Art. 46 Regulamentul (UE) 2024/1183 (eIDAS 2) — Supravegherea serviciilor de încredere

Supravegherea cadrului pentru portofelul european pentru identitatea digitală

(1)   Statele membre desemnează unul sau mai multe organisme de supraveghere stabilite pe teritoriul lor.

Organismelor de supraveghere desemnate în temeiul primului paragraf li se conferă competențele necesare și resursele adecvate pentru a-și îndeplini sarcinile în mod eficace, eficient și independent.

(2)   Statele membre notifică Comisiei denumirile și adresele organismelor lor de supraveghere desemnate în temeiul alineatului (1), precum și orice modificări ulterioare ale acestora. Comisia publică o listă a organismelor de supraveghere notificate.

(3)   Rolul organismelor de supraveghere desemnate în temeiul alineatului (1) constă în:

(a)

supravegherea furnizorilor de portofele europene pentru identitatea digitală stabiliți pe teritoriul statului membru care a desemnat organismele de supraveghere și asigurarea, prin intermediul unor activități de supraveghere ex ante și ex post, îndeplinirii de către respectivii furnizori și de către portofelele europene pentru identitatea digitală furnizate de aceștia a cerințelor stabilite în prezentul regulament;

(b)

a lua măsuri, dacă este necesar, în ceea ce îi privește pe furnizorii de portofele europene pentru identitatea digitală stabiliți pe teritoriul statului membru care a desemnat organismele de supraveghere, prin intermediul unor activități de supraveghere ex post, atunci când sunt informate că furnizorii sau portofelele europene pentru identitatea digitală furnizate de aceștia încalcă prezentul regulament.

(4)   Printre sarcinile organismelor de supraveghere desemnate în temeiul alineatului (1) se numără, în special, următoarele:

(a)

să coopereze cu alte organisme de supraveghere și să acorde asistență acestora, în conformitate cu articolele 46c și 46e;

(b)

să solicite informațiile necesare pentru monitorizarea conformității cu prezentul regulament;

(c)

să informeze autoritățile competente relevante ale statelor membre în cauză, desemnate sau înființate în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555, cu privire la orice încălcare semnificativă a securității sau pierdere a integrității de care iau cunoștință în îndeplinirea sarcinilor lor și, în cazul unei încălcări semnificative a securității sau al pierderii integrității care privește alte state membre, să informeze punctul unic de contact din statul membru în cauză, desemnat sau înființat în temeiul articolului 8 alineatul (3) din Directiva (UE) 2022/2555, și punctele unice de contact din celelalte state membre în cauză, desemnate în temeiul articolului 46c alineatul (1) din prezentul regulament, și să informeze publicul sau să solicite furnizorilor de portofele europene pentru identitatea digitală să facă acest lucru în cazul în care organismul de supraveghere consideră că divulgarea încălcării securității sau a pierderii integrității ar fi de interes public;

(d)

să efectueze inspecții la fața locului și supraveghere ex situ;

(e)

să solicite furnizorilor de portofele europene pentru identitatea digitală să remedieze orice neîndeplinire a cerințelor prevăzute în prezentul regulament;

(f)

să suspende sau să anuleze înregistrarea și includerea beneficiarilor în mecanismul menționat la articolul 5b alineatul (7) în cazul utilizării ilegale sau frauduloase a portofelului european pentru identitatea digitală;

(g)

să coopereze cu autoritățile de supraveghere competente înființate în temeiul articolului 51 din Regulamentul (UE) 2016/679, în special prin informarea acestora, fără întârzieri nejustificate, în cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, precum și cu privire la încălcările securității care par să constituie încălcări ale securității datelor cu caracter personal.

