Search for a command to run...
(Kommissionens gennemførelsesforordning (EU) 2025/2160 af 27. oktober 2025 om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 for så vidt angår referencestandarder, specifikationer og procedurer for risikostyring i forbindelse med levering af ikkekvalificerede tillidstjenester)
De referencestandarder, der er omhandlet i artikel 19a, stk. 2, i forordning (EU) nr. 910/2014, er anført i bilaget til nærværende forordning.
1. De risikostyringspolitikker, der er omhandlet i artikel 19a, stk. 1, i forordning (EU) nr. 910/2014, skal klart angive, hvilke tillidstjenester de gælder for, være specifikke for de pågældende tillidstjenester og godkendes af ledelsesorganet for den ikkekvalificerede tillidstjenesteudbyder.
2. Risikostyringspolitikkerne skal som minimum omfatte alle følgende elementer:
a)
det overordnede risikotoleranceniveau i overensstemmelse med alvorligheden og det krævede sikkerhedsniveau for tillidstjenesterne, under hensyntagen til den seneste teknologiske udvikling
b)
de relevante risikokriterier, herunder som minimum sandsynligheden for, virkningen af og niveauet for risikoen, under hensyntagen til efterretninger om cybertrusler og sårbarheder
c)
en tilgang til afdækning og dokumentation af de risici, der er forbundet med leveringen af tillidstjenester, under hensyntagen til det fulde omfang af det informationssystem, der anvendes af den ikkekvalificerede tillidstjenesteudbyder, herunder risici forbundet med systemets komponenter samt med eventuelle aktive eller passive parter, der er involveret i implementeringen af systemet eller leveringen af tillidstjenester
d)
en proces for evaluering af de afdækkede risici på grundlag af de risikokriterier, der er omhandlet i litra b)
e)
en proces for indkredsning, prioritering og løbende overvågning af gennemførelsen af passende risikobehandlingsforanstaltninger
f)
en proces for kontinuerlig overvågning af gennemførelsen af risikostyringspolitikkerne.
3. Ikkekvalificerede tillidstjenesteudbydere skal etablere passende procedurer og opbevare dokumenter for at sikre, at kravene i den gældende lovgivning gennemføres.
4. Ikkekvalificerede tillidstjenesteudbydere skal etablere passende dokumenterede procedurer, der sikrer overvågning af ændringer i EU's og nationale love og regler, som kan påvirke leveringen af tillidstjenester.
Ikkekvalificerede tillidstjenesteudbydere skal afdække, dokumentere og evaluere alle risici, der er omhandlet i artikel 19a, stk. 1, i forordning (EU) nr. 910/2014, i overensstemmelse med de risikostyringspolitikker, der er omhandlet i artikel 2, og skal navnlig:
a)
afdække risici i forhold til tredjeparter
b)
afdække potentielle enkelte fejlpunkter i leveringen af tillidstjenester
c)
evaluere de afdækkede risici på grundlag af de risikokriterier, der er omhandlet i artikel 2, stk. 2, litra b).
1. I overensstemmelse med de politikker, der er omhandlet i artikel 2, skal ikkekvalificerede tillidstjenesteudbydere planlægge, dokumentere og gennemføre risikobehandlingsforanstaltninger og navnlig varetage følgende opgaver:
a)
indkredse og prioritere passende risikobehandlingsforanstaltninger
b)
udvælge, godkende og dokumentere de valgte risikobehandlingsforanstaltninger, herunder deres sikkerhedskrav og operationelle procedurer, i en risikobehandlingsplan, samt specificere, hvem der er ansvarlig for at gennemføre risikobehandlingsforanstaltningerne, og hvornår de bør gennemføres
c)
