910/2014 müssen die nationalen Zertifizierungssysteme dafür sorgen, dass Brieftaschenlösungen und die elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, auf dem Sicherheitsniveau „hoch“ widerstandsfähig gegen Angreifer mit hohem Angriffspotenzial gemäß der Durchführungsverordnung (EU) 2015/1502 sind.

3 In den nationalen Zertifizierungssystemen müssen Sicherheitskriterien festgelegt werden, die folgende Anforderungen umfassen: a) soweit zutreffend die Anforderungen der Cyberresilienz-Verordnung oder andere Anforderungen, die der Erreichung der in Artikel 51 der Verordnung (EU) 2019/881 festgelegten Sicherheitsziele dienen; b) Festlegung und Umsetzung von Konzepten und Verfahren für das Risikomanagement im Zusammenhang mit dem Betrieb einer Brieftaschenlösung, einschließlich der Ermittlung und Bewertung von Risiken und der Minderung der ermittelten Risiken; c) Festlegung und Umsetzung von Konzepten und Verfahren für das Änderungsmanagement und das Schwachstellenmanagement gemäß Artikel 5 der vorliegenden Verordnung; d) Festlegung und Umsetzung von Konzepten und Verfahren für das Personalmanagement, einschließlich Anforderungen an Fachwissen, Zuverlässigkeit, Erfahrung, Sicherheitsschulung und Qualifikationen des an der Entwicklung oder dem Betrieb der Brieftaschenlösung beteiligten Personals; e) Anforderungen an die Betriebsumgebung der Brieftaschenlösung, auch in Form von Annahmen über die Sicherheit der Geräte/Module und Plattformen, auf denen die Softwarekomponenten der Brieftaschenlösung betrieben werden, einschließlich WSCDs, und gegebenenfalls Konformitätsbewertungsanforderungen, um zu bestätigen, dass diese Annahmen in Bezug auf die betreffenden Geräte und Plattformen überprüft werden; f) für jede Annahme, die auf kein Konformitätszertifikat oder andere annehmbare Sicherheitsangaben gestützt wird, eine Beschreibung des Mechanismus, mit dem der Brieftaschenanbieter das Zutreffen der Annahme nachweisen kann, sowie eine Begründung, dass der Mechanismus ausreicht, um sicherzustellen, dass das Zutreffen der Annahme überprüft wird; g) Festlegung und Durchführung von Maßnahmen zur Gewährleistung der Verwendung einer derzeit zertifizierten Version der Brieftaschenlösung.

4 Die nationalen Zertifizierungssysteme enthalten für die in Anhang III aufgeführten Vorgänge funktionale Anforderungen in Bezug auf Aktualisierungsmechanismen für jede Softwarekomponente der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden.

5 Die nationalen Zertifizierungssysteme verlangen, dass der Antragsteller der Zertifizierungsstelle folgende Informationen und Unterlagen übermittelt oder auf andere Weise zur Verfügung stellt: a) Nachweise für die in Anhang IV Nummer 1 genannten Informationen, gegebenenfalls mit Einzelheiten über die Brieftaschenlösung und ihren Quellcode, einschließlich Informationen über die Architektur: für jede Komponente der Brieftaschenlösung (einschließlich Produkt-, Prozess- und Dienstkomponenten) eine Beschreibung ihrer wesentlichen Sicherheitseigenschaften und ihrer externen Abhängigkeiten; Kontrollen und Sicherheitsniveaus: für jede Sicherheitskontrolle der Brieftaschenlösung eine Beschreibung der Kontrolle und des erforderlichen Sicherheitsniveaus auf der Grundlage des Anhangs der Durchführungsverordnung (EU) 2015/1502, in dem eine Reihe technischer Spezifikationen und Verfahren festgelegt sind, die für die verschiedenen mit den elektronischen Identifizierungsmitteln durchgeführten Kontrollen gelten; Zuordnung der Kontrollen zu Architekturkomponenten: eine Beschreibung, wie die Kontrollen der Brieftaschenlösung unter Verwendung der verschiedenen Komponenten der Brieftaschenlösung durchgeführt werden, basierend auf einer Erklärung für die Notwendigkeit eines bestimmten Sicherheitsniveaus, und wie die Kontrollen mit allen erforderlichen Sicherheitsaspekten auf dem angemessenen Niveau durchgeführt werden; Erklärung und Begründung der Risikoabdeckung: eine Begründung für die Zuordnung der Kontrollen zu Komponenten, die Eignung des vorgeschlagenen Evaluierungsplans, um alle Kontrollen angemessen abzudecken, die Abdeckung der im Risikoregister verzeichneten Cybersicherheitsrisiken und -bedrohungen durch die Kontrollen, ergänzt durch Kontrollen von für die Umsetzung spezifischen Risiken und Bedrohungen, auf dem angemessenen Sicherheitsniveau; b) die in Anhang V aufgeführten Informationen; c) eine vollständige Liste der Konformitätszertifikate und sonstigen Sicherheitsangaben, die bei den Evaluierungstätigkeiten als Nachweis verwendet wurden; d) sonstige Informationen, die für die Evaluierungstätigkeiten relevant sind.