(5)   În cazul în care organismul de supraveghere desemnat în temeiul alineatului (1) solicită furnizorului unui portofel european pentru identitatea digitală să remedieze orice neîndeplinire a cerințelor prevăzute în prezentul regulament în temeiul alineatului (4) litera (e), iar furnizorul respectiv nu acționează în consecință și, dacă este cazul, într-un termen stabilit de organismul de supraveghere, organismul de supraveghere desemnat în temeiul alineatului (1) poate, ținând seama, în special, de amploarea, durata și consecințele respectivei neîndepliniri, să dispună ca furnizorul să suspende sau să înceteze furnizarea portofelului european pentru identitatea digitală. Organismul de supraveghere informează fără întârzieri nejustificate organismele de supraveghere ale altor state membre, Comisia, beneficiarii și utilizatorii portofelului european pentru identitatea digitală cu privire la decizia de a solicita suspendarea sau încetarea furnizării portofelului european pentru identitatea digitală.

(6)   În fiecare an, până la 31 martie, fiecare organism de supraveghere desemnat în temeiul alineatului (1) prezintă Comisiei un raport privind principalele activități desfășurate în anul calendaristic anterior. Comisia pune la dispoziția Parlamentului European și a Consiliului rapoartele anuale respective.

(7)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, formatele și procedurile privind raportul menționat la alineatul (6) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Supravegherea serviciilor de încredere

(1)   Statele membre desemnează un organism de supraveghere înființat pe teritoriul lor sau desemnează, de comun acord cu un alt stat membru, un organism de supraveghere înființat în acel alt stat membru. Organismul de supraveghere respectiv este responsabil de sarcinile de supraveghere în statul membru care l-a desemnat în ceea ce privește serviciile de încredere.

Organismelor de supraveghere desemnate în temeiul primului paragraf li se acordă competențele necesare și resursele adecvate pentru a-și îndeplini sarcinile.

(2)   Statele membre notifică Comisiei denumirile și adresele organismelor lor de supraveghere desemnate în temeiul alineatului (1), precum și orice modificări ulterioare ale acestora. Comisia publică o listă a organismelor de supraveghere notificate.

(3)   Rolul organismelor de supraveghere desemnate în temeiul alineatului (1) constă în:

(a)

supravegherea prestatorilor de servicii de încredere calificați stabiliți pe teritoriul statului membru care le-a desemnat și asigurarea, prin intermediul unor activități de supraveghere ex ante și ex post, îndeplinirii de către respectivii prestatori de servicii de încredere calificați și de către serviciile de încredere calificate prestate de aceștia a cerințelor stabilite în prezentul regulament;

(b)

luarea de măsuri, după caz, în legătură cu prestatorii de servicii de încredere necalificați stabiliți pe teritoriul statului membru care le-a desemnat, prin intermediul activităților de supraveghere ex post, atunci când sunt informate că respectivii prestatori de servicii de încredere necalificați sau serviciile de încredere prestate de aceștia nu ar îndeplini cerințele stabilite în prezentul regulament.

(4)   Printre sarcinile organismelor de supraveghere desemnate în temeiul alineatului (1) se numără, în special, următoarele:

(a)

să informeze autoritățile competente relevante ale statelor membre în cauză, desemnate sau înființate în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555, cu privire la orice încălcare semnificativă a securității sau pierdere a integrității de care iau cunoștință în îndeplinirea sarcinilor lor și, în cazul unei încălcări semnificative a securității sau al pierderii integrității care privește alte state membre, să informeze punctul unic de contact din statul membru în cauză, desemnat sau înființat în temeiul articolului 8 alineatul (3) din Directiva (UE) 2022/2555, și punctele unice de contact din celelalte state membre în cauză, desemnate în temeiul articolului 46c alineatul (1) din prezentul regulament, și să informeze publicul sau să solicite prestatorului de servicii de încredere să facă acest lucru în cazul în care organismul de supraveghere consideră că divulgarea încălcării securității sau a pierderii integrității ar fi de interes public;

(b)

să coopereze cu alte organisme de supraveghere și să acorde asistență acestora, în conformitate cu articolele 46c și 46e;

(c)

să analizeze rapoartele de evaluare a conformității menționate la articolul 20 alineatul (1) și la articolul 21 alineatul (1);

