Neufassung - Ersetzt Beschl. (EU) 2015/296

Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 12 Absatz 6 und Artikel 46e Absatz 7,

in Erwägung nachstehender Gründe:

(1) Die Verordnung (EU) Nr. 910/2014 sieht einen Mechanismus der gegenseitigen Begutachtung der zu notifizierenden elektronischen Identifizierungssysteme vor, an dem sich die Mitgliedstaaten freiwillig beteiligen können. Gegenseitige Begutachtungen sollten es den Mitgliedstaaten ermöglichen, die gemäß Artikel 9 Absatz 1 Buchstabe a der Verordnung (EU) Nr. 910/2014 zu notifizierenden elektronischen Identifizierungssysteme zu verstehen und wirksam zusammenzuarbeiten, um die Interoperabilität dieser Systeme sicherzustellen und Vertrauen in der gesamten Union aufzubauen. Gegenseitige Begutachtungen sollten so organisiert werden, dass eine gerechte Verteilung des Aufwands und eine breite Vertretung aller Mitgliedstaaten gewährleistet sind, und sie sollten nicht als Prüfung verstanden werden.

(2) Mit dem Durchführungsbeschluss (EU) 2015/296 der Kommission ² wurden die Verfahrensmodalitäten für die Zusammenarbeit bei elektronischen Identifizierungssystemen im Rahmen des ehemaligen eIDAS-Kooperationsnetzes festgelegt, einschließlich für gegenseitige Begutachtungen durch die Mitglieder dieses Netzes. Da die Aufgaben im Rahmen der gegenseitigen Begutachtung nun von der mit dem Beschluss C(2024) 6132 der Kommission vom 05.09.2024 zur Einsetzung der Kooperationsgruppe für die europäische Digitale Identität und zur Änderung des Durchführungsbeschlusses (EU) 2015/296 gemäß Artikel 46e Absatz 1 der Verordnung (EU) Nr. 910/2014 eingesetzten europäischen Kooperationsgruppe für die digitale Identität (im Folgenden "Kooperationsgruppe") organisiert werden sollen, sollte der Durchführungsbeschluss (EU) 2015/296 aufgehoben werden.

(3) Damit die gegenseitigen Begutachtungen leicht zugänglich sind, sollte jeder Mitgliedstaat die Einleitung einer gegenseitigen Begutachtung veranlassen können. Der Antrag sollte die Gründe für die Veranlassung der gegenseitigen Begutachtung und ausreichende Informationen enthalten, um zu bestätigen, dass die gegenseitige Begutachtung zur Interoperabilität oder Sicherheit der zu notifizierenden elektronischen Identifizierungssysteme beitragen kann. Dazu ist es erforderlich, einheitliche Vorschriften für die erforderlichen Mindestangaben zu schaffen, damit die gegenseitige Begutachtung effizient und zeitnah abgeschlossen werden kann. Die Kommission kann Sitzungen der Kooperationsgruppe organisieren, um die zeitnahe Einleitung und den zeitnahen Abschluss einer gegenseitigen Begutachtung zu unterstützen.

(4) Stellt ein Mitgliedstaat den anderen Mitgliedstaaten Informationen über ein elektronisches Identifizierungssystem gemäß Artikel 7 Buchstabe g der Verordnung (EU) Nr. 910/2014 zur Verfügung (im Folgenden "Vorabnotifizierung"), so sollte dies förmlich als Antrag des notifizierenden Mitgliedstaats auf Durchführung einer gegenseitigen Begutachtung seines elektronischen Identifizierungssystems betrachtet werden.

(5) Zur Gewährleistung einer wirksamen Vorbereitung und Durchführung der gegenseitigen Begutachtung sollten standardisierte Aufgaben und Zuständigkeiten für die gegenseitige Begutachtung festgelegt werden. Die Mitgliedstaaten sollten die Möglichkeit haben, Vertreter für die Wahrnehmung dieser Aufgaben und Zuständigkeiten zu benennen. Da unbedingt sichergestellt werden muss, dass alle gegenseitigen Begutachtungen reibungslos laufen und straff und zügig durchgeführt werden, sollten sich die an der gegenseitigen Begutachtung beteiligten Mitgliedstaaten auf die praktischen Modalitäten jeder gegenseitigen Begutachtung, d. h. ihren genauen Umfang und zeitlichen Ablauf, einigen.

(6) Damit alle Mitgliedstaaten zur Umsetzung des Mechanismus der gegenseitigen Begutachtung beitragen und dabei voneinander lernen können, sollten die Vertreter jedes Mitgliedstaats bei allen durchzuführenden gegenseitigen Begutachtungen zu einer gerechten Verteilung des Aufwands auf die Mitgliedstaaten beitragen.

