Durchführungsverordnung (EU) 2025/847 der Kommission vom 6. Mai 2025 zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf die Reaktion auf Sicherheitsverletzungen europäischer Brieftaschen für die digitale Identität

Diese Verordnung enthält Vorschriften für die Reaktion auf Sicherheitsverletzungen der Brieftaschen, der Validierungsmechanismen gemäß Artikel 5a Absatz 8 der Verordnung (EU) Nr. 910/2014 und des elektronischen Identifizierungssystems, in dessen Rahmen die Brieftaschen bereitgestellt werden.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Brieftaschenlösung“ eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen; 2. „Brieftaschennutzer“ einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat; 3. „auf Brieftaschen vertrauender Beteiligter“ einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen; 4. „Brieftascheninstanz“ die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren; 5. „sichere Kryptoanwendung für Brieftaschen“ (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt; 6. „sicheres Kryptomodul für Brieftaschen“ (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen; 7. „Brieftaschenanbieter“ eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt; 8. „Einzelbrieftasche“ eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden; 9. „kritische Werte“ Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte; 10. „Einzelbrieftaschenbescheinigung“ ein Datenobjekt, das die Komponenten der Einzelbrieftasche beschreibt oder die Authentifizierung und Validierung dieser Komponenten ermöglicht.

1 Unbeschadet der Richtlinie (EU) 2022/2555 und der Verordnungen (EU) 2019/881 und (EU) 2024/2847 berücksichtigen die Mitgliedstaaten bei der Prüfung, ob sich eine Sicherheitsverletzung oder -beeinträchtigung einer Brieftaschenlösung, der Validierungsmechanismen gemäß Artikel 5a Absatz 8 der Verordnung (EU) Nr. 910/2014 oder des elektronischen Identifizierungssystems, in dessen Rahmen die Brieftaschenlösung bereitgestellt wird, auf deren Zuverlässigkeit oder die Zuverlässigkeit anderer Brieftaschenlösungen auswirkt, gebührend die in Anhang I der vorliegenden Verordnung festgelegten Kriterien.

2 Stellt ein Mitgliedstaat auf der Grundlage der in Absatz 1 genannten Prüfung fest, dass sich eine Sicherheitsverletzung oder -beeinträchtigung auf die Zuverlässigkeit einer Brieftaschenlösung auswirkt, und setzt er die Bereitstellung und Nutzung dieser Brieftaschenlösung aus, so ergreift er die in den Artikeln 4 und 5 genannten Maßnahmen. Wenn ein Mitgliedstaat die Brieftaschenlösung zurückzieht, ergreift er die in den Artikeln 8 und 9 genannten Maßnahmen.

3 Erlangt ein Mitgliedstaat Kenntnis von Informationen über eine mögliche Sicherheitsverletzung oder -beeinträchtigung, die sich auf die Zuverlässigkeit einer oder mehrerer von einem anderen Mitgliedstaat bereitgestellter Brieftaschenlösungen auswirken könnte, so meldet er dies unverzüglich der Kommission und den gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannten einheitlichen Anlaufstellen der betroffenen Mitgliedstaaten. Diese Meldung enthält die in Artikel 5 Absatz 2 genannten Angaben.

4 Der Mitgliedstaat, der die nach Absatz 3 bereitgestellten Informationen erhält, ergreift unverzüglich die in den Absätzen 1 und 2 genannten Maßnahmen.

1 Die Mitgliedstaaten stellen sicher, dass im Rahmen der ausgesetzten Brieftaschenlösung keine Einzelbrieftaschen bereitgestellt, genutzt oder aktiviert werden.

2 Die Mitgliedstaaten prüfen, ob der Widerruf von Einzelbrieftaschenbescheinigungen der von der Aussetzung einer Brieftaschenlösung betroffenen Einzelbrieftaschen oder andere zusätzliche Abhilfemaßnahmen als angemessene Reaktion auf die Sicherheitsverletzung oder -beeinträchtigung erforderlich sind.

