Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 5b Absatz 11,

in Erwägung nachstehender Gründe:

(1) Für die Zwecke der Registrierung vertrauender Beteiligter, die beabsichtigen, gemäß der Verordnung (EU) Nr. 910/2014 für die Bereitstellung öffentlicher oder privater digitaler Dienste auf europäische Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen") zurückzugreifen, sollten die Mitgliedstaaten nationale Register der in ihrem Hoheitsgebiet niedergelassenen auf Brieftaschen vertrauenden Beteiligten einrichten und führen.

(2) Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen und technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Verordnung festgelegten technischen Spezifikationen auf den Arbeiten, die im Zuge der Empfehlung (EU) 2021/946 ² durchgeführt wurden, insbesondere auf der Architektur und dem dazugehörigen Referenzrahmen. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates ³ sollte die Kommission diese Verordnung überprüfen und gegebenenfalls aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(3) Um einen breiten Zugang zu den Registern sicherzustellen und die Interoperabilität zu gewährleisten, sollten die Mitgliedstaaten sowohl vom Menschen lesbare als auch maschinenlesbare Schnittstellen einrichten, die den in dieser Verordnung festgelegten technischen Spezifikationen entsprechen. Anbieter von Zugangszertifikaten für auf Brieftaschen vertrauende Beteiligte und von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte sollten für die Zwecke der Ausstellung dieser Zertifikate gegebenenfalls auch auf diese Schnittstellen zurückgreifen können.

(4) Da die Registrierungsregelungen den auf Brieftaschen vertrauenden Beteiligten klare Anleitungen für das Registrierungsverfahren an die Hand geben, sollten die Mitgliedstaaten die Registrierungsregelungen für das in ihrem Hoheitsgebiet eingerichtete nationale Register festlegen und veröffentlichen.

(5) Mit der Registrierung der auf Brieftaschen vertrauenden Beteiligten soll durch eine größere Transparenz Vertrauen bei der Verwendung von Brieftaschen aufgebaut werden. Daher sollten die Mitgliedstaaten der Öffentlichkeit die einschlägigen Informationen in einer Form zur Verfügung stellen, die sowohl vom Menschen lesbar als auch maschinenlesbar ist. Hierzu sollten die auf Brieftaschen vertrauenden Beteiligten den nationalen Registern die erforderlichen Informationen, einschließlich ihrer Befugnisse, übermitteln.

(6) Darüber hinaus sollten die auf Brieftaschen vertrauenden Beteiligten aus Gründen der Transparenz erklären, ob sie beabsichtigen, auf die elektronische Identifizierung natürlicher Personen zurückzugreifen.

(7) Um sicherzustellen, dass das Registrierungsverfahren kosteneffizient ist und in einem angemessenen Verhältnis zu den Risiken steht, sollten die Registrierstellen leicht zu verwendende Online-Verfahren und gegebenenfalls automatisierte Verfahren für die Registrierung von auf Brieftaschen vertrauenden Beteiligten einrichten. Die Registrierstellen sollten Anträge auf Registrierung unverzüglich prüfen.

(8) Die Mitgliedstaaten müssen sicherstellen, dass die Brieftaschen benutzt werden können, um auf Brieftaschen vertrauende Beteiligte zu authentifizieren, und zwar unabhängig davon, wo in der Union diese niedergelassen sind. Dazu sollten die auf Brieftaschen vertrauenden Beteiligten sich gegenüber Einzelbrieftaschen mit Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte identifizieren. Zur Gewährleistung der Interoperabilität dieser Zertifikate mit allen in der Union bereitgestellten Brieftaschen sollten die Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte den im Anhang festgelegten gemeinsamen Anforderungen entsprechen. Die Kommission sollte einheitliche Zertifizierungsregelungen und Zertifizierungspraxiserklärungen entwickeln, die von den Mitgliedstaaten umgesetzt werden sollten. Die Kommission sollte in Zusammenarbeit mit den Mitgliedstaaten die Entwicklung neuer oder alternativer Normen, auf deren Grundlage Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte umgesetzt werden könnten, genau überwachen. Insbesondere sollten Vertrauensmodelle bewertet werden, die sich in den Mitgliedstaaten als wirksam und sicher erwiesen haben.

(9) Wie in der Verordnung (EU) Nr. 910/2014 festgelegt, dürfen auf Brieftaschen vertrauende Beteiligte von den Nutzern nur die Daten verlangen, die im Registrierungsverfahren für die beabsichtigte Verwendung der Brieftaschen angegeben wurden. Die Brieftaschennutzer sollten die Registrierungsdaten der auf Brieftaschen vertrauenden Beteiligten überprüfen können. Damit die Brieftaschennutzer überprüfen können, ob die vom vertrauenden Beteiligten abgefragten Attribute zu den von ihm registrierten Attributen gehören, können die Mitgliedstaaten die Ausstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte an registrierte auf Brieftaschen vertrauende Beteiligte verlangen. Um die Interoperabilität der Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte zu gewährleisten, sollten die Mitgliedstaaten sicherstellen, dass diese Zertifikate die im Anhang festgelegten Anforderungen und Normen erfüllen. Insbesondere sollten die auf Brieftaschen vertrauenden Beteiligten aus Gründen der Transparenz erklären, ob sie beabsichtigen, auf die elektronische Identifizierung natürlicher Personen zurückzugreifen, um eine der in Artikel 6 Absatz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ⁴ festgelegten Anforderungen zu erfüllen. Ferner dürfen vertrauende Beteiligte die Verwendung von Pseudonymen nicht verweigern, wenn die Identifizierung des Nutzers nicht im Unionsrecht oder im nationalen Recht vorgeschrieben ist.

(10) Um die Nutzer vor einer übermäßigen Weitergabe von Informationen an auf Brieftaschen vertrauende Beteiligte zu schützen und sie in solchen Fällen zu warnen, sollten die Mitgliedstaaten gemeinsame Zugriffsregelungen in ihre Zertifizierungsregelungen aufnehmen, die es einer Brieftaschenlösung ermöglichen würden, den Brieftaschennutzer davon in Kenntnis zu setzen, wenn ein auf Brieftaschen vertrauender Beteiligter mehr Informationen abfragt als diejenigen, für die er registriert oder zugangsberechtigt ist.

