1) Článek 1 se nahrazuje tímto:

Cílem tohoto nařízení je zajistit řádné fungování vnitřního trhu a poskytování odpovídající úrovně bezpečnosti prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru používaných v celé Unii, aby byl fyzickým a právnickým osobám umožněn a usnadněn výkon práva na bezpečnou účast v digitální společnosti a na přístup k veřejným a soukromým on-line službám v celé Unii. Za těmito účely toto nařízení:

• a) stanoví podmínky, za nichž mají členské státy uznávat prostředky pro elektronickou identifikaci fyzických a právnických osob, které spadají do oznámeného systému elektronické identifikace jiného členského státu, a poskytovat a uznávat evropské peněženky digitální identity;
• b) stanoví pravidla pro služby vytvářející důvěru, zejména u elektronických transakcí;
• c) stanoví právní rámec pro elektronické podpisy, elektronické pečetě, elektronická časová razítka, elektronické dokumenty, služby elektronického doporučeného doručování, certifikační služby pro autentizaci internetových stránek, elektronickou archivaci, elektronické potvrzování atributů, prostředky pro vytváření elektronických podpisů, prostředky pro vytváření elektronických pečetí a pro elektronické knihy záznamů;“.

2) Článek 2 se mění takto:

• a) odstavec 1 se nahrazuje tímto:

  Toto nařízení se vztahuje na systémy elektronické identifikace oznámené členskými státy, na evropské peněženky digitální identity poskytované členskými státy a na poskytovatele služeb vytvářejících důvěru usazené v Unii.“;

• b) odstavec 3 se nahrazuje tímto:

  Tímto nařízením nejsou dotčeny právo Unie ani vnitrostátní právo týkající se uzavírání a platnosti smluv, jiné právní nebo procesní povinnosti týkající se formy nebo požadavky pro konkrétní odvětví týkajících se formy.

  Tímto nařízením není dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679(Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).“).

3) Článek 3 se mění takto:

• a) body 1 až 5 se nahrazují tímto:
  • „1) ‚elektronickou identifikací‘ postup používání osobních identifikačních údajů v elektronické podobě, které jedinečně identifikují určitou fyzickou či právnickou osobu nebo fyzickou osobu zastupující jinou fyzickou či právnickou osobu;
  • 2) ‚prostředkem pro elektronickou identifikaci‘ hmotná či nehmotná jednotka obsahující osobní identifikační údaje, která se používá k autentizaci pro účely on-line služby nebo případně off-line služby;
  • 3) ‚osobními identifikačními údaji‘ soubor údajů vydaných v souladu s právem Unie nebo vnitrostátním právem a umožňujících určit totožnost fyzické či právnické osoby nebo fyzické osoby zastupující jinou fyzickou či právnickou osobu;
  • 4) ‚systémem elektronické identifikace‘ systém pro elektronickou identifikaci, na jehož základě jsou fyzickým či právnickým osobám nebo fyzickým osobám zastupujícím jiné fyzické či právnické osoby vydávány prostředky pro elektronickou identifikaci;
  • 5) ‚autentizací‘ elektronický postup, který umožňuje potvrdit elektronickou identifikaci fyzické či právnické osoby nebo původ a integritu dat v elektronické podobě;“;
• b) vkládá se nový bod, který zní:
  • „5a) ‚uživatelem‘ fyzická či právnická osoba nebo fyzická osoba zastupující jinou fyzickou či právnickou osobu, které využívají služeb vytvářejících důvěru nebo prostředků pro elektronickou identifikaci poskytovaných v souladu s tímto nařízením;“;
• c) bod 6 se nahrazuje tímto:
  • „6) ‚spoléhající se stranou‘ fyzická nebo právnická osoba, které se spoléhají na elektronickou identifikaci, evropské peněženky digitální identity nebo jiné prostředky pro elektronickou identifikaci nebo na službu vytvářející důvěru;“;
• d) bod 16 se nahrazuje tímto:
  • „16) ‚službou vytvářející důvěru‘ elektronická služba, která je zpravidla poskytována za úplatu a spočívá:
    • a) ve vydávání certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
    • b) v ověřování platnosti certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
    • c) ve vytváření elektronických podpisů nebo elektronických pečetí;
    • d) v ověřování platnosti elektronických podpisů nebo elektronických pečetí;
    • e) v uchovávání elektronických podpisů, elektronických pečetí, certifikátů pro elektronické podpisy nebo certifikátů pro elektronické pečetě;
    • f) ve správě prostředků pro vytváření elektronických podpisů na dálku nebo prostředků pro vytváření elektronických pečetí na dálku;
    • g) ve vydávání elektronických potvrzení atributů;
    • h) v ověřování platnosti elektronického potvrzení atributů;
    • i) ve vytváření elektronických časových razítek;
    • j) v ověřování platnosti elektronických časových razítek;
    • k) v poskytování služeb elektronického doporučeného doručování;
    • l) v ověřování platnosti dat přenášených prostřednictvím služeb elektronického doporučeného doručování a souvisejících důkazů;
    • m) v elektronické archivaci elektronických dat a elektronických dokumentů;
    • n) v zaznamenávání elektronických dat do elektronické knihy záznamů;“;
• e) bod 18 se nahrazuje tímto:
  • „18) ‚subjektem posuzování shody‘ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008, který je v souladu s uvedeným nařízením akreditován jako způsobilý provádět posuzování shody kvalifikovaného poskytovatele služeb vytvářejících důvěru a jím poskytovaných kvalifikovaných služeb vytvářejících důvěru nebo jako příslušný k provádění certifikace evropských peněženek digitální identity nebo prostředků pro elektronickou identifikaci;“;
• f) bod 21 se nahrazuje tímto:
  • „21) ‚produktem‘ technické zařízení nebo programové vybavení či jejich příslušné součásti, které jsou určeny k používání pro poskytování služeb elektronické identifikace a služeb vytvářejících důvěru;“;
• g) vkládají se nová písmena, která znějí:
  • „23a) ‚kvalifikovaným prostředkem pro vytváření elektronických podpisů na dálku‘ kvalifikovaný prostředek pro vytváření elektronických podpisů, který jménem podepisující osoby v souladu s článkem 29a spravuje kvalifikovaný poskytovatel služeb vytvářejících důvěru;
  • 23b) ‚kvalifikovaným prostředkem pro vytváření elektronických pečetí na dálku‘ kvalifikovaný prostředek pro vytváření elektronických pečetí, který jménem pečetící osoby spravuje v souladu s článkem 39a kvalifikovaný poskytovatel služeb vytvářejících důvěru;“;
• h) bod 38 se nahrazuje tímto:
  • „38) ‚certifikátem pro autentizaci internetových stránek‘ elektronické potvrzení, které umožňuje autentizovat internetové stránky a spojuje je s fyzickou nebo právnickou osobou, jimž je certifikát vydán;“;
• i) bod 41 se nahrazuje tímto:
  • „41) ‚ověřováním platnosti‘ postup ověření a potvrzení, že data v elektronické podobě jsou v souladu s tímto nařízením platná;“;
• j) doplňují se nové body, které znějí:
  • „42) ‚evropskou peněženkou digitální identity‘ prostředek pro elektronickou identifikaci, který uživateli umožňuje bezpečně ukládat, spravovat a ověřovat osobní identifikační údaje a elektronická potvrzení atributů za účelem jejich poskytnutí spoléhajícím se stranám a dalším uživatelům evropských peněženek digitální identity a podepisovat prostřednictvím kvalifikovaných elektronických podpisů nebo pečetit prostřednictvím kvalifikovaných elektronických pečetí;
  • 43) ‚atributem‘ vlastnost, kvalita, právo nebo povolení fyzické nebo právnické osoby nebo předmětu;
  • 44) ‚elektronickým potvrzením atributů‘ potvrzení v elektronické podobě, které umožňuje autentizaci atributů;
  • 45) ‚kvalifikovaným elektronickým potvrzením atributů‘ elektronické potvrzení atributů, které je vydáno kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze V;
  • 46) ‚elektronickým potvrzením atributů vydaným subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem‘ elektronické potvrzení atributů, které je vydáno subjektem veřejného sektoru odpovědným za autentický zdroj nebo subjektem veřejného sektoru určeným členským státem k vydávání těchto potvrzení atributů jménem subjektů veřejného sektoru odpovědných za autentické zdroje v souladu s článkem 45f a přílohou VII;
  • 47) ‚autentickým zdrojem‘ úložiště nebo systém, za které odpovídá subjekt veřejného sektoru nebo soukromý subjekt a které obsahují a poskytují atributy fyzické nebo právnické osoby nebo předmětu a jsou považovány za primární zdroj těchto informací nebo jsou v souladu s právem Unie nebo vnitrostátním právem, včetně správní praxe, uznány za autentické;
  • 48) ‚elektronickou archivací‘ služba zajišťující přijímání, uchovávání, zpřístupnění a výmaz elektronických dat a elektronických dokumentů s cílem zajistit jejich trvanlivost a čitelnost, jakož i zachovat jejich integritu, důvěrnost a důkaz původu po celou dobu uchovávání;
  • 49) ‚kvalifikovanou službou elektronické archivace‘ služba elektronické archivace, kterou poskytuje kvalifikovaný poskytovatel služeb vytvářejících důvěru a která splňuje požadavky stanovené v článku 45j;
  • 50) ‚značkou důvěry EU pro peněženku digitální identity‘ ověřitelné, jednoduché a rozpoznatelné označení, které jasným způsobem sděluje, že evropská peněženka digitální identity byla poskytnuta v souladu s tímto nařízením;
  • 51) ‚silnou autentizací uživatele‘ autentizace založená na použití nejméně dvou navzájem nezávislých autentizačních faktorů z různých kategorií, kterými může být znalost, tedy něco, co ví pouze uživatel, držení, tedy něco, co má v držení pouze uživatel, nebo inherence, tedy něco, čím uživatel je, přičemž nesplněním jednoho z nich není ovlivněna spolehlivost ostatních a postup je koncipován tak, aby byla chráněna důvěrnost autentizačních dat;
  • 52) ‚elektronickou knihou záznamů‘ posloupnost elektronických datových záznamů zajišťující integritu těchto záznamů a přesnost chronologického pořadí těchto záznamů;
  • 53) ‚kvalifikovanou elektronickou knihou záznamů‘ elektronická kniha záznamů, kterou poskytuje kvalifikovaný poskytovatel služeb vytvářejících důvěru a která splňuje požadavky stanovené v článku 45l;
  • 54) ‚osobními údaji‘ veškeré informace vymezené v čl. 4 bodu 1 nařízení (EU) 2016/679;
  • 55) ‚párováním totožnosti‘ postup, při němž jsou osobní identifikační údaje nebo prostředky pro elektronickou identifikaci párovány nebo propojeny se stávajícím účtem patřícím téže osobě;
  • 56) ‚datovým záznamem‘ elektronická data zaznamenaná pomocí souvisejících metadat podporujících zpracování těchto dat;
  • 57) ‚off-line režimem‘ pokud jde o používání evropských peněženek digitální identity, interakce mezi uživatelem a třetí stranou na fyzickém místě s využitím technologií pro blízkou komunikaci, při níž evropská peněženka digitální identity nemusí mít pro účely dané interakce přístup ke vzdáleným systémům prostřednictvím sítí elektronických komunikací.“

4) Článek 5 se nahrazuje tímto:

Aniž jsou dotčena zvláštní pravidla práva Unie nebo vnitrostátního práva, která vyžadují, aby se uživatelé identifikovali, nebo právní účinky, které vnitrostátní právo přiznává pseudonymům, není používání pseudonymů, které si uživatel zvolil, zakázáno.“

5) V kapitole II se vkládá nový oddíl, který zní:

„ODDÍL 1 EVROPSKÁ PENĚŽENKA DIGITÁLNÍ IDENTITY

S cílem zajistit, aby všechny fyzické a právnické osoby v Unii měly bezpečný, důvěryhodný a bezproblémový přeshraniční přístup k veřejným a soukromým službám a zároveň plnou kontrolu nad svými údaji, každý členský stát do 24 měsíců ode dne vstupu prováděcích aktů uvedených v odstavci 23 tohoto článku a v čl. 5c odst. 6 v platnost poskytne alespoň jednu evropskou peněženku digitální identity.

Evropské peněženky digitální identity jsou poskytovány jedním nebo vícero z následujících způsobů:

• a) přímo členským státem;
• b) z pověření členského státu;
• c) nezávisle na členském státu, ale tímto členským státem uznávané.

Zdrojový kód komponent aplikačního softwaru evropských peněženek digitální identity musí mít licenci otevřeného zdrojového kódu. Členské státy mohou stanovit, že v řádně odůvodněných případech se zdrojový kód konkrétních komponent jiných než těch, které jsou instalovány na uživatelských zařízeních, nezveřejní.

Evropské peněženky digitální identity umožní uživateli způsobem, který je pro uživatele přívětivý, transparentní a sledovatelný:

• a) bezpečně a pod výhradní kontrolou uživatele požadovat, získat, vybírat, kombinovat, uchovávat, mazat, sdílet a předkládat osobní identifikační údaje a případně ve spojení s elektronickým potvrzením atributů se autentizovat vůči spoléhajícím se stranám on-line a případně v off-line režimu s cílem přistupovat k veřejným a soukromým službám, přičemž je zajištěna možnost výběrového zpřístupňování údajů;
• b) generovat pseudonymy a ukládat je zašifrované a lokálně v rámci evropské peněženky digitální identity;
• c) bezpečně autentizovat evropskou peněženku digitální identity jiné osoby a přijímat a sdílet osobní identifikační údaje a elektronická potvrzení atributů zabezpečeným způsobem mezi dvěma evropskými peněženkami digitální identity;
• d) přistupovat k záznamu všech transakcí provedených prostřednictvím evropské peněženky digitální identity, a to na základě společného přehledu, který uživateli umožní:
  • i) zobrazit aktuální seznam spoléhajících se stran, s nimiž uživatel navázal spojení, a případně všech sdílených údajů;
  • ii) snadno požádat o výmaz osobních údajů podle článku 17 nařízení (EU) 2016/679 spoléhající se stranou;
  • iii) snadno nahlásit spoléhající se stranu vnitrostátnímu úřadu pro ochranu osobních údajů, pokud obdrží údajně protiprávní nebo podezřelou žádost o údaje;
• e) podepisovat kvalifikovanými elektronickými podpisy nebo pečetit kvalifikovanými elektronickými pečetěmi;
• f) v rozsahu, v jakém je to technicky proveditelné, stahovat údaje uživatele, elektronické potvrzení atributů a konfigurace;
• g) uplatňovat práva uživatelů na přenositelnost údajů.

Evropské peněženky digitální identity zejména:

• a) podporují společné protokoly a rozhraní:
  • i) pro vydávání osobních identifikačních údajů, kvalifikovaných a nekvalifikovaných elektronických potvrzení atributů nebo kvalifikovaných a nekvalifikovaných certifikátů k dané evropské peněžence digitální identity;
  • ii) pro spoléhající se strany, aby mohly požadovat a ověřovat platnost osobních identifikačních údajů a elektronických potvrzení atributů;
  • iii) pro sdílení osobních identifikačních údajů, elektronických potvrzení atributů nebo výběrově zpřístupněných souvisejících údajů se spoléhajícími se stranám a pro jejich předkládání spoléhajícím se stranám, a to on-line a případně v off-line režimu;
  • iv) umožňující uživateli interakci s evropskou peněženkou digitální identity a zobrazení značky důvěry EU pro peněženku digitální identity;
  • v) pro bezpečné zapojení uživatele pomocí prostředků pro elektronickou identifikaci v souladu s čl. 5a odst. 24;
  • vi) pro interakci mezi evropskými peněženkami digitální identity dvou osob pro účely přijímání, ověřování platnosti a sdílení osobních identifikačních údajů a elektronických potvrzení atributů zabezpečeným způsobem;
  • vii) pro autentizaci a identifikaci spoléhajících se stran zavedením mechanismů autentizace v souladu s článkem 5b;
  • viii) umožňující spoléhajícím se stranám ověřit pravost a platnost evropských peněženek digitální identity;
  • ix) pro požádání spoléhající se strany o výmaz osobních údajů podle článku 17 nařízení (EU) 2016/679;
  • x) pro nahlášení spoléhající se strany příslušnému vnitrostátnímu úřadu pro ochranu osobních údajů, pokud je obdržena údajně protiprávní nebo podezřelá žádost o údaje;
  • xi) pro vytváření kvalifikovaných elektronických podpisů nebo elektronických pečetí pomocí prostředků pro vytváření kvalifikovaných elektronických podpisů nebo elektronických pečetí;
• b) neposkytují žádné informace poskytovatelům služeb vytvářejících důvěru vydávajícím elektronická potvrzení atributů o používání těchto elektronických potvrzení;
• c) zajišťují možnost autentizace a identifikace spoléhajících se stran zavedením mechanismů autentizace v souladu s článkem 5b;
• d) splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky, zejména co se týče požadavků na prokazování a ověřování totožnosti a správu a autentizaci prostředků pro elektronickou identifikaci;
• e) v případě elektronického potvrzování atributů, jehož součástí jsou zásady zpřístupňování informací, zavádějí vhodný mechanismus informování uživatele o tom, že spoléhající se strana nebo uživatel evropské peněženky digitální identity, kteří žádají o elektronické potvrzení atributů, mají povolení přístupu k tomuto potvrzení;
• f) zajišťují, aby osobní identifikační údaje, které jsou dostupné ze systému elektronické identifikace, v jehož rámci je evropská peněženka digitální identity poskytována, jedinečným způsobem identifikovaly fyzickou osobu, právnickou osobu nebo fyzickou osobu zastupující fyzickou či právnickou osobu a byly s touto evropskou peněženkou digitální identity spojeny;
• g) poskytují standardně a bezplatně všem fyzickým osobám možnost podepisovat kvalifikovanými elektronickými podpisy.

Bez ohledu na první pododstavec písm. g) mohou členské státy stanovit přiměřená opatření k zajištění toho, aby bezplatné používání kvalifikovaných elektronických podpisů fyzickými osobami bylo omezeno na neprofesionální účely.

Členské státy bezodkladně informují uživatele o všech případech narušení bezpečnosti, které mohlo zcela nebo částečně ohrozit jejich evropské peněženky digitální identity nebo jejich obsah, zejména pokud vedlo k pozastavení nebo zrušení platnosti jejich evropských peněženek digitální identity podle článku 5e.

Aniž je dotčen článek 5f, mohou členské státy v souladu s vnitrostátním právem stanovit dodatečné funkce evropských peněženek digitální identity, včetně interoperability se stávajícími vnitrostátními prostředky pro elektronickou identifikaci. Tyto dodatečné funkce musí být v souladu s tímto článkem.

Členské státy zajistí bezplatné mechanismy ověřování platnosti s cílem:

• a) zajistit, aby bylo možné ověřit pravost a platnost evropských peněženek digitální identity;
• b) umožnit uživatelům ověřit pravost a platnost totožnosti spoléhajících se stran registrovaných v souladu s článkem 5b.

Členské státy zajistí, aby platnost evropské peněženky digitální identity mohla být zrušena za následujících okolností:

• a) na výslovnou žádost uživatele;
• b) pokud byla ohrožena bezpečnost evropské peněženky digitální identity;
• c) v případě úmrtí uživatele nebo ukončení činnosti právnické osoby.

Poskytovatelé evropských peněženek digitální identity zajistí, aby uživatelé mohli snadno požádat o technickou podporu a hlásit technické problémy nebo jakékoli jiné incidenty, které mají negativní dopad na používání evropské peněženky digitální identity.

Evropské peněženky digitální identity jsou poskytovány v rámci systému elektronické identifikace s vysokou úrovní záruky.

Evropské peněženky digitální identity zajišťují bezpečnost již od fáze návrhu.

Vydávání, používání a rušení evropských peněženek digitální identity je pro všechny fyzické osoby bezplatné.

Uživatelé mají používání své evropské peněženky digitální identity a údajů v ní obsažených plně pod kontrolou. Poskytovatel evropské peněženky digitální identity neshromažďuje informace o používání evropské peněženky digitální identity, které nejsou nezbytné pro poskytování služeb evropské peněženky digitální identity, ani nekombinuje osobní identifikační údaje či jakékoli jiné uložené osobní údaje nebo údaje týkající se používání evropské peněženky digitální identity s osobními údaji z jiných služeb nabízených tímto poskytovatelem nebo ze služeb třetích stran, které nejsou nezbytné pro poskytování služeb evropské peněženky digitální identity, ledaže o to uživatel výslovně požádal. Osobní údaje týkající se poskytování evropské peněženky digitální identity jsou uchovávány logicky odděleně od jakýchkoli jiných údajů v držení poskytovatele evropské peněženky digitální identity. Pokud evropskou peněženku digitální identity poskytují soukromé strany v souladu s odst. 2 písm. b) a c) tohoto článku, použijí se přiměřeně ustanovení čl. 45h odst. 3.

Používání evropských peněženek digitální identity je dobrovolné. Fyzické či právnické osoby, které evropskou peněženku digitální identity nepoužívají, nesmí být v žádném případě omezovány ani znevýhodňovány v přístupu k veřejným a soukromým službám, přístupu na trh práce, ani pokud jde o svobodu podnikání. Přístup k veřejným a soukromým službám musí být i nadále možný za použití jiných stávajících prostředků identifikace a autentizace.

Technický rámec evropské peněženky digitální identity:

• a) neumožňuje poskytovatelům elektronických potvrzení atributů ani žádné jiné straně po vydání potvrzení atributů získávat data umožňující sledovat transakce nebo chování uživatelů, propojovat je nebo mezi nimi vytvářet vztahy ani jiným způsobem získávat informace o transakcích nebo chování uživatelů, pokud to uživatel výslovně nepovolil;
• b) umožňuje techniky ochrany soukromí, které zajišťují nepropojitelnost, pokud potvrzení atributů nevyžaduje identifikaci uživatele.

Veškeré zpracování osobních údajů prováděné členskými státy nebo jejich jménem subjekty nebo stranami odpovědnými za poskytování evropských peněženek digitální identity jako prostředku pro elektronickou identifikaci se provádí v souladu s vhodnými a účinnými opatřeními na ochranu údajů. Musí být prokázán soulad takového zpracování s nařízením (EU) 2016/679. Členské státy mohou zavést vnitrostátní ustanovení s cílem dále upřesnit uplatňování těchto opatření.

Členské státy bez zbytečného odkladu oznámí Komisi informace o:

• a) subjektu odpovědném za zřízení a udržování seznamu registrovaných spoléhajících se stran, které využívají evropské peněženky digitální identity v souladu s čl. 5b odst. 5, a místu, na kterém se tento seznam nachází;
• b) subjektech odpovědných za poskytování evropských peněženek digitální identity v souladu s čl. 5a odst. 1;
• c) subjektech odpovědných za zajištění toho, aby osobní identifikační údaje byly spojeny s evropskou peněženkou digitální identity v souladu s čl. 5a odst. 5 písm. f);
• d) mechanismu umožňujícím ověření platnosti osobních identifikačních údajů uvedených v čl. 5a odst. 5 písm. f) a totožnosti spoléhajících se stran;
• e) mechanismu pro ověření pravosti a platnosti evropských peněženek digitální identity.

Komise zpřístupní informace oznámené podle prvního pododstavce veřejnosti prostřednictvím zabezpečeného kanálu v elektronicky podepsané nebo zapečetěné podobě vhodné pro automatizované zpracování.

Aniž je dotčen odstavec 22 tohoto článku, článek 11 se použije přiměřeně na evropskou peněženku digitální identity.

Ustanovení čl. 24 odst. 2 písm. b) a d) až h) se použije přiměřeně na poskytovatele evropské peněženky digitální identity.

Evropské peněženky digitální identity jsou přístupné pro použití osobami se zdravotním postižením na rovnoprávném základě s ostatními uživateli v souladu se směrnicí Evropského parlamentu a Rady (EU) 2019/882(Směrnice Evropského parlamentu a Rady (EU) 2019/882 ze dne 17. dubna 2019 o požadavcích na přístupnost u výrobků a služeb (Úř. věst. L 151, 7.6.2019, s. 70).).

Pro účely poskytování evropských peněženek digitální identity se na evropské peněženky digitální identity a systémy elektronické identifikace, v jejichž rámci jsou poskytovány, nevztahují požadavky stanovené v článcích 7, 9, 10, 12 a 12a.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely požadavků uvedených v odstavcích 4, 5, 8 a 18 tohoto článku o zavedení evropské peněženky digitální identity. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Komise stanoví prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví technické specifikace a postupy s cílem usnadnit zapojení uživatelů do používání evropské peněženky digitální identity za použití prostředků pro elektronickou identifikaci odpovídajících vysoké úrovni záruky, nebo prostředků pro elektronickou identifikaci odpovídajících značné úrovni záruky ve spojení s dalšími postupy vzdáleného zapojení, které společně splňují požadavky vysoké úrovně záruky. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Pokud spoléhající se strana hodlá spoléhat na evropské peněženky digitální identity pro účely poskytování veřejných nebo soukromých služeb prostřednictvím digitální interakce, zaregistruje se v členském státě, v němž je usazena.

Proces registrace musí být nákladově efektivní a přiměřený riziku. Spoléhající se strana poskytne alespoň:

• a) informace nezbytné k autentizaci evropských peněženek digitální identity, které zahrnují přinejmenším:
  • i) členský stát, v němž je spoléhající se strana usazena a
  • ii) název spoléhající se strany a případně její registrační číslo uvedené v úředním záznamu spolu s identifikačními údaji tohoto úředního záznamu;
• b) kontaktní údaje spoléhající se strany;
• c) zamýšlené použití evropských peněženek digitální identity, včetně uvedení údajů, které spoléhající se strana bude požadovat od uživatelů.

Spoléhající se strany nesmí od uživatelů požadovat, aby poskytli jiné údaje než ty, které jsou uvedeny podle odst. 2 písm. c).

Odstavci 1 a 2 nejsou dotčena ustanovení práva Unie nebo vnitrostátního práva, která upravují poskytování konkrétních služeb.

Členské státy zpřístupní informace uvedené v odstavci 2 veřejnosti on-line v elektronicky podepsané nebo zapečetěné podobě vhodné pro automatizované zpracování.

Spoléhající se strany registrované v souladu s tímto článkem neprodleně informují členské státy o veškerých změnách informací poskytnutých při registraci podle odstavce 2.

Členské státy zajistí společný mechanismus umožňující identifikaci a autentizaci spoléhajících se stran, jak je uvedeno v čl. 5a odst. 5 písm. c).

Pokud spoléhající se strany hodlají spoléhat na evropské peněženky digitální identity, musí se vůči uživateli identifikovat.

Spoléhající se strany jsou odpovědné za provádění postupu pro autentizaci a ověření platnosti osobních identifikačních údajů a elektronického potvrzení atributů vyžádaných z evropských peněženek digitální identity. Spoléhající se strany neodmítnou použití pseudonymů, pokud identifikace uživatele není vyžadována právem Unie nebo vnitrostátním právem.

Zprostředkovatelé, kteří jednají jménem spoléhajících se stran, se považují za spoléhající se strany a neuchovávají údaje o obsahu transakce.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů o zavedení evropské peněženky digitální identity, jak jsou uvedeny v čl. 5a odst. 23, technické specifikace a postupy pro požadavky uvedené v odstavcích 2, 5 a 6 až 9 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Shodu evropských peněženek digitální identity a systému elektronické identifikace, v jehož rámci jsou poskytovány, s požadavky stanovenými v čl. 5a odst. 4, 5 a 8, s požadavkem na logické oddělení stanoveným v čl. 5a odst. 14 a případně s normami a technickými specifikacemi uvedenými v čl. 5a odst. 24 certifikují subjekty posuzování shody určené členskými státy.

Certifikace shody evropských peněženek digitální identity s požadavky uvedenými v odstavci 1 tohoto článku nebo jejich částmi, které se týkají kybernetické bezpečnosti, se provádí v souladu s evropskými schématy certifikace kybernetické bezpečnosti zavedenými podle nařízení Evropského parlamentu a Rady (EU) 2019/881(Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA (Agentuře Evropské unie pro kybernetickou bezpečnost), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 (‚akt o kybernetické bezpečnosti‘) (Úř. věst. L 151, 7.6.2019, s. 15).) a uvedenými v prováděcích aktech uvedených v odstavci 6 tohoto článku.

Pokud jde o požadavky uvedené v odstavci 1 tohoto článku, které se netýkají kybernetické bezpečnosti, a požadavky uvedené v odstavci 1 tohoto článku, které se kybernetické bezpečnosti týkají, ale schémata certifikace kybernetické bezpečnosti uvedená v odstavci 2 tohoto článku se na ně nevztahují nebo se na ně vztahují pouze částečně, členské státy zavedou rovněž pro tyto požadavky v příslušném rozsahu vnitrostátní schémata certifikace v souladu s požadavky stanovenými v prováděcích aktech uvedených v odstavci 6 tohoto článku. Členské státy předají své návrhy vnitrostátních schémat certifikace skupině pro evropskou spolupráci v oblasti digitální identity zřízené podle čl. 46e odst. 1 (dále jen ‚skupina pro spolupráci‘). Skupina pro spolupráci může vydávat stanoviska a doporučení.

Certifikace podle odstavce 1 je platná až po dobu pěti let, pokud se každé dva roky provádí hodnocení zranitelnosti. Je-li identifikována zranitelnost a není-li včas odstraněna, certifikace se zruší.

Soulad s požadavky stanovenými v článku 5a tohoto nařízení týkajícími se zpracování osobních údajů lze certifikovat podle nařízení (EU) 2016/679.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a případně stanoví specifikace a postupy pro certifikaci evropských peněženek digitální identity uvedenou v odstavcích 1, 2 a 3 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Členské státy sdělí Komisi názvy a adresy subjektů posuzování shody uvedených v odstavci 1. Komise tyto informace zpřístupní všem členským státům.

Komisi je svěřena pravomoc přijímat v souladu s článkem 47 akty v přenesené pravomoci, které stanoví zvláštní kritéria, která mají splňovat určené subjekty posuzování shody uvedené v odstavci 1 tohoto článku.

Členské státy bez zbytečného odkladu informují Komisi a skupinu pro spolupráci zřízenou podle čl. 46e odst. 1 o evropských peněženkách digitální identity, které byly poskytnuty podle článku 5a a certifikovány subjekty posuzování shody uvedenými v čl. 5c odst. 1. V případě zrušení certifikace bez zbytečného odkladu informují Komisi a skupinu pro spolupráci zřízenou podle čl. 46e odst. 1 a uvedou důvody zrušení.

Aniž je dotčen čl. 5a odst. 18, informace poskytnuté členskými státy uvedené v odstavci 1 tohoto článku zahrnují alespoň:

• a) certifikát a zprávu o posouzení certifikace certifikované evropské peněženky digitální identity;
• b) popis systému elektronické identifikace, v jehož rámci je evropská peněženka digitální identity poskytována;
• c) použitelný režim dohledu a informace o režimu odpovědnosti, pokud jde o stranu poskytující evropskou peněženku digitální identity;
• d) orgán nebo orgány odpovědné za systém elektronické identifikace;
• e) opatření k pozastavení platnosti nebo zrušení systému elektronické identifikace nebo autentizace či dotčených ohrožených součástí.

Na základě informací obdržených podle odstavce 1 Komise sestaví, zveřejní v Úředním věstníku Evropské unie a vede ve strojově čitelné podobě seznam certifikovaných evropských peněženek digitální identity.

Členský stát může Komisi požádat o vyřazení evropské peněženky digitální identity a systému elektronické identifikace, v jehož rámci je poskytována, ze seznamu uvedeného v odstavci 3.

V případě změn týkajících se informací poskytnutých podle odstavce 1 poskytne členský stát Komisi aktualizované informace.

Komise seznam uvedený v odstavci 3 aktualizuje zveřejněním odpovídajících změn seznamu v Úředním věstníku Evropské unie do jednoho měsíce od obdržení žádosti podle odstavce 4 nebo aktualizovaných informací podle odstavce 5.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcího aktu o zavedení evropské peněženky digitální identity, jak je uveden v čl. 5a odst. 23, formáty a postupy použitelné pro účely uvedené v odstavcích 1, 4 a 5 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Pokud jsou evropské peněženky digitální identity poskytované podle článku 5a nebo mechanismy ověření platnosti uvedené v čl. 5a odst. 8 nebo systém elektronické identifikace, v jehož rámci jsou evropské peněženky digitální identity poskytovány, narušeny nebo částečně ohroženy způsobem, který ovlivňuje jejich spolehlivost nebo spolehlivost jiných evropských peněženek digitální identity, členský stát, který evropské peněženky digitální identity poskytl, bez zbytečného odkladu poskytování a používání evropských peněženek digitální identity pozastaví.

Je-li to odůvodněno závažností narušení bezpečnosti nebo ohrožení uvedeného v prvním pododstavci, členský stát evropské peněženky digitální identity bez zbytečného odkladu stáhne.

Členský stát o stažení odpovídajícím způsobem informuje dotčené uživatele, jednotná kontaktní místa určená podle čl. 46c odst. 1, spoléhající se strany a Komisi.

Není-li narušení bezpečnosti nebo ohrožení uvedené v odst. 1 prvním pododstavci tohoto článku napraveno do tří měsíců od pozastavení, členský stát, který evropské peněženky digitální identity poskytl, evropské peněženky digitální identity stáhne a zruší jejich platnost. Členský stát o stažení odpovídajícím způsobem informuje dotčené uživatele, jednotná kontaktní místa určená podle čl. 46c odst. 1, spoléhající se strany a Komisi.

Pokud bylo narušení bezpečnosti nebo ohrožení bezpečnosti uvedené v odst. 1 prvním pododstavci tohoto článku napraveno, poskytující členský stát obnoví poskytování a používání evropských peněženek digitální identity a bez zbytečného odkladu o tom uvědomí dotčené uživatele a spoléhající se strany, jednotná kontaktní místa určená podle čl. 46c odst. 1 a Komisi.

Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie odpovídající změny v seznamu uvedeném v článku 5d.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro opatření uvedená v odstavcích 1, 2 a 3 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Pokud členské státy pro přístup k on-line službě poskytované subjektem veřejného sektoru vyžadují elektronickou identifikaci a autentizaci, akceptují rovněž evropské peněženky digitální identity poskytnuté v souladu s tímto nařízením.

Pokud právo Unie nebo vnitrostátní právo vyžaduje od soukromých spoléhajících se stran, které poskytují služby – s výjimkou mikropodniků a malých podniků ve smyslu článku 2 přílohy doporučení Komise 2003/361/ES(Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (Úř. věst. L 124, 20.5.2003, s. 36).) – silnou autentizaci uživatele k on-line identifikaci nebo pokud takovou silnou autentizaci uživatele k on-line identifikaci vyžaduje smluvní závazek, a to i v oblasti dopravy, energetiky, bankovnictví, finančních služeb, sociálního zabezpečení, zdravotnictví, pitné vody, poštovních služeb, digitální infrastruktury, vzdělávání nebo telekomunikací, uvedené soukromé spoléhající se strany do 36 měsíců ode dne vstupu prováděcích aktů uvedených v čl. 5a odst. 23 a čl. 5c odst. 6 v platnost a pouze na dobrovolnou žádost uživatele začnou akceptovat rovněž evropské peněženky digitální identity poskytnuté v souladu s tímto nařízením.

V případech, kdy poskytovatelé velmi velkých on-line platforem uvedených v článku 33 nařízení Evropského parlamentu a Rady (EU) 2022/2065(Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách) (Úř. věst. L 277, 27.10.2022, s. 1).“) vyžadují autentizaci uživatelů pro přístup k on-line službám, tito poskytovatelé pro autentizaci uživatele rovněž akceptují a usnadňují používání evropských peněženek digitální identity poskytnutých v souladu s tímto nařízením, a to pouze na dobrovolnou žádost uživatele a s ohledem na minimální údaje nezbytné pro konkrétní on-line službu, pro kterou se autentizace požaduje.

Komise ve spolupráci s členskými státy usnadní vypracování kodexů chování v úzké spolupráci se všemi příslušnými zúčastněnými stranami, včetně občanské společnosti, s cílem přispět k široké dostupnosti a použitelnosti evropských peněženek digitální identity v oblasti působnosti tohoto nařízení a podpořit poskytovatele služeb, aby dokončili vypracování kodexů chování.

Do 24 měsíců od zavedení evropských peněženek digitální identity vyhodnotí Komise poptávku po evropských peněženkách digitální identity a jejich dostupnost a použitelnost, s přihlédnutím ke kritériím, jako jsou rozšíření mezi uživateli, přeshraniční přítomnost poskytovatelů služeb, technologický vývoj, vývoj způsobů využívání a poptávka spotřebitelů.

6) Před článek 6 se vkládá nadpis, který zní:

„ODDÍL 2 SYSTÉMY ELEKTRONICKÉ IDENTIFIKACE“.

7) V článku 7 se písmeno g) nahrazuje tímto:

• „g) nejméně šest měsíců před oznámením podle čl. 9 odst. 1 poskytne oznamující členský stát ostatním členským státům pro účely čl. 12 odst. 5 popis daného systému v souladu s procesními opatřeními stanovenými v prováděcích aktech přijatých podle čl. 12 odst. 6;“.

8) V čl. 8 odst. 3 se první pododstavec nahrazuje tímto:

Do 18. září 2015 Komise prostřednictvím prováděcích aktů s přihlédnutím k příslušným mezinárodním normám a s výhradou odstavce 2 stanoví minimální technické specifikace, normy a postupy, jejichž pomocí jsou vymezeny nízká, značná a vysoká úroveň záruky prostředků pro elektronickou identifikaci.“

9) V článku 9 se odstavce 2 a 3 nahrazují tímto:

Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie seznam systémů elektronické identifikace, které byly oznámeny podle odstavce 1, spolu se základními informacemi o těchto systémech.

Komise zveřejní v Úředním věstníku Evropské unie změny seznamu uvedeného v odstavci 2 do jednoho měsíce od obdržení daného oznámení.“

10) V článku 10 se nadpis nahrazuje tímto:

„Narušení bezpečnosti systémů elektronické identifikace“.

11) Vkládá se nový článek, který zní:

Pokud členské státy jednají jako spoléhající se strany pro účely přeshraničních služeb, zajistí jednoznačné párování totožnosti fyzických osob používajících oznámené prostředky pro elektronickou identifikaci nebo evropské peněženky digitální identity.

Členské státy stanoví technická a organizační opatření s cílem zajistit vysokou úroveň ochrany osobních údajů používaných pro párování totožnosti a zabránit profilování uživatelů.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro požadavky uvedené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

12) Článek 12 se mění takto:

• a) název se nahrazuje tímto:

  „Interoperabilita“;

• b) odstavec 3 se mění takto:
  • i) písmeno c) se nahrazuje tímto:
    • „c) usnadňuje zavádění ochrany soukromí a bezpečnosti již od fáze návrhu;“;
  • ii) písmeno d) se zrušuje;
• c) v odstavci 4 se písmeno d) nahrazuje tímto:
  • „d) odkazu na minimální soubor osobních identifikačních údajů nezbytných k jedinečné identifikaci fyzické nebo právnické osoby nebo fyzické osoby zastupující jinou fyzickou či právnickou osobu, který je v systémech elektronické identifikace k dispozici;“;
• d) odstavce 5 a 6 se nahrazují tímto:

  Členské státy provádějí vzájemná hodnocení systémů elektronické identifikace, které spadají do oblasti působnosti tohoto nařízení a jsou oznamovány podle čl. 9 odst. 1 písm. a).

  Do 18. března 2025 stanoví Komise prostřednictvím prováděcích aktů nezbytná procesní opatření pro vzájemná hodnocení uvedená v odstavci 5 tohoto článku v zájmu podpory vysoké úrovně důvěry a bezpečnosti odpovídající míře rizika. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“;

• e) odstavec 7 se zrušuje;
• f) odstavec 8 se nahrazuje tímto:

  Do 18. září 2025 přijme Komise za účelem stanovení jednotných podmínek pro provádění požadavku podle odstavce 1 tohoto článku, s výhradou kritérií stanovených v odstavci 3 tohoto článku a s přihlédnutím k výsledkům spolupráce mezi členskými státy, prováděcí akty týkající se rámce interoperability stanoveného v odstavci 4 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

13) V kapitole II se vkládají nové články, které znějí:

Shodu systémů elektronické identifikace, které mají být oznámeny, s požadavky na kybernetickou bezpečnost stanovenými v tomto nařízení, včetně souladu s příslušnými požadavky na kybernetickou bezpečnost stanovenými v čl. 8 odst. 2, pokud jde o úrovně záruky systémů elektronické identifikace, certifikují subjekty posuzování shody určené členskými státy.

Certifikace podle odstavce 1 tohoto článku se provádí v rámci příslušného schématu certifikace kybernetické bezpečnosti podle nařízení (EU) 2019/881 nebo jeho částí, pokud se certifikát kybernetické bezpečnosti nebo jeho části vztahují na uvedené požadavky kybernetické bezpečnosti.

Certifikace podle odstavce 1 je platná až po dobu pěti let, pokud se každé dva roky provádí hodnocení zranitelnosti. Je-li identifikována zranitelnost a není-li do tří měsíců od uvedené identifikace odstraněna, certifikace se zruší.

Bez ohledu na odstavec 2 mohou členské státy v souladu s uvedeným odstavcem požadovat od oznamujícího členského státu doplňující informace o systémech elektronické identifikace nebo jejich částech, které byly certifikovány.

Vzájemné hodnocení systémů elektronické identifikace uvedené v čl. 12 odst. 5 se nevztahuje na systémy elektronické identifikace nebo na části těchto systémů certifikované v souladu s odstavcem 1 tohoto článku. Členské státy mohou použít certifikát nebo prohlášení o shodě vydané v souladu s příslušným schématem certifikace nebo částmi takových schémat s požadavky stanovenými v čl. 8 odst. 2, které se netýkají kybernetické bezpečnosti, pokud jde o úroveň záruky systémů elektronické identifikace.

Členské státy sdělí Komisi názvy a adresy subjektů posuzování shody uvedených v odstavci 1. Komise tyto informace zpřístupní všem členským státům.

Pokud jsou poskytovatelé evropských peněženek digitální identity a vydavatelé oznámených prostředků pro elektronickou identifikaci, kteří jednají v rámci obchodní nebo profesní činnosti a využívají hlavní služby platforem ve smyslu čl. 2 bodu 2 nařízení Evropského parlamentu a Rady (EU) 2022/1925(Nařízení Evropského parlamentu a Rady (EU) 2022/1925 ze dne 14. září 2022 o spravedlivých trzích otevřených hospodářské soutěži v digitálním odvětví a o změně směrnic (EU) 2019/1937 a (EU) 2020/1828 (nařízení o digitálních trzích) (Úř. věst. L 265, 12.10.2022, s. 1).“) pro účely poskytování nebo v průběhu poskytování služeb evropské peněženky digitální identity a prostředků pro elektronickou identifikaci koncovým uživatelům, podnikatelskými uživateli ve smyslu čl. 2 bodu 21 uvedeného nařízení, umožní jim strážci přístupu zejména účinnou interoperabilitu se stejným operačním systémem, hardwarovými nebo softwarovými prvky a přístup k nim pro účely interoperability. Tato účinná interoperabilita a přístup musí být umožněny bezplatně a bez ohledu na to, zda jsou hardwarové nebo softwarové prvky součástí operačního systému, zda jsou dostupné strážci přístupu nebo zda jsou strážcem přístupu používané při poskytování těchto služeb ve smyslu čl. 6 odst. 7 nařízení (EU) 2022/1925. Tímto článkem není dotčen čl. 5a odst. 14 tohoto nařízení.

14) V článku 13 se odstavec 1 nahrazuje tímto:

Bez ohledu na odstavec 2 tohoto článku, a aniž je dotčeno nařízení (EU) 2016/679 poskytovatelé služeb vytvářejících důvěru odpovídají za újmu, kterou úmyslně nebo z nedbalosti způsobí fyzické nebo právnické osobě nesplněním povinností podle tohoto nařízení. Každá fyzická nebo právnická osoba, která v důsledku porušení tohoto nařízení poskytovatelem služeb vytvářejících důvěru utrpěla hmotnou či nehmotnou újmu, má právo požadovat náhradu újmy v souladu s právem Unie a vnitrostátním právem.

Důkazní břemeno, pokud jde o úmysl nebo nedbalost nekvalifikovaného poskytovatele služeb vytvářejících důvěru, nese fyzická nebo právnická osoba uplatňující nárok na náhradu škody podle prvního pododstavce.

V případě kvalifikovaného poskytovatele služeb vytvářejících důvěru se úmysl nebo nedbalost předpokládá, pokud daný kvalifikovaný poskytovatel služeb vytvářejících důvěru neprokáže, že újma podle prvního pododstavce nastala bez jeho úmyslu nebo nedbalosti.“

15) Články 14, 15 a 16 se nahrazují tímto:

Služby vytvářející důvěru poskytované poskytovateli služeb vytvářejících důvěru usazenými ve třetí zemi či mezinárodní organizací se uznávají jako právně rovnocenné kvalifikovaným službám vytvářejícím důvěru poskytovaným kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii, pokud jsou služby vytvářející důvěru pocházející ze třetí země nebo mezinárodní organizace uznány prostřednictvím prováděcích aktů nebo dohody uzavřené mezi Unií a třetí zemí nebo mezinárodní organizací v souladu s článkem 218 Smlouvy o fungování EU.

Prováděcí akty uvedené v prvním pododstavci se přijímají přezkumným postupem podle čl. 48 odst. 2.

Prováděcí akty a dohody uvedené v odstavci 1 zajistí, že poskytovatelé služeb vytvářejících důvěru usazení ve třetí zemi nebo mezinárodní organizace a jimi poskytované služby vytvářející důvěru splňují požadavky vztahující se na kvalifikované poskytovatele služeb vytvářejících důvěru usazené v Unii a jimi poskytované kvalifikované služby vytvářející důvěru. Třetí země a mezinárodní organizace zejména sestaví, spravují a zveřejňují důvěryhodný seznam uznaných poskytovatelů služeb vytvářejících důvěru.

Dohody uvedené v odstavci 1 zajistí, že kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii jsou uznány jako právně rovnocenné službám vytvářejícím důvěru poskytovaným poskytovateli služeb vytvářejících důvěru ve třetí zemi nebo mezinárodní organizací, s níž je dohoda uzavřena.

Poskytování prostředků pro elektronickou identifikaci, služeb vytvářejících důvěru a produktů pro koncové uživatele, které jsou používány při poskytování těchto služeb, se zpřístupní jednoduchým a srozumitelným jazykem, v souladu s Úmluvou Organizace spojených národů o právech osob se zdravotním postižením a s požadavky na přístupnost obsaženými ve směrnici (EU) 2019/882, z čehož mají prospěch i osoby s funkčními omezeními, jako jsou starší osoby a osoby s omezeným přístupem k digitálním technologiím.

Aniž je dotčen článek 31 směrnice Evropského parlamentu a Rady (EU) 2022/2555(Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (Úř. věst. L 333, 27.12.2022, s. 80).“), členské státy stanoví sankce za porušení tohoto nařízení. Tyto sankce musí být účinné, přiměřené a odrazující.

Členské státy zajistí, aby porušení tohoto nařízení kvalifikovanými a nekvalifikovanými poskytovateli služeb vytvářejících důvěru podléhalo správním pokutám v maximální výši alespoň:

• a) 5000000 EUR, je-li poskytovatelem služeb vytvářejících důvěru fyzická osoba; nebo
• b) je-li poskytovatelem služeb vytvářejících důvěru právnická osoba, 5000000 EUR nebo 1 % celkového celosvětového ročního obratu podniku, k němuž poskytovatel služeb vytvářejících důvěru patřil v účetním období předcházejícím roku, v němž došlo k porušení, podle toho, která hodnota je vyšší.

V závislosti na právním systému členských států lze pravidla pro správní pokuty uplatnit tak, aby podnět k pokutě dával příslušný orgán dohledu a ukládaly ji příslušné vnitrostátní soudy. Uplatňování těchto pravidel v uvedených členských státech zajistí, aby tyto právní prostředky byly účinné a měly rovnocenný účinek jako správní pokuty ukládané přímo orgány dohledu.

16) V kapitole III oddíle 2 se název nahrazuje tímto:

„Nekvalifikovaní poskytovatelé služeb vytvářející důvěru“;

17) Články 17 a 18 se zrušují.

18) Do kapitoly III oddílu 2 se vkládá nový článek, který zní:

Nekvalifikovaný poskytovatel služeb vytvářejících důvěru poskytující nekvalifikované služby vytvářející důvěru:

• a) má vhodné politiky a přijímá odpovídající opatření pro řízení právních, obchodních, provozních a jiných přímých nebo nepřímých rizik spojených s poskytováním nekvalifikované služby vytvářející důvěru, která bez ohledu na článek 21 směrnice (EU) 2022/2555 zahrnují alespoň opatření týkající se:
  • i) registrace ke službě vytvářející důvěru a zapojení do jejího používání;
  • ii) procesních nebo správních kontrol potřebných k poskytování služeb vytvářejících důvěru;
  • iii) řízení a provádění služeb vytvářejících důvěru;
• b) oznámí orgánu dohledu, identifikovatelným dotčeným osobám, veřejnosti, pokud je to ve veřejném zájmu, a případně dalším relevantním příslušným orgánům veškerá narušení bezpečnosti nebo narušení poskytování služby nebo provádění opatření uvedených v písm. a) bodech i), ii) nebo iii), která mají významný dopad na poskytovanou službu vytvářející důvěru nebo na osobní údaje v ní uchovávané, a to bez zbytečného odkladu a v každém případě nejpozději do 24 hodin poté, co se o jakýchkoli narušeních bezpečnosti nebo jiných narušeních dozvěděl.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odst. 1 písm. a) tohoto článku. Pokud jsou tyto normy, specifikace a postupy splněny, předpokládá se shoda s požadavky stanovenými v tomto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

19) Článek 20 se mění takto:

• a) odstavec 1 se nahrazuje tímto:

  Kvalifikovaní poskytovatelé služeb vytvářejících důvěru se na vlastní náklady alespoň jednou za 24 měsíců podrobí auditu ze strany subjektu posuzování shody. Audit potvrdí, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení a článku 21 směrnice (EU) 2022/2555. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru předloží výslednou zprávu o posouzení shody orgánu dohledu do tří pracovních dnů od jejího obdržení.“;

• b) vkládají se nové odstavce, které znějí:

  Kvalifikovaní poskytovatelé služeb vytvářejících důvěru informují orgán dohledu o plánovaných auditech alespoň jeden měsíc předem a na požádání umožní účast orgánu dohledu jako pozorovatele.

  Členské státy oznámí Komisi bez zbytečného odkladu názvy, adresy a údaje o akreditaci subjektů posuzování shody uvedených v odstavci 1 a veškeré jejich následné změny. Komise tyto informace zpřístupní všem členským státům.“;

• c) odstavce 2, 3 a 4 se nahrazují tímto:

  Aniž je dotčen odstavec 1, může orgán dohledu u kvalifikovaných poskytovatelů služeb vytvářejících důvěru na jejich náklady kdykoli provést audit nebo požádat subjekt posuzování shody o provedení posouzení shody za účelem potvrzení, že oni sami i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů, informuje orgán dohledu bez zbytečného odkladu příslušné dozorové úřady zřízené podle článku 51 nařízení (EU) 2016/679.

  Pokud kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených tímto nařízením, orgán dohledu ho požádá, aby v případně stanovené lhůtě zjednal nápravu.

  Pokud tento poskytovatel nezjedná nápravu, a to ve lhůtě případně stanovené orgánem dohledu, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.

  Pokud příslušné orgány určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 informují orgán dohledu o tom, že kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených v článku 21 uvedené směrnice, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.

  Pokud dozorové úřady zřízené podle článku 51 nařízení (EU) 2016/679 informují orgán dohledu o tom, že kvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje některý z požadavků stanovených v uvedeném nařízení, orgán dohledu, je-li to odůvodněno zejména rozsahem, délkou trvání a důsledky daného neplnění, odejme danému poskytovateli nebo dotčené službě, kterou poskytuje, status kvalifikovaného poskytovatele nebo kvalifikované služby.

  Orgán dohledu vyrozumí daného kvalifikovaného poskytovatele služeb vytvářejících důvěru o odnětí statusu kvalifikovaného poskytovatele nebo kvalifikované služby. Orgán dohledu informuje subjekt oznámený podle čl. 22 odst. 3 tohoto nařízení pro účely aktualizace důvěryhodných seznamů uvedených v odstavci 1 uvedeného článku a příslušný orgán určený nebo zřízený podle čl. 8 odst. 1 směrnice (EU) 2022/2555.

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro:

  • a) akreditaci subjektů posuzování shody a pro zprávy o posouzení shody podle odstavce 1;
  • b) požadavky na audit, podle nichž budou subjekty posuzování shody provádět posuzování shody, včetně kombinovaného posuzování, kvalifikovaných poskytovatelů služeb vytvářejících důvěru podle odstavce 1;
  • c) režimy posuzování shody vztahující se na posuzování shody kvalifikovaných poskytovatelů služeb vytvářejících důvěru prováděné subjekty posuzování shody a na předkládání zpráv uvedených v odstavci 1.

  Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

20) Článek 21 se mění takto:

• a) odstavce 1 a 2 se nahrazují tímto:

  Pokud poskytovatelé služeb vytvářejících důvěru hodlají začít poskytovat kvalifikovanou službu vytvářející důvěru, oznámí orgánu dohledu svůj úmysl spolu se zprávou o posouzení shody vydanou subjektem posuzování shody, která potvrzuje splnění požadavků stanovených v tomto nařízení a v článku 21 směrnice (EU) 2022/2555.

  Orgán dohledu ověří, zda poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, zejména požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru a na jimi poskytované kvalifikované služby vytvářející důvěru.

  Za účelem ověření, zda poskytovatel služeb vytvářejících důvěru splňuje požadavky stanovené v článku 21 směrnice (EU) 2022/2555, požádá orgán dohledu příslušné orgány určené nebo zřízené podle čl. 8 odst. 1 uvedené směrnice, aby k tomu provedly opatření dohledu a poskytly informace o výsledku bez zbytečného odkladu a v každém případě do dvou měsíců od obdržení této žádosti. Není-li ověření dokončeno do dvou měsíců od oznámení, vyrozumí uvedené příslušné orgány orgán dohledu a uvedou důvody prodlení a dobu, v níž bude ověřování dokončeno.

  Dospěje-li orgán dohledu k závěru, že poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, udělí orgán dohledu tomuto poskytovateli služeb vytvářejících důvěru a jím poskytovaným službám vytvářejícím důvěru status kvalifikovaného poskytovatele a kvalifikované služby a uvědomí o tom subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1, a to nejpozději do tří měsíců od obdržení oznámení podle odstavce 1 tohoto článku.

  Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.“;

• b) odstavec 4 se nahrazuje tímto:

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy oznamování a ověřování pro účely odstavců 1 a 2 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

21) Článek 24 se mění takto:

• a) odstavec 1 se nahrazuje tímto:

  Při vydávání kvalifikovaného certifikátu nebo kvalifikovaného elektronického potvrzení atributů ověří kvalifikovaný poskytovatel služeb vytvářejících důvěru totožnost a případně zvláštní atributy fyzické nebo právnické osoby, jimž se má kvalifikovaný certifikát nebo kvalifikované elektronické potvrzení atributů vydat.

  Kvalifikovaný poskytovatel služeb vytvářejících důvěru provede ověření totožnosti uvedené v odstavci 1 vhodným způsobem buď přímo, nebo prostřednictvím třetí strany, a to na základě jedné z těchto metod nebo případně jejich kombinace a v souladu s prováděcími akty uvedenými v odstavci 1c:

  • a) prostřednictvím evropské peněženky digitální identity nebo oznámených prostředků pro elektronickou identifikaci, které splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky;
  • b) pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaných v souladu s písmeny a), c) nebo d);
  • c) použitím jiných metod identifikace, které zajišťují identifikaci osoby s vysokou úrovní spolehlivosti, jejichž shodu potvrdí subjekt posuzování shody;
  • d) na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby pomocí vhodných důkazů a postupů v souladu s vnitrostátním právem.

  Kvalifikovaný poskytovatel služeb vytvářejících důvěru provede ověření atributů uvedené v odstavci 1 vhodným způsobem buď přímo, nebo prostřednictvím třetí strany, a to na základě jedné z těchto metod nebo případně jejich kombinace a v souladu s prováděcími akty uvedenými v odstavci 1c:

  • a) prostřednictvím evropské peněženky digitální identity nebo oznámených prostředků pro elektronickou identifikaci, které splňují požadavky stanovené v článku 8, pokud jde o vysokou úroveň záruky;
  • b) pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaných v souladu s odst. 1a písm. a), c) nebo d);
  • c) pomocí kvalifikovaného elektronického potvrzení atributů;
  • d) použitím jiných metod, které zajišťují ověření atributů s vysokou úrovní spolehlivosti, jejichž shodu potvrdí subjekt posuzování shody;
  • e) na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby pomocí vhodných důkazů a postupů v souladu s vnitrostátním právem.

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování totožnosti a atributů v souladu s odstavci 1, 1a a 1b tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“;

• b) odstavec 2 se mění takto:
  • i) písmeno a) se nahrazuje tímto:
    • „a) informuje orgán dohledu alespoň jeden měsíc před provedením jakékoli změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru nebo tři měsíce v případě záměru ukončit tyto činnosti;“;
  • ii) písmena d) a e) se nahrazují tímto:
    • „d) před uzavřením smluvního vztahu informuje jasným, srozumitelným a jednoduše přístupným způsobem, ve veřejně dostupném prostoru a individuálně každou osobu, která chce využít kvalifikovanou službu vytvářející důvěru, o přesných podmínkách používání této služby, včetně případných omezení jejího využívání;
    • e) používá důvěryhodné systémy a produkty, které jsou chráněny proti pozměnění, a zajišťuje technickou bezpečnost a spolehlivost procesů, které podporují, včetně použití vhodných kryptografických technik;“;
  • iii) vkládají se nová písmena, která znějí:
    • „fa) bez ohledu na článek 21 směrnice (EU) 2022/2555 má vhodné politiky a přijímá odpovídající opatření pro řízení právních, obchodních, provozních a jiných přímých nebo nepřímých rizik poskytování kvalifikované služby vytvářející důvěru, zahrnující alespoň opatření týkající se:
      • i) registrace ke službě a zapojení do jejího používání;
      • ii) procesních nebo správních kontrol;
      • iii) řízení a provádění služeb;
    • fb) oznámí orgánu dohledu, identifikovatelným dotčeným osobám, případně dalším relevantním příslušným orgánům a na žádost orgánu dohledu veřejnosti, pokud je to ve veřejném zájmu, veškerá narušení bezpečnosti nebo narušení poskytování služby nebo provádění opatření uvedených v písm. fa) bodech i), ii) nebo iii), která mají významný dopad na poskytovanou službu vytvářející důvěru nebo na osobní údaje v ní uchovávané, a to bez zbytečného odkladu a v každém případě do 24 hodin poté, co došlo k incidentu;“;
  • iv) písmena g), h) a i) se nahrazují tímto:
    • „g) přijímá vhodná opatření proti padělání, odcizení nebo zneužití dat nebo neoprávněnému vymazání, pozměnění nebo znepřístupnění dat;
    • h) po nezbytně dlouhou dobu poté, co ukončil svou činnost kvalifikovaného poskytovatele služeb vytvářejících důvěru, eviduje a zpřístupňuje veškeré příslušné informace týkající se dat, která vydal a obdržel, pro účely poskytnutí důkazů v soudním a správním řízení a pro účely zajištění kontinuity služby. Tato evidence může mít elektronickou podobu;
    • i) má k dispozici aktualizovaný plán ukončení činnosti k zajištění kontinuity služby v souladu s ustanoveními ověřenými orgánem dohledu podle čl. 46b odst. 4 písm. i);“;
  • v) písmeno j) se zrušuje;
  • vi) doplňuje se nový pododstavec, který zní:

    „Orgán dohledu si může vyžádat informace nad rámec informací, které jsou mu oznamovány v souladu s prvním pododstavcem písm. a), nebo výsledek posouzení shody a může stanovit podmínky pro udělení povolení k provedení zamýšlených změn kvalifikovaných služeb vytvářejících důvěru. Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.“;

• c) odstavec 5 se nahrazuje tímto:

  Odstavce 3 a 4 se odpovídajícím způsobem použijí na zneplatnění kvalifikovaných elektronických potvrzení atributů.

  Komisi je svěřena pravomoc přijímat v souladu s článkem 47 akty v přenesené pravomoci, které stanoví dodatečná opatření uvedená v odst. 2 písm. fa) tohoto článku.

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely požadavků uvedených v odstavci 2 tohoto článku. Pokud jsou tyto normy, specifikace a postupy splněny, předpokládá se shoda s požadavky stanovenými v tomto odstavci. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

22) V kapitole III oddílu 3 se vkládá nový článek, který zní:

Kvalifikované elektronické podpisy založené na kvalifikovaném certifikátu vydaném v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované elektronické podpisy a kvalifikované elektronické pečeti založené na kvalifikovaném certifikátu vydaném v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované elektronické pečeti.

Kvalifikované prostředky pro vytváření elektronických podpisů certifikované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované prostředky pro vytváření elektronických podpisů a kvalifikované prostředky pro vytváření elektronických pečetí certifikované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikované prostředky pro vytváření elektronických pečetí.

Kvalifikovaný certifikát pro elektronické podpisy, kvalifikovaný certifikát pro elektronické pečeti, kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku a kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku, poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaný certifikát pro elektronické podpisy, kvalifikovaný certifikát pro elektronické pečeti, kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku a kvalifikovaná služba vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku.

Kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů a kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických pečetí, poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů a kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických pečetí.

Kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů a kvalifikovaná služba uchovávání kvalifikovaných elektronických pečetí poskytované v jednom členském státě se ve všech ostatních členských státech uznávají jako kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů a kvalifikovaná služba uchovávání kvalifikovaných elektronických pečetí.

Kvalifikované elektronické časové razítko poskytnuté v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikované elektronické časové razítko.

Kvalifikovaný certifikát pro autentizaci internetových stránek vydaný v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaný certifikát pro autentizaci internetových stránek.

Kvalifikovaná služba elektronického doporučeného doručování poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná služba elektronického doporučeného doručování.

Kvalifikované elektronické potvrzení atributů vydané v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikované elektronické potvrzení atributů.

Kvalifikovaná služba elektronické archivace poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná služba elektronické archivace.

Kvalifikovaná elektronická kniha záznamů poskytovaná v jednom členském státě se ve všech ostatních členských státech uznává jako kvalifikovaná elektronická kniha záznamů.“

23) V článku 25 se zrušuje odstavec 3.

24) Článek 26 se mění takto:

• a) dosavadní jediný odstavec se označuje jako odstavec 1;
• b) doplňuje se nový odstavec, který zní:

  Do 21. května 2026 Komise posoudí, zda je nezbytné přijmout prováděcí akty, kterými se stanoví seznam referenčních norem a kterými se v případě potřeby stanoví specifikace a postupy pro zaručené elektronické podpisy. Na základě tohoto posouzení může Komise takové prováděcí akty přijmout. Pokud zaručený elektronický podpis splňuje normy, specifikace a postupy, předpokládá se shoda s požadavky na zaručené elektronické podpisy. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

25) V článku 27 se zrušuje odstavec 4.

26) V článku 28 se odstavec 6 nahrazuje tímto:

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro kvalifikované certifikáty pro elektronický podpis. Pokud kvalifikovaný certifikát pro elektronický podpis splňuje normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v příloze I. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

27) V článku 29 se vkládá nový odstavec, který zní:

Vytvářet nebo spravovat data pro vytváření elektronických podpisů či tato data kopírovat pro účely zálohování lze pouze jménem podepisující osoby a na její žádost a může tak činit pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který poskytuje kvalifikovanou službu vytvářející důvěru pro správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku.“

28) Vkládá se nový článek, který zní:

Správu kvalifikovaných prostředků pro vytváření elektronických podpisů na dálku jako kvalifikované služby provádí pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který:

• a) vytváří nebo spravuje data pro vytváření elektronických podpisů jménem podepisující osoby;
• b) bez ohledu na přílohu II bod 1 písm. d) kopíruje data pro vytváření elektronických podpisů pouze pro účely zálohování, jsou-li splněny tyto požadavky:
  • i) bezpečnost zkopírovaných souborů dat je na stejné úrovni jako u původních souborů dat;
  • ii) počet zkopírovaných souborů dat nesmí přesáhnout minimum potřebné pro zajištění kontinuity služby;
• c) splňuje všechny požadavky uvedené v certifikační zprávě konkrétního kvalifikovaného prostředku pro vytváření elektronických podpisů na dálku vydané podle článku 30.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odstavce 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

29) V článku 30 se vkládá nový odstavec, který zní:

Platnost certifikace uvedené v odstavci 1 nesmí překročit pět let, přičemž se každé dva roky provádí hodnocení zranitelnosti. Jsou-li identifikovány zranitelnosti a nejsou-li odstraněny, certifikace se zruší.“

30) V článku 31 se odstavec 3 nahrazuje tímto:

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy použitelné pro účely odstavce 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

31) Článek 32 se mění takto:

• a) v odstavci 1 se doplňuje nový pododstavec, který zní:

  „Pokud ověřování platnosti kvalifikovaných elektronických podpisů splňuje normy, specifikace a postupy uvedené v odstavci 3, předpokládá se shoda s požadavky stanovenými v prvním pododstavci tohoto odstavce.“

• b) odstavec 3 se nahrazuje tímto:

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování platnosti kvalifikovaných elektronických podpisů. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

32) Vkládá se nový článek, který zní:

Postup ověření platnosti zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu potvrdí platnost zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu, pokud:

• a) certifikát, na němž je podpis založen, byl v okamžiku podpisu kvalifikovaným certifikátem pro elektronický podpis, jenž je v souladu s přílohou I;
• b) kvalifikovaný certifikát byl vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a v okamžiku podpisu byl platný;
• c) data pro ověřování platnosti podpisu odpovídají datům poskytnutým spoléhající se straně;
• d) spoléhající se straně je řádně poskytnut jedinečný soubor dat identifikujících podepisující osobu v certifikátu;
• e) pokud byl v okamžiku podpisu použit pseudonym, je jeho použití jednoznačně sděleno spoléhající se straně;
• f) nebyla ohrožena integrita podepsaných dat;
• g) v okamžiku podpisu byly splněny požadavky stanovené v článku 26.

Systém použitý k ověření platnosti zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu musí poskytnout spoléhající se straně řádný výsledek postupu ověření platnosti a umožňovat jí zjistit jakékoli problémy týkající se bezpečnosti.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely ověřování platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech. Pokud ověřování platnosti zaručených elektronických podpisů založených na kvalifikovaných certifikátech splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“;

33) V článku 33 se odstavec 2 nahrazuje tímto:

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikované služby ověřování platnosti uvedené v odstavci 1 tohoto článku. Pokud služba ověřování platnosti kvalifikovaných elektronických podpisů splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

34) Článek 34 se mění takto:

• a) vkládá se nový odstavec, který zní:

  Pokud postupy pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů splňují normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.“;

• b) odstavec 2 se nahrazuje tímto:

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikované služby uchovávání kvalifikovaných elektronických podpisů. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

35) V článku 35 se zrušuje odstavec 3.

36) Článek 36 se mění takto:

• a) dosavadní jediný odstavec se označuje jako odstavec 1;
• b) doplňuje se nový odstavec, který zní:

  Do 21. května 2026 Komise posoudí, zda je nezbytné přijmout prováděcí akty, kterými se stanoví seznam referenčních norem a kterými se v případě potřeby stanoví specifikace a postupy pro zaručené elektronické pečeti. Na základě tohoto posouzení může Komise takové prováděcí akty přijmout. Pokud zaručená elektronická pečeť splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky pro zaručené elektronické pečeti. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

37) V článku 37 se zrušuje odstavec 4.

38) V článku 38 se odstavec 6 nahrazuje tímto:

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných certifikátů pro elektronické pečetě. Pokud kvalifikovaný certifikát pro elektronickou pečeť splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky stanovenými v příloze III. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

39) Vkládá se nový článek, který zní:

Na kvalifikovanou službu správy kvalifikovaných prostředků pro vytváření elektronických pečetí na dálku se použije přiměřeně článek 29a.“

40) V kapitole III oddílu 5 se vkládá nový článek, který zní:

Na ověřování zaručených elektronických pečetí založených na kvalifikovaných certifikátech se použije přiměřeně článek 32a.“

41) V článku 41 se zrušuje odstavec 3.

42) Článek 42 se mění takto:

• a) vkládá se nový odstavec, který zní:

  Pokud spojení data a času s příslušnými daty a přesnost zdroje času splňují normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.“;

• b) odstavec 2 se nahrazuje tímto:

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely spojení data a času s příslušnými daty a pro účely stanovení přesnosti zdrojů času. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

43) Článek 44 se mění takto:

• a) vkládá se nový odstavec, který zní:

  Pokud postup odesílání a přijímání dat splňuje normy, specifikace a postupy uvedené v odstavci 2, předpokládá se shoda s požadavky stanovenými v odstavci 1.“;

• b) odstavec 2 se nahrazuje tímto:

  Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odesílání a přijímání dat. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“;

• c) vkládají se nové odstavce, které znějí:

  Poskytovatelé kvalifikovaných služeb elektronického doporučeného doručování se mohou dohodnout na interoperabilitě mezi kvalifikovanými službami elektronického doporučeného doručování, které poskytují. Tento rámec interoperability musí splňovat požadavky stanovené v odstavci 1 a tato shoda musí být potvrzena subjektem posuzování shody.

  Komise může prostřednictvím prováděcích aktů stanovit seznam referenčních norem a v případě potřeby stanovit specifikace a postupy pro účely rámce interoperability uvedeného v odstavci 2a tohoto článku. Technické specifikace a obsah norem musí být nákladově efektivní a přiměřené. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

44) Článek 45 se nahrazuje tímto:

Kvalifikované certifikáty pro autentizaci internetových stránek musí splňovat požadavky stanovené v příloze IV. Hodnocení shody s těmito požadavky se provádí v souladu s normami, specifikacemi a postupy uvedenými v odstavci 2 tohoto článku.

Kvalifikované certifikáty pro autentizaci internetových stránek vydané v souladu s odstavcem 1 tohoto článku jsou uznávány poskytovateli internetových prohlížečů. Poskytovatelé internetových prohlížečů zajistí, aby údaje o totožnosti potvrzené v certifikátu a další potvrzené atributy byly zobrazeny uživatelsky přívětivým způsobem. Poskytovatelé internetových prohlížečů zajistí podporu a interoperabilitu s kvalifikovanými certifikáty pro autentizaci internetových stránek uvedenými v odstavci 1 tohoto článku, s výjimkou mikropodniků nebo malých podniků, jak jsou vymezeny v článku 2 přílohy doporučení 2003/361/ES, v prvních pěti letech fungování jako poskytovatelé služeb prohlížení internetových stránek.

Kvalifikované certifikáty pro autentizaci internetových stránek nepodléhají žádným jiným závazným požadavkům, než jsou požadavky stanovené v odstavci 1.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných certifikátů pro autentizaci internetových stránek uvedené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

45) Vkládá se nový článek, který zní:

Poskytovatelé internetových prohlížečů nepřijmou žádná opatření, která by byla v rozporu s jejich povinnostmi stanovenými v článku 45, zejména s požadavky na uznávání kvalifikovaných certifikátů pro autentizaci internetových stránek a na zobrazování poskytnutých údajů o totožnosti uživatelsky přívětivým způsobem.

Odchylně od odstavce 1 a pouze v případě odůvodněných obav týkajících se narušení bezpečnosti nebo ztráty integrity identifikovaného certifikátu nebo souboru certifikátů mohou poskytovatelé internetových prohlížečů v souvislosti s tímto certifikátem nebo souborem certifikátů přijmout předběžná opatření.

Pokud poskytovatel internetového prohlížeče přijme předběžná opatření podle odstavce 2, oznámí své obavy spolu s popisem opatření přijatých ke zmírnění těchto obav bez zbytečného odkladu písemně Komisi, příslušnému orgánu dohledu, subjektu, kterému byl certifikát vydán, a kvalifikovanému poskytovateli služeb vytvářejících důvěru, který daný certifikát nebo soubor certifikátů vydal. Po obdržení takového oznámení vydá příslušný orgán dohledu danému poskytovateli internetového prohlížeče potvrzení o přijetí.

Příslušný orgán dohledu prošetří otázky uvedené v oznámení v souladu s čl. 46b odst. 4 písm. k). Pokud výsledek tohoto šetření nevede k odnětí statusu kvalifikovaného certifikátu, orgán dohledu o tom informuje poskytovatele internetového prohlížeče a požádá ho, aby ukončil předběžná opatření uvedená v odstavci 2 tohoto článku.“

46) V kapitole III se doplňují nové oddíly, které znějí:

„ODDÍL 9 ELEKTRONICKÉ POTVRZENÍ ATRIBUTŮ

Elektronickému potvrzení atributů nesmějí být upírány právní účinky ani nesmí být odmítáno jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické potvrzení atributů.

Kvalifikované elektronické potvrzení atributů a potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem má stejný právní účinek jako potvrzení v listinné podobě vydaná v souladu s právními předpisy.

Potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem v jednom členském státě se ve všech členských státech uznává jako potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem.

Pokud se pro přístup k on-line službě poskytované subjektem veřejného sektoru vyžaduje podle vnitrostátního práva elektronická identifikace s použitím prostředku pro elektronickou identifikaci a autentizace, osobní identifikační údaje v elektronickém potvrzení atributů nenahrazují elektronickou identifikaci s použitím prostředku pro elektronickou identifikaci a autentizaci pro elektronickou identifikaci, pokud to členský stát výslovně nepovolí. V takovém případě se rovněž akceptuje kvalifikované elektronické potvrzení atributů z jiných členských států.

Kvalifikované elektronické potvrzení atributů musí splňovat požadavky stanovené v příloze V.

Hodnocení shody požadavků stanovených v příloze V se provádí v souladu s normami, specifikacemi a postupy uvedenými v odstavci 5 tohoto článku.

Kvalifikovaná elektronická potvrzení atributů nepodléhají žádným závazným požadavkům kromě požadavků stanovených v příloze V.

Pokud bylo kvalifikované elektronické potvrzení atributů po počátečním vydání zneplatněno, ztrácí okamžikem zneplatnění platnost a jeho status nelze v žádném případě změnit zpět.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných elektronických potvrzení atributů. Tyto prováděcí akty jsou v souladu s prováděcími akty o zavedení evropské peněženky digitální identity, uvedenými v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Členské státy do 24 měsíců ode dne vstupu prováděcích aktů uvedených v čl. 5a odst. 23 a čl. 5c odst. 6 v platnost zajistí, aby přinejmenším pro atributy uvedené v příloze VI, pokud tyto atributy vycházejí z autentických zdrojů v rámci veřejného sektoru, byla přijata opatření, která kvalifikovaným poskytovatelům služeb vytvářejících důvěru vydávajícím elektronická potvrzení atributů umožní na žádost uživatele v souladu s právem Unie nebo s vnitrostátním právem tyto atributy elektronickými prostředky ověřit.

Do 21. listopadu 2024 Komise s přihlédnutím k příslušným mezinárodním normám prostřednictvím prováděcích aktů stanoví seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro katalog atributů, jakož i schémata pro potvrzování atributů a ověřovací postupy pro kvalifikovaná elektronická potvrzení atributů pro účely odstavce 1 tohoto článku. Tyto prováděcí akty jsou v souladu s prováděcími akty o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem musí splňovat tyto požadavky:

• a) požadavky uvedené v příloze VII;
• b) kvalifikovaný certifikát, na němž jsou založeny kvalifikovaný elektronický podpis nebo kvalifikovaná elektronická pečeť subjektu veřejného sektoru uvedeného v čl. 3 bodu 46, identifikovaného jako vydavatel podle písmene b) přílohy VII, který obsahuje specifický soubor certifikovaných atributů ve formě vhodné pro automatické zpracování a:
  • i) uvádí, že vydávající subjekt je zřízen v souladu s právem Unie nebo vnitrostátním právem jakožto subjekt odpovědný za autentický zdroj, na jehož základě je vydáváno elektronické potvrzení atributů, nebo jako subjekt pověřený jednat jeho jménem;
  • ii) poskytuje soubor dat jednoznačně identifikujících autentický zdroj uvedený v bodu i) a
  • iii) odkazuje na právo Unie nebo vnitrostátní právo podle bodu i).

Členský stát, v němž jsou subjekty veřejného sektoru uvedené v čl. 3 bodu 46 usazeny, zajistí, aby subjekty veřejného sektoru vydávající elektronické potvrzení atributů měly rovnocennou úroveň spolehlivosti a důvěryhodnosti jako kvalifikovaní poskytovatelé služeb vytvářejících důvěru v souladu s článkem 24.

Členské státy oznámí subjekty veřejného sektoru uvedené v čl. 3 bodu 46 Komisi. Toto oznámení obsahuje zprávu o posouzení shody vydanou subjektem posuzování shody potvrzující splnění požadavků stanovených v odstavcích 1, 2 a 6 tohoto článku. Seznam subjektů veřejného sektoru uvedených v čl. 3 bodu 46 Komise bezpečnou cestou zpřístupní veřejnosti ve formě opatřené elektronickým podpisem nebo pečetí a vhodné pro automatické zpracování.

Pokud bylo elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem po počátečním vydání zneplatněno, ztrácí platnost okamžikem zneplatnění a jeho status nelze změnit zpět.

Pokud elektronické potvrzení atributů vydané subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem splňuje normy, specifikace a postupy uvedené v odstavci 6, předpokládá se shoda s požadavky stanovenými v odstavci 1.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely elektronického potvrzení atributů vydaných subjektem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem. Tyto prováděcí akty jsou v souladu s prováděcím aktem o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Do 21. listopadu 2024 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely odstavce 3 tohoto článku. Tyto prováděcí akty jsou v souladu s prováděcím aktem o zavedení evropské peněženky digitální identity, uvedeným v čl. 5a odst. 23. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

Subjekty veřejného sektoru uvedené v čl. 3 bodu 46, vydávající elektronické potvrzení atributů poskytují rozhraní s evropskými peněženkami digitální identity v souladu s článkem 5a.

Poskytovatelé elektronických potvrzení atributů poskytnou uživatelům evropské peněženky digitální identity možnost požadovat, získat, uchovávat a spravovat elektronické potvrzení atributů bez ohledu na členský stát, který evropskou peněženku digitální identity poskytuje.

Poskytovatelé kvalifikovaných elektronických potvrzení atributů poskytují rozhraní s evropskými peněženkami digitální identity poskytovanými v souladu s článkem 5a.

Poskytovatelé kvalifikovaných a nekvalifikovaných služeb elektronického potvrzování atributů nesmějí kombinovat osobní údaje týkající se poskytování těchto služeb s osobními údaji z jiných služeb, které nabízejí oni nebo jejich obchodní partneři.

Osobní údaje týkající se poskytování služeb elektronického potvrzování atributů jsou uchovávány logicky odděleně od jiných dat uchovávaných poskytovatelem elektronického potvrzování atributů.

Poskytovatelé kvalifikovaných služeb elektronického potvrzování atributů zavedou poskytování těchto kvalifikovaných služeb vytvářejících důvěru způsobem, který je funkčně oddělen od jiných jimi poskytovaných služeb.

ODDÍL 10 SLUŽBY ELEKTRONICKÉ ARCHIVACE

Elektronickým datům a elektronickým dokumentům uchovávaným s použitím služby elektronické archivace nesmějí být upírány právní účinky ani nesmějí být odmítány jako důkaz v soudním nebo správním řízení pouze z toho důvodu, že mají elektronickou podobu nebo že nejsou uchovávány s použitím kvalifikované služby elektronické archivace.

U elektronických dat a elektronických dokumentů uchovávaných s použitím kvalifikované služby elektronické archivace platí předpoklad integrity dat a jejich původu, a to po dobu uchovávání kvalifikovaným poskytovatelem služeb vytvářejících důvěru.

Kvalifikované služby elektronické archivace musí splňovat tyto požadavky:

• a) jsou poskytovány kvalifikovanými poskytovateli služeb vytvářejících důvěru;
• b) používají postupy a technologie umožňující zajistit trvanlivost a čitelnost elektronických dat a elektronických dokumentů i po uplynutí doby technologické použitelnosti – a alespoň po zákonně či smluvně stanovenou dobu uchovávání a současně zachovat jejich integritu a přesnost původu;
• c) zajišťují, aby byla elektronická data a elektronické dokumenty uchovávány způsobem, který je chrání před ztrátou a pozměněním, s výjimkou změn jejich nosiče nebo elektronického formátu;
• d) oprávněným spoléhajícím se stranám umožňují obdržet automatizovaným způsobem zprávu, která potvrzuje, že u elektronických dat a elektronických dokumentů získaných z kvalifikovaného elektronického archivu platí předpoklad integrity dat od začátku doby uchovávání do doby jejich zpřístupnění.

  Zpráva uvedená v prvním pododstavci písm. d) se poskytne spolehlivým a účinným způsobem a musí být opatřena kvalifikovaným elektronickým podpisem nebo kvalifikovanou elektronickou pečetí poskytovatele kvalifikované služby elektronické archivace.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro účely kvalifikovaných služeb elektronické archivace. Pokud kvalifikovaná služba elektronické archivace splňuje tyto normy, specifikace a postupy, předpokládá se shoda s požadavky pro kvalifikované služby elektronické archivace. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

ODDÍL 11 ELEKTRONICKÉ KNIHY ZÁZNAMŮ

Elektronické knize záznamů nesmějí být upírány právní účinky ani nesmí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické knihy záznamů.

U datových záznamů obsažených v kvalifikované elektronické knize záznamů platí předpoklad jejich jedinečného a přesného sekvenčního chronologického řazení a jejich integrity.

Kvalifikované elektronické knihy záznamů musí splňovat tyto požadavky:

• a) jsou vytvářeny a spravovány jedním či více kvalifikovanými poskytovateli služeb vytvářejících důvěru;
• b) identifikují původ datových záznamů v knize záznamů;
• c) zajišťují jedinečné sekvenční chronologické řazení datových záznamů v knize záznamů;
• d) zaznamenávají data takovým způsobem, že je možné okamžitě zjistit jakoukoliv následnou změnu dat, čímž zajišťují jejich integritu v čase.

Pokud elektronická kniha záznamů splňuje normy, specifikace a postupy uvedené v odstavci 3, předpokládá se shoda s požadavky stanovenými v odstavci 1.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů seznam referenčních norem a v případě potřeby stanoví specifikace a postupy pro požadavky stanovené v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

47) Vkládá se nová kapitola, která zní:

„KAPITOLA IVa SPRÁVNÍ RÁMEC

Členské státy určí jeden nebo více orgánů dohledu usazených na jejich území.

Orgánům dohledu určeným podle prvního pododstavce jsou uděleny nezbytné pravomoci a přiměřené zdroje, které jim umožňují účinně, účelně a nezávisle plnit jejich úkoly.

Členské státy oznámí Komisi názvy a adresy svých orgánů dohledu určených podle odstavce 1 a veškeré jejich následné změny. Komise seznam oznámených orgánů dohledu zveřejní.

Úlohou orgánů dohledu určených podle odstavce 1 je:

• a) vykonávat dohled nad poskytovateli evropských peněženek digitální identity usazenými v členském státě, který provedl určení, a prostřednictvím činností předběžného a následného dohledu zajistit, aby tito poskytovatelé a jimi poskytované evropské peněženky digitální identity splňovali požadavky stanovené v tomto nařízení;
• b) přijmout v případě potřeby prostřednictvím činností následného dohledu opatření ve vztahu k poskytovatelům evropských peněženek digitální identity usazeným na území členského státu, který provedl určení, pokud jsou informovány o tom, že tito poskytovatelé nebo jimi poskytované evropské peněženky digitální identity porušují toto nařízení.

Mezi úkoly orgánů dohledu určených podle odstavce 1 patří zejména:

• a) spolupracovat s dalšími orgány dohledu a poskytovat jim pomoc v souladu s články 46c a 46e;
• b) požadovat informace nezbytné k monitorování souladu s tímto nařízením;
• c) informovat relevantní příslušné orgány dotčených členských států určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 o jakémkoli závažném narušení bezpečnosti nebo ztrátě integrity, o nichž se dozví při plnění svých úkolů, a v případě závažného narušení bezpečnosti nebo ztráty integrity, které se týkají dalších členských států, informovat jednotné kontaktní místo dotčeného členského státu určené nebo zřízené podle čl. 8 odst. 3 směrnice (EU) 2022/2555 a jednotná kontaktní místa v ostatních dotčených členských státech určená podle čl. 46c odst. 1 tohoto nařízení a informovat veřejnost nebo požadovat, aby tak učinili poskytovatelé evropské peněženky digitální identity, pokud orgán dohledu rozhodne, že zveřejnění tohoto narušení bezpečnosti nebo ztráty integrity je ve veřejném zájmu;
• d) provádět kontroly na místě a vzdálený dohled;
• e) požadovat, aby poskytovatelé evropských peněženek digitální identity napravili případné neplnění požadavků stanovených v tomto nařízení;
• f) v případě nezákonného nebo podvodného používání evropské peněženky digitální identity pozastavit nebo zrušit registraci spoléhajících se stran a začlenění spoléhajících se stran do mechanismu uvedeného v čl. 5b odst. 7;
• g) spolupracovat s příslušnými dozorovými úřady zřízenými podle článku 51 nařízení (EU) 2016/679, zejména tak, že je bez zbytečného odkladu informují o tom, že zřejmě došlo k porušení pravidel týkajících se ochrany osobních údajů, jakož i o narušeních bezpečnosti, která podle všeho představují porušení zabezpečení osobních údajů.

Pokud orgán dohledu určený podle odstavce 1 požaduje, aby poskytovatel evropské peněženky digitální identity napravil neplnění požadavků stanovených v tomto nařízení podle odst. 4 písm. e), a tento poskytovatel odpovídajícím způsobem nejedná a případně nejedná ve lhůtě stanovené orgánem dohledu, orgán dohledu určený podle odstavce 1 může poskytovateli nařídit, aby pozastavil nebo ukončil poskytování evropské peněženky digitální identity, a to zejména s ohledem na rozsah, dobu trvání a důsledky tohoto neplnění. Orgán dohledu o rozhodnutí požadovat pozastavení nebo ukončení poskytování evropské peněženky digitální identity bez zbytečného odkladu informuje orgány dohledu ostatních členských států, Komisi, spoléhající se strany a uživatele evropské peněženky digitální identity.

Do 31. března každého roku každý orgán dohledu určený podle odstavce 1 předloží Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce. Komise poskytne tyto výroční zprávy Evropskému parlamentu a Radě.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů formáty a postupy pro účely zprávy uvedené v odstavci 6 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Členské státy určí orgán dohledu na svém území nebo, po vzájemné dohodě s jiným členským státem, určí orgán dohledu v tomto jiném členském státě. Tento orgán dohledu odpovídá za plnění úkolů v oblasti dohledu nad službami vytvářejícími důvěru v členském státě, který provedl určení.

Orgánům dohledu určeným podle prvního pododstavce jsou k plnění těchto úkolů uděleny nezbytné pravomoci a přiměřené zdroje.

Členské státy oznámí Komisi názvy a adresy svých orgánů dohledu určených podle odstavce 1 a veškeré jejich následné změny. Komise seznam oznámených orgánů dohledu zveřejní.

Úlohou orgánů dohledu určených podle odstavce 1 je:

• a) vykonávat dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými na území členského státu, který provedl určení, a prostřednictvím činností předběžného a následného dohledu zajistit, aby tito kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňovali požadavky stanovené v tomto nařízení;
• b) přijmout v případě potřeby prostřednictvím činností následného dohledu opatření ve vztahu nekvalifikovaným poskytovatelům služeb vytvářejících důvěru usazeným na území členského státu, který provedl určení, pokud jsou informovány o tom, že tito nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.

Mezi úkoly orgánů dohledu určených podle odstavce 1 patří zejména:

• a) informovat relevantní příslušné orgány dotčených členských států určené nebo zřízené podle čl. 8 odst. 1 směrnice (EU) 2022/2555 o jakémkoli závažném narušení bezpečnosti nebo ztrátě integrity, o nichž se dozví při plnění svých úkolů, a v případě závažného narušení bezpečnosti nebo ztráty integrity, které se týká dalších členských států, informovat jednotné kontaktní místo dotčeného členského státu určené nebo zřízené podle čl. 8 odst. 3 směrnice (EU) 2022/2555 a jednotná kontaktní místa v ostatních dotčených členských státech určená podle čl. 46c odst. 1 tohoto nařízení a informovat veřejnost nebo požadovat, aby tak učinili poskytovatelé služeb vytvářejících důvěru, pokud orgán dohledu rozhodne, že zveřejnění tohoto narušení bezpečnosti nebo ztráty integrity je ve veřejném zájmu;
• b) spolupracovat s dalšími orgány dohledu a poskytovat jim pomoc v souladu s články 46c a 46e;
• c) provádět analýzu zpráv o posouzení shody uvedených v čl. 20 odst. 1 a čl. 21 odst. 1;
• d) podávat Komisi zprávy o svých hlavních činnostech v souladu s odstavcem 6 tohoto článku;
• e) provádět audity kvalifikovaných poskytovatelů služeb vytvářejících důvěru nebo požadovat, aby subjekt posuzování shody provedl posouzení shody těchto poskytovatelů v souladu s čl. 20 odst. 2;
• f) spolupracovat s příslušnými dozorovými úřady zřízenými podle článku 51 nařízení (EU) 2016/679, zejména tak, že je bez zbytečného odkladu informuje o tom, že zřejmě došlo k porušení pravidel týkajících se ochrany osobních údajů, jakož i o narušeních bezpečnosti, která podle všeho představují porušení zabezpečení osobních údajů;
• g) v souladu s články 20 a 21 udělovat poskytovatelům služeb vytvářejících důvěru a jimi poskytovaným službám status kvalifikovaného poskytovatele nebo kvalifikované služby a odnímat tento status;
• h) informovat subjekt odpovědný za vnitrostátní důvěryhodný seznam podle čl. 22 odst. 3 o svých rozhodnutích udělit nebo odejmout status kvalifikovaného poskytovatele nebo kvalifikované služby, pokud tento subjekt není rovněž orgánem dohledu určeným podle odstavce 1 tohoto článku;
• i) ověřovat existenci a správné uplatňování ustanovení o plánech ukončení činnosti v případech, kdy kvalifikovaný poskytovatel služeb vytvářejících důvěru ukončí svou činnost, včetně způsobu zpřístupňování informací v souladu s čl. 24 odst. 2 písm. h);
• j) požadovat, aby poskytovatelé služeb vytvářejících důvěru napravili případné neplnění požadavků stanovených v tomto nařízení;
• k) prošetřovat tvrzení poskytovatelů internetových prohlížečů podle článku 45a a v případě potřeby přijmout opatření.

Členské státy mohou vyžadovat, aby orgán dohledu určený podle odstavce 1 zavedl, udržoval a aktualizoval důvěryhodnou infrastrukturu v souladu s vnitrostátním právem.

Do 31. března každého roku každý orgán dohledu určený podle odstavce 1 předloží Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce. Komise poskytne tyto výroční zprávy Evropskému parlamentu a Radě.

Do 21. května 2025 přijme Komise pokyny k provádění úkolů uvedených v odstavci 4 tohoto článku orgány dohledu určenými podle odstavce 1 tohoto článku a prostřednictvím prováděcích aktů stanoví formáty a postupy pro účely zprávy uvedené v odstavci 6 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.

Každý členský stát určí jednotné kontaktní místo pro služby vytvářející důvěru, evropské peněženky digitální identity a oznámené systémy elektronické identifikace.

Každé jednotné kontaktní místo plní styčnou funkci, jejímž cílem je usnadnit přeshraniční spolupráci mezi orgány dohledu nad poskytovateli služeb vytvářejících důvěru a mezi orgány dohledu nad poskytovateli evropských peněženek digitální identity a případně s Komisí, Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA) a dalšími příslušnými orgány v rámci svého členského státu.

Každý členský stát zveřejní a bez zbytečného odkladu oznámí Komisi název a adresu jednotného kontaktního místa určeného podle odstavce 1 a veškeré jejich následné změny.

Komise zveřejní seznam jednotných kontaktních míst oznámených podle odstavce 3.

S cílem usnadnit dohled nad plněním povinností podle tohoto nařízení a jejich vymáhání mohou orgány dohledu určené podle čl. 46a odst. 1 a čl. 46b odst. 1 požádat, a to i prostřednictvím skupiny pro spolupráci zřízené podle čl. 46e odst. 1, o vzájemnou pomoc orgány dohledu jiného členského státu, v němž je usazen poskytovatel evropské peněženky digitální identity nebo poskytovatel služeb vytvářejících důvěru nebo v němž se nachází jeho síť a informační systémy nebo v němž jsou poskytovány jeho služby.

Vzájemná pomoc obnáší alespoň to, že:

• a) orgán dohledu, který uplatňuje opatření v oblasti dohledu a vymáhání v jednom členském státě, informuje orgán dohledu z druhého dotčeného členského státu a konzultuje s ním;
• b) orgán dohledu může požádat orgán dohledu jiného dotčeného členského státu, aby přijal opatření v oblasti dohledu nebo vymáhání, zahrnující například žádosti o provedení kontrol v souvislosti se zprávami o posouzení shody podle článků 20 a 21, pokud jde o poskytování služeb vytvářejících důvěru;
• c) orgány dohledu mohou případně provádět společná šetření s orgány dohledu jiných členských států.

Ujednání a postupy pro společné činnosti podle prvního pododstavce dohodnou a zavedou dotčené členské státy v souladu se svým vnitrostátním právem.

Orgán dohledu, jemuž byla podána žádost o pomoc, může tuto žádost odmítnout z kteréhokoliv z těchto důvodů:

• a) požadovaná pomoc je nepřiměřená činnostem v oblasti dohledu, které daný orgán dohledu vykonává v souladu s články 46a a 46b;
• b) orgán dohledu není k poskytnutí požadované pomoci příslušný;
• c) poskytnutí požadované pomoci by nebylo slučitelné s tímto nařízením.

Do 21. května 2025 a poté každé dva roky vydá skupina pro spolupráci zřízená podle čl. 46e odst. 1 pokyny týkající se organizačních aspektů a postupů vzájemné pomoci uvedené v odstavcích 1 a 2 tohoto článku.

S cílem podpořit a usnadnit přeshraniční spolupráci členských států a výměnu informací v souvislosti se službami vytvářejícími důvěru, evropskými peněženkami digitální identity a oznámenými systémy elektronické identifikace zřídí Komise skupinu pro evropskou spolupráci v oblasti digitální identity (dále jen ‚skupina pro spolupráci‘).

Skupinu pro spolupráci tvoří zástupci jmenovaní členskými státy a zástupci Komise. Skupině pro spolupráci předsedá Komise. Komise zajišťuje sekretariát skupiny pro spolupráci.

K účasti na zasedáních skupiny pro spolupráci a k účasti na její činnosti mohou být ad hoc jako pozorovatelé přizváni zástupci příslušných zúčastněných stran.

K účasti na činnosti skupiny pro spolupráci je jako pozorovatel přizvána agentura ENISA, pokud ve skupině probíhá výměna názorů, osvědčených postupů a informací týkajících se relevantních aspektů kybernetické bezpečnosti, jako je oznamování narušení bezpečnosti, a pokud se projednává používání certifikátů nebo norem kybernetické bezpečnosti.

Skupina pro spolupráci má tyto úkoly:

• a) vyměňovat si názory a spolupracovat s Komisí na nových politických iniciativách v oblasti peněženek digitální identity, prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru;
• b) ve vhodných případech poskytovat Komisi poradenství při včasné přípravě návrhů prováděcích aktů a aktů v přenesené pravomoci, které mají být přijaty podle tohoto nařízení;
• c) za účelem podpory orgánů dohledu při provádění ustanovení tohoto nařízení vykonávat tyto činnosti:
  • i) vyměňovat si osvědčené postupy a informace týkající se uplatňování ustanovení tohoto nařízení;
  • ii) posuzovat relevantní vývoj v oblasti peněženek digitální identity, elektronické identifikace a služeb vytvářejících důvěru;
  • iii) pořádat společná setkání s příslušnými zainteresovanými stranami z celé Unie za účelem projednávání činností vykonávaných skupinou pro spolupráci a shromažďování poznatků o nových výzvách v oblasti této politiky;
  • iv) s podporou agentury ENISA si vyměňovat názory, osvědčené postupy a informace v souvislosti s příslušnými aspekty kybernetické bezpečnosti týkajícími se evropských peněženek digitální identity, systémů elektronické identifikace a služeb vytvářejících důvěru;
  • v) vyměňovat si osvědčené postupy v souvislosti s vývojem a prováděním politik týkajících se oznamování narušení bezpečnosti a společných opatření podle článků 5e a 10;
  • vi) pořádat společná setkání se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací zřízenou podle čl. 14 odst. 1 směrnice (EU) 2022/2555 s cílem vyměňovat si v souvislosti se službami vytvářejícími důvěru a s elektronickou identifikací relevantní informace týkající se kybernetických hrozeb, incidentů, zranitelností, iniciativ zaměřených na zvyšování povědomí, školení, cvičení a dovedností, budování kapacit, kapacity v oblasti norem a technických specifikací, jakož i norem a technických specifikací;
  • vii) na žádost orgánu dohledu projednávat konkrétní žádosti o vzájemnou pomoc podle článku 46d;
  • viii) usnadňovat výměnu informací mezi orgány dohledu poskytováním pokynů týkajících se organizačních aspektů a postupů vzájemné pomoci podle článku 46d;
• d) organizovat vzájemná hodnocení systémů elektronické identifikace, které mají být oznámeny podle tohoto nařízení.

Členské státy zajistí, aby jimi jmenovaní zástupci ve skupině pro spolupráci účinně a účelně spolupracovali.

Do 21. května 2025 stanoví Komise prostřednictvím prováděcích aktů nezbytná procesní opatření pro usnadnění spolupráce mezi členskými státy uvedené v odst. 5 písm. d) tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.“

48) Článek 47 se mění takto:

• a) odstavce 2 a 3 se nahrazují tímto:

  Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 5c odst. 7, čl. 24 odst. 4b a v čl. 30 odst. 4 je svěřena Komisi na dobu neurčitou ode dne 17. září 2014.

  Evropský parlament nebo Rada mohou přenesení pravomocí uvedené v článku 5c odst. 7, čl. 24 odst. 4b a čl. 30 odst. 4 kdykoliv zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm blíže určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění rozhodnutí v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.“;

• b) odstavec 5 se nahrazuje tímto:

  Akt v přenesené pravomoci přijatý podle 5c odst. 7, čl. 24 odst. 4b a čl. 30 odst. 4 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament ani Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.“;

49) V kapitole VI se vkládá nový článek, který zní:

Členské státy zajistí shromažďování statistických údajů týkajících se fungování evropských peněženek digitální identity a kvalifikovaných služeb vytvářejících důvěru poskytovaných na jejich území.

Statistické údaje shromážděné v souladu s odstavcem 1 zahrnují:

• a) počet fyzických a právnických osob s platnou evropskou peněženkou digitální identity;
• b) druh a počet služeb, které akceptují používání evropské peněženky digitální identity;
• c) počet stížností uživatelů a počet incidentů týkajících se ochrany spotřebitelů a ochrany údajů ve vztahu ke spoléhajícím se stranám a kvalifikovaným službám vytvářejícím důvěru;
• d) souhrnnou zprávu včetně údajů o incidentech, jež zabránily použití evropské peněženky digitální identity;
• e) souhrn významných bezpečnostních incidentů, případů porušení zabezpečení údajů a dotčených uživatelů evropské peněženky digitální identity nebo kvalifikovaných služeb vytvářejících důvěru.

Statistické údaje uvedené v odstavci 2 se zpřístupní veřejnosti v otevřeném a běžně používaném strojově čitelném formátu.

Do 31. března každého roku předloží členské státy Komisi zprávu o statistických údajích shromážděných v souladu s odstavcem 2.“

50) Článek 49 se nahrazuje tímto:

Do 21. května 2026 přezkoumá Komise uplatňování tohoto nařízení a podá zprávu Evropskému parlamentu a Radě. Komise v uvedené zprávě zejména vyhodnotí, zda je s přihlédnutím ke zkušenostem s uplatňováním tohoto nařízení a k technologickému, tržnímu a právnímu vývoji vhodné upravit oblast působnosti tohoto nařízení nebo jeho konkrétní ustanovení, včetně zejména ustanovení čl. 5c odst. 5. V případě potřeby se ke zprávě připojí návrh na změnu tohoto nařízení.

Zpráva uvedená v odstavci 1 zahrnuje posouzení dostupnosti, bezpečnosti a použitelnosti oznámených prostředků pro elektronickou identifikaci a evropských peněženek digitální identity, které spadají do oblasti působnosti tohoto nařízení, a posuzuje, zda by všichni soukromí poskytovatelé on-line služeb využívající pro autentizaci uživatelů služby elektronické identifikace třetích stran měli být povinni akceptovat používání oznámených prostředků pro elektronickou identifikaci a evropských peněženek digitální identity.

Do 21. května 2030 a poté každé čtyři roky předloží Komise Evropskému parlamentu a Radě zprávu o pokroku v dosahování cílů tohoto nařízení.“;

51) Článek 51 se nahrazuje tímto:

Prostředky pro bezpečné vytváření podpisu, jejichž shoda byla stanovena podle čl. 3 odst. 4 směrnice 1999/93/ES, se považují za kvalifikované prostředky pro vytváření elektronických podpisů podle tohoto nařízení do 21. května 2027.

Kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES se považují za kvalifikované certifikáty pro elektronické podpisy podle tohoto nařízení do 21. května 2026.

Správa kvalifikovaných prostředků pro vytváření elektronických podpisů a pečetí na dálku jinými kvalifikovanými poskytovateli služeb vytvářejících důvěru, než jsou kvalifikovaní poskytovatelé služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru pro účely správy kvalifikovaných prostředků pro vytváření elektronických podpisů a pečetí na dálku v souladu s články 29a a 39a může být do 21. května 2026 vykonávána i bez získání statusu kvalifikované služby pro poskytování těchto služeb souvisejících se správou.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru, kteří kvalifikovaný status podle tohoto nařízení získali před 20. květnem 2024, předloží orgánu dohledu co nejdříve a v každém případě do 21. května 2026 zprávu o posouzení shody dokládající soulad s čl. 24 odst. 1, 1a a 1b.“

52) Přílohy I až IV se mění v souladu s přílohami I až IV tohoto nařízení.

53) Doplňují se nové přílohy V, VI a VII obsažené v přílohách V, VI a VII tohoto nařízení.