(d)

să raporteze Comisiei cu privire la activitățile sale principale, în conformitate cu alineatul (6) de la prezentul articol;

(e)

să realizeze audituri sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității prestatorilor de servicii de încredere calificați, în conformitate cu articolul 20 alineatul (2);

(f)

să coopereze cu autoritățile de supraveghere competente înființate în temeiul articolului 51 din Regulamentul (UE) 2016/679, în special prin informarea acestora, fără întârzieri nejustificate, în cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, precum și cu privire la încălcările securității care par să constituie încălcări ale securității datelor cu caracter personal;

(g)

să acorde statutul de calificat prestatorilor de servicii de încredere, precum și serviciilor pe care aceștia le prestează și să retragă statutul respectiv, în conformitate cu articolele 20 și 21;

(h)

să informeze organismul responsabil cu lista sigură națională menționată la articolul 22 alineatul (3) cu privire la deciziile sale de acordare sau de retragere a statutului de calificat, cu excepția cazului în care respectivul organism este și organism de supraveghere desemnat în temeiul alineatului (1) de la prezentul articol;

(i)

să verifice existența și aplicarea corectă a dispozițiilor privind planurile de încetare a serviciului atunci când prestatorul de servicii de încredere calificat își încetează activitățile, inclusiv modul în care informațiile sunt păstrate accesibile, în conformitate cu articolul 24 alineatul (2) litera (h);

(j)

să solicite prestatorilor de servicii de încredere să remedieze orice neîndeplinire a cerințelor prevăzute în prezentul regulament;

(k)

să investigheze cererile formulate de furnizorii de browsere web în temeiul articolului 45a și să ia măsuri, dacă este necesar.

(5)   Statele membre pot să solicite organismului de supraveghere desemnat în temeiul alineatului (1) să stabilească, să mențină și să actualizeze o infrastructură de asigurare a încrederii în conformitate cu dreptul intern.

(6)   În fiecare an, până la 31 martie, fiecare organism de supraveghere desemnat în temeiul alineatului (1) prezintă Comisiei un raport privind principalele activități desfășurate în anul calendaristic anterior. Comisia pune la dispoziția Parlamentului European și a Consiliului rapoartele anuale respective.

(7)   Până la 21 mai 2025, Comisia adoptă orientări privind îndeplinirea de către organismele de supraveghere desemnate în temeiul alineatului (1) de la prezentul articol a sarcinilor menționate la alineatul (4) de la prezentul articol și, prin intermediul unor acte de punere în aplicare, stabilește formatele și procedurile privind raportul menționat la alineatul (6) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).

Puncte unice de contact

(1)   Fiecare stat membru desemnează un punct unic de contact pentru serviciile de încredere, portofelele europene pentru identitatea digitală și sistemele de identificare electronică notificate.

(2)   Fiecare punct unic de contact exercită o funcție de legătură pentru a facilita cooperarea transfrontalieră între organismele de supraveghere pentru prestatorii de servicii de încredere și între organismele de supraveghere pentru furnizorii de portofele europene pentru identitatea digitală și, după caz, cu Comisia și Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) și cu alte autorități competente din statul său membru.

(3)   Fiecare stat membru publică și, fără întârzieri nejustificate, notifică Comisiei denumirea și adresa punctului unic de contact desemnat în temeiul alineatului (1), precum și orice modificare ulterioară a acestora.

(4)   Comisia publică o listă a punctelor unice de contact notificate în temeiul alineatului (3).

Asistență reciprocă

(1)   Pentru a facilita supravegherea și executarea obligațiilor prevăzute de prezentul regulament, organismele de supraveghere desemnate în temeiul articolului 46a alineatul (1) sau al articolului 46b alineatul (1) pot solicita, inclusiv prin intermediul grupului de cooperare înființat în temeiul articolului 46e alineatul (1), asistență reciprocă din partea organismelor de supraveghere dintr-un alt stat membru în care este stabilit furnizorul portofelului european pentru identitatea digitală sau prestatorul de servicii de încredere sau în care se află rețeaua și sistemele sale informatice ori sunt prestate serviciile acestuia.