(11) Um die Brieftaschennutzer zu schützen, sollten die Registrierstellen die Registrierung eines auf Brieftaschen vertrauenden Beteiligten ohne Vorankündigung aussetzen oder aufheben können, wenn die Registrierstellen Grund zu der Annahme haben, dass die Registrierung unrichtige, veraltete oder irreführende Informationen enthält, dass der auf Brieftaschen vertrauende Beteiligte die Registrierungsregelung nicht einhält oder dass der auf Brieftaschen vertrauende Beteiligte anderweitig gegen Unionsrecht oder nationales Recht oder gegen die Europäische Erklärung zu den digitalen Rechten und Grundsätzen für die digitale Dekade ⁵ in einer Weise verstößt, die mit seiner Rolle als auf Brieftaschen vertrauender Beteiligter im Zusammenhang steht, z.B. wenn der auf Brieftaschen vertrauende Beteiligte die Attribute, zu denen er Zugang verlangt, nicht vorschriftsgemäß auf ein Mindestmaß beschränkt hat. Damit die Stabilität des Ökosystems europäischer Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen-Ökosystem") gewahrt bleibt, sollte die Entscheidung, eine Registrierung auszusetzen oder aufzuheben, in einem angemessenen Verhältnis zu der durch die Aussetzung oder Aufhebung verursachten Störung des Dienstes und den damit verbundenen Kosten und Unannehmlichkeiten für den Diensteanbieter und den Nutzer stehen. Gemäß Artikel 46a Absatz 4 Buchstabe f der Verordnung (EU) Nr. 910/2014 sind die Aufsichtsbehörden befugt, die Registrierung erforderlichenfalls auszusetzen und aufzuheben.

(12) Für die Zwecke der Ex-post-Überwachung, von Untersuchungen der Strafverfolgungsbehörden und der Streitbeilegung sollten die Registrierstellen Aufzeichnungen aller Informationen, die von den im nationalen Register aufgeführten auf Brieftaschen vertrauenden Beteiligten bereitgestellt wurden, für einen Zeitraum von zehn Jahren aufbewahren.

(13) Die Verordnung (EU) 2016/679 und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ⁶ gelten für die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(14) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ⁷ angehört und gab am 31. Januar 2025 seine Stellungnahme ab.

(15) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 48 der Verordnung (EU) Nr. 910/2014 eingesetzten Ausschusses

- hat folgende Verordnung erlassen:

Artikel 1 Gegenstand und Anwendungsbereich

Mit dieser Verordnung werden Vorschriften für die Registrierung von auf Brieftaschen vertrauenden Beteiligten festgelegt.

Artikel 2 Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1. "auf Brieftaschen vertrauender Beteiligter" einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen;

2. "Einzelbrieftasche" eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden;

3. "Brieftaschenlösung" eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen;

4. "Brieftascheninstanz" die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren;

5. "sichere Kryptoanwendung für Brieftaschen" (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt;

6. "sicheres Kryptomodul für Brieftaschen" (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen;

7. "kritische Werte" Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte;

8. "Brieftaschenanbieter" eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt;

9. "Brieftaschennutzer" einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat;

10. "nationales Register der auf Brieftaschen vertrauenden Beteiligten" ein nationales elektronisches Register, das von einem Mitgliedstaat verwendet wird, um Informationen über die in diesem Mitgliedstaat registrierten auf Brieftaschen vertrauenden Beteiligten gemäß Artikel 5b Absatz 5 der Verordnung (EU) Nr. 910/2014 öffentlich zugänglich zu machen;

11. "Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte" eine natürliche oder juristische Person, die von einem Mitgliedstaat beauftragt wurde, Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte auszustellen, die in diesem Mitgliedstaat registriert sind;

12. "Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte" ein Zertifikat für elektronische Siegel oder Signaturen, mit dem auf Brieftaschen vertrauende Beteiligte authentifiziert und validiert werden und das von einem Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte ausgestellt wird;

13. "Anbieter von Personenidentifizierungsdaten" eine natürliche oder juristische Person, die für die Ausstellung und den Widerruf der Personenidentifizierungsdaten verantwortlich ist und sicherstellt, dass die Personenidentifizierungsdaten eines Nutzers kryptografisch an eine Einzelbrieftasche gebunden sind;

14. "Registrierstelle für auf Brieftaschen vertrauende Beteiligte" die von einem Mitgliedstaat benannte Stelle, die für die Erstellung und Führung der Liste der im Hoheitsgebiet dieses Mitgliedstaats niedergelassenen registrierten auf Brieftaschen vertrauenden Beteiligten zuständig ist;

15. "Registrierungszertifikat des auf Brieftaschen vertrauenden Beteiligten" ein Datenobjekt, das die vom vertrauenden Beteiligten beabsichtigte Verwendung beschreibt und die Attribute angibt, für die der vertrauende Beteiligte die Absicht registriert hat, sie von Nutzern abzufragen;

16. "Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte" eine natürliche oder juristische Person, die von einem Mitgliedstaat beauftragt wurde, Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte auszustellen, die in diesem Mitgliedstaat registriert sind.

Artikel 3 Nationale Register

(1) Die Mitgliedstaaten richten mindestens ein nationales Register der auf Brieftaschen vertrauenden Beteiligten mit Informationen über die in diesem Mitgliedstaat niedergelassenen registrierten auf Brieftaschen vertrauenden Beteiligten ein und führen dieses Register.

(2) Das Register muss mindestens die in Anhang I vorgesehenen Informationen enthalten.

(3) Die Mitgliedstaaten benennen mindestens eine Registrierstelle, die mindestens ein nationales Register der auf Brieftaschen vertrauenden Beteiligten verwaltet und betreibt.

(4) Die Mitgliedstaaten machen die in Anhang I aufgeführten Informationen über registrierte auf Brieftaschen vertrauende Beteiligte sowohl in vom Menschen lesbarer Form als auch in einer für eine automatisierte Verarbeitung geeigneten Form online öffentlich zugänglich.

(5) Die in Absatz 2 genannten Informationen werden über eine einheitliche gemeinsame Anwendungsprogrammierschnittstelle (im Folgenden "API") und über eine nationale Website zugänglich gemacht. Sie werden von der Registrierstelle oder in ihrem Namen gemäß den gemeinsamen Anforderungen an eine einheitliche API in Anhang II Abschnitt 1 elektronisch unterzeichnet oder besiegelt.

