Regler for håndtering af sikkerhedsbrud i EU digitale identitetstegnebøger

(1)

Den europæiske ramme for digital identitet (»rammen«), der blev oprettet ved forordning (EU) nr. 910/2014, er et afgørende element i etableringen af et sikkert og interoperabelt økosystem for digital identitet i hele Unionen. Med de europæiske digitale identitetstegnebøger (»tegnebøger«) som hjørnesten har rammen til formål at lette adgangen til tjenester i alle medlemsstater og samtidig sikre beskyttelsen af personoplysninger og privatlivets fred.

(2)

Europa-Parlamentets og Rådets forordning (EU) 2016/679 og forordning (EU) 2018/1725 og, hvor det er relevant, Europa-Parlamentets og Rådets direktiv 2002/58/EF finder anvendelse på behandlingsaktiviteter vedrørende personoplysninger i henhold til nærværende forordning. De regler om vurdering og information, der fastsættes i henhold til nærværende forordning, berører ikke forpligtelsen til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, hvor det er relevant i henhold til forordning (EU) 2016/679 eller forordning (EU) 2018/1725, og forpligtelsen til at underrette registrerede om brud på persondatasikkerheden, hvor det er relevant i henhold til nævnte forordninger.

(3)

Kommissionen vurderer regelmæssigt nye teknologier, praksisser, standarder og tekniske specifikationer. For at sikre den højeste grad af harmonisering mellem medlemsstaterne med hensyn til udvikling og certificering af tegnebøgerne er de tekniske specifikationer, der er fastsat i nærværende forordning, baseret på det arbejde, der er udført i henhold til Kommissionens henstilling (EU) 2021/946 , og navnlig den tekniske struktur og referencerammen, som er en del heraf. I overensstemmelse med betragtning 75 i Europa-Parlamentets og Rådets forordning (EU) 2024/1183 bør Kommissionen revidere og om nødvendigt ajourføre nærværende forordning for at sikre, at den er i overensstemmelse med den globale udvikling, den tekniske struktur og referencerammen og følger bedste praksis på det indre marked.

(4)

I tilfælde af sikkerhedsbrud i eller kompromitteringer af tegnebogsløsningerne eller de valideringsmekanismer, der er omhandlet i artikel 5a, stk. 8, i forordning (EU) nr. 910/2014, eller den elektroniske identifikationsordning, efter hvilken tegnebogsløsningerne leveres, skal reaktionerne på disse sikkerhedsbrud og kompromitteringer ske hurtigt, koordineret og på sikker vis i alle medlemsstater for at beskytte brugerne og opretholde tilliden til økosystemet for digital identitet. Dette berører ikke Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 og Europa-Parlamentets og Rådets forordning (EU) 2019/881 og forordning (EU) 2024/2847 , især for så vidt angår håndteringen af hændelser eller sårbarheder og kategoriseringen af dem som sikkerhedsbrud. Medlemsstaterne bør derfor sikre, at leveringen og anvendelsen af tegnebøger, der er berørt af et sikkerhedsbrud eller en kompromittering, suspenderes rettidigt, eller, hvis det er relevant, at tegnebøgerne trækkes tilbage.

(5)

For at sikre passende reaktioner på sikkerhedsbrud eller kompromitteringer bør medlemsstaterne vurdere, om et sikkerhedsbrud i eller en kompromittering af en tegnebogsløsning, de valideringsmekanismer, der er omhandlet i artikel 5a, stk. 8, i forordning (EU) nr. 910/2014, eller den elektroniske identifikationsordning, efter hvilken en tegnebogsløsning leveres, påvirker pålideligheden af den pågældende tegnebogsløsning eller af andre tegnebogsløsninger. Vurderingen bør baseres på ensartede kriterier såsom antallet og kategorien af tegnebogsbrugere, fysiske personer og berørte tegnebogsmodtagere, karakteren af de berørte data, varigheden af kompromitteringen eller sikkerhedsbruddet, en tjenestes begrænsede tilgængelighed og de økonomiske tab samt den potentielle kompromittering af personoplysninger. Disse kriterier bør give medlemsstaterne fleksibilitet og skønsbeføjelse til på en forholdsmæssig måde at fastslå, om pålideligheden af en tegnebogsløsning er påvirket, og om det er hensigtsmæssigt at suspendere eller, hvis det er begrundet af bruddets eller kompromitteringens alvor, tilbagetrække tegnebogsløsningen. Kriterierne bør ikke udløse en automatisk tilbagetrækning af en tegnebogsløsning eller en automatisk suspension af leveringen og anvendelsen af en tegnebogsløsning, men medlemsstaterne bør tage dem behørigt i betragtning, når de afgør, det er nødvendigt at trække en tegnebogsløsning tilbage eller suspendere leveringen og anvendelsen af den.

(6)

På grund af konsekvenserne og ulemperne ved at suspendere anvendelsen af tegnebogsløsninger vil medlemsstaterne skulle vurdere, om det er nødvendigt at tilbagekalde tegnebogsenhedsattesteringer eller træffe andre yderligere foranstaltninger for at reagere hensigtsmæssigt på sikkerhedsbruddet eller kompromitteringen.