3 Die in den Absätzen 1 und 2 genannten Maßnahmen werden unverzüglich, jedenfalls aber spätestens 24 Stunden nach der Aussetzung der Bereitstellung und Nutzung der von der Sicherheitsverletzung oder -beeinträchtigung betroffenen Brieftaschenlösung ergriffen.

4 Die in den Absätzen 1 und 2 genannten Maßnahmen dürfen die Brieftaschennutzer nicht an der Ausübung ihres Rechts auf Datenübertragbarkeit gemäß Artikel 5a Absatz 4 Buchstabe g der Verordnung (EU) Nr. 910/2014 hindern. Dies gilt unter der Bedingung, dass dieses Recht von Brieftaschennutzern ausgeübt werden kann, ohne die Sicherheit der kritischen Werte der betroffenen Einzelbrieftaschen zu beeinträchtigen, insbesondere unter Berücksichtigung der Gründe für die Aussetzung und der Notwendigkeit, den wirksamen Schutz dieser Werte vor Missbrauch zu gewährleisten.

1 Informationen über die Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung werden unverzüglich, spätestens aber 24 Stunden nach der Aussetzung der Bereitstellung und Nutzung der Brieftaschenlösung in klarer, umfassender und leicht zugänglicher Weise für folgende Empfänger bereitgestellt: a) die gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannte einheitliche Anlaufstelle, b) die Kommission, c) die betroffenen Brieftaschennutzer, d) die gemäß Artikel 5b der Verordnung (EU) Nr. 910/2014 registrierten auf Brieftaschen vertrauenden Beteiligten.

2 Die nach Absatz 1 bereitgestellten Informationen umfassen zumindest Folgendes: a) Name des Anbieters der Brieftaschenlösung, deren Bereitstellung und Nutzung ausgesetzt wurde, b) Name und Referenzkennung dieser Brieftaschenlösung nach der gemäß Artikel 5d der Verordnung (EU) Nr. 910/2014 erstellten Liste der zertifizierten Brieftaschen und gegebenenfalls die betroffenen Versionen, c) Datum und Uhrzeit der Erkennung der Sicherheitsverletzung oder -beeinträchtigung, d) Datum und Uhrzeit des Wirksamwerdens der Sicherheitsverletzung oder -beeinträchtigung anhand von Netz- oder Systemprotokollen oder anderen Datenquellen, sofern bekannt, e) Datum und Uhrzeit der Aussetzung der Brieftaschenlösung, f) Kontaktdaten, zumindest mit einer E-Mail-Adresse und einer Telefonnummer für den meldenden Mitgliedstaat und — sofern davon abweichend — für den in Buchstabe a genannten Brieftaschenanbieter, g) Beschreibung der Sicherheitsverletzung oder -beeinträchtigung, h) Beschreibung der beeinträchtigten Daten, gegebenenfalls einschließlich der Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 und Artikel 10 der Verordnung (EU) 2016/679, i) Schätzung der ungefähren Zahl der betroffenen Brieftaschennutzer und anderer betroffener natürlicher Personen, soweit möglich, j) Beschreibung der potenziellen Auswirkungen auf die auf Brieftaschen vertrauenden Beteiligten oder Brieftaschennutzer und im letzteren Fall gegebenenfalls Hinweise auf Maßnahmen, die Brieftaschennutzer ergreifen können, um diese potenziellen Auswirkungen abzumildern, k) Beschreibung der ergriffenen oder geplanten Maßnahmen zur Behebung der Sicherheitsverletzung oder -beeinträchtigung, mit einer Planung und Fristen für diese Abhilfemaßnahmen, l) soweit zutreffend und angemessen, Beschreibung der ergriffenen oder geplanten Maßnahmen zur Umstellung der betroffenen Brieftaschennutzer auf alternative Brieftaschenlösungen oder -dienste.

