Durchführungsverordnung (EU) 2025/1569 der Kommission vom 29. Juli 2025 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf qualifizierte elektronische Attributsbescheinigungen und von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen bereitgestellte elektronische Attributsbescheinigungen

Mit dieser Verordnung werden Referenzstandards, Spezifikationen und Verfahren festgelegt, die regelmäßig zu aktualisieren sind, damit sie mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 der Kommission durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt halten, und die Folgendes betreffen: 1. qualifizierte elektronische Attributsbescheinigungen, 2. elektronische Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, 3. die Liste der Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, 4. den Attributskatalog und den Katalog der Attributsbescheinigungsregelungen gemäß den Absätzen 1 und 2, 5. die Überprüfung von Attributen anhand authentischer Quellen oder benannter Vermittler.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Einzelbrieftasche“ eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden; 2. „Brieftaschennutzer“ einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat; 3. „Attributskatalog“ ein digitales Verzeichnis von Attributen, das von der Kommission geführt und online veröffentlicht wird; 4. „Attributsbescheinigungsregelung“ eine Reihe von Vorschriften, die für eine oder mehrere Arten elektronischer Attributsbescheinigungen gelten; 5. „Art elektronischer Attributsbescheinigungen“ eine bestimmte benannte und semantisch beschriebene Gruppe elektronischer Attributsbescheinigungen; 6. „Katalog der Attributsbescheinigungsregelungen“ ein digitales Verzeichnis, in dem die gemäß dieser Verordnung registrierten Attributsbescheinigungsregelungen aufgeführt sind, das von der Kommission geführt [und online veröffentlicht] wird; 7. „Brieftaschenlösung“ eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen; 8. „Brieftascheninstanz“ die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren; 9. „sichere Kryptoanwendung für Brieftaschen“ (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und den nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt; 10. „sicheres Kryptomodul für Brieftaschen“ (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen; 11. „Brieftaschenanbieter“ eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt; 12. „kritische Werte“ Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte; 13. „Inhaber einer Attributsbescheinigungsregelung“ eine Stelle, die für die Einrichtung und Pflege einer Attributsbescheinigungsregelung zuständig ist.

1 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, halten die Liste der Referenzstandards und Spezifikationen in Anhang I ein und stellen sicher, dass die von ihnen ausgestellten elektronischen Attributsbescheinigungen den technischen Spezifikationen in Anhang II entsprechen.

2 Stellen Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, elektronische Attributsbescheinigungen aus, die in Regelungen enthalten sind, die im Katalog der Attributsbescheinigungsregelungen registriert sind, so müssen sie die Anforderungen der entsprechenden Attributsbescheinigungsregelung einhalten. Konzepte und Verfahren, die von den Ausstellern von Bescheinigungen festgelegt werden, um die Einhaltung der Anforderungen an Attributsbescheinigungsregelungen zu gewährleisten, sind Teil der Konformitätsbewertung gemäß der Verordnung (EU) Nr. 910/2014.

1 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, verfügen über schriftliche und öffentlich zugängliche Konzepte für die Verwaltung des Gültigkeits- oder Widerrufsstatus. Diese Konzepte beinhalten gegebenenfalls die Bedingungen, unter denen elektronische Attributsbescheinigungen unverzüglich widerrufen werden können, sowie Maßnahmen zur Gewährleistung der Verfügbarkeit der Informationen über den Gültigkeitsstatus.

2 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, sind die einzigen Stellen, die die von ihnen ausgestellten elektronischen Attributsbescheinigungen widerrufen können.

3 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, widerrufen solche Bescheinigungen – sofern diese mit einer Gültigkeitsdauer von über 24 Stunden ausgestellt werden – zumindest unter den folgenden Umständen: a) auf ausdrückliches Verlangen der Person, der die elektronische Attributsbescheinigung ausgestellt wurde, oder gegebenenfalls der Person, auf die sich die Bescheinigung bezieht; b) wenn dem Anbieter bekannt ist, dass die Sicherheit oder Vertrauenswürdigkeit der qualifizierten elektronischen Attributsbescheinigungen oder der elektronischen Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, beeinträchtigt ist; c) in anderen Situationen, in denen dies nach Unionsrecht oder nationalem Recht oder entsprechend den von den Anbietern festgelegten Regelungen gemäß Absatz 1 erforderlich ist.