1 Die Zertifizierungsstellen werden von nationalen Akkreditierungsstellen, die gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates benannt wurden, gemäß der Norm EN ISO/IEC 17065:2012 akkreditiert, sofern sie die Anforderungen der nationalen Zertifizierungssysteme gemäß Absatz 2 erfüllen.

2 Für die Zwecke der Akkreditierung müssen die Zertifizierungsstellen alle folgenden Kompetenzanforderungen erfüllen: a) detaillierte und technische Kenntnisse der einschlägigen Architekturen einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, sowie der Bedrohungen und Risiken, die für diese Architekturen relevant sind; b) Kenntnis der verfügbaren Sicherheitslösungen und ihrer Eigenschaften gemäß dem Anhang der Durchführungsverordnung (EU) 2015/1502; c) Kenntnis der Tätigkeiten, die aufgrund von Konformitätszertifikaten in Bezug auf Komponenten der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, als Zertifizierungsgegenstand durchgeführt werden; d) detaillierte Kenntnis des anwendbaren nationalen Zertifizierungssystems gemäß Kapitel II.

3 Die Zertifizierungsstellen führen ihre Überwachungstätigkeiten insbesondere auf der Grundlage der folgenden Informationen durch: a) Informationen von nationalen Akkreditierungsstellen und zuständigen Marktüberwachungsbehörden; b) Informationen aus ihren eigenen Prüfungen und Untersuchungen und denen anderer Behörden; c) Beschwerden und Einsprüche gemäß Artikel 15.

Die Zertifizierungsstellen können gemäß Artikel 13 Dritte mit den Evaluierungstätigkeiten beauftragen. Werden Unterauftragnehmer mit den Evaluierungstätigkeiten beauftragt, so müssen die nationalen Zertifizierungssysteme Folgendes festlegen: 1. Alle Unterauftragnehmer der Zertifizierungsstelle, die Evaluierungstätigkeiten durchführen, müssen, soweit zutreffend und für die durchzuführenden Tätigkeiten angemessen, die Anforderungen harmonisierter Normen wie EN ISO/IEC 17025:2017 für Prüfungen, EN ISO/IEC 17020:2012 für Inspektionen, EN ISO/IEC 17021-1:2015 für Audits und EN ISO/IEC 17029:2019 für die Validierung und Verifizierung erfüllen; 2. die Zertifizierungsstellen übernehmen die Verantwortung für alle Evaluierungstätigkeiten, die an andere Stellen ausgelagert werden, und weisen nach, dass sie während ihrer Akkreditierung geeignete Maßnahmen ergriffen haben, gegebenenfalls auch durch Rückgriff auf eine eigene Akkreditierung ihrer Unterauftragnehmer; 3. das Ausmaß, in dem vorab bei den Systeminhabern oder dem Kunden, dessen Brieftaschenlösung im Rahmen des Zertifizierungssystems zertifiziert wird, die Zustimmung einer erforderlichen Auslagerung eingeholt werden muss.

Die Zertifizierungsstellen melden der in Artikel 46a Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Aufsichtsstelle die Ausstellung, Aussetzung und Aufhebung von Konformitätszertifikaten der Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden.

1 Die Zertifizierungsstellen setzen die Konformitätszertifikate für die Brieftaschenlösungen und das elektronische Identifizierungssystem, in dessen Rahmen diese bereitgestellt werden, unverzüglich aus, nachdem sie bestätigt haben, dass sich die gemeldete Sicherheitsverletzung oder -beeinträchtigung auf die Konformität mit den Anforderungen der nationalen Zertifizierungssysteme, der Brieftaschenlösung oder des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, auswirkt.