(6) Die Mitgliedstaaten stellen sicher, dass die in Absatz 5 genannte API den gemeinsamen Anforderungen in Anhang II Abschnitt 2 entspricht.

(7) Die Mitgliedstaaten stellen sicher, dass die Register den einschlägigen gemeinsamen Registrierungsregelungen gemäß Artikel 4 entsprechen.

Artikel 4 Registrierungsregelungen

(1) Die Mitgliedstaaten legen eine oder mehrere nationale Registrierungsregelungen fest, die für die in ihrem Hoheitsgebiet eingerichteten nationalen Register gelten, und veröffentlichen diese.

(2) Die Mitgliedstaaten können bestehende sektorale oder nationale Registrierungsregelungen einbeziehen oder weiterverwenden.

(3) Die nationale Registrierungsregelung umfasst mindestens Informationen über

1. Identifizierungs- und Authentifizierungsverfahren, die während des Registrierungsverfahrens für auf Brieftaschen vertrauende Beteiligte gelten;
2. die erforderlichen Belege zum Nachweis der Identität, der Unternehmenseintragung und geltender Befugnisse des auf Brieftaschen vertrauenden Beteiligten sowie anderer einschlägiger Informationen;
3. die authentischen Quellen oder andere amtliche elektronische Aufzeichnungen, sofern diese Quellen oder Aufzeichnungen herangezogen werden können, um korrekte Daten abzufragen;
4. etwaige sonstige Informationen oder andere Nachweise, die im Rahmen des Registrierungsverfahrens erforderlich sind;
5. gegebenenfalls die automatisierten Mittel, die es den auf Brieftaschen vertrauenden Beteiligten ermöglichen, sich zu registrieren oder eine bestehende Registrierung zu aktualisieren;
6. den Rechtsbehelf, der den auf Brieftaschen vertrauenden Beteiligten nach den Rechtsvorschriften und Verfahren des Mitgliedstaats, in dem das nationale Register eingerichtet wurde, zur Verfügung steht;
7. die Vorschriften und Verfahren für die Überprüfung der Identität der registrierten auf Brieftaschen vertrauenden Beteiligten und etwaiger weiterer von dem Beteiligten bereitgestellter einschlägiger Informationen.

(4) Mithilfe der in Absatz 3 Buchstaben a und b genannten Verfahren und Unterlagen müssen die auf Brieftaschen vertrauenden Beteiligten angeben können, im Rahmen welcher besonderen Befugnisse gemäß Anhang I sie handeln.

(5) Die in der nationalen Registrierungsregelung festgelegten Anforderungen dürfen gegebenenfalls ein automatisiertes Registrierungsverfahren nicht verhindern.

Artikel 5 Den nationalen Registern bereitzustellende Informationen

(1) Auf Brieftaschen vertrauende Beteiligte stellen den nationalen Registern mindestens die in Anhang I aufgeführten Informationen bereit.

(2) Auf Brieftaschen vertrauende Beteiligte stellen sicher, dass die bereitgestellten Informationen zum Zeitpunkt der Registrierung korrekt sind.

(3) Auf Brieftaschen vertrauende Beteiligte aktualisieren unverzüglich alle zuvor im nationalen Register der auf Brieftaschen vertrauenden Beteiligten erfassten Informationen.

Artikel 6 Registrierungsverfahren ^{26 26a 26b}

(1) Die Registrierstellen richten leicht zu verwendende elektronische und, wenn möglich, automatisierte Registrierungsverfahren für auf Brieftaschen vertrauende Beteiligte ein.

(2) Die Registrierstellen bearbeiten Anträge auf Registrierung unverzüglich und übermitteln dem Antragsteller eine Antwort auf den Antrag auf Registrierung innerhalb des in der geltenden Registrierungsregelung festgelegten Zeitrahmens mit geeigneten Mitteln und im Einklang mit den Rechtsvorschriften und Verfahren des Mitgliedstaats, in dem das nationale Register eingerichtet ist.

(3) Die Registrierstellen überprüfen nach Möglichkeit auf automatische Weise Folgendes:

1. die Richtigkeit, Gültigkeit, Echtheit und Integrität der nach Anhang I Nummern 1 bis 6 und 11 bis 16
2. verlangten Informationen;
3. - gestrichen -
4. die Art der Befugnisse der auf Brieftaschen vertrauenden Beteiligten gemäß Anhang I;
5. das Fehlen einer bestehenden Registrierung bei einem anderen nationalen Register.

(3a) Die Registrierstellen erheben die in Anhang I Nummern 7 bis 10 genannten Informationen ausschließlich zu Transparenzzwecken automatisch und wenden unbeschadet des Artikels 5b Absatz 4 der Verordnung (EU) Nr. 910/2014 auf diese Informationen keinen Vorabgenehmigungsprozess an.

(4) Die Registrierstellen überprüfen die in Absatz 3 genannten Informationen anhand der von den auf Brieftaschen vertrauenden Beteiligten vorgelegten Nachweise oder anhand geeigneter authentischer Quellen oder anderer amtlicher elektronischer Aufzeichnungen in dem Mitgliedstaat, in dem das nationale Register eingerichtet ist und zu denen die Registrierstellen nach nationalen Rechtsvorschriften und Verfahren Zugang haben.

(5) Die in Absatz 3 Buchstabe c genannte Überprüfung der Befugnisse der auf Brieftaschen vertrauenden Beteiligten erfolgt gemäß Anhang III.

(6) Kann die Registrierstelle die Informationen nicht gemäß den Absätzen 3 bis 5 überprüfen, so lehnt die die Registrierung ab.

(7) Beabsichtigt ein auf Brieftaschen vertrauender Beteiligter, für die Erbringung öffentlicher oder privater Dienstleistungen im Rahmen einer bestimmten Registrierung nicht mehr auf Einzelbrieftaschen zu vertrauen, so meldet er dies der zuständigen Registrierstelle unverzüglich und beantragt die Aufhebung dieser Registrierung.