4 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, richten Techniken und Verwaltungsmethoden für Widerrufe ein, die die Privatsphäre gewährleisten und eine Verknüpfbarkeit und Rückverfolgung verhindern.

5 Anbieter qualifizierter elektronischer Attributsbescheinigungen und Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, stellen auf Brieftaschen vertrauenden Beteiligten Informationen über den Gültigkeits- oder Widerrufsstatus der von ihnen ausgestellten elektronischen Attributsbescheinigungen in einer Weise zur Verfügung, die die Integrität und Authentizität dieser Informationen gewährleistet.

1 Die Mitgliedstaaten melden zumindest die in Anhang III aufgeführten Informationen über öffentliche Stellen gemäß Artikel 45f Absatz 3 der Verordnung (EU) Nr. 910/2014 über ein von der Kommission bereitgestelltes sicheres elektronisches Notifizierungssystem.

2 Die Mitgliedstaaten melden alle Änderungen der gemeldeten Informationen.

3 Die Mitgliedstaaten nehmen die Meldungen zumindest in englischer Sprache vor. Die Mitgliedstaaten sind nicht verpflichtet, weitere Unterlagen zu übersetzen, wenn dies einen unzumutbaren Verwaltungs- oder finanziellen Aufwand verursachen würde.

4 Die Kommission kann die Mitgliedstaaten gegebenenfalls um zusätzliche Informationen ersuchen.

1 Die Kommission erstellt, führt und veröffentlicht eine Liste der Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, auf der Grundlage der von den Mitgliedstaaten gemäß Artikel 5 gemeldeten Informationen.

2 Die Kommission stellt sicher, dass auf die in Absatz 1 genannte Liste folgendermaßen zugegriffen werden kann: a) in elektronisch unterzeichneter oder besiegelter Form, die für eine automatisierte Verarbeitung geeignet ist, und auf einer vom Menschen lesbaren Website, b) ohne sich dafür registrieren oder authentifizieren zu müssen, c) ausschließlich mit modernster Transportschichtsicherheit (Transport Layer Security).

3 Die Kommission veröffentlicht in einem sicheren Kanal unverzüglich a) die technischen Spezifikationen der Liste, b) die zur Veröffentlichung der Liste verwendeten URL-Angaben, c) die Zertifikate, die zur Überprüfung der elektronischen Signatur oder des elektronischen Siegels, mit denen die Liste versehen ist, zu verwenden sind, d) Angaben zu den Mechanismen, die zur Validierung künftiger Änderungen der in Buchstabe b genannten URL-Angaben oder der in Buchstabe c genannten Zertifikate verwendet werden.

1 Die Kommission richtet einen Attributskatalog ein und veröffentlicht diesen; sie richtet ein sicheres System ein, über das die Aufnahme von Attributen in den Attributskatalog oder deren Änderung beantragt werden kann.

2 Die Kommission prüft Anträge auf Aufnahme eines Attributs in den Attributskatalog oder dessen Änderung, die über das in Absatz 1 genannte System gestellt werden, nach Berücksichtigung etwaiger Empfehlungen der Kooperationsgruppe. Bei der Prüfung durch die Kommission wird berücksichtigt, ob die Aufnahme des Attributs zu einer gemeinsamen Grundlage für eine sichere und datenschutzbewusste elektronische Interaktion zwischen Bürgern, Unternehmen und Behörden und zur Förderung der Interoperabilität beiträgt. Die Kommission berücksichtigt gegebenenfalls auch sektorspezifische Vorschriften.