2 Die Zertifizierungsstellen heben das Konformitätszertifikat, das infolge einer nicht rechtzeitig behobenen Sicherheitsverletzung oder -beeinträchtigung ausgesetzt wurde, auf.

3 Die Zertifizierungsstellen heben Konformitätszertifikate gemäß Artikel 5c Absatz 4 und Artikel 5e Absatz 2 der Verordnung (EU) Nr. 910/2014 auf, wenn eine festgestellte Schwachstelle nicht in angemessenem Verhältnis zu ihrer Schwere und ihren potenziellen Auswirkungen behoben wurde.

1 Nationale Zertifizierungssysteme müssen Methoden und Verfahren enthalten, die von den Konformitätsbewertungsstellen bei der Durchführung ihrer Evaluierungstätigkeiten gemäß der Norm EN ISO/IEC 17065:2012 anzuwenden sind und mindestens folgende Aspekte abdecken: a) die Methoden und Verfahren für die Durchführung von Evaluierungstätigkeiten, einschließlich solcher im Zusammenhang mit dem WSCD, gemäß Anhang IV; b) die Prüfung der Umsetzung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, auf der Grundlage des Risikoregisters gemäß Anhang I und erforderlichenfalls ergänzt durch die Betrachtung umsetzungsspezifischer Risiken; c) Funktionstests, die, soweit verfügbar und angemessen, auf Testreihen beruhen, die gemäß technischen Spezifikationen oder Normen definiert sind; d) Bewertung des Vorhandenseins und der Eignung von Pflegeprozessen, zumindest mit Versions-, Aktualisierungs- und Schwachstellenmanagement; e) Bewertung der operativen Wirksamkeit von Pflegeprozessen, zumindest mit Versions-, Aktualisierungs- und Schwachstellenmanagement; f) vom Brieftaschenanbieter vorgelegte Abhängigkeitsanalyse, einschließlich einer Methodik zur Bewertung der Zulässigkeit der Sicherheitsangaben, die die in Anhang VI aufgeführten Elemente umfasst; g) Schwachstellenbeurteilung auf dem angemessenen Niveau, einschließlich Überprüfung der Konzeption der Brieftaschenlösung und gegebenenfalls ihres Quellcodes, Prüfung der Widerstandsfähigkeit der Brieftaschenlösung gegenüber Angreifern mit hohem Angriffspotenzial für das Sicherheitsniveau „hoch“ gemäß Abschnitt 2.2.1 des Anhangs der Durchführungsverordnung (EU) 2015/1502; h) Bewertung der Entwicklung des Bedrohungsumfelds und der Auswirkungen auf die Abdeckung der Risiken durch die Brieftaschenlösung, um festzustellen, welche Evaluierungstätigkeiten für die verschiedenen Komponenten der Brieftaschenlösung erforderlich sind.

2 Die nationalen Zertifizierungssysteme umfassen eine Evaluierung zur Feststellung, ob die Umsetzung von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, der Architektur gemäß Artikel 3 Absatz 5 Buchstabe a entspricht, sowie eine Evaluierung zur Feststellung, ob der zusammen mit der Umsetzung vorgeschlagene Evaluierungsplan dem in Artikel 3 Absatz 5 Buchstabe c genannten Evaluierungsplan entspricht.

3 Die nationalen Zertifizierungssysteme enthalten Probenahmevorschriften, um die Wiederholung identischer Evaluierungstätigkeiten zu vermeiden und sich auf Tätigkeiten zu konzentrieren, die für eine bestimmte Variante spezifisch sind. Diese Probenahmevorschriften ermöglichen die Durchführung von Funktions- und Sicherheitsprüfungen an nur einer Stichprobe von Varianten einer Zielkomponente einer Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, sowie an einer Stichprobe von Zielmodulen. Die nationalen Zertifizierungssysteme verlangen von allen Zertifizierungsstellen, dass sie ihre Stichprobenverwendung begründen.

4 Die nationalen Zertifizierungssysteme verlangen von der Zertifizierungsstelle, dass sie die WSCA auf der Grundlage der in Anhang IV aufgeführten Methoden und Verfahren evaluiert.