Artikel 7 Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte

(1) Die Mitgliedstaaten erteilen mindestens einer Zertifizierungsbehörde die Befugnis zur Ausstellung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte.

(2) Die Mitgliedstaaten stellen sicher, dass Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte ausschließlich an registrierte auf Brieftaschen vertrauende Beteiligte solche Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte ausstellen.

(3) Die Mitgliedstaaten setzen im Einklang mit den Anforderungen in Anhang IV auf syntaktisch und semantisch einheitliche Weise Zertifizierungsregelungen und Zertifizierungspraxiserklärungen für die Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte um.

Artikel 8 Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte ²⁶

(1) Die Mitgliedstaaten erteilen mindestens einer Zertifizierungsbehörde die Befugnis zur Ausstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte. Die Mitgliedstaaten stellen sicher, dass Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte diese Zertifikate automatisch und unverzüglich nach der Registrierung ausstellen.

(2) Die Mitgliedstaaten

1. verpflichten die Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte, solche Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte ausschließlich an registrierte auf Brieftaschen vertrauende Beteiligte auszustellen;
2. stellen sicher, dass jede beabsichtigte Verwendung in den Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte angegeben wird;
3. stellen sicher, dass Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte eine allgemeine, in der gesamten Union syntaktisch und semantisch einheitliche Zugriffsregelung enthalten, mit der die Nutzer darüber informiert werden, dass der auf Brieftaschen vertrauende Beteiligte ausschließlich die in den Registrierungszertifikaten angegebenen Daten für die in den Registrierungszertifikaten eingetragene beabsichtigte Verwendung abfragen darf;
4. stellen sicher, dass in diesem Mitgliedstaat niedergelassene Anbieter von Brieftaschenlösungen die allgemeine Zugriffsregelung einhalten, indem sie die Nutzer darüber informieren, wenn ein auf Brieftaschen vertrauender Beteiligter Daten abfragt, die nicht in den Registrierungszertifikaten angegeben sind;
5. setzen Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte in der gesamten Union auf syntaktisch und semantisch einheitliche Weise und im Einklang mit den Anforderungen des Anhangs V um;
6. setzen im Einklang mit den Anforderungen in Anhang V besondere Zertifizierungsregelungen und Zertifizierungspraxiserklärungen für die Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte um;
7. stellen sicher, dass die auf Brieftaschen vertrauenden Beteiligten eine URL der Datenschutzregelung in Bezug auf die beabsichtigte Verwendung bereitstellen.

(3) Die in Buchstabe g genannte Regelung ist in dem Registrierungszertifikat für auf Brieftaschen vertrauende Beteiligte anzugeben.

Artikel 9 Aussetzung und Aufhebung einer Registrierung

(1) Die Registrierstellen setzen die Registrierung eines auf Brieftaschen vertrauenden Beteiligten aus oder heben diese auf, wenn die Aussetzung oder Aufhebung gemäß Artikel 46a Absatz 4 Buchstabe f der Verordnung (EU) Nr. 910/2014 von einer Aufsichtsstelle verlangt wird.

(2) Die Registrierstellen können die Registrierung eines auf Brieftaschen vertrauenden Beteiligten aussetzen oder aufheben, wenn die Registrierstellen Grund zu der Annahme einer der folgenden Aussagen haben:

1. Die Registrierung enthält unrichtige, veraltete oder irreführende Informationen,
2. der auf Brieftaschen vertrauende Beteiligte hält die Registrierungsregelung nicht ein,
3. der auf Brieftaschen vertrauende Beteiligte fragt mehr Attribute ab als die, für die er gemäß Artikel 5 und Artikel 6 registriert ist,
4. der auf Brieftaschen vertrauende Beteiligte verstößt gegen Unionsrecht oder nationales Recht, und zwar in einer Weise, die mit seiner Rolle als auf Brieftaschen vertrauender Beteiligter im Zusammenhang steht.

(3) Die Registrierstellen setzen die Registrierung eines auf Brieftaschen vertrauenden Beteiligten aus oder heben diese auf, wenn der fragliche auf Brieftaschen vertrauende Beteiligte selbst die Aufhebung oder die Aussetzung beantragt hat.

(4) Im Zuge der Prüfung der Aussetzung oder der Aufhebung gemäß Absatz 2 führt die Registrierstelle eine Verhältnismäßigkeitsprüfung durch, bei der sie die Auswirkungen auf die Grundrechte, die Sicherheit und die Vertraulichkeit der Nutzer im Ökosystem sowie die voraussichtliche Schwere der durch die Aussetzung oder die Aufhebung verursachten Störung und die damit verbundenen Kosten sowohl für den auf Brieftaschen vertrauenden Beteiligten als auch für den Nutzer berücksichtigt. Auf der Grundlage des Ergebnisses dieser Prüfung kann die Registrierstelle die Registrierung mit oder ohne Vorankündigung an den betreffenden auf Brieftaschen vertrauenden Beteiligten aussetzen oder aufheben.

(5) Wird die Registrierung eines auf Brieftaschen vertrauenden Beteiligten ausgesetzt oder aufgehoben, so unterrichtet die Registrierstelle den Aussteller der betreffenden Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte, den Aussteller der betreffenden Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte und den betreffenden auf Brieftaschen vertrauenden Beteiligten hierüber unverzüglich, spätestens jedoch 24 Stunden nach der Aussetzung oder der Aufhebung. Diese Meldung enthält Informationen über die Gründe der Aussetzung oder der Aufhebung und über die verfügbaren Rechtsbehelfe.

(6) Der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte und der Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte widerrufen gegebenenfalls unverzüglich die Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte bzw. die Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte des auf Brieftaschen vertrauenden Beteiligten, dessen Registrierung ausgesetzt oder aufgehoben wurde.

Artikel 10 Führen von Aufzeichnungen

Die Registrierstellen bewahren die Aufzeichnungen mit den Informationen, die von den auf Brieftaschen vertrauenden Beteiligten für die Registrierung eines auf Brieftaschen vertrauenden Beteiligten und die Ausstellung der Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte und der Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte im Einklang mit Anhang I bereitgestellt und registriert wurden, sowie alle späteren Änderungen dieser Informationen für einen Zeitraum von zehn Jahren auf.

Artikel 11 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Sie gilt ab dem 24. Dezember 2026.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 6. Mai 2025

.