3 Die Mitgliedstaaten beantragen die Aufnahme der in Anhang VI der Verordnung (EU) Nr. 910/2014 aufgeführten Attribute in den Attributskatalog, soweit diese Attribute auf authentischen Quellen beruhen, damit diese von qualifizierten Vertrauensdiensteanbietern überprüft werden können.

4 Darüber hinaus können die Mitgliedstaaten die Aufnahme von nicht in Anhang VI aufgeführten Attributen in den Attributskatalog beantragen, soweit diese Attribute auf authentischen Quellen des öffentlichen Sektors beruhen. Private Einrichtungen, die als primäre Quelle für diese Informationen gelten oder im Einklang mit Unionsrecht oder nationalem Recht – einschließlich der Verwaltungspraxis – als authentisch anerkannt werden, können die Aufnahme von nicht in Anhang VI aufgeführten Attributen in den Attributskatalog beantragen, soweit die beantragende Einrichtung für diese Attribute zuständig ist.

5 Der Antrag auf Aufnahme eines Attributs in den Katalog oder auf Änderung eines Attributs im Katalog muss mindestens folgende Angaben enthalten: a) Angabe der beantragenden Stelle; b) gegebenenfalls einen Verweis auf das Unionsrecht oder das nationale Recht oder die Verwaltungspraxis, wonach die antragstellende Stelle als primäre Informationsquelle oder anerkannte authentische Quelle gilt; c) ob sich der Antrag auf ein bereits im Katalog vorhandenes Attribut bezieht oder ein neues Attribut betrifft; d) einen Namensraum für die Attributskennung, dessen Wert innerhalb des Attributskatalogs eindeutig ist; e) eine Attributskennung, die innerhalb des Namensraums eindeutig ist, und die Version des Attributs; f) eine semantische Beschreibung des Attributs; g) die Datenart des Attributs; h) die Überprüfungsstelle für das Attribut auf nationaler Ebene oder einen Link zu einer Beschreibung der Einleitung von Überprüfungsanträgen.

6 Der Antrag auf Aufnahme oder Änderung eines Attributs wird vom Antragsteller mit einer qualifizierten elektronischen Signatur oder einem qualifizierten elektronischen Siegel oder einer fortgeschrittenen elektronischen Signatur oder einem fortgeschrittenen elektronischen Siegel auf der Grundlage eines qualifizierten Zertifikats unterzeichnet oder besiegelt.

7 Die Kommission kann im Anschluss an die in Absatz 2 genannte Prüfung und nachdem sie sich vergewissert hat, dass mit dem Antrag auf Aufnahme oder Änderung eines Attributs alle in Absatz 5 aufgeführten Informationen vorgelegt wurden, das beantragte Attribut oder die beantragte Änderung in den Attributskatalog aufnehmen.

8 Der von der Kommission besiegelte Attributskatalog ist über einen sicheren Kanal kostenlos und ohne vorherige Identifizierung oder Authentifizierung öffentlich zugänglich und wird sowohl in maschinenlesbarer als auch vom Menschen lesbarer Form veröffentlicht. Der Katalog umfasst auch eine Suchfunktion.

9 Die Kommission veröffentlicht die technischen Spezifikationen, die sie für den Attributskatalog verwendet.

10 Die Kommission gibt für jedes registrierte Attribut eine eindeutige Kennung aus.

1 Die Kommission richtet einen Katalog der Attributsbescheinigungsregelungen ein und veröffentlicht diesen; sie richtet ein sicheres System ein, über das die Aufnahme von Attributsbescheinigungsregelungen in den Katalog der Attributsbescheinigungsregelungen oder deren Änderung beantragt werden kann.

2 Anträge auf Aufnahme von Attributsbescheinigungsregelungen in den Katalog der Attributsbescheinigungsregelungen oder deren Änderung werden von der Kommission nach Berücksichtigung etwaiger Empfehlungen der Kooperationsgruppe geprüft. Bei der Prüfung durch die Kommission wird berücksichtigt, ob die Regelung zu einer gemeinsamen Grundlage für eine sichere und datenschutzbewusste elektronische Interaktion zwischen Bürgern, Unternehmen und Behörden und zur Förderung der Interoperabilität beiträgt. Die Kommission berücksichtigt gegebenenfalls auch sektorspezifische Vorschriften.