(2)   Asistența reciprocă implică cel puțin faptul că:

(a)

organismul de supraveghere care aplică măsuri de supraveghere și de executare într-un stat membru informează și consultă organismul de supraveghere din celălalt stat membru în cauză;

(b)

un organism de supraveghere poate solicita organismului de supraveghere dintr-un alt stat membru în cauză să ia măsuri de supraveghere sau de executare, inclusiv, de exemplu, cereri de a efectua inspecții legate de rapoartele de evaluare a conformității menționate la articolele 20 și 21 în ceea ce privește prestarea de servicii de încredere;

(c)

după caz, organismele de supraveghere pot efectua anchete comune cu organismele de supraveghere din alte state membre.

Mecanismele și procedurile pentru acțiunile comune menționate la primul paragraf sunt convenite și stabilite de către statele membre în cauză, în conformitate cu dreptul lor intern.

(3)   Un organism de supraveghere căruia i se adresează o solicitare de asistență poate respinge respectiva solicitare pentru oricare dintre următoarele motive:

(a)

asistența solicitată nu este proporțională cu activitățile de supraveghere ale organismului de supraveghere desfășurate în conformitate cu articolele 46a și 46b;

(b)

organismul de supraveghere nu are competența de a acorda asistența solicitată;

(c)

acordarea asistenței solicitate ar contraveni prezentului regulament.

(4)   Până la 21 mai 2025 și, ulterior, la fiecare doi ani, grupul de cooperare înființat în temeiul articolului 46e alineatul (1) emite orientări privind aspectele organizatorice și procedurile pentru asistența reciprocă menționată la alineatele (1) și (2) de la prezentul articol.

Grupul european de cooperare privind identitatea digitală

(1)   Pentru a sprijini și a facilita cooperarea transfrontalieră și schimbul de informații dintre statele membre privind serviciile de încredere, portofelele europene pentru identitatea digitală și sistemele de identificare electronică notificate, Comisia înființează un Grup european de cooperare privind identitatea digitală (denumit în continuare «grupul de cooperare»).

(2)   Grupul de cooperare este alcătuit din reprezentanți numiți de statele membre și de Comisie. Grupul de cooperare este prezidat de Comisie. Comisia asigură secretariatul grupului de cooperare.

(3)   Reprezentanții părților interesate relevante pot fi invitați ad-hoc să participe la reuniunile grupului de cooperare și la lucrările acestuia în calitate de observatori.

(4)   ENISA este invitată să participe în calitate de observator la lucrările grupului de cooperare atunci când are loc un schimb de opinii, de bune practici și de informații cu privire la aspecte relevante în materie de securitate cibernetică, cum ar fi notificarea încălcărilor securității, și atunci când se abordează utilizarea certificatelor sau a standardelor de securitate cibernetică.

(5)   Grupului de cooperare îi revin următoarele sarcini:

(a)

să facă schimb de opinii și să coopereze cu Comisia cu privire la inițiativele de politică emergente în domeniul portofelelor pentru identitatea digitală, al mijloacelor de identificare electronică și al serviciilor de încredere;

(b)

să consilieze Comisia, după caz, în fazele inițiale de pregătire a proiectelor de acte de punere în aplicare și de acte delegate care urmează să fie adoptate în temeiul prezentului regulament;

(c)

pentru a sprijini organismele de supraveghere la punerea în aplicare a dispozițiilor prezentului regulament:

(i)

să facă schimb de bune practici și de informații privind punerea în aplicare a dispozițiilor prezentului regulament;

(ii)

să evalueze evoluțiile pertinente din sectorul portofelului pentru identitatea digitală, al identificării electronice și al serviciilor de încredere;

(iii)

să organizeze reuniuni comune cu părțile interesate relevante din întreaga Uniune pentru a discuta activitățile desfășurate de grupul de cooperare și pentru a colecta informații cu privire la dificultățile emergente în materie de politici;