Informationen über auf Brieftaschen vertrauende Beteiligte

1. Gegebenenfalls Name des auf Brieftaschen vertrauenden Beteiligten, wie in einer amtlichen Eintragung angegeben, zusammen mit den Identifikationsdaten dieser amtlichen Eintragung.

1. Trifft nichts davon zu, findet Nummer 2 Anwendung.

2. Gegebenenfalls benutzerfreundlicher Name des auf Brieftaschen vertrauenden Beteiligten, bei dem es sich entweder um einen Handels- oder einen Dienstnamen handeln kann, der für den Nutzer wiedererkennbar ist.

3. Gegebenenfalls eine oder mehrere Kennungen des auf Brieftaschen vertrauenden Beteiligten, wie gegebenenfalls in einer amtlichen Eintragung angegeben, zusammen mit den Identifikationsdaten dieser amtlichen Eintragung:

1. Registrierungs- und Identifizierungsnummer für Wirtschaftsbeteiligte (EORI-Nr.) gemäß der Durchführungsverordnung (EU) Nr. 1352/2013 der Kommission ¹,
2. Eintragungsnummer in einem nationalen Handels- oder Unternehmensregister,
3. Rechtsträgerkennung (LEI) gemäß der Durchführungsverordnung (EU) 2022/1860 der Kommission ²,
4. Umsatzsteuer-Identifikationsnummer,
5. Verbrauchsteuernummer gemäß Artikel 2 Nummer 12 der Verordnung (EU) Nr. 389/2012 des Rates ³,
6. Steuerregisternummer,
7. europäische einheitliche Kennung (EUID) gemäß der Durchführungsverordnung (EU) 2021/1042 der Kommission ⁴,
8. sonstige nationale Kennung oder Kennungen.

4. Physische Anschrift der Niederlassung des auf Brieftaschen vertrauenden Beteiligten.

5. Gegebenenfalls eine Internetadresse (URL) des auf Brieftaschen vertrauenden Beteiligten.

6. Wird die Kennung gemäß Nummer 3 Buchstaben a, d, f oder h angegeben, so wird die Landeskennung des Mitgliedstaats, in dem der auf Brieftaschen vertrauende Beteiligte niedergelassen ist, unter Verwendung von Alpha-2-Codes nach ISO 3166-1 vorangestellt, mit Ausnahme der Landeskennung für Griechenland, der "EL" lautet.

7. Kontaktinformationen des auf Brieftaschen vertrauenden Beteiligten mit mindestens einer der folgenden Angaben:

1. eine Website, über die der auf Brieftaschen vertrauende Beteiligte für die Bereitstellung von Helpdesk und Unterstützung kontaktiert werden kann,
2. Telefonnummer, unter der der auf Brieftaschen vertrauende Beteiligte für Fragen im Zusammenhang mit seiner Registrierung und der beabsichtigten Verwendung der Einzelbrieftaschen kontaktiert werden kann,
3. E-Mail-Adresse, unter der der auf Brieftaschen vertrauende Beteiligte für Fragen im Zusammenhang mit seiner Registrierung und der beabsichtigten Verwendung der Einzelbrieftaschen kontaktiert werden kann.

8. Beschreibung der Art der Dienstleistungen, die von dem auf Brieftaschen vertrauenden Beteiligten erbracht werden.

9. Für jede beabsichtigte Verwendung eine Liste der Daten, einschließlich Bescheinigungen und Attribute, die der vertrauende Beteiligte abzufragen beabsichtigt, einen benutzerfreundlichen Namen und einen technischen Namen, der Art der Bescheinigung und aller anderen Syntaxen, unter denen die Daten zusammengefasst sind, in einem maschinenlesbaren Format für die automatisierte Verarbeitung.

10. Für jede beabsichtigte Verwendung eine Beschreibung der beabsichtigten Verwendung der Daten, die der auf Brieftaschen vertrauende Beteiligte von den Einzelbrieftaschen abzufragen beabsichtigt.

11. Angabe, ob es sich bei dem auf Brieftaschen vertrauenden Beteiligten um eine öffentliche Stelle handelt.

12. Befugnis oder Befugnisse des auf Brieftaschen vertrauenden Beteiligten, die folgendermaßen anzugeben ist/sind:

1. "Service_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als Diensteanbieter;
2. "QEAA_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als qualifizierter Vertrauensdiensteanbieter, der qualifizierte elektronische Attributsbescheinigungen ausstellt;
3. "Non_Q_EAA_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als Vertrauensdiensteanbieter, der nicht qualifizierte elektronische Attributsbescheinigungen ausstellt;
4. "PUB_EAA_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als Anbieter elektronischer Attributsbescheinigungen, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden;
5. "PID_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als Anbieter von Personenidentifizierungsdaten;
6. "QCert_for_ESeal_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als qualifizierter Vertrauensdiensteanbieter, der qualifizierte Zertifikate für elektronische Siegel ausstellt;
7. "QCert_for_ESig_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als qualifizierter Vertrauensdiensteanbieter, der qualifizierte Zertifikate für elektronische Signaturen ausstellt;
8. "rQSigCDs_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als qualifizierter Vertrauensdiensteanbieter, der qualifizierte Vertrauensdienste zur Verwaltung einer qualifizierten elektronischen Fernsignaturerstellungseinheit erbringt;
9. "rQSealCDs_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als qualifizierter Vertrauensdiensteanbieter, der qualifizierte Vertrauensdienste zur Verwaltung einer qualifizierten elektronischen Fernsiegelerstellungseinheit erbringt;
10. "ESig_ESeal_Creation_Provider" zur Angabe der Befugnis des auf Brieftaschen vertrauenden Beteiligten als nicht qualifizierter Vertrauensdiensteanbieter, der einen nicht qualifizierten Vertrauensdienst zur Verwaltung einer qualifizierten elektronischen Fernsiegelerstellungseinheit erbringt;

13. im Hinblick auf Absatz 12 Buchstabe c können die Mitgliedstaaten zusätzliche Unterbefugnisse vorsehen, um anzugeben, welche Bescheinigungen ein bestimmter nicht qualifizierter Aussteller elektronischer Attributsbescheinigungen ausstellt.