(7)

For at holde tegnebogsbrugerne informeret om status for deres tegnebøger, skal de have tilstrækkelig information om sikkerhedsbrud eller kompromitteringer, der påvirker deres tegnebøger. Da tegnebogsmodtagere, der er registreret i Unionen, også kan blive berørt af sikkerhedsbrud og kompromitteringer, skal den relevante information om sikkerhedsbrud og kompromitteringer også deles med dem.

(8)

For at fremme gennemsigtigheden og opbygge tillid til økosystemet for digital identitet bør den information, der skal gives om sikkerhedsbrud og kompromitteringer og konsekvenserne heraf, som minimum omfatte de oplysninger, der kræves i henhold til nærværende forordning. De oplysninger om sikkerhedsbrud eller kompromitteringer, der deles med tegnebogsbrugerne og tegnebogsmodtagerne, bør imidlertid vurderes nøje for at forebygge og minimere risikoen for, at de udnyttes af angribere.

(9)

For at give brugerne mulighed for at få adgang til deres tegnebogsenheder igen, efter at et sikkerhedsbrud eller en kompromittering er blevet afhjulpet, skal den medlemsstat, der leverede tegnebogsløsningerne, genoprette leveringen og anvendelsen af de pågældende tegnebogsløsninger uden unødigt ophold. Dette kan gøres ved at genoprette tegnebogsenhederne, ved at udstede tegnebogsenheder, der leveres under en ny version af tegnebogsløsningerne, eller ved at udstede nye gyldige tegnebogsenhedsattesteringer. De berørte tegnebogsbrugere og tegnebogsmodtagere, de centrale kontaktpunkter, der er udpeget i henhold til artikel 46c, stk. 1, i forordning (EU) nr. 910/2014, og Kommissionen skal underrettes herom.

(10)

For at sikre, at tegnebøgerne trækkes tilbage, når et sikkerhedsbrud eller en kompromittering ikke er blevet afhjulpet inden for tre måneder efter suspensionen, eller hvis tilbagetrækningen er begrundet af sikkerhedsbruddets eller kompromitteringens alvor, bør medlemsstaten sikre, at de relevante tegnebogsenhedsattesteringer tilbagekaldes, og at de ikke kan genoprettes til en gyldig tilstand eller udstedes eller leveres til eksisterende tegnebogsenheder. Desuden bør der ikke leveres nye tegnebogsenheder under den berørte tegnebogsløsning. Af hensyn til gennemsigtigheden skal brugerne, tegnebogsmodtagerne, de centrale kontaktpunkter, der er udpeget i henhold til artikel 46c, stk. 1, i forordning (EU) nr. 910/2014, og Kommissionen underrettes om tilbagetrækningen. Dette omfatter en redegørelse for de potentielle virkninger for tegnebogsbrugerne, og navnlig for forvaltningen af udstedte attesteringer, eller for tegnebogsmodtagerne.

(11)

Den periode på tre måneder efter suspensionen af leveringen og anvendelsen af en tegnebogsløsning, som det sikkerhedsbrud eller den kompromittering, der førte til suspensionen, skal afhjælpes inden for, bør udgøre en frist, efter hvilken tegnebogsløsningen skal trækkes tilbage, medmindre der er truffet passende afhjælpende foranstaltninger. Medlemsstaterne kan dog frit kræve, at sikkerhedsbruddet eller kompromitteringen skal afhjælpes inden for en frist, der er kortere end tre måneder, navnlig og hvis det er relevant, under hensyntagen til omfanget, varigheden og konsekvenserne af sikkerhedsbruddet eller kompromitteringen. Hvis sikkerhedsbruddet eller kompromitteringen ikke er eller ikke kan afhjælpes inden for den frist, som medlemsstaten har fastsat, kan medlemsstaten kræve, at tegnebogsløsningen trækkes tilbage inden udløbet af perioden på tre måneder. Medlemsstaterne bør benytte denne periode, hvor et sikkerhedsbrud eller en kompromittering, der har ført til suspension af leveringen og anvendelsen af en tegnebogsløsning, skal afhjælpes, til at forberede den eventuelle tilbagetrækning af tegnebogsløsningen og meddelelserne i den forbindelse.

(12)

For at mindske den administrative byrde for medlemsstaterne med hensyn til de oplysninger, der i overensstemmelse med nærværende forordning skal gives til Kommissionen og til andre medlemsstater, bør medlemsstaterne anvende eksisterende underretningsværktøjer såsom systemet til indberetning og analyse af cyberhændelser (»CIRAS«), der drives af Den Europæiske Unions Agentur for Cybersikkerhed (»ENISA«). Med hensyn til alternative kanaler eller midler til at informere de tegnebogsbrugere, der er berørt af et sikkerhedsbrud eller en kompromittering, og tegnebogsmodtagerne bør medlemsstaterne sikre, at de relevante oplysninger gives på en klar, fyldestgørende og lettilgængelig måde. Kanalerne til at give disse oplysninger til de berørte tegnebogsbrugere og tegnebogsmodtagerne, bør omfatte passende løsninger til webstedsbaseret udsendelse, realtidssporing af webstedsopdateringer og nyhedsaggregering.

(13)

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav udtalelse den 31. januar 2025.

(14)

Foranstaltningerne i nærværende forordning er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 48 i forordning (EU) nr. 910/2014 —