3 Die Inhaber einer Attributsbescheinigungsregelung können die Hinzufügung von Regelungen zum Katalog der Regelungen beantragen. Ein Antrag auf Aufnahme einer Regelung in den Katalog der Attributsbescheinigungsregelungen oder deren Änderung muss mindestens Folgendes enthalten: a) den Namen der Regelung, der vom Inhaber der Attributsbescheinigungsregelung festgelegt wird und innerhalb des Katalogs der Attributsbescheinigungsregelungen eindeutig ist; b) den Namen und die Kontaktdaten des Inhabers der Attributsbescheinigungsregelung; c) den Status und die Version der Regelung; d) einen Verweis auf bestimmte Rechtsvorschriften, Normen oder Leitlinien, wenn die Ausstellung, Validierung oder Verwendung einer elektronischen Attributsbescheinigung im Rahmen der Regelung diesen Vorschriften unterliegt; e) das Format oder die Formate der elektronischen Attributsbescheinigung im Anwendungsbereich der Regelung; f) eine(n) oder mehrere Namensräume, Attributskennungen, semantische Beschreibungen und Datenarten für jedes Attribut, das Teil einer elektronischen Attributsbescheinigung im Anwendungsbereich der Regelung ist, entweder durch Bezugnahme auf ein Attribut im Attributskatalog nach Artikel 7 oder ein analog definiertes Attribut im Anwendungsbereich der Regelung; g) eine Beschreibung des Vertrauensmodells und der im Rahmen der Regelung angewandten Governance-Mechanismen, einschließlich der Widerrufsmechanismen; h) etwaige Anforderungen an die Anbieter elektronischer Attributsbescheinigungen oder an die Informationsquellen, auf die sich diese Anbieter bei der Ausstellung elektronischer Attributsbescheinigungen stützen, gegebenenfalls einschließlich authentischer Quellen; i) eine Erklärung darüber, ob elektronische Attributsbescheinigungen, die in den Anwendungsbereich der Regelung fallen, als qualifizierte elektronische Attributsbescheinigungen, als elektronische Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, oder als beides ausgestellt werden.

4 Die Regelungen, deren Aufnahme in den Katalog beantragt wird, enthalten ausschließlich Attribute, die anhand eindeutiger Kennungen identifizierbar sind. Der Antrag auf Aufnahme oder Änderung einer Attributsbescheinigungsregelung wird vom Antragsteller mit einer qualifizierten elektronischen Signatur oder einem qualifizierten elektronischen Siegel oder einer fortgeschrittenen elektronischen Signatur oder einem fortgeschrittenen elektronischen Siegel auf der Grundlage eines qualifizierten Zertifikats unterzeichnet oder besiegelt.

5 Die Kommission kann im Anschluss an die in Absatz 2 genannte Prüfung und nachdem sie sich vergewissert hat, dass mit dem Antrag auf Aufnahme oder Änderung einer Bescheinigungsregelung alle in den Absätzen 3 und 4 aufgeführten Informationen vorgelegt wurden, die beantragte Regelung oder Änderung in den Katalog der Attributsbescheinigungsregelungen aufnehmen.

6 Der von der Kommission besiegelte Katalog der Attributsbescheinigungsregelungen ist über einen sicheren Kanal kostenlos und ohne vorherige Identifizierung oder Authentifizierung öffentlich zugänglich und muss maschinenlesbar und vom Menschen lesbar sein. Der Katalog umfasst auch eine Suchfunktion und hat ein Format, das seine Integrität und Echtheit gewährleistet.

7 Die Kommission veröffentlicht die technischen Spezifikationen, die sie für den Katalog der Attributsbescheinigungsregelungen verwendet.