14. Gegebenenfalls einen Hinweis darauf, dass der auf die Brieftasche vertrauende Beteiligte einen Vermittler nutzt, der im Namen des vertrauenden Beteiligten, der beabsichtigt, auf die Brieftasche zurückzugreifen, handelt.

15. Gegebenenfalls eine Verbindung zu dem Vermittler, den der auf die Brieftasche vertrauende Beteiligte nutzt und der im Namen des vertrauenden Beteiligten, der beabsichtigt, auf die Brieftasche zurückzugreifen, handelt.

16. Gegebenenfalls eine Verbindung zu dem auf die Brieftasche vertrauenden Beteiligten, der auf den Vermittler vertraut, dem das Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte ausgestellt wurde und der im Namen des vertrauenden Beteiligten, der beabsichtigt, auf die Brieftasche zurückzugreifen, handelt.

.

1. Anforderungen an elektronische Signaturen oder Siegel, mit denen die bereitgestellten Informationen über registrierte auf Brieftaschen vertrauende Beteiligte gemäß Artikel 3 unterzeichnet oder besiegelt werden

• Javascript Object Notation ("JSON"),
• IETF 7515 für JSON-Websignaturen.

2. Anforderungen an die einheitliche gemeinsame API gemäß Artikel 3

1. Die einheitliche gemeinsame API muss
   1. eine REST-API sein, die JSON als Format unterstützt und gemäß den einschlägigen Anforderungen in Abschnitt 1 unterzeichnet wird;
   2. es jedem Abfragenden ohne vorherige Authentifizierung gestatten, Informationen - darunter auch teilweise Übereinstimmungen - über registrierte auf Brieftaschen vertrauende Beteiligte aus ganzen Listen in dem Register auf der Grundlage festgelegter Parameter zu durchsuchen und abzufragen, gegebenenfalls einschließlich der amtlichen Kennnummer oder Unternehmens- oder Handelsregisternummer oder des Namens des auf Brieftaschen vertrauenden Beteiligten oder der in Artikel 8 Absatz 2 Buchstabe g und Anhang I Nummern 12, 13, 14, und 15 genannten Informationen;
   3. sicherstellen, dass Antworten auf Abfragen nach Nummer (b), die mindestens einem auf Brieftaschen vertrauenden Beteiligten entsprechen, eine oder mehrere Erklärungen zu Informationen über registrierte auf Brieftaschen vertrauende Beteiligte und Informationen gemäß Anhang I, aktuelle und frühere Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte sowie Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte enthalten, jedoch mit Ausnahme der Kontaktinformationen nach Anhang I Nummer 4;
   4. als OpenAPI Version 3 zusammen mit den entsprechenden Unterlagen und technischen Spezifikationen veröffentlicht werden, sodass die Interoperabilität in der gesamten Union gewährleistet wird;
   5. Sicherheitsfunktionen bereitstellen, einschließlich Sicherheit durch Voreinstellungen und Technikgestaltung ("Security by Default and by Design"), um die Verfügbarkeit und Integrität der API und die Verfügbarkeit der Informationen über die API zu gewährleisten.
2. Die in Buchstabe c genannten Erklärungen werden in Form elektronisch unterzeichneter oder besiegelter JSON-Dateien mit Format und Struktur gemäß den Anforderungen an elektronische Signaturen oder Siegel gemäß Abschnitt 1 abgefasst.

.

Quelle von Nachweisen für die Überprüfung von Befugnissen der auf Brieftaschen vertrauenden Beteiligten gemäß Artikel 6

1. Die Überprüfung, ob ein auf Brieftaschen vertrauender Beteiligter ein Anbieter qualifizierter elektronischer Attributsbescheinigungen, ein Anbieter qualifizierter Zertifikate für elektronische Signaturen oder Siegel oder ein Anbieter eines qualifizierten Vertrauensdienstes zur Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten oder Fernsiegelerstellungseinheiten ist, erfolgt anhand der gemäß Artikel 22 der Verordnung (EU) Nr. 910/2014 veröffentlichten nationalen Vertrauenslisten.
2. Die Überprüfung, ob ein auf Brieftaschen vertrauender Beteiligter ein Anbieter nicht qualifizierter elektronischer Attributsbescheinigungen oder ein Anbieter der Fernerstellung elektronischer Signaturen oder Siegel als nicht qualifizierter Vertrauensdienst ist, erfolgt gegebenenfalls anhand der gemäß Artikel 22 der Verordnung (EU) Nr. 910/2014 veröffentlichten nationalen Vertrauenslisten oder - bei nicht qualifizierten Vertrauensdiensteanbietern, die nicht in den nationalen Vertrauenslisten registriert sind - nach Überprüfungsverfahren, die die Mitgliedstaaten in ihren Registrierungsregelungen gemäß Artikel 4 festgelegt haben.
3. Die Überprüfung, ob ein auf Brieftaschen vertrauender Beteiligter ein Anbieter von Personenidentifizierungsdaten ist, erfolgt anhand der Liste der Anbieter von Personenidentifizierungsdaten, die gemäß Artikel 5a Absatz 18 der Verordnung (EU) Nr. 910/2014 von der Kommission veröffentlicht wird.
4. Die Überprüfung, ob ein auf Brieftaschen vertrauender Beteiligter ein Anbieter elektronischer Attributsbescheinigungen ist, die von einer für eine authentische Quelle zuständigen öffentlichen Stelle oder in deren Namen ausgestellt werden, erfolgt anhand der gemäß Artikel 45f Absatz 3 der Verordnung (EU) Nr. 910/2014 von der Kommission veröffentlichten Liste.

.