Soweit dies zur Wiederherstellung der Bereitstellung, der Aktivierung und der Nutzung einer Brieftaschenlösung erforderlich ist, müssen die Mitgliedstaaten unverzüglich 1. die Bereitstellung und Nutzung der im Rahmen dieser Brieftaschenlösung bereitgestellten Einzelbrieftaschen wiederherstellen, indem sie allen betroffenen Brieftaschennutzern eine Einzelbrieftasche ausstellen, die im Rahmen einer neuen Version der Brieftaschenlösung bereitgestellt wird; 2. neue Einzelbrieftaschenbescheinigungen für neue Einzelbrieftaschen oder gegebenenfalls für zuvor ausgestellte Einzelbrieftaschen ausstellen, sofern diese Einzelbrieftaschen die nach der Behebung der Sicherheitsverletzung oder -beeinträchtigung geltenden Sicherheitsanforderungen erfüllen; 3. alle gemäß Artikel 4 ergriffenen Maßnahmen aufheben, die die Bereitstellung neuer Einzelbrieftaschen im Rahmen der betroffenen Brieftaschenlösung verhindern, falls sich solche Maßnahmen ausschließlich auf die nunmehr behobene Sicherheitsverletzung oder -beeinträchtigung bezogen.

Wenn ein Mitgliedstaat eine Brieftaschenlösung wiederherstellt, stellt er sicher, dass 1. Informationen hierüber unverzüglich allen Beteiligten, die Informationen über die Aussetzung der Bereitstellung und Nutzung dieser Brieftaschenlösung gemäß Artikel 5 Absatz 1 erhalten haben, zur Verfügung gestellt werden, 2. gemäß Nummer 1 bereitgestellte Informationen zumindest die in Artikel 5 Absatz 2 Buchstaben a, b und f bis h genannten Angaben sowie folgende Angaben enthalten: a) Datum und Uhrzeit der Behebung der Sicherheitsverletzung oder -beeinträchtigung, b) Datum und Uhrzeit der Wiederherstellung der betroffenen Brieftaschenlösung und gegebenenfalls der betroffenen, im Rahmen dieser Brieftaschenlösung bereitgestellten Einzelbrieftaschen, c) Beschreibung der Maßnahmen, die ergriffen wurden, um die Sicherheitsverletzung oder -beeinträchtigung zu beheben, d) Beschreibung der potenziellen verbleibenden Auswirkungen auf die auf Brieftaschen vertrauenden Beteiligten oder Brieftaschennutzer und im letzteren Fall gegebenenfalls Hinweise auf Maßnahmen, die Brieftaschennutzer ergreifen können, um diese potenziellen Auswirkungen abzumildern.

1 Wird eine Sicherheitsverletzung oder -beeinträchtigung, die die Aussetzung der Bereitstellung und Nutzung einer Brieftaschenlösung zur Folge hatte, nicht innerhalb von drei Monaten nach dem Datum der Aussetzung der Bereitstellung und Nutzung dieser Brieftaschenlösung behoben, so sorgt der Mitgliedstaat, der diese Brieftaschenlösung bereitgestellt hat, unverzüglich, jedenfalls aber innerhalb von 72 Stunden nach Ablauf der Dreimonatsfrist dafür, dass die betroffene Brieftaschenlösung zurückgezogen und ihre Gültigkeit widerrufen wird.

2 Wenn ein Mitgliedstaat eine Brieftaschenlösung zurückzieht, stellt er sicher, dass a) die Einzelbrieftaschenbescheinigungen der Einzelbrieftaschen der betroffenen Brieftaschenlösung widerrufen werden, b) die Einzelbrieftaschenbescheinigungen nicht in einen gültigen Status zurückgesetzt werden können, c) an bestehende Einzelbrieftaschen, die im Rahmen der betroffenen Brieftaschenlösung bereitgestellt wurden, keine neuen Einzelbrieftaschenbescheinigungen ausgestellt werden, d) keine neuen Einzelbrieftaschen im Rahmen der betroffenen Brieftaschenlösung bereitgestellt werden können.