1 Die nationalen Zertifizierungssysteme legen eine Bescheinigungstätigkeit für die Ausstellung eines Konformitätszertifikats gemäß Abschnitt V Buchstabe a Tabelle 1 der Norm EN ISO/IEC 17067:2013 fest, die folgende Aspekte umfasst: a) den Inhalt des Konformitätszertifikats gemäß Anhang VII; b) wie die Ergebnisse der Evaluierung im öffentlichen Zertifizierungsbericht anzugeben sind, zumindest mit einer Zusammenfassung des vorläufigen Prüfungs- und Validierungsplans gemäß Anhang VIII; c) den Inhalt der im Zertifizierungsbericht angegebenen Evaluierungsergebnisse, einschließlich der in Anhang VIII aufgeführten Elemente.

2 Der Bericht über die Bewertung der Zertifizierung kann der Kooperationsgruppe und der Kommission zur Verfügung gestellt werden.

Die nationalen Zertifizierungssysteme enthalten Verfahren oder Verweise auf die geltenden nationalen Rechtsvorschriften, in denen der Mechanismus für die wirksame Einreichung und Bearbeitung von Beschwerden und Einsprüchen im Zusammenhang mit der Umsetzung des Zertifizierungssystems oder einem ausgestellten Konformitätszertifikat festgelegt ist. Diese Verfahren umfassen Information des Beschwerdeführers über den Stand des Verfahrens und die getroffene Entscheidung sowie die Belehrung des Beschwerdeführers über die Möglichkeit eines wirksamen gerichtlichen Rechtsbehelfs. Die nationalen Zertifizierungssysteme sehen vor, dass alle Beschwerden und Einsprüche, die von der Zertifizierungsstelle nicht beigelegt werden oder nicht beigelegt werden können, dem Systeminhaber zur Bewertung und Beilegung übermittelt werden.

1 Die nationalen Zertifizierungssysteme verpflichten die Zertifizierungsstellen zur Durchführung von Überwachungstätigkeiten, die in der Überwachungsevaluierung von Prozessen in Verbindung mit stichprobenartigen Tests oder Kontrollen bestehen.

2 Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Systeminhaber in Bezug auf die Überwachung der Einhaltung der Verpflichtungen gemäß der Verordnung (EU) Nr. 910/2014 und gegebenenfalls gemäß den nationalen Zertifizierungssystemen durch die Zertifizierungsstellen.

3 Die nationalen Zertifizierungssysteme enthalten Anforderungen an die Zertifizierungsstellen, Folgendes zu überwachen: a) dass die Inhaber von Konformitätszertifikaten, die im Rahmen nationaler Zertifizierungssysteme ausgestellt wurden, ihren Verpflichtungen in Bezug auf die Zertifizierung gemäß der Verordnung (EU) Nr. 910/2014 und den nationalen Zertifizierungssystemen nachkommen, b) dass die zertifizierte Brieftaschenlösung die Anforderungen der nationalen Zertifizierungssysteme erfüllt.

In den nationalen Zertifizierungssystemen werden die Folgen von Verstößen einer zertifizierten Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, gegen die Anforderungen dieser Verordnung festgelegt. Diese Folgen umfassen die folgenden Aspekte: 1. die Verpflichtung der Zertifizierungsstelle, den Inhaber des Konformitätszertifikats über Verstöße zu unterrichten und ihn zur Ergreifung von Abhilfemaßnahmen aufzufordern; 2. die Verpflichtung der Zertifizierungsstelle, andere einschlägige Marktüberwachungsbehörden zu unterrichten, wenn der Verstoß einschlägige Rechtsvorschriften der Union betrifft; 3. die Bedingungen für die Durchführung von Abhilfemaßnahmen durch den Inhaber des Konformitätszertifikats; 4. die Bedingungen für die Aussetzung eines Konformitätszertifikats durch die Zertifizierungsstelle und für die Wiederherstellung des Konformitätszertifikats nach Behebung des Verstoßes; 5. die Bedingungen für die Aufhebung eines Konformitätszertifikats durch die Zertifizierungsstelle; 6. die Folgen eines Verstoßes gegen die Anforderungen des nationalen Zertifizierungssystems durch die Zertifizierungsstelle.

1 Die Gültigkeit von Konformitätszertifikaten, die im Rahmen nationaler Zertifizierungssysteme ausgestellt wurden, unterliegt regelmäßigen Evaluierungen durch die Zertifizierungsstelle, die gemäß den Anforderungen in Anhang IX durchgeführt werden.