Anforderungen an Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte gemäß Artikel 7

1. In der für die Bereitstellung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte geltenden Regelung für die Zugriffszertifizierung auf Brieftaschen vertrauender Beteiligter sind die Sicherheitsanforderungen an ein Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte und die Vorschriften für die Anwendbarkeit dieses Zertifikats zu beschreiben, damit diese Zertifikate den auf Brieftaschen vertrauenden Beteiligten ausgestellt und von diesen in ihrer Interaktion mit Brieftaschenlösungen verwendet werden können.
2. In der für die Bereitstellung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte geltenden Praxiserklärung für die Zugriffszertifizierung auf Brieftaschen vertrauender Beteiligter sind die Verfahren zu beschreiben, die ein Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte bei der Ausstellung, der Verwaltung und dem Widerruf von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte und bei der Schlüsselerneuerung für solche Zertifikate anwendet.
3. Die für die Bereitstellung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte geltende Zertifizierungsregelung und Zertifizierungspraxiserklärung müssen syntaktisch und semantisch in der gesamten Union einheitlich sein und, soweit zutreffend, der Norm ETSI TS 119.411-8 V1.1.1 (2025-10) entsprechen und insbesondere Folgendes umfassen:
   1. eine klare Beschreibung der Public-Key-Infrastrukturhierarchie und der Zertifizierungspfade von den Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte beim Anwender ("End-entity") bis zu der für ihre Ausstellung verwendeten Hierarchie, wobei der/die erwartete(n) Vertrauensanker in dieser Hierarchie und die erwarteten Vertrauenspfade, die auf gemäß Artikel 5a Absatz 18 der Verordnung (EU) Nr. 910/2014 aufgestellten Vertrauensrahmen beruhen sollten, anzugeben sind;
   2. eine umfassende Beschreibung der Verfahren für die Ausstellung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte, einschließlich der Überprüfung der Identität und etwaiger anderer Attribute des auf Brieftaschen vertrauenden Beteiligten, dem das Zertifikat für auf Brieftaschen vertrauende Beteiligte ausgestellt werden soll;
   3. die Verpflichtung der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte, bei der Ausstellung eines Zugriffszertifikats für auf Brieftaschen vertrauende Beteiligte zu überprüfen, dass
      • der auf Brieftaschen vertrauende Beteiligte mit einem gültigen Registrierungsstatus in einem nationalen Register der auf Brieftaschen vertrauenden Beteiligten des Mitgliedstaats eingetragen ist, in dem er niedergelassen ist,
      • alle Informationen im Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte korrekt sind und mit den in dem Register verfügbaren Registrierungsinformationen übereinstimmen;
   4. eine umfassende Beschreibung der Verfahren für den Widerruf von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte;
   5. die Verpflichtung der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Umsetzung von Maßnahmen und Verfahren
      • zur fortlaufenden Überwachung aller Änderungen im nationalen Register der auf Brieftaschen vertrauenden Beteiligten, in dem die auf Brieftaschen vertrauenden Beteiligten, denen sie Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte ausgestellt haben, registriert sind;
      • zum Widerruf - sofern Änderungen dies erfordern - aller Zertifikate für auf Brieftaschen vertrauende Beteiligte, die dem betreffenden auf Brieftaschen vertrauenden Beteiligten ausgestellt wurden, insbesondere dann, wenn der Inhalt des Zertifikats nicht mehr korrekt ist und nicht mehr mit den registrierten Informationen übereinstimmt oder wenn die Registrierung des auf Brieftaschen vertrauenden Beteiligten ausgesetzt oder aufgehoben wurde.
   6. eine umfassende Beschreibung der Verfahren und Mechanismen für die unionsweit einheitliche Validierung von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte;
   7. die Verpflichtung der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte, den einschlägigen Interessenträgern, darunter den auf Brieftaschen vertrauenden Beteiligten (in Bezug auf ihre eigenen Zertifikate), den zuständigen Aufsichtsbehörden und den Datenschutzbehörden zu ermöglichen, den Widerruf von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zu beantragen;
   8. die Verpflichtung der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Registrierung aller solcher Widerrufe in seiner Zertifikatsdatenbank und zur zeitnahen Veröffentlichung des Widerrufsstatus des Zertifikats und in jedem Fall innerhalb von 24 Stunden nach Erhalt des Widerrufsantrags.
   9. die Verpflichtung der Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Bereitstellung von Informationen über die Gültigkeit oder den Widerrufsstatus von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte, die von diesem Anbieter ausgestellt wurden.
   10. gegebenenfalls eine Beschreibung der Protokollierung aller von ihm ausgestellten Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte durch den Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte im Einklang mit den "Request for Comments"-Unterlagen der Internet Engineering Task Force IETF RFC 9162 zur Zertifikatstransparenz (Version 2.0);
   11. die Verpflichtung, in den Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte Folgendes anzugeben:
       • den Speicherort des Zertifikats, das die fortgeschrittene elektronische Signatur oder das fortgeschrittene elektronische Siegel auf diesem Zertifikat unterstützt, damit der gesamte Zertifizierungspfad bis zum erwarteten Vertrauensanker in der vom Anbieter verwendeten Public-Key-Infrastrukturhierarchie aufgebaut wird,
       • einen maschinell verarbeitbaren Verweis auf die geltende Zertifizierungsregelung und Zertifizierungspraxiserklärung,
       • die in Anhang I Nummern 1, 2, 3, 5, 6 und 7 Buchstaben a, b und c sowie Nummer 16 genannten Informationen;
       • einen Verweis auf das nationale Register auf Brieftaschen vertrauender Beteiligter, in dem der vertrauende Beteiligte registriert ist.
4. Der Widerruf gemäß Nummer 3 Buchstabe g wird sofort nach seiner Veröffentlichung wirksam.
5. Die Informationen gemäß Nummer 3 Buchstabe h werden zumindest auf Zertifikatsbasis jederzeit und über die Gültigkeitsdauer des Zertifikats hinaus zumindest automatisch auf zuverlässige, kostenlose und effiziente Weise im Einklang mit der Zertifizierungsregelung bereitgestellt.

.