3 Die in den Absätzen 1 und 2 genannten Maßnahmen dürfen die Brieftaschennutzer nicht an der Ausübung ihres Rechts auf Datenübertragbarkeit gemäß Artikel 5a Absatz 4 Buchstabe g der Verordnung (EU) Nr. 910/2014 hindern. Dies gilt unter der Bedingung, dass dieses Recht von Brieftaschennutzern ausgeübt werden kann, ohne die Sicherheit der kritischen Werte der betroffenen Einzelbrieftaschen zu beeinträchtigen, insbesondere unter Berücksichtigung der Gründe für die Zurückziehung und der Notwendigkeit, den wirksamen Schutz dieser Werte vor Missbrauch zu gewährleisten.

1 Informationen über die Zurückziehung einer Brieftaschenlösung werden unverzüglich, spätestens aber 24 Stunden nach der Zurückziehung der Brieftaschenlösung in klarer, umfassender und leicht zugänglicher Weise für folgende Empfänger bereitgestellt: a) die gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannte einheitliche Anlaufstelle, b) die Kommission, c) die betroffenen Brieftaschennutzer, d) die gemäß Artikel 5b der Verordnung (EU) Nr. 910/2014 registrierten auf Brieftaschen vertrauenden Beteiligten.

2 Die nach Absatz 1 bereitgestellten Informationen umfassen zumindest Folgendes: a) Name des Anbieters der Brieftaschenlösung, die zurückgezogen wurde, b) Name und Referenzkennung dieser Brieftaschenlösung nach der gemäß Artikel 5d der Verordnung (EU) Nr. 910/2014 erstellten Liste der zertifizierten Brieftaschen und gegebenenfalls die betroffenen Versionen, c) Datum und Uhrzeit der Erkennung der Sicherheitsverletzung oder -beeinträchtigung, die zur Zurückziehung der betroffenen Brieftaschenlösung führte, und zwar wegen ihrer Schwere oder weil sie nicht innerhalb von drei Monaten behoben wurde, d) Datum und Uhrzeit des Wirksamwerdens der Sicherheitsverletzung oder -beeinträchtigung anhand von Netz- oder Systemprotokollen oder anderen Datenquellen, sofern bekannt, e) Datum und Uhrzeit der Zurückziehung der Brieftaschenlösung und des wirksamen Widerrufs der Einzelbrieftaschenbescheinigungen der Einzelbrieftaschen, die im Rahmen der Brieftaschenlösung bereitgestellt wurden, f) ob die Zurückziehung auf die Schwere der Sicherheitsverletzung oder -beeinträchtigung oder darauf zurückzuführen ist, dass die Sicherheitsverletzung oder -beeinträchtigung nicht behoben worden ist, g) Kontaktdaten, zumindest mit einer E-Mail-Adresse und einer Telefonnummer für den meldenden Mitgliedstaat und — sofern davon abweichend — für den in Buchstabe a genannten Brieftaschenanbieter, h) Beschreibung der Sicherheitsverletzung oder -beeinträchtigung, i) Beschreibung der beeinträchtigten Daten, gegebenenfalls einschließlich der Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 und Artikel 10 der Verordnung (EU) 2016/679, j) Schätzung der ungefähren Zahl der betroffenen Brieftaschennutzer und anderer betroffener natürlicher Personen, soweit möglich, k) Beschreibung der potenziellen Auswirkungen auf die auf Brieftaschen vertrauenden Beteiligten oder Brieftaschennutzer und im letzteren Fall gegebenenfalls Hinweise auf Maßnahmen, die Brieftaschennutzer ergreifen können, um diese potenziellen Auswirkungen abzumildern, l) Beschreibung der ergriffenen oder geplanten Maßnahmen zur Umstellung der betroffenen Brieftaschennutzer auf alternative Brieftaschenlösungen oder, soweit zutreffend und angemessen, auf alternative Dienste.

Die Mitgliedstaaten übermitteln der Kommission und den gemäß Artikel 46c Absatz 1 der Verordnung (EU) Nr. 910/2014 benannten einheitlichen Anlaufstellen der Mitgliedstaaten die in den Artikeln 3, 5, 7 und 9 genannte Informationen über das von ENISA betriebene CIRAS oder über ein zwischen Mitgliedstaaten und Kommission vereinbartes gleichwertiges System.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.