2 Die nationalen Zertifizierungssysteme enthalten einen Prozess für die Neuzertifizierung von Brieftaschenlösungen und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt werden, vor Ablauf des ursprünglichen Konformitätszertifikats auf Antrag des Inhabers des Konformitätszertifikats. Dieser Prozess für die Neuzertifizierung beinhaltet eine umfassende Evaluierung der Brieftaschenlösung und des elektronischen Identifizierungssystems, in dessen Rahmen diese bereitgestellt wird, einschließlich einer Schwachstellenbeurteilung, gemäß den in Anhang IX festgelegten Grundsätzen.

3 Die nationalen Zertifizierungssysteme enthalten einen Prozess für die Verwaltung von Änderungen in der Brieftaschenlösung und dem elektronischen Identifizierungssystem, in dessen Rahmen diese bereitgestellt wird. Dieser Prozess umfasst Vorschriften für die Feststellung, ob eine Änderung durch eine Sonderevaluierung gemäß Absatz 4 oder durch die Überprüfung der operativen Wirksamkeit von Pflegeprozessen gemäß Anhang IV abzudecken ist.

4 Die nationalen Zertifizierungssysteme müssen einen Prozess für Sonderevaluierungen gemäß der Norm EN ISO/IEC 17065:2012 enthalten. Dieser Prozess für Sonderevaluierungen umfasst eine Auswahl von Tätigkeiten, die durchzuführen sind, um das spezifische Problem anzugehen, das die Sonderevaluierung ausgelöst hat.

5 Die nationalen Zertifizierungssysteme enthalten Vorschriften für die Aufhebung eines Konformitätszertifikats.

1 Die nationalen Zertifizierungssysteme enthalten Anforderungen an Zertifizierungsstellen in Bezug auf ein Aufzeichnungssystem für alle relevanten Informationen, die im Zusammenhang mit den von ihnen durchgeführten Konformitätsbewertungstätigkeiten gewonnen werden, einschließlich der Daten, die von Anbietern von Brieftaschenlösungen und der elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, herausgegeben und empfangen werden. Die Aufzeichnungen dieser Informationen werden auf sichere Weise gespeichert. Die Aufzeichnungen können elektronisch aufbewahrt werden und bleiben so lange zugänglich, wie dies nach Unionsrecht oder nationalem Recht vorgeschrieben ist, mindestens aber fünf Jahre lang nach Aufhebung oder Ablauf des betreffenden Konformitätszertifikats.

2 Die nationalen Zertifizierungssysteme enthalten Anforderungen an den Inhaber des Konformitätszertifikats, nach denen er die folgenden Informationen für die Zwecke dieser Verordnung und für einen Zeitraum von mindestens fünf Jahren nach der Aufhebung oder dem Ablauf des betreffenden Konformitätszertifikats sicher speichern muss: a) Aufzeichnungen der Informationen, die der Zertifizierungsstelle oder ihren Unterauftragnehmern während des Zertifizierungsprozesses übermittelt wurden; b) Muster von Hardware-Komponenten, die in den Anwendungsbereich der Zertifizierung der Brieftaschenlösung einbezogen wurden.

3 Die nationalen Zertifizierungssysteme verpflichten den Inhaber des Konformitätszertifikats, die in Absatz 1 genannten Informationen auf Anfrage der Zertifizierungsstelle oder der Aufsichtsstelle gemäß Artikel 46a Absatz 1 der Verordnung (EU) Nr. 910/2014 zur Verfügung zu stellen.

Im Rahmen nationaler Zertifizierungssysteme müssen alle Personen oder Organisationen, denen bei der Durchführung von Tätigkeiten im Rahmen des nationalen Zertifizierungssystems Zugang zu Informationen gewährt wird, die Sicherheit und den Schutz von Geschäftsgeheimnissen und anderen vertraulichen Informationen sowie die Wahrung der Rechte des geistigen Eigentums gewährleisten und hierzu die erforderlichen und geeigneten technischen und organisatorischen Maßnahmen ergreifen, um diese Vertraulichkeit zu sicherzustellen.

Diese Verordnung wird bei der Annahme des ersten europäischen Systems für die Cybersicherheitszertifizierung für Brieftaschenlösungen und die elektronischen Identifizierungssysteme, in deren Rahmen diese bereitgestellt werden, überprüft, um dem Beitrag eines solchen europäischen Systems für die Cybersicherheitszertifizierung zur Gesamtzertifizierung von Brieftaschenlösungen und zu den elektronischen Identifizierungssystemen, in deren Rahmen sie bereitgestellt werden, Rechnung zu tragen.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.