Anforderungen an Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte gemäß Artikel 8

1. In der für die Bereitstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte geltenden Regelung für die Registrierungszertifizierung auf Brieftaschen vertrauender Beteiligter sind die Sicherheitsanforderungen an ein Registrierungszertifikat für auf Brieftaschen vertrauende Beteiligte und die Vorschriften für die Anwendbarkeit dieses Zertifikats zu beschreiben, damit diese Zertifikate den auf Brieftaschen vertrauenden Beteiligten ausgestellt und von diesen in ihrer Interaktion mit Brieftaschenlösungen verwendet werden können. Die Regelung für die Registrierungszertifizierung auf Brieftaschen vertrauender Beteiligter wird in vom Menschen lesbaren Format veröffentlicht.
2. In der für die Bereitstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte geltenden Praxiserklärung für die Zertifizierung auf Brieftaschen vertrauender Beteiligter sind die Verfahren zu beschreiben, die ein Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte bei der Ausstellung, der Verwaltung und dem Widerruf von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte und der Schlüsselerneuerung für solche Zertifikate anwendet, und gegebenenfalls in welchem Zusammenhang diese mit den Zugriffszertifikaten stehen, die den auf Brieftaschen vertrauenden Beteiligten ausgestellt werden. Die Praxiserklärung für die Registrierungszertifizierung auf Brieftaschen vertrauender Beteiligter wird in vom Menschen lesbaren Format veröffentlicht.
3. Die für die Bereitstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte geltende Zertifizierungsregelung und Zertifizierungspraxiserklärung müssen syntaktisch und semantisch in der gesamten Union harmonisiert sein und der Norm ETSI TS 119.475 V1.2.1 (2026-03) entsprechen und insbesondere Folgendes umfassen:
   1. eine klare Beschreibung der Public-Key-Infrastrukturhierarchie und der Zertifizierungspfade von den Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte beim Anwender ("End-entity") bis zu der für ihre Ausstellung verwendeten Hierarchie mit Angabe der erwarteten Vertrauensanker in dieser Hierarchie und der erwarteten Vertrauenspfade;
   2. eine umfassende Beschreibung der Verfahren für die Ausstellung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte, einschließlich der Überprüfung der Identität und jedes Attributs des auf Brieftaschen vertrauenden Beteiligten, dem das Zertifikat für auf Brieftaschen vertrauende Beteiligte ausgestellt werden soll;
   3. die Verpflichtung des Anbieters von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte, bei der Ausstellung eines Registrierungszertifikats für auf Brieftaschen vertrauende Beteiligte zu überprüfen, dass
      • der auf Brieftaschen vertrauende Beteiligte mit einem gültigen Registrierungsstatus in einem nationalen Register der auf Brieftaschen vertrauenden Beteiligten des Mitgliedstaats eingetragen ist, in dem er niedergelassen ist,
      • die Informationen im Registrierungszertifikat für auf Brieftaschen vertrauende Beteiligte korrekt sind und mit den in diesem Register verfügbaren Registrierungsinformationen übereinstimmen;
      • das Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte gültig ist;
      • die Beschreibung der Verfahren für den Widerruf von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte vollständig ist;
   4. die Verpflichtung des Anbieters von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Umsetzung von Maßnahmen und Verfahren
      • zur fortlaufenden automatischen Überwachung aller Änderungen im nationalen Register der auf Brieftaschen vertrauenden Beteiligten, in dem die auf Brieftaschen vertrauenden Beteiligten, denen sie Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte ausgestellt haben, registriert sind,
      • zur erneuten Ausstellung des Registrierungszertifikats für auf Brieftaschen vertrauende Beteiligte,
      • zum Widerruf - sofern solche Änderungen dies erfordern - eines Registrierungszertifikats für auf Brieftaschen vertrauende Beteiligte, das er dem betreffenden auf Brieftaschen vertrauenden Beteiligten ausgestellt hat, insbesondere dann, wenn der Inhalt des Zertifikats nicht mehr korrekt ist und nicht mehr mit den registrierten Informationen übereinstimmt oder wenn die Registrierung des auf Brieftaschen vertrauenden Beteiligten ausgesetzt oder aufgehoben wurde;
   5. eine umfassende Beschreibung der Verfahren und Mechanismen für die einheitliche Validierung von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte;
   6. die Verpflichtung des Anbieters von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte, es den einschlägigen Interessenträgern, einschließlich der auf Brieftaschen vertrauenden Beteiligten (in Bezug auf deren eigene Zertifikate), den zuständigen Aufsichtsbehörden und den Datenschutzbehörden zu ermöglichen, den Widerruf von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte zu beantragen;
   7. die Verpflichtung des Anbieters von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Registrierung aller solchen Widerrufe in seiner Zertifikatsdatenbank und zur zeitnahen Veröffentlichung des Widerrufsstatus des Zertifikats und in jedem Fall innerhalb von 24 Stunden nach Erhalt des Widerrufsantrags;
   8. die Verpflichtung des Anbieters von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte zur Bereitstellung von Informationen über die Gültigkeit oder den Widerrufsstatus von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte, die von diesem Anbieter ausgestellt wurden;
   9. gegebenenfalls eine Beschreibung der Protokollierung aller von ihm ausgestellten Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte durch den Anbieter von Registrierungszertifikaten für auf Brieftaschen vertrauende Beteiligte;
   10. die Verpflichtung, dass die Registrierungszertifikate für auf Brieftaschen vertrauende Beteiligte Folgendes enthält:
       • den Speicherort der Validierungsdaten der fortgeschrittenen elektronischen Signatur oder des fortgeschrittenen elektronischen Siegels, die/das zur Unterzeichnung oder Besiegelung des Registrierungszertifikats verwendet wurde, damit die gesamte Vertrauenskette bis zum erwarteten Vertrauensanker aufgebaut wird,
       • einen maschinenlesbaren Verweis auf die geltende Zertifizierungsregelung und die Zertifizierungspraxiserklärung,
       • die in Anhang I Nummern 1, 2, 3, 5, 6, 8, 9, 10, 11, 12, 13, 14 und 15 genannten Informationen,
       • die URL der Datenschutzerklärung gemäß Artikel 8 Absatz 2 Buchstabe g,
       • eine allgemeine Zugriffsregelung gemäß Artikel 8 Absatz 3,
4. Zum Datenaustausch für das Registrierungszertifikat für auf Brieftaschen vertrauende Beteiligte werden unterzeichnete JSON Web Tokens (IETF RFC 7519) und CBOR Web Tokens (IETF RFC 8392) verwendet.
5. Der Widerruf gemäß Nummer 3 Buchstabe g wird sofort nach seiner Veröffentlichung wirksam.
6. Die Informationen gemäß Nummer 3 Buchstabe h werden zumindest auf Zertifikatsbasis jederzeit und über die Gültigkeitsdauer des Zertifikats hinaus zumindest automatisch auf zuverlässige, kostenlose und effiziente Weise im Einklang mit der Zertifizierungsregelung bereitgestellt.

ENDE