8 Die Kommission gibt für jede registrierte Attributsbescheinigungsregelung eine eindeutige Kennung aus.

1 Um die elektronische Überprüfung der in Artikel 45e Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Attribute durch qualifizierte Vertrauensdiensteanbieter, die qualifizierte elektronische Attributsbescheinigungen ausstellen, auf Veranlassung des Nutzers zu ermöglichen, richten die Mitgliedstaaten Mechanismen ein, die diese Überprüfung ermöglichen, und können zentrale Überprüfungsstellen für die in Anhang VI der genannten Verordnung aufgeführten Attribute zur Verfügung stellen, wenn diese Attribute auf authentischen Quellen des öffentlichen Sektors beruhen. Die Mitgliedstaaten veröffentlichen Informationen über die Verfahren zur Einleitung der Überprüfungsanträge und zum Erhalt der Ergebnisse der Überprüfung.

2 Der Überprüfungsmechanismus bietet einen Zugangspunkt, über den qualifizierte Vertrauensdiensteanbieter, die qualifizierte elektronische Attributsbescheinigungen ausstellen, elektronisch die Überprüfung der in Artikel 45e Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Attribute anhand authentischer Quellen oder benannter Vermittler, die auf nationaler Ebene anerkannt sind, beantragen können. Die zu überprüfenden Attribute werden der Überprüfungsstelle vom qualifizierten Vertrauensdiensteanbieter auf Veranlassung des Nutzers zur Verfügung gestellt. Die öffentliche Stelle oder der benannte Vermittler teilt den qualifizierten Vertrauensdiensteanbietern, die qualifizierte elektronische Attributsbescheinigungen ausstellen, die Überprüfungsergebnisse über die Überprüfungsstelle mit.

3 In dem Überprüfungsantrag sind die Attribute und die Identifizierungsdaten der Person, auf die sich das Attribut bezieht, anzugeben, für die der qualifizierte Vertrauensdiensteanbieter die Überprüfung beantragt.

4 Im Ergebnis der Überprüfung wird ausschließlich angegeben, ob das Attribut bestätigt wurde oder nicht, sowie die für die authentische Quelle zuständige öffentliche Stelle oder gegebenenfalls die öffentliche Stelle, die benannt wurde, um im Namen der authentischen Quelle zu handeln, anhand der das Attribut überprüft wurde.

5 Die Mitgliedstaaten können Zugangskontrollen oder andere Überprüfungsmechanismen vorschreiben, die Integrität, Authentizität und Vertraulichkeit gewährleisten, um festzustellen, ob der Antragsteller ein qualifizierter Vertrauensdiensteanbieter ist, der auf Veranlassung eines rechtmäßigen Nutzers handelt. Die Mitgliedstaaten können auch Kontrollmechanismen für die Anwendung der Überprüfungsmethoden vorschreiben, wenn sie dies für angemessen halten, wobei sie einschlägige Faktoren berücksichtigen, einschließlich der Frage, ob die authentischen Quellen personenbezogene vertrauliche oder sensible Daten enthalten. Führen die Mitgliedstaaten diese Kontrollmechanismen ein, so veröffentlichen sie Angaben zum Umfang der Kontrollmechanismen als Teil der in Absatz 1 genannten Informationen.

1 Für die Zwecke der Artikel 3 bis 9 können die Mitgliedstaaten auf die gemeinsamen Dienste des gemäß Artikel 14 der Verordnung (EU) 2018/1724 eingerichteten technischen Systems sowie damit verbundene nationale Komponenten Bezug nehmen und diese weiterverwenden.

2 Bei der Einrichtung des sicheren Notifizierungssystems und der Erstellung der Liste der öffentlichen Stellen gemäß den Artikeln 5 und 6 sowie der Kataloge gemäß den Artikeln 7 und 8 der vorliegenden Verordnung nimmt die Europäische Kommission auf die gemeinsamen Dienste des technischen Systems gemäß der Verordnung (EU) 2018/1724 Bezug und verwendet diese gegebenenfalls weiter.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Die Artikel 6 und 9 gelten jedoch ab dem 19. August 2026.