(7) Zur Förderung eines hohen Maßes an Vertrauen in die gegenseitig begutachteten elektronischen Identifizierungssysteme sollten die Mitgliedstaaten die erforderlichen Mindestangaben bereitstellen und gleichzeitig die Vertraulichkeit potenziell sensibler Informationen gewährleisten. Diese Angaben sollten im Rahmen der gegenseitigen Begutachtung von drei Arbeitsgruppen bewertet werden, die jeweils ein eigenes Mandat haben, das den zentralen Themen für die Bewertung eines elektronischen Identifizierungssystems gemäß der Durchführungsverordnung (EU) 2015/1501 der Kommission ³ und der Durchführungsverordnung (EU) 2015/1502 der Kommission ⁴ entspricht.

(8) Da im Durchführungsbeschluss (EU) 2015/296 bereits Englisch als Sprache der Zusammenarbeit festgelegt wurde, gilt es - sofern nichts anderes vereinbart wird - als gängige Praxis der Mitgliedstaaten, das Verfahren der gegenseitigen Begutachtung in englischer Sprache durchzuführen. Daher sollten die Mitgliedstaaten einschlägige Informationen für die gegenseitige Begutachtung zumindest in englischer Sprache zur Verfügung stellen. Die Übersetzung sollte jedoch keinen unzumutbaren Verwaltungs- oder finanziellen Aufwand verursachen. In diesem Zusammenhang steht es den Mitgliedstaaten frei, Instrumente für die automatisierte Übersetzung, einschließlich der von der Kommission bereitgestellten, zu verwenden.

(9) Angesichts der Bedeutung gegenseitiger Begutachtungen als Instrument zur Gewährleistung der Vertrauenswürdigkeit notifizierter elektronischer Identifizierungssysteme sollte ein gestrafftes Verfahren für die Annahme eines klaren und umfassenden Abschlussberichts über die gegenseitige Begutachtung eingerichtet werden. Während dieses Verfahrens sollten die Kooperationsgruppe und die an der gegenseitigen Begutachtung beteiligten Mitgliedstaaten die Möglichkeit haben, dem Mitgliedstaat, dessen elektronisches Identifizierungssystem einer gegenseitigen Begutachtung unterzogen wird, zusätzliche Fragen zu stellen, während dieser Mitgliedstaat die Möglichkeit haben sollte, zusätzliche Bemerkungen vorzubringen. Um für Transparenz zu sorgen, sollte das Verfahren mit der Veröffentlichung der Stellungnahme der Kooperationsgruppe zum Abschluss der gegenseitigen Begutachtung abgeschlossen werden.

(10) Da elektronische Identifizierungssysteme nach Abschluss ihrer gegenseitigen Begutachtung geändert werden können, ist es ferner erforderlich, ein Verfahren zur Einleitung einer Aktualisierung früherer gegenseitiger Begutachtungen einzurichten, wenn sich solche Änderungen auf die Interoperabilität, Sicherheit oder Vertrauenswürdigkeit des notifizierten elektronischen Identifizierungssystems auswirken können. Dies würde es ermöglichen, dass die gegenseitigen Begutachtungen angesichts der Weiterentwicklung der elektronischen Identifizierungssysteme auch später noch relevant bleiben.

(11) Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ⁵ und, sofern anwendbar, die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ⁶ und die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ⁷ gelten für die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(12) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und gab am 28. Mai 2025 seine Stellungnahme ab.

(13) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 48 der Verordnung (EU) Nr. 910/2014 eingesetzten Ausschusses

- hat folgende Verordnung erlassen:

Artikel 1 Allgemeine Grundsätze für die gegenseitige Begutachtung

(1) Nimmt ein Mitgliedstaat eine Vorabnotifizierung eines elektronischen Identifizierungssystems an die Kommission und die anderen Mitgliedstaaten vor, so wird die gegenseitige Begutachtung gemäß Artikel 2 eingeleitet.

(2) Der Mitgliedstaat, der eine Vorabnotifizierung eines elektronischen Identifizierungssystems vornimmt, kann seine Vorabnotifizierung jederzeit zurückziehen. Zieht der Mitgliedstaat seine Vorabnotifizierung des elektronischen Identifizierungssystems zurück, gilt die gegenseitige Begutachtung als beendet.

(3) Jeder Mitgliedstaat kann sich an der gegenseitigen Begutachtung des elektronischen Identifizierungssystems eines anderen Mitgliedstaats beteiligen.

(4) Jeder an einer gegenseitigen Begutachtung beteiligte Mitgliedstaat trägt seine Kosten, die ihm durch diesen Prozess entstehen.

(5) Die Vertreter der Mitgliedstaaten, die die gegenseitige Begutachtung durchführen, verwenden die im Rahmen der gegenseitigen Begutachtung erlangten Informationen ausschließlich für die Zwecke dieser Begutachtung und geben während der gegenseitigen Begutachtung erlangte sensible oder vertrauliche Informationen nicht an Dritte weiter.

(6) Ein Mitgliedstaat, der beschließt, sich an der gegenseitigen Begutachtung eines elektronischen Identifizierungssystems eines anderen Mitgliedstaats zu beteiligen, legt etwaige Interessenkonflikte in Bezug auf von die ihm benannten Vertreter offen. Im Falle eines Interessenkonflikts kann der Mitgliedstaat, dessen elektronisches Identifizierungssystem einer gegenseitigen Begutachtung unterzogen wird, die Beteiligung des betreffenden Vertreters an der Bewertung seines elektronischen Identifizierungssystems ablehnen.

(7) Etwaige Streitigkeiten im Zusammenhang mit den Tätigkeiten der gegenseitigen Begutachtung gemäß Artikel 4 Absatz 4 der vorliegenden Verordnung werden im Einklang mit der Geschäftsordnung der Kooperationsgruppe beigelegt.

(8) Ein elektronisches Identifizierungssystem wird innerhalb von zwei Jahren nach Abschluss einer gegenseitigen Begutachtung keiner weiteren gegenseitigen Begutachtung unterzogen, es sei denn, es wurden wesentliche Änderungen gemäß Artikel 6 Absatz 1 an dem zuvor gegenseitig begutachteten elektronischen Identifizierungssystem vorgenommen.

Artikel 2 Einleitung der gegenseitigen Begutachtung

(1) Die Vorabnotifizierung muss mindestens Folgendes umfassen:

1. einen Vergleich zwischen dem vorab notifizierten elektronischen Identifizierungssystem und den in der Durchführungsverordnung (EU) 2015/1502 festgelegten Anforderungen in Form eines Entsprechungsdokuments zum Sicherheitsniveau für die gegenseitige Begutachtung gemäß Anhang I der vorliegenden Verordnung;
2. eine allgemeine Beschreibung des elektronischen Identifizierungssystems, seines Ökosystems und der elektronischen Identifizierung in dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, in Form eines Weißbuchs gemäß Anhang II der vorliegenden Verordnung;
3. Informationen über die Interoperabilität des elektronischen Identifizierungssystems und die Anforderungen der Durchführungsverordnung (EU) 2015/1501 in Form eines Entsprechungsdokuments zum Interoperabilitätsrahmen gemäß der Vorlage in Anhang III der vorliegenden Verordnung.

(2) Die Kommission leitet die Informationen aus der Vorabnotifizierung an die Kooperationsgruppe weiter.

(3) Die nach Absatz 1 Buchstabe c erforderlichen Informationen werden zumindest in englischer Sprache bereitgestellt. Die Mitgliedstaaten sind nicht verpflichtet, weitere Unterlagen zu übersetzen, wenn dies einen unzumutbaren Verwaltungs- oder finanziellen Aufwand verursachen würde.

Artikel 3 Vorbereitung der gegenseitigen Begutachtung

(1) Nach Bestätigung des Eingangs einer vollständigen Vorabnotifizierung unterrichtet die Kommission die Kooperationsgruppe über die Einleitung der gegenseitigen Begutachtung und beruft eine Sitzung ein, auf deren Tagesordnung das vorab notifizierte elektronische Identifizierungssystem gesetzt wird, damit der betreffende Mitgliedstaat seine Vorabnotifizierung in der Kooperationsgruppe präsentieren kann.

(2) Der Vorsitz der Kooperationsgruppe stellt sicher, dass die in Absatz 1 genannte Sitzung spätestens zwei Monate nach der Unterrichtung der Kooperationsgruppe über die Einleitung der gegenseitigen Begutachtung stattfindet.

(3) Das Datum der Präsentation gilt als offizieller Beginn der gegenseitigen Begutachtung.

(4) Nach der in Absatz 3 genannten Präsentation des Mitgliedstaats, der die Vorabnotifizierung vorgenommen hat, können die anderen Mitgliedstaaten Vertreter benennen, die in ihrem Namen an der gegenseitigen Begutachtung teilnehmen. In diesem Fall geben sie die Namen und Kontaktdaten ihrer Vertreter an. Diese benannten Vertreter bilden die Gutachtergruppe.

Die Mitglieder der Gutachtergruppe einigen sich auf die Zuweisung folgender Aufgaben:

1. ein Koordinator, der für die Organisation der gegenseitigen Begutachtung und die Steuerung der Kommunikation mit den Mitgliedstaaten, der Kooperationsgruppe und der Kommission zuständig ist;
2. bis zu drei Berichterstatter je nach Umfang der gegenseitigen Begutachtung, die jeweils eine der in Artikel 4 Absatz 2 genannten Arbeitsgruppen leiten;
3. mindestens ein aktives Mitglied pro Arbeitsgruppe, das bei der Formulierung von Fragen und Rückmeldungen an die Berichterstatter behilflich ist und an der Ausarbeitung des Abschlussberichts über die gegenseitige Begutachtung mitwirkt.

(5) Der in Absatz 4 Buchstabe a genannte Koordinator überwacht die ordnungsgemäße Durchführung der gegenseitigen Begutachtung und die Einhaltung der in der vorliegenden Verordnung festgelegten Verfahrensvorschriften. Dazu nimmt der Koordinator zeitnah folgende Aufgaben wahr:

1. Organisation der Fragen und Antworten,
2. Fertigstellung des Berichts über die gegenseitige Begutachtung,
3. Ausarbeitung der Stellungnahme zu dem gegenseitig begutachteten elektronischen Identifizierungssystem.

(6) Die in Absatz 4 Buchstabe b genannten Berichterstatter formulieren Fragen an den Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, und arbeiten die Elemente des Berichts über die gegenseitige Begutachtung aus, für die ihre jeweilige Arbeitsgruppe zuständig ist.

(7) Unter Berücksichtigung der Vorgaben der Kooperationsgruppe vereinbaren der Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, und die an der gegenseitigen Begutachtung beteiligten Mitgliedstaaten alle sonstigen organisatorischen Vorkehrungen im Zusammenhang mit der gegenseitigen Begutachtung, die in der vorliegenden Verordnung nicht ausdrücklich vorgesehen sind, darunter auch Vorschriften und Leitlinien in Bezug auf Vertraulichkeit und Interessenkonflikte.

(8) Die Dauer der gegenseitigen Begutachtung darf drei Monate ab dem offiziellen Beginn der gegenseitigen Begutachtung gemäß Absatz 3 nicht überschreiten und kann mit Zustimmung aller an der gegenseitigen Begutachtung beteiligten Mitgliedstaaten um höchstens zwei Monate verlängert werden.

Artikel 4 Organisation der gegenseitigen Begutachtung

(1) Die Gutachtergruppe führt die gegenseitige Begutachtung auf der Grundlage der gemäß Artikel 2 Absatz 1 von dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, bereitgestellten Informationen durch.

(2) Die gegenseitige Begutachtung wird in drei Arbeitsgruppen oder nach einem anderen in der Kooperationsgruppe im Einklang mit ihrer Geschäftsordnung vereinbarten Prozess organisiert. Werden Arbeitsgruppen eingesetzt, so besteht jede Arbeitsgruppe aus einem Berichterstatter und mindestens einem aktiven Mitglied.

(3) Die in Absatz 2 genannten Arbeitsgruppen sind die folgenden:

1. eine Arbeitsgruppe für die Anmeldung, die die Übereinstimmung des vorab notifizierten elektronischen Identifizierungssystems mit den Anforderungen in Bezug auf die Anmeldung gemäß Abschnitt 2.1 des Anhangs der Durchführungsverordnung (EU) 2015/1502 prüft;
2. eine Arbeitsgruppe für die Verwaltung elektronischer Identifizierungsmittel und die Authentifizierung, die die Übereinstimmung des vorab notifizierten elektronischen Identifizierungssystems mit den Anforderungen an die Verwaltung elektronischer Identifizierungsmittel und die Authentifizierung gemäß den Abschnitten 2.2 und 2.3 des Anhangs der Durchführungsverordnung (EU) 2015/1502 prüft;
3. eine Arbeitsgruppe für Management und Organisation, die die Übereinstimmung des vorab notifizierten elektronischen Identifizierungssystems mit den Anforderungen an Management und Organisation gemäß Abschnitt 2.4 der Durchführungsverordnung (EU) 2015/1502 prüft.

(4) Die gegenseitige Begutachtung umfasst unter anderem eine oder mehrere der folgenden Tätigkeiten:

1. Bewertung der einschlägigen Unterlagen, die von dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, vorgelegt wurden,
2. Prüfung der in diesen Unterlagen beschriebenen Prozesse,
3. technische Seminare,
4. Berücksichtigung von Bewertungen unabhängiger Dritter, sofern es einschlägige Bewertungen dieser Art gibt,
5. Ausarbeitung des Berichts über die gegenseitige Begutachtung, in dem die Feststellungen und Ergebnisse der gegenseitigen Begutachtung zusammengefasst werden.

(5) Die Arbeitsgruppen können an den Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, hinreichend begründete Ersuchen um zusätzliche, durch weitere Unterlagen untermauerte Informationen richten, wenn die gemäß Artikel 2 Absatz 1 bereitgestellten Informationen für den Abschluss der gegenseitigen Begutachtung nicht ausreichen.

(6) Der Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, kommt solchen Ersuchen nach, es sei denn,

1. er verfügt nicht über die Informationen oder Unterlagen und deren Beschaffung würde einen unzumutbaren Verwaltungsaufwand verursachen;
2. die angeforderten Informationen oder Unterlagen betreffen Belange der öffentlichen oder nationalen Sicherheit;
3. die Informationen betreffen Geschäfts-, Berufs- oder Unternehmensgeheimnisse;
4. die Sensibilität der Informationen macht es unmöglich, einen sicheren Kanal für die Übermittlung der Informationen an die Mitglieder der Gutachtergruppe einzurichten.

(7) In solchen Fällen unterrichtet der Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, den Koordinator über die Gründe für die Verweigerung der Bereitstellung der angeforderten Informationen oder Unterlagen und legt eine allgemeine Zusammenfassung der Informationen oder eine geschwärzte Fassung der Unterlagen vor.

Artikel 5 Ergebnis der gegenseitigen Begutachtung

(1) Unbeschadet des Artikels 3 Absatz 9 geht die Gutachtergruppe wie folgt vor:

1. Übermittlung des Entwurfs des Abschlussberichts über die gegenseitige Begutachtung an den Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, spätestens drei Monate nach dem Beginn der gegenseitigen Begutachtung gemäß Artikel 3 Absatz 3, es sei denn, für die gegenseitige Begutachtung gilt eine Verlängerung gemäß Artikel 3 Absatz 8; in dem Fall ist der Bericht entsprechend der vereinbarten Verlängerung fällig;
2. Übermittlung des Entwurfs des Abschlussberichts über die gegenseitige Begutachtung an die Kommission und die Kooperationsgruppe spätestens drei Monate und zwei Wochen nach dem offiziellen Beginn der gegenseitigen Begutachtung gemäß Artikel 3 Absatz 3 unter Berücksichtigung etwaiger Bemerkungen des Mitgliedstaats, der die Vorabnotifizierung vorgenommen hat, zum Inhalt des Entwurfs des Berichts über die gegenseitige Begutachtung, es sei denn, für die gegenseitige Begutachtung gilt eine Verlängerung gemäß Artikel 3 Absatz 8; in dem Fall ist der Bericht entsprechend der vereinbarten Verlängerung fällig;
3. Übermittlung eines Entwurfs der Stellungnahme zum vorab notifizierten elektronischen Identifizierungssystem, der unter Verwendung der Vorlage in Anhang IV erstellt wurde, an den Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, spätestens drei Monate und zwei Wochen nach dem offiziellen Beginn der gegenseitigen Begutachtung gemäß Artikel 3 Absatz 3, es sei denn, für die gegenseitige Begutachtung gilt eine Verlängerung gemäß Artikel 3 Absatz 8; in dem Fall ist der Bericht entsprechend der vereinbarten Verlängerung fällig;
4. Übermittlung eines Entwurfs der Stellungnahme zum vorab notifizierten elektronischen Identifizierungssystem an die Kommission und die Kooperationsgruppe spätestens drei Monate und drei Wochen nach dem offiziellen Beginn der gegenseitigen Begutachtung gemäß Artikel 3 Absatz 3, es sei denn, für die gegenseitige Begutachtung gilt eine Verlängerung gemäß Artikel 3 Absatz 8; in dem Fall ist der Bericht entsprechend der vereinbarten Verlängerung fällig.

(2) Bevor die Kooperationsgruppe ihre endgültige Stellungnahme zum Abschluss der gegenseitigen Begutachtung gemäß Absatz 9 annimmt und auf einer eigens hierfür eingerichteten Website der Kommission veröffentlicht, kann sie von dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, oder von der Gutachtergruppe zusätzliche Informationen oder Klarstellungen anfordern.

(3) Der Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, übermittelt die in Absatz 2 genannten zusätzlich angeforderten Informationen, es sei denn,

1. der Mitgliedstaat verfügt nicht über die Informationen und deren Beschaffung würde einen unzumutbaren Verwaltungsaufwand verursachen;
2. die Informationen betreffen Belange der öffentlichen oder nationalen Sicherheit;
3. die Informationen betreffen Geschäfts-, Berufs- oder Unternehmensgeheimnisse;
4. die Sensibilität der Informationen macht es unmöglich, einen sicheren Kanal für die Übermittlung der Informationen an die Kooperationsgruppe einzurichten.

(4) Im Abschlussbericht über die gegenseitige Begutachtung werden die Informationen aufgeführt, die von der Gutachtergruppe oder der Kooperationsgruppe angefordert wurden, aber aus einem oder mehreren der in Absatz 3 genannten Gründe nicht bereitgestellt werden konnten, ohne die von dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, vorgebrachten Gründe anzugeben. Die Gutachtergruppe kann im Abschlussbericht über die gegenseitige Begutachtung auf die Auswirkungen einer etwaigen Nichtverfügbarkeit von Informationen eingehen.

(5) Die Gutachtergruppe legt der Kooperationsgruppe den Abschlussbericht über die gegenseitige Begutachtung und den Entwurf ihrer endgültigen Stellungnahme spätestens vier Monate bzw. im Falle einer Verlängerung gemäß Artikel 3 Absatz 8 spätestens sechs Monate nach dem offiziellen Beginn der gegenseitigen Begutachtung gemäß Artikel 3 Absatz 3 vor.

(6) In der endgültigen Stellungnahme der Gutachtergruppe zu dem elektronischen Identifizierungssystem des Mitgliedstaats, der die Vorabnotifizierung vorgenommen hat, werden alle von diesem Mitgliedstaat eingegangenen Verpflichtungen aufgeführt.

(7) Nach der Vorlage des Abschlussberichts über die gegenseitige Begutachtung und der endgültigen Stellungnahme der Gutachtergruppe nimmt die Kooperationsgruppe ihre eigene Stellungnahme zum Abschluss der gegenseitigen Begutachtung an, in der sie darlegt, ob und wie das gegenseitig begutachtete elektronische Identifizierungssystem die Anforderungen der Durchführungsverordnung (EU) 2015/1502 erfüllt, die für die von dem Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, angegebenen Sicherheitsniveaus gemäß Anhang I der vorliegenden Verordnung gelten, und veröffentlicht diese. Die Annahme erfolgt nach der Geschäftsordnung der Kooperationsgruppe.

(8) In der Stellungnahme der Kooperationsgruppe wird der Mitgliedstaat, der die Vorabnotifizierung vorgenommen hat, sowie das vorab notifizierte elektronische Identifizierungssystem und dessen Sicherheitsniveau angegeben. In der Stellungnahme wird auch angegeben, ob die gegenseitige Begutachtung erfolgreich abgeschlossen wurde.

(9) Die gemäß Artikel 2 Absatz 1 bereitgestellten Informationen werden von der Kooperationsgruppe veröffentlicht, es sei denn, der Mitgliedstaat, der die Informationen übermittelt hat, hat schriftlich mitgeteilt, dass diese Informationen nicht veröffentlicht werden sollen.

Artikel 6 Wesentliche Änderungen an gegenseitig begutachteten elektronischen Identifizierungssystemen

(1) Werden an einem notifizierten elektronischen Identifizierungssystem Änderungen vorgenommen, die seine Interoperabilität, Sicherheit oder Vertrauenswürdigkeit beeinträchtigen könnten, so teilt der Mitgliedstaat, der die Notifizierung vorgenommen hat, diese Änderungen unverzüglich der Kooperationsgruppe mit und aktualisiert die zuvor übermittelten Informationen.

(2) Nach Eingang einer Mitteilung gemäß Absatz 1 und sofern das notifizierte elektronische Identifizierungssystem einer gegenseitigen Begutachtung unterzogen wurde, kann jeder in der Kooperationsgruppe vertretene Mitgliedstaat eine Aktualisierung der gegenseitigen Begutachtung beantragen.

(3) Im Falle eines Antrags auf Aktualisierung gelten die in den Artikeln 3 bis 5 festgelegten Verfahren entsprechend, und die Gutachtergruppe beschränkt die gegenseitige Begutachtung auf die Elemente, die gegenüber der ursprünglichen Notifizierung geändert wurden, und auf die Auswirkungen dieser Änderungen.

Artikel 7 Aufhebung

Der Durchführungsbeschluss (EU) 2015/296 wird aufgehoben.

Artikel 8 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 29. Juli 2025

.

Das Entsprechungsdokument zum Sicherheitsniveau für die gegenseitige Begutachtung gemäß Artikel 2 Absatz 1 Buchstabe a enthält zumindest Folgendes:

(1) allgemeine Angaben, darunter:

1. Name des notifizierenden Mitgliedstaats,
2. Bezeichnung des elektronischen Identifizierungssystems (sofern zutreffend),
3. Sicherheitsniveau(s) des elektronischen Identifizierungssystems, angegeben als "niedrig", "substanziell" oder "hoch";

(2) für das elektronische Identifizierungssystem zuständige Behörde(n), darunter:

1. Name(n) der für das elektronische Identifizierungssystem zuständigen Behörde(n),
2. E-Mail-Adresse der für das elektronische Identifizierungssystem zuständigen Behörde(n);

(3) Angaben zu den einschlägigen am elektronischen Identifizierungssystem mitwirkenden Beteiligten, Einrichtungen und Stellen, einschließlich:

1. Name der Einrichtung(en), die den Registrierungsprozess der eindeutigen Personenidentifizierungsdaten verwaltet bzw. verwalten,
2. Name des/der Beteiligten, der/die das elektronische Identifizierungsmittel ausstellt bzw. ausstellen, und gegebenenfalls die Angabe, ob die Beteiligten in Artikel 7 Buchstabe a Ziffer i, ii oder iii der Verordnung (EU) Nr. 910/2014 genannt sind;
3. Name des/der Beteiligten, der/die das Authentifizierungsverfahren durchführt bzw. durchführen (im Folgenden "eIDAS-Knoten");
4. Name(n) der Governance-Organisation(en), die an der Aufsichtsregelung für das elektronische Identifizierungssystem beteiligt ist bzw. sind;

(4) Beschreibung des elektronischen Identifizierungssystems, mit Folgendem:

1. gegebenenfalls Dokument(e), das/die für jedes der folgenden Themen beizufügen ist bzw. sind:
   • kurze Beschreibung des elektronischen Identifizierungssystems, einschließlich des Umfelds, in dem es betrieben wird, seines Anwendungsbereichs und seiner Verfügbarkeit für private vertrauende Beteiligte,
   • Liste der zusätzlichen Attribute, die in Bezug auf natürliche Personen im Rahmen des elektronischen Identifizierungssystems bereitgestellt werden können, wenn sie von einem vertrauenden Beteiligten angefordert werden,
   • Liste der zusätzlichen Attribute, die in Bezug auf juristische Personen im Rahmen des elektronischen Identifizierungssystems bereitgestellt werden können, wenn sie von einem vertrauenden Beteiligten angefordert werden;
2. geltende Aufsichts-, Haftungs- und Verwaltungsregelungen, einschließlich:
   • Beschreibung der Aufsichtsregelung des elektronischen Identifizierungssystems, einschließlich des Bewertungsprozesses in Bezug auf Folgendes:
     • Aufsichtsregelung für den/die Beteiligten, der/die die elektronischen Identifizierungsmittel ausstellt bzw. ausstellen,
     • Aufsichtsregelung für den/die Beteiligten, der/die den eIDAS-Knoten betreibt bzw. betreiben.

   Gegebenenfalls enthalten diese Beschreibungen die Aufgaben, Zuständigkeiten und Weisungsbefugnisse der Governance-Organisationen, die an der in Nummer 3 Buchstabe d genannten Aufsichtsregelung mitwirken, und der Einrichtung, der sie unterstehen. Wenn die Organisationen nicht der für das System zuständigen Behörde unterstehen, sind vollständige Angaben zu der Einrichtung zu machen, der sie unterstehen.

   • Beschreibung der geltenden nationalen Haftungsregelung, darunter:
     • Beschreibung der Haftung des Mitgliedstaats gemäß Artikel 11 Absatz 1 der Verordnung (EU) Nr. 910/2014,
     • Beschreibung der Haftung des/der Beteiligten, der/die die elektronischen Identifizierungsmittel ausstellt bzw. ausstellen, gemäß Artikel 11 Absatz 2 der Verordnung (EU) Nr. 910/2014,
     • Beschreibung der Haftung des/der Beteiligten, der/die den eIDAS-Knoten betreibt bzw. betreiben, gemäß Artikel 11 Absatz 3 der Verordnung (EU) Nr. 910/2014;
   • Modalitäten für Verwaltung, Aussetzung oder Widerruf entweder des gesamten Identifizierungssystems oder bestimmter elektronischer Identifizierungsmittel, des eIDAS-Knotens oder seiner beeinträchtigten Teile;
3. Beschreibung der Komponenten des elektronischen Identifizierungssystems, einschließlich:
   • Beschreibung, wie die Anforderungen in Bezug auf die in der Durchführungsverordnung (EU) 2015/1502 festgelegten Mindestanforderungen an technische Spezifikationen und Verfahren für Sicherheitsniveaus elektronischer Identifizierungsmittel erfüllt wurden, um das angegebene Sicherheitsniveau für die Registrierung zu begründen;
   • Beschreibung, wie die folgenden Prozesse im Rahmen des elektronischen Identifizierungssystems behandelt werden, einschließlich einer Dokumentation für die Kombination der vom Mitgliedstaat gewählten Optionen für
     • Beantragung und Eintragung,
     • Identitätsnachweis und -überprüfung (natürliche Person),
     • Identitätsnachweis und -überprüfung (juristische Person),
     • Verknüpfung von elektronischen Identifizierungsmitteln natürlicher und juristischer Personen;
   • in Bezug auf die Verwaltung elektronischer Identifizierungsmittel: eine Beschreibung, wie die folgenden Prozesse im Rahmen des elektronischen Identifizierungsmittels behandelt werden:
     • Merkmale und Gestaltung elektronischer Identifizierungsmittel, gegebenenfalls einschließlich Angaben zur Sicherheitszertifizierung,
     • Ausstellung, Auslieferung und Aktivierung,
     • Aussetzung, Widerruf und Reaktivierung,
     • Verlängerung und Ersetzung;
   • in Bezug auf die Authentifizierung: eine Beschreibung des Authentifizierungsmechanismus, einschließlich der Bedingungen für den Zugang zur Authentifizierung durch andere vertrauende Beteiligte als öffentliche Stellen;
   • in Bezug auf das Management und die Organisation: eine Beschreibung des Managements und der Organisation der folgenden Aspekte:
     • allgemeine Bestimmungen über Management und Organisation,
     • veröffentlichte Bekanntmachungen und Benutzerinformationen,
     • Informationssicherheitsmanagement,
     • Aufbewahrungspflichten,
     • Einrichtungen und Personal,
     • technische Kontrollen,
     • Einhaltung und Prüfung;
4. Beschreibung, wie die Interoperabilität und die technischen und betrieblichen Mindestanforderungen an die Sicherheit erfüllt werden;
5. Liste aller vorgelegten Nachweise mit einer Erklärung, auf welche Elemente diese sich beziehen, einschließlich Verweisen auf alle nationalen Rechtsvorschriften im Hinblick auf die für die Notifizierung relevante Bestimmung zur elektronischen Identifizierung, einschlägige Prüfberichte, Zertifizierungspraxiserklärungen und Testberichte;
6. einschlägige Dokumente und Informationen in Bezug auf die Zertifizierung elektronischer Identifizierungssysteme gemäß Artikel 12a Absatz 1 und gegebenenfalls Artikel 12a Absatz 5 der Verordnung (EU) Nr. 910/2014.

.

1. Das Weißbuch beschreibt das gesamte Ökosystem des elektronischen Identifizierungssystems, das vorab notifiziert wird, sowie die Geschichte des elektronischen Identifizierungssystems und der elektronischen Identifizierung in dem Mitgliedstaat.
2. Das Weißbuch enthält auch eine Beschreibung des elektronischen Identifizierungssystems und der im Rahmen dieses Systems bereitgestellten elektronischen Identifizierungsmittel, einschließlich einer kurzen Beschreibung der Elemente, die auch von dem in Artikel 2 Absatz 1 Buchstabe a der vorliegenden Verordnung genannten Entsprechungsdokument zum Sicherheitsniveaus, dem in Artikel 2 Absatz 1 Buchstabe c der vorliegenden Verordnung genannten Entsprechungsdokument zum Interoperabilitätsrahmen und anderen Dokumenten abgedeckt sind.
3. In dem Weißbuch werden auch die Rolle des elektronischen Identifizierungssystems im gesamten Ökosystem und seine Beziehung zu vertrauenden Beteiligten und anderen innerhalb des Ökosystems erbrachten Dienstleistungen beschrieben.

.

Interoperabilitätsanforderungen

.

Stellungnahme Nr. XX/202X der Kooperationsgruppe zum elektronischen Identifizierungssystem < Name des Systems > von < Mitgliedstaat >

gestützt auf Artikel 12 Absatz 5 der Verordnung (EU) Nr. 910/2014 (im Folgenden "Verordnung über die europäische digitale Identität"),

gestützt auf die Durchführungsverordnung (EU) 2025/1568,

gestützt auf die Geschäftsordnung der Kooperationsgruppe,

in Erwägung nachstehender Gründe:

Gemäß Artikel 12 Absatz 5 der Verordnung über die europäische digitale Identität müssen die Mitgliedstaaten gegenseitige Begutachtungen der elektronischen Identifizierungssysteme, die gemäß Artikel 9 Absatz 1 Buchstabe a der Verordnung über die europäische digitale Identität zu notifizieren sind, durchführen.

In Artikel 5 Absatz 10 der Durchführungsverordnung (EU) 2025/1568 über die Zusammenarbeit wird die Kooperationsgruppe beauftragt, Stellungnahmen dazu abzugeben, wie ein zu notifizierendes elektronisches Identifizierungssystem die Anforderungen der Verordnung über die europäische digitale Identität erfüllt.

< Mitgliedstaat > stellte im Hinblick auf die Notifizierung seines elektronischen Identifizierungssystems gemäß Artikel 9 Absatz 1 der Verordnung über die europäische digitale Identität den Mitgliedstaaten am < Datum > die folgenden Informationen (im Folgenden "Vorabnotifizierung") im Einklang mit Artikel 7 Buchstabe g der Verordnung über die europäische digitale Identität zur Verfügung:

• Notifizierungsformular;
• Nachweise.

Am < Datum der Sitzung der Kooperationsgruppe >

• kam die Kooperationsgruppe überein, die gegenseitige Begutachtung des elektronischen Identifizierungssystems von < Mitgliedstaat > gemäß Artikel 46e Absatz 5 Buchstabe d der Verordnung über die europäische digitale Identität und der Durchführungsverordnung (EU) 2025/1568 zu organisieren,
• bildete die Kooperationsgruppe eine Gutachtergruppe und
• vereinbarte die Kooperationsgruppe, auf welche Themen sich das Verfahren der gegenseitigen Begutachtung erstrecken und wie es gemäß den Bestimmungen der Durchführungsverordnung (EU) 2025/1568 organisiert werden soll.

Die Gutachtergruppe legte der Kooperationsgruppe ihren Bericht gemäß Artikel 5 der Durchführungsverordnung (EU) 2025/1568 am < Datum > vor. Die Kooperationsgruppe hat den Bericht über die gegenseitige Begutachtung geprüft und erörtert.

Unter Berücksichtigung der Ergebnisse der gegenseitigen Begutachtung, des Berichts über die gegenseitige Begutachtung und der zusätzlichen Informationen, die von < Mitgliedstaat > bereitgestellt wurden, in Bezug auf

-

und der von < Mitgliedstaat > eingegangenen Verpflichtungen:

-

hat die Kooperationsgruppe die folgende Stellungnahme angenommen:

Stellungnahme

Auf der Grundlage der Prüfung der von < Mitgliedstaat > vorgelegten Dokumente zur Vorabnotifizierung und der Ergebnisse des Berichts über die gegenseitige Begutachtung ist die Kooperationsgruppe der Auffassung, dass die Dokumente der Vorabnotifizierung und die von < Mitgliedstaat > zusätzlich vorgelegten Informationen hinreichend belegen, wie das zu notifizierende elektronische Identifizierungssystem von < Mitgliedstaat > die Anforderungen erfüllt

• für das Sicherheitsniveau "hoch",
• für das Sicherheitsniveau "substanziell",
• für das Sicherheitsniveau "niedrig",

und zwar im Einklang mit den Anforderungen des Artikels 7, des Artikels 8 Absätze 1 und 2, des Artikels 12 Absatz 1 sowie des Artikels 12a Absätze 1 und 5 der Verordnung über die europäische digitale Identität und mit den Anforderungen der Durchführungsverordnung (EU) 2015/1502.

Gemäß Artikel < Artikelnummer > der Geschäftsordnung stimmt die Kooperationsgruppe der Veröffentlichung dieser Stellungnahme zu.

< Mitgliedstaat >, < Datum >

ENDE