løbende overvåge gennemførelsen af risikobehandlingsforanstaltningerne
2. Risikobehandlingsplanen, jf. stk. 1, litra b), skal begrunde accepten af resterende risici på en forståelig måde.
3. Som led i de risikobehandlingsforanstaltninger, der er omhandlet i stk. 1, skal ikkekvalificerede tillidstjenesteudbydere også:
a)
hvor det er relevant, kontrollere identiteten af brugerne af tillidstjenesten direkte eller via en tredjepart og offentliggøre oplysninger om de anvendte metoder til identitetskontrol
b)
med henblik på at tilvejebringe bevismateriale i retssager og sikre tjenestekontinuitet registrere følgende oplysninger og opbevare dem sikkert, så længe det er nødvendigt i overensstemmelse med EU-retten eller national ret, herunder efter at den ikkekvalificerede tillidstjenesteudbyders aktiviteter er ophørt: — alle relevante oplysninger, der indsamles i forbindelse med registrering og onboarding af brugere af tillidstjenester, herunder, hvor det er relevant, identitetskontrol af brugerne — autentificeringsdata, der er tildelt brugeren af tillidstjenesten, hvis det er relevant, og — enhver ændring af status for public key-certifikater eller andet kryptografisk materiale, der anvendes til levering af tillidstjenesten.
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 27. oktober 2025.
EUT L 257 af 28.8.2014, s. 73, ELI: data.europa.eu/eli/reg/2014/910/oj.
Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 27.12.2022, s. 80, ELI: data.europa.eu/eli/dir/2022/2555/oj).
Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024 om regler for anvendelsen af direktiv (EU) 2022/2555 for så vidt angår tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici og yderligere præcisering af de tilfælde, hvor en hændelse anses for at være væsentlig, for så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer og udbydere af cloudcomputingtjenester, af datacentertjenester, af indholdsleveringsnetværk, af administrerede tjenester, af administrerede sikkerhedstjenester, af onlinemarkedspladser, af onlinesøgemaskiner og af platforme for sociale netværkstjenester og af tillidstjenester (EUT L, 2024/2690, 18.10.2024, ELI: http://data.eur...).
Europa-Parlamentets og Rådets forordning (EU) 2024/1183 af 11. april 2024 om ændring af forordning (EU) nr. 910/2014 for så vidt angår fastlæggelse af den europæiske ramme for digital identitet (EUT L, 2024/1183, 30.4.2024, ELI: http://data.euro...).
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (, ELI: ).
c)
sikre, hvor det er relevant, at autentificeringsdata, der er tildelt brugeren af tillidstjenesten, er entydige.
4. Når ikkekvalificerede tillidstjenesteudbydere indkredser, udvælger, godkender og prioriterer passende risikobehandlingsforanstaltninger, skal de tage følgende elementer i betragtning:
a)
resultatet af den risikoevaluering, der er omhandlet i artikel 3
b)
effektiviteten af risikobehandlingsforanstaltningerne
c)
overensstemmelsesvurderinger
d)
væsentlige hændelser
e)
gennemførelsesomkostningerne i forhold til den forventede fordel
f)
den relevante og passende klassifikation af aktiver
g)
analysen af eventuelle forretningsmæssige konsekvenser af de risici, der er afdækket i overensstemmelse med artikel 3.
5. Ledelsesorganerne for ikkekvalificerede tillidstjenesteudbydere skal godkende de resterende risici, der er tilbage efter gennemførelsen af risikobehandlingsforanstaltningerne som fastsat i risikobehandlingsplanen.
6. Ikkekvalificerede tillidstjenesteudbydere skal gennemgå, dokumentere og, hvor det er relevant, ajourføre resultaterne af risikovurderingen og risikobehandlingsplanen med planlagte intervaller, og mindst en gang om året, samt når der sker væsentlige ændringer i infrastrukturen, driften eller risiciene, eller når der opstår væsentlige hændelser.
7. Ikkekvalificerede tillidstjenesteudbydere skal sikre tilgængeligheden, integriteten og fortroligheden af de oplysninger, der er omhandlet i stk. 3, litra b).
Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37, ELI: data.europa.eu/eli/dir/2002/58/oj).
Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39, ELI: data.europa.eu/eli/reg/2018/1725/oj).
Kravene i følgende punkter i standard ETSI EN 319 401 V3.1.1 (2024-06) »Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers« (Elektroniske signaturer og infrastrukturer (ESI) — Generelle policykrav til trust service-udbydere) finder anvendelse:
| 5. | Risk Assessment |
|---|
| 6. | Policies and practices |
|---|
| 7.1 | Internal organization |
|---|
| 7.2 | Human resources |
|---|
| 7.3 | Asset management |
|---|
| 7.4 | Access control |
|---|
| 7.6 | Physical and environmental security. |
|---|
ISSN 1977-0634 (electronic edition)
