Fastställande av regler för tillämpningen av Europaparlamentets och rådets förordning (EU) 2023/956 vad gäller CBAM-registret

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2023/956 av den 10 maj 2023 om inrättande av en mekanism för koldioxidjustering vid gränsen, särskilt artikel 14.6, och

Skälen nedan är grundrättsaktens. Ändringsrättsakternas skäl: förordning (EU) 2025/2550.

(1) Enligt förordning (EU) 2023/956 måste kommissionen, på unionsnivå, inrätta en standardiserad och säker elektronisk databas för hantering av CBAM-certifikat, CBAM-deklarationer, ansökningar om att bli godkänd som CBAM-deklarant, registrering av verksamhetsutövare och anläggningar i tredjeländer (verksamhetsutövare) samt för att möjliggöra åtkomst, fallhantering samtidigt som informationens konfidentialitet säkerställs. Kommissionen har redan erfarenhet av att inrätta ett register för CBAM-ändamål från genomförandet av CBAM-övergångsregistret i kommissionens genomförandeförordning (EU) 2023/1773.

(2) I enlighet med förordning (EU) 2023/956 måste kommissionen anta genomföranderegler för CBAM-registrets funktion.

(3) CBAM-registret bör vara det system som används för inlämning och handläggning av CBAM-deklarationer, inbegripet kontroller, vägledande bedömningar och översynsförfaranden. CBAM-registret bör innehålla uppgifter om godkända CBAM-deklaranter, sökanden som lämnar in en begäran om att beviljas godkännande som CBAM-deklarant (sökanden), verksamhetsutövare och ackrediterade CBAM-kontrollörer. Informationen om verksamhetsutövarna ska finnas i ett separat avsnitt i CBAM-registret. CBAM-registret bör också omfatta den it-infrastruktur som krävs för att möjliggöra de analytiska arbetsuppgifter som ingår i de CBAM-riskanalyser som kommissionen ska utföra.

(4) För att säkerställa korrekt bedömning av rapporteringsskyldigheterna, för att ge tullmyndigheterna åtkomst till CBAM-uppgifter i syfte att kontrollera CBAM-formaliteter vid tullklarering och för att stödja riskanalysen och övervakningen av kringgående åtgärder, inbegripet utredning, i enlighet med artiklarna 15, 19 och 27 i förordning (EU) 2023/956, bör CBAM-registret vara kompatibelt med befintliga tullsystem och bör i synnerhet utbyta de uppgifter som samlats in genom övervakningen enligt artikel 56.5 i Europaparlamentets och rådets förordning (EU) nr 952/2013. CBAM-registret bör därför använda standardiserade uppgiftsutbyten med befintliga tullsystem.

(5) I syfte att säkerställa ett effektivt och enhetligt rapporteringssystem bör det fastställas tekniska arrangemang för CBAM-registrets funktion. Dessa arrangemang omfattar arrangemang för utveckling av CBAM-registret, gränssnitt, uppgiftsskydd, uppdatering av uppgifter, begränsning av databehandling, systemägande och systemsäkerhet, samt testning och införande, underhåll och eventuella ändringar. Sådana arrangemang bör vara förenliga med principen om inbyggt uppgiftsskydd och uppgiftsskydd som standard, som föreskrivs i artikel 27 i Europaparlamentets och rådets förordning (EU) 2018/1725 och artikel 25 i Europaparlamentets och rådets förordning (EU) 2016/679, och med säkerheten i samband med behandlingen, som föreskrivs i artikel 33 i förordning (EU) 2018/1725 och artikel 32 i förordning (EU) 2016/679.

(6) För att säkra åtkomsten till CBAM-registret bör det system för enhetlig användaradministration och digital signatur som avses i artikel 16 i kommissionens genomförandeförordning (EU) 2023/1070 användas för att hantera autentisering av och åtkomstkontroll för sökanden av godkännande som CBAM-deklaranter, samt för de behöriga myndigheternas företrädare. Av tekniska skäl bör de som ansöker om att bli godkända CBAM-deklaranter, de godkända CBAM-deklaranterna eller de personer vars status som godkänd CBAM-deklarant har återkallats ha möjlighet att delegera åtkomst till en person som agerar på deras vägnar samtidigt som de förblir ansvariga för fullgörandet av de skyldigheter som fastställs i förordning (EU) 2023/956.

(7) För att identifiera sökanden och godkända CBAM-deklaranter med deras registrerings- och identifieringsnummer för ekonomiska aktörer (Eori-nummer) bör CBAM-registret vara kompatibelt och utbyta relevanta uppgifter med Eori-systemet, som avses i artikel 30 i genomförandeförordning (EU) 2023/1070. Kompatibiliteten bör också säkerställa en korrekt bedömning av CBAM-skyldigheterna och stödja riskanalyser, granskning och övervakning av kringgående åtgärder.

(8) I syfte att kunna hämta informationen om tulldeklarationer för de varor som förtecknas i bilaga I till förordning (EU) 2023/956 och informationen om dessa varor för att kunna utföra kontroller av CBAM-deklarationerna och efterlevnaden av CBAM-skyldigheter för riskanalysändamål, granskning och övervakning av kringgående åtgärder som avses i artiklarna 15, 19 och 27 i förordning (EU) 2023/956, bör CBAM-registret vara sammankopplat med Surveillance-systemet, utvecklat genom UCC Surveillance 3 (SURV3), som avses i artikel 99 i genomförandeförordning (EU) 2023/1070. Denna information bör inbegripa de fall som avses i artikel 2.2. i förordning (EU) 2023/956.

(9) I syfte att kontrollera att varor endast importeras av godkända CBAM-deklaranter och för att kontrollera att skyldigheterna är uppfyllda för de varor eller bearbetade produkter som avses i artikel 2.2 i förordning (EU) 2023/956, bör CBAM-registret vara sammankopplat med EU:s tullkontaktpunkt, inrättad i enlighet med artikel 3 i Europaparlamentets och rådet förordning (EU) 2022/2399.

(10) För kontroll- och rapporteringsändamål, tillsammans med riskanalys och övervakning av kringgående åtgärder samt granskning, i enlighet med artiklarna 15, 19 och 27 i förordning (EU) 2023/956, bör de nationella tullsystemen tillhandahålla den information om import och återexport som krävs enligt kommissionens genomförandebeslut (EU) 2023/2879. Om de nationella tullsystemen inte kan tillhandahålla denna information genom ett automatiskt utbyte bör CBAM-registret möjliggöra överföring av informationen direkt till CBAM-registret. Denna information bör omfatta uppgifter om import av varor som förtecknas i bilaga I till förordning (EU) 2023/956, uppgifter om varor som hänförts till förfarandet för aktiv förädling, uppgifter om frisläppande för fri omsättning av bearbetade produkter som har CBAM-varor som insatsvara och uppgifter om varor eller bearbetade produkter som avses i artikel 2.2 i förordning (EU) 2023/956.

(11) För identifiering av importerade varor som förtecknas i bilaga I till förordning (EU) 2023/956 bör klassificeringen av dessa varor i den kombinerade nomenklaturen (KN), som fastställs i rådets förordning (EEG) nr 2658/87, användas.

(12) För att kunna utbyta riskinformation och riskanalysresultat mellan tullmyndigheterna och de behöriga myndigheterna och kommissionen bör CBAM-registret vara sammankopplat med Surveillance-systemet (CRMS2) så som avses i artikel 36 i kommissionens genomförandeförordning (EU) 2015/2447 och artikel 69 i genomförandeförordning (EU) 2023/1070.

(13) För att säkerställa systemets kontinuitet under alla omständigheter är det viktigt att tillhandahålla alternativa lösningar som kan användas i händelse av ett tillfälligt fel i CBAM-registret. I detta syfte bör kommissionen lägga fram en kontinuitetsplan för CBAM.

(14) De behöriga myndigheterna och kommissionen behandlar personuppgifter som registrerats i CBAM-registret i enlighet med sina arbetsuppgifter så som de anges i förordning (EU) 2023/956 och, vid förvaltningen av CBAM-registret, deklarationer och CBAM-certifikat, fungerar de sålunda som personuppgiftsansvariga i den mening som avses i artikel 26 i förordning (EU) 2016/679 och artikel 28 i förordning (EU) 2018/1725. Personuppgifter bör lagras i en form som inte möjliggör identifiering av de registrerade längre än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. I detta avseende ska lagringsperioden för CBAM-registret vara begränsad till sju år från registreringen i CBAM-registret, för att möjliggöra analys av hur CBAM fungerar och särskilt analysen av de slutsatser som dras av granskningen av CBAM-deklarationerna.

(15) Den här förordningen gäller tillhandahållandet av en offentlig tjänst för att underlätta gränsöverskridande åtkomst till och hantering av CBAM-reglerade uppgifter och kommer att uppfylla kraven i akten om ett interoperabelt Europa, Europaparlamentets och rådets förordning (EU) 2024/903.

(16) Beslut om it-utvecklings- och upphandlingsstrategier måste godkännas på förhand av Europeiska kommissionens styrelse för informationsteknik och cybersäkerhet.

(17) För att möjliggöra tillämpning i lämplig tid bör denna förordning träda i kraft dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

(18) Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 27 november 2024.

(19) De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från CBAM-kommittén.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Kapitel I Innehåll och definitioner

Artikel1¶Innehåll

I denna förordning fastställs reglerna för CBAM-registrets infrastruktur och särskilda processer och förfaranden.

Artikel2¶Definitioner

I denna förordning gäller följande definitioner:

1. nationell komponent: en komponent i de elektroniska systemen som utvecklats på nationell nivå och som är tillgänglig i den medlemsstat som inrättat denna komponent.

2. transeuropeiskt system: flera samverkande system där ansvaret fördelas mellan de nationella förvaltningarna och kommissionen, och som utvecklats i samarbete med kommissionen.

3. sökande: en importör eller ett indirekt tullombud som ansöker om status som godkänd CBAM-deklarant.

Kapitel II CBAM-register

Avsnitt 1 CBAM-register

Artikel3¶CBAM-registrets funktioner

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-registret ska vara en standardiserad och säker elektronisk databas som innehåller dataelement för CBAM-konton, CBAM-deklarationer, ansökningar om status som godkänd CBAM-deklarant, importörer av de varor som förtecknas i bilaga I till förordning (EU) 2023/956, registreringar av de personer som bemyndigats att agera för och i dessa personers namn, registreringar av verksamhetsutövare, utsläppsrapporter, registreringar av kontrollörer, verifieringsrapporter som utfärdats av kontrollörer och styrkande dokumentation som utfärdats av kontrollörer, den oberoende person som avses i artikel 9.2 i förordning (EU) 2023/956 (den oberoende personen) samt andra importörer i syfte att övervaka kringgående i enlighet med artikel 27 i förordning (EU) 2023/956, och ska möjliggöra åtkomst, fallhantering och konfidentialitet.

2. CBAM-registret ska möjliggöra kommunikation, meddelanden, registrering, kontroller och informationsutbyten mellan kommissionen, de behöriga myndigheterna, tullmyndigheterna och godkända CBAM-deklaranter, sökande, personer vars status som godkänd CBAM-deklarant har återkallats, personer som bemyndigats att agera för och i dessa personers namn, verksamhetsutövare, kontrollörer och oberoende personer.

3. CBAM-registret ska möjliggöra de analytiska arbetsuppgifter som ingår i de CBAM-riskanalyser som kommissionen ska utföra.

4. Kommissionen ska vara systemägare till CBAM-registret.

Artikel4¶CBAM-registrets struktur

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-registret ska bestå av följande komponenter:

a) CBAM-portalen för deklaranter (CBAM DP).

b) CBAM-portalen för nationella behöriga myndigheter (CBAM NCA).

c) CBAM-portalen för Europeiska kommissionen (CBAM COM).

d) CBAM-portalen för verksamhetsutövare (CBAM verksamhetsutövare).

2. Den behöriga myndigheten i den medlemsstat där den godkända CBAM-deklaranten är etablerad och där den importör som överskrider det enda viktbaserade tröskelvärde som avses i artikel 2a i förordning (EU) 2023/956 (det enda viktbaserade tröskelvärdet) är etablerad samt den behöriga myndigheten i den medlemsstat där en annan person än en godkänd CBAM-deklarant som för in varor till unionens tullområde i det fall som avses i artikel 26.2 och 26.2a i förordning (EU) 2023/956 är etablerad, ska via CBAM-registret meddela kommissionen besluten om sanktioner.

Artikel5¶Kompatibilitet med tullsystem

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-registret ska vara kompatibelt med följande system:

a) Systemet för enhetlig användaradministration och digital signatur (UUM & DS-systemet) för den användarregistrering och hantering av åtkomst som avses i artikel 16 i kommissionens genomförandeförordning (EU) 2025/512 för medlemsstaterna, kommissionen, godkända CBAM-deklaranter, sökande, personer som innehar ett återkallat godkännande och de personer som bemyndigats att agera för och i dessa personers namn.

b) Systemet för registrering och identifiering av ekonomiska aktörer (Eori-systemet) som avses i artikel 30 i genomförandeförordning (EU) 2025/512, vilket möjliggör dubbelkontroll av de Eori-uppgifter som anges i bilagan till den här förordningen.

c) Surveillance-systemet, utvecklat genom tullkodexprojektet Surveillance 3 (SURV3), som avses i artikel 100 i genomförandeförordning (EU) 2025/512.

d) Europeiska unionens integrerade tulltaxa (Taric), som avses i förordning (EEG) nr 2658/87.

e) Det system för riskhantering och tullkontroller (CRMS2) som avses i artikel 36 i genomförandeförordning (EU) 2015/2447 och artikel 70 i genomförandeförordning (EU) 2025/512.

2. CBAM-registret ska möjliggöra digitalt samarbete via EU:s tullkontaktpunkt, som avses i artikel 3 i förordning (EU) 2022/2399.

3. Om en behörig myndighet konstaterar att en importör överskrider det enda viktbaserade tröskelvärde som fastställs i punkt 1 i bilaga VII till förordning (EU) 2023/956 ska tullmyndigheterna informeras genom CRMS2 via CBAM-registret.

Artikel6¶Kontaktpunkter för de elektroniska systemen

Ändrad genom förordning (EU) 2025/2550.

Kommissionen och nationella behöriga myndigheter ska utse kontaktpunkter för varje system som avses i artiklarna 4 och 5, för informationsutbyte som syftar till att säkerställa att dessa system utvecklas, drivs och underhålls på ett samordnat sätt. Tullmyndigheterna ska också utse kontaktpunkter för CBAM-ändamål. De behöriga myndigheterna och tullmyndigheterna får utse befintliga kontaktpunkter.

Kommissionen och medlemsstaterna ska meddela varandra uppgifterna rörande dessa kontaktpunkter och ska omedelbart underrätta varandra om eventuella ändringar av dessa uppgifter.

Artikel7¶Villkor för samarbete i CBAM-registret

Kommissionen ska föreslå samarbetsvillkoren, servicenivåavtalen och en säkerhetsplan, som ska vara föremål för en överenskommelse med de behöriga myndigheterna. Kommissionen ska driva CBAM-registret i enlighet med de överenskomna samarbetsvillkoren.

Avsnitt 2 Åtkomsthantering och portaler

Artikel8¶Åtkomsthantering för CBAM-användare

Ändrad genom förordning (EU) 2025/2550.

1. Autentisering av och åtkomstkontroll för godkända CBAM-deklaranter, sökande och personer vars status som godkänd CBAM-deklarant har återkallats ska, för åtkomst till CBAM-registrets komponenter, utföras med hjälp av UUM&DS-systemet. Begäran om autentisering och åtkomstkontroll ska lämnas till den behöriga myndigheten i etableringsmedlemsstaten.

2. Kommissionen ska tillhandahålla autentiseringstjänster som gör det möjligt för användare av CBAM-registret att på ett säkert sätt få åtkomst till registret.

3. Kommissionen ska använda UUM&DS-systemet för att godkänna och bevilja åtkomst till CBAM-registret för sin personal.

4. Den behöriga myndigheten i en medlemsstat ska använda UUM&DS-systemet för att godkänna och bevilja åtkomst till CBAM-registret för sin personal, godkända CBAM-deklaranter, sökande och personer vars status som godkänd CBAM-deklarant har återkallats, som är etablerade i deras medlemsstat.

5. Den behöriga myndigheten i en medlemsstat får använda ett system för identitets- och åtkomsthantering som inrättats i den medlemsstaten (nationellt eIDA-tullsystem) för att tillhandahålla de behörighetsuppgifter som är nödvändiga för åtkomst till CBAM-registret.

6. Sökande, godkända CBAM-deklaranter eller personer vars status som godkänd CBAM-deklarant har återkallats får delegera åtkomst till CBAM-registret till personer som agerar på deras vägnar. De delegerande ska förbli ansvariga för fullgörandet av sina skyldigheter som fastställs i förordning (EU) 2023/956.

Om sökanden, den godkända CBAM-deklaranten eller den person vars status som godkänd CBAM-deklarant har återkallats delegerar åtkomst till CBAM-registret ska den personen identifieras med hjälp av de behörighetsuppgifter som används för den åtkomsthantering av UUM & DS-systemet som avses i punkterna 1 och 5.

Den personen får när som helst begära att bli avregistrerad från CBAM-registret. Vid en sådan begäran ska den behöriga myndigheten i den medlemsstat som beviljade åtkomst till CBAM-registret avaktivera åtkomsten till CBAM-registret med hjälp av UUM & DS-systemet.

Artikel9¶CBAM-portalen för deklaranter

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-portalen för deklaranter ska vara den enda ingången till CBAM-registret för godkända CBAM-deklaranter, sökande, personer vars status som godkänd CBAM-deklarant har återkallats och personer som bemyndigats att agera för och i dessa personers namn.

2. CBAM-portalen för deklaranter ska användas för följande åtgärder:

a) Ansökningar om status som godkänd CBAM-deklarant och återkallande av denna status.

b) Inlämning av CBAM-deklarationerna.

c) Meddelanden och underrättelser som gäller CBAM-skyldigheter, inbegripet hantering av CBAM-deklarationer.

d) Användning av information som tillhandahålls av CBAM-portalen för verksamhetsutövare.

3. Åtkomst till CBAM-portalen för deklaranter ska hanteras i enlighet med artikel 8.

Artikel10¶CBAM-portalen för verksamhetsutövare

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-portalen för verksamhetsutövare ska vara den enda ingången till CBAM-registret för verksamhetsutövare, kontrollörer och oberoende personer. Portalen ska vara tillgänglig via internet.

2. CBAM-portalen för verksamhetsutövare ska användas av verksamhetsutövare, kontrollörer och oberoende personer i enlighet med artiklarna 9, 10 respektive 10a i förordning (EU) 2023/956 för följande åtgärder:

a) Registrering av information om den verksamhetsutövaren och om dess anläggningar.

b) Registrering av information om de varor som produceras vid en anläggning.

c) Registrering av utsläppsdata och verifieringsrapporter.

ca) Underlättande av verifiering och certifiering av den information som registrerats av verksamhetsutövaren, kontrollören eller den godkända CBAM-deklaranten.

cb) Underlättande av informationsutbytet mellan verksamhetsutövaren, kontrollören, den oberoende personen och den godkända CBAM-deklaranten.

d) Mottagande av meddelanden och tillkännagivanden som rör deras registrering och användning av information i CBAM-registret.

3. En verksamhetsutövare ska till kommissionen lämna in en begäran om att tilldelas en profil för att få åtkomst till CBAM-aktörsportalen Denna begäran ska åtföljas av styrkande handlingar som visar verksamhetsutövarens rättsliga registrering, eller bevis på verksamhet, i etableringstredjelandet, inbegripet namn, adress, kontaktinformation och företagets nationella registrerings- eller verksamhetsnummer. Denna begäran ska åtföljas av bevis som visar att den person som lämnar in begäran är bemyndigad att agera på verksamhetsutövarens vägnar och handlingar som bevisar den personens identitet. Om de styrkande handlingarna är tillräckliga för att styrka uppgifterna som finns i dem ska kommissionen tilldela den begärda profilen till den begärande verksamhetsutövaren.

4. Verksamhetsutövaren, kontrollören och den oberoende personen ska använda den centrala EU-åtkomsttjänst som drivs av kommissionen för att begära åtkomst till CBAM-registret.

5. Den oberoende personen ska lämna in en begäran om registrering i CBAM-registret till den behöriga myndigheten i den medlemsstat där det nationella ackrediteringsorganet är etablerat. Den oberoende personen ska lämna in begäran om registrering inom två månader från den dag då ackrediteringen beviljades, dock inte före den 1 december 2026. Den behöriga myndigheten ska registrera informationen om den oberoende personen i CBAM-registret.

6. Den begäran om registrering som avses i punkt 4 ska innehålla följande information:

a) Den oberoende personens namn och unika ackrediteringsidentifiering.

b) Ackrediteringsområden som är relevanta för CBAM.

c) Det land där den oberoende personen är etablerad.

d) Det datum då certifieringen börjar att gälla och dess sista giltighetsdag.

e) All information om administrativa åtgärder som ålagts den oberoende personen av relevans för CBAM.

f) En kopia av det ackrediteringsintyg som är av relevans för CBAM.

7. Den behöriga myndigheten ska underrätta den oberoende personen om registreringen i CBAM-registret. Den behöriga myndigheten ska, via CBAM-registret, även underrätta kommissionen och övriga behöriga myndigheter om registreringen.

8. Den oberoende personen ska underrätta den behöriga myndigheten om alla ändringar av den information som avses i punkt 2 som uppstår efter registreringen i CBAM-registret. Den behöriga myndigheten ska säkerställa att CBAM-registret är uppdaterat i enlighet med detta.

9. Den behöriga myndigheten ska avregistrera den oberoende personen från CBAM-registret om den oberoende personen inte längre är kvalificerad för ett verksamhetsområde som är relevant för CBAM eller om den oberoende personen inte har uppfyllt den skyldighet som fastställs i punkt 8. Den behöriga myndigheten ska underrätta kommissionen och övriga behöriga myndigheter om avregistreringen. Den behöriga myndigheten ska radera informationen om den oberoende personen från CBAM-registret, förutsatt att sådan information inte är nödvändig för granskningen av inlämnade CBAM-deklarationer.

Artikel11¶CBAM-portalen för nationella behöriga myndigheter

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-portalen för nationella behöriga myndigheter ska vara den enda ingången till CBAM-registret för de behöriga myndigheterna. Portalen ska vara tillgänglig via internet.

2. CBAM-portalen för nationella behöriga myndigheter ska användas för att utföra de arbetsuppgifter som fastställs i förordning (EU) 2023/956, vilket ska inbegripa meddelanden och underrättelser.

3. CBAM-registret ska möjliggöra överföring till och från registret av uppgifter som är nödvändiga för att de behöriga myndigheterna ska kunna fullgöra sina skyldigheter.

4. Åtkomst till CBAM-portalen för behöriga myndigheter ska hanteras i enlighet med artikel 8.

5. Tullmyndigheterna ska använda och ha åtkomst till CBAM-registret för att validera tillstånd och dela ytterligare tulldata, i tillämpliga fall.

Artikel12¶CBAM-portalen för Europeiska kommissionen

Ändrad genom förordning (EU) 2025/2550.

1. CBAM-portalen för Europeiska kommissionen ska vara den enda ingången till CBAM-registret för kommissionen.

2. CBAM-portalen för Europeiska kommissionen ska användas av kommissionen för att utföra de uppgifter som fastställs i förordning (EU) 2023/956.

2a. CBAM-portalen för Europeiska kommissionen ska vara kompatibel med en separat del där kommissionen kan utföra de uppgifter som fastställs i artiklarna 15 och 27 i förordning (EU) 2023/956.

2b. Kommissionen ska registrera och göra all relevant information och alla relevanta data tillgängliga för de behöriga myndigheterna via CBAM-portalen för nationella behöriga myndigheter i enlighet med artikel 11 i denna förordning, om sådan information och sådana data anses nödvändiga för att de behöriga myndigheterna ska kunna utföra sina uppgifter enligt förordning (EU) 2023/956.

3. Åtkomst till CBAM-portalen för Europeiska kommissionen ska hanteras i enlighet med artikel 8.

Artikel13¶Medlemsstaternas system för identitets- och åtkomsthantering

Medlemsstaterna ska upprätta ett nytt UUM&DS-system för identitets- och åtkomsthantering eller använda sitt eget befintliga UUM&DS-tullsystem för följande funktioner:

a) Säker registrering och lagring av identitetsuppgifter för godkända CBAM-deklaranter, sökande och andra personer som har åtkomst till CBAM-registret.

b) Säkert utbyte av signerade och krypterade identitetsuppgifter för godkända CBAM-deklaranter, sökande och andra personer som har åtkomst till CBAM-registret.

Avsnitt 3 CBAM-registrets funktion

Artikel14¶Utveckling, testning, införande och hantering av CBAM-registret

1. Komponenterna i CBAM-registret ska utvecklas, testas, införas och administreras av kommissionen och får testas av medlemsstaterna.

2. Kommissionen ska utforma och upprätthålla de gemensamma specifikationerna för de gränssnitt som förtecknas i artiklarna 4, 5 och 11 i nära samarbete med medlemsstaterna.

3. När så är lämpligt ska kommissionen fastställa gemensamma tekniska specifikationer, i nära samarbete med medlemsstaterna och med förbehåll för medlemsstaternas granskning, så att de kan användas i rätt tid. Kommissionen och medlemsstaterna ska samarbeta med CBAM-deklaranter, sökande och andra berörda parter.

4. I samarbete med de behöriga myndigheterna ska kommissionen utföra testning och validering av kompatibiliteten mellan CBAM-registret och de system som avses i artikel 5 för att säkerställa att uppgifterna dubbelkontrolleras noggrant, effektivt och konfidentiellt.

Artikel15¶Underhåll av CBAM-registret och ändringar av det

1. Kommissionen ska utföra underhållet av CBAM-registret.

2. Kommissionen ska uppdatera CBAM-registrets komponenter för att korrigera funktionsfel och får lägga till nya funktioner eller ändra befintliga funktioner.

3. Kommissionen ska i förväg underrätta de behöriga myndigheterna, de godkända CBAM-deklaranterna och verksamhetsutövarna om ändringar och uppdateringar av CBAM-registrets komponenter.

Artikel16¶Tillfälliga fel i CBAM-registret

1. I händelse av ett tillfälligt fel i CBAM-registret ska CBAM-deklaranter och sökande inlämna den information som krävs för att de ska fullgöra sina skyldigheter med avseende på CBAM-skyldigheterna enligt förordning (EU) 2023/956 på de sätt som anges i kontinuitetsplanen för CBAM.

2. Kommissionen ska underrätta de behöriga myndigheterna om alla större störningar i tillgängligheten till CBAM-registret som kommer att påverka den tillgänglighetsnivå som fastställs i de servicenivåavtal som avses i artikel 7.

3. Kommissionen ska underrätta de godkända CBAM-deklaranterna och verksamhetsutövarna om krav, större uppdateringar av och längre störningar i tillgängligheten till CBAM-registret i enlighet med kontinuitetsplanen för CBAM.

Artikel17¶Utbildning om och stöd med avseende på användningen av och funktionerna i CBAM-registret

1. Kommissionen ska stödja medlemsstaternas användning av och funktionerna i CBAM-registrets komponenter genom att tillhandahålla utbildnings- och kommunikationsmaterial.

2. De behöriga myndigheterna ska tillhandahålla godkända CBAM-deklaranter och sökande nationellt servicedeskstöd.

Kapitel III Säkerhet i CBAM-registret och uppgiftsskydd

Artikel18¶Skydd av personuppgifter

Ändrad genom förordning (EU) 2025/2550.

De personuppgifter som registreras i CBAM-registret, och komponenterna i de elektroniska system som utvecklats på nationell nivå, ska behandlas av de behöriga myndigheterna och kommissionen för följande ändamål:

a) Autentiseringsändamål och åtkomsthantering.

b) Behandling och hantering av ansökningar.

c) Inlämnande och hantering av CBAM-deklarationer.

d) Övervakning, kontroller och granskning av CBAM-deklarationer.

e) Administration av verksamhetsutövare, kontrollörer och oberoende personer.

f) Hantering av CBAM-certifikat.

g) Meddelanden och underrättelser.

h) För säkerställande av efterlevnaden.

i) It-infrastrukturens funktion, inbegripet kompatibilitet med nationella system och transeuropeiska decentraliserade system enligt denna förordning.

j) Statistik och översyn av hur förordning (EU) 2023/956 fungerar.

k) Riskanalys och övervakning av kringgående åtgärder.

l) Kontroll av att importen av varor och återexporten av varor, i de fall som anges i artikel 2.2 i förordning (EU) 2023/956, utförs av en godkänd CBAM-deklarant.

Artikel19¶Särskilt ansvar för kommissionen och de behöriga myndigheterna

Ändrad genom förordning (EU) 2025/2550.

1. Kommissionen ska vara personuppgiftsansvarig för följande:

a) Behandlingen av personuppgifter för hanteringen av åtkomst till kommissionens portal i enlighet med artikel 12 i denna förordning.

b) Behandling av personuppgifter som registrerats i CBAM-portalen för verksamhetsutövare.

c) Användning, kontroll och inhämtande av Eori-uppgifter eller andra uppgifter för riskanalys och övervakning av kringgående åtgärder enligt artiklarna 15 och 27 i förordning (EU) 2023/956.

2. Den behöriga myndigheten ska vara personuppgiftsansvarig för följande:

a) Behandlingen av personuppgifter i syfte att fatta beslut om beviljande och återkallande av godkännanden som CBAM-deklarant i enlighet