(iv)

cu sprijinul ENISA, să facă schimb de opinii, de bune practici și de informații cu privire la aspectele relevante în materie de securitate cibernetică în ceea ce privește portofelele europene pentru identitatea digitală, sistemele de identificare electronică și serviciile de încredere;

(v)

să facă schimb de bune practici cu privire la elaborarea și punerea în aplicare a politicilor privind notificarea încălcărilor securității și măsurile comune menționate la articolele 5e și 10;

(vi)

să organizeze reuniuni comune cu Grupul de cooperare NIS înființat în temeiul articolului 14 alineatul (1) din Directiva (UE) 2022/2555 pentru a face schimb de informații relevante în ceea ce privește amenințările cibernetice, incidentele, vulnerabilitățile, inițiativele de sensibilizare, cursurile de formare, exercițiile și competențele, consolidarea capacităților, capacitățile în materie de standarde și specificații tehnice, precum și standardele și specificațiile tehnice în legătură cu serviciile de încredere și identificarea electronică;

(vii)

să discute, la cererea unui organism de supraveghere, cererile specifice de asistență reciprocă menționate la articolul 46d;

(viii)

să faciliteze schimbul de informații între organismele de supraveghere prin furnizarea de orientări cu privire la aspectele organizatorice și procedurile de asistență reciprocă menționate la articolul 46d;

(d)

să organizeze evaluări inter pares ale sistemelor de identificare electronică ce trebuie notificate în temeiul prezentului regulament.

(6)   Statele membre asigură cooperarea eficace și eficientă a reprezentanților lor desemnați în grupul de cooperare.

(7)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, modalitățile procedurale necesare pentru facilitarea cooperării dintre statele membre menționate la alineatul (5) litera (d) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

48.

Articolul 47 se modifică după cum urmează:

(a)

alineatele (2) și (3) se înlocuiesc cu următorul text:

„(2)   Competența de a adopta acte delegate menționată la articolul 5c alineatul (7), la articolul 24 alineatul (4b) și la articolul 30 alineatul (4) se conferă Comisiei pe o perioadă nedeterminată de la 17 septembrie 2014.

(3)   Delegarea de competențe menționată la articolul 5c alineatul (7), la articolul 24 alineatul (4b) și la articolul 30 alineatul (4) poate fi revocată oricând de Parlamentul European sau de Consiliu. O decizie de revocare pune capăt delegării de competențe specificate în decizia respectivă. Decizia produce efecte din ziua care urmează datei publicării acesteia în Jurnalul Oficial al Uniunii Europene sau de la o dată ulterioară menționată în decizie. Decizia nu aduce atingere actelor delegate care sunt deja în vigoare.”;

(b)

alineatul (5) se înlocuiește cu următorul text:

„(5)   Un act delegat adoptat în temeiul articolului 5c alineatul (7), al articolului 24 alineatul (4b) sau al articolului 30 alineatul (4) intră în vigoare numai în cazul în care nici Parlamentul European și nici Consiliul nu au formulat obiecții în termen de două luni de la notificarea acestuia către Parlamentul European și Consiliu sau în cazul în care, înaintea expirării termenului respectiv, Parlamentul European și Consiliul au informat Comisia că nu vor formula obiecții. Respectivul termen se prelungește cu două luni la inițiativa Parlamentului European sau a Consiliului.”

49.

În capitolul VI se introduce următorul articol:

„Articolul 48a

Cerințe de raportare

(1)   Statele membre asigură colectarea de date statistice în legătură cu funcționarea portofelelor europene pentru identitatea digitală și a serviciilor de încredere calificate furnizate pe teritoriile lor.

(2)   Datele statistice colectate în conformitate cu alineatul (1) includ următoarele:

(a)

numărul persoanelor fizice și juridice care dețin un portofel european pentru identitatea digitală valabil;

(b)

tipul și numărul serviciilor care acceptă utilizarea portofelului european pentru identitatea digitală;

(c)

numărul reclamațiilor din partea utilizatorilor și al incidentelor privind protecția consumatorilor sau protecția datelor în legătură cu beneficiarii și serviciile de încredere calificate;

(d)

un raport de sinteză care include date privind incidentele care împiedică utilizarea portofelului european pentru identitatea digitală;

(e)

un rezumat al incidentelor semnificative de securitate, al încălcărilor securității datelor și al utilizatorilor afectați ai portofelelor europene pentru identitatea digitală sau ai serviciilor de încredere calificate.

(3)   Datele statistice menționate la alineatul (2) sunt puse la dispoziția publicului într-un format deschis, utilizat în mod obișnuit și prelucrabil automat.

(4)   Până la data de 31 martie a fiecărui an, statele membre transmit Comisiei un raport privind datele statistice colectate în conformitate cu alineatul (2).”

50.

Articolul 49 se înlocuiește cu următorul text:

„Articolul 49

Reexaminare

(1)   Comisia reexaminează modul de aplicare a prezentului regulament și, până la 21 mai 2026, prezintă un raport în acest sens Parlamentului European și Consiliului. În respectivul raport, Comisia evaluează, în special, dacă este oportun să se modifice domeniul de aplicare al prezentului regulament sau dispozițiile sale specifice, inclusiv, în special, dispozițiile articolului 5c alineatul (5), ținând seama de experiența dobândită în aplicarea prezentului regulament, precum și de evoluțiile tehnologice, ale pieței și juridice. Dacă este necesar, raportul respectiv este însoțit de o propunere de modificare a prezentului regulament.

(2)   Raportul menționat la alineatul (1) include o analiză a disponibilității, a securității și a posibilității de utilizare a mijloacelor de identificare electronică notificate și a portofelelor europene pentru identitatea digitală care intră în domeniul de aplicare al prezentului regulament și analizează dacă tuturor prestatorilor privați de servicii online care recurg la servicii de identificare electronică furnizate de terți pentru autentificarea utilizatorilor trebuie să le revină obligația să accepte utilizarea mijloacelor de identificare electronică notificate și a portofelului european pentru identitatea digitală.

(3)   Până la 21 mai 2030 și, ulterior, la fiecare patru ani, Comisia prezintă un raport Parlamentului European și Consiliului cu privire la progresele realizate în vederea atingerii obiectivelor prezentului regulament.”

51.

Articolul 51 se înlocuiește cu următorul text:

„Articolul 51

Măsuri tranzitorii

(1)   Dispozitivele sigure de creare a semnăturilor a căror conformitate a fost stabilită în conformitate cu articolul 3 alineatul (4) din Directiva 1999/93/CE sunt considerate în continuare dispozitive de creare a semnăturilor electronice calificate în temeiul prezentului regulament până la 21 mai 2027.

(2)   Certificatele calificate emise persoanelor fizice în temeiul Directivei 1999/93/CE sunt considerate în continuare certificate calificate pentru semnături electronice în temeiul prezentului regulament până la 21 mai 2026.

(3)   Până la 21 mai 2026, gestionarea dispozitivelor calificate de creare a semnăturilor și sigiliilor electronice la distanță de către alți prestatori de servicii de încredere calificați decât cei care prestează servicii de încredere calificate pentru gestionarea dispozitivelor calificate de creare a semnăturilor și sigiliilor electronice la distanță în conformitate cu articolele 29a și 39a, se poate desfășura fără să fie necesară obținerea statutului de calificat pentru prestarea acestor servicii de gestionare.

(4)   Prestatorii de servicii de încredere calificați cărora li s-a acordat statutul de calificat în temeiul prezentului regulament înainte de 20 mai 2024 prezintă organismului de supraveghere un raport de evaluare a conformității care dovedește conformitatea cu articolul 24 alineatele (1), (1a) și (1b) cât mai curând posibil și în orice caz până la 21 mai 2026.”

52.

Anexele I-IV se modifică în conformitate cu anexele I-IV la prezentul regulament.

53.

Se adaugă noile anexe V, VI și VII astfel cum figurează în anexele V, VI și VII la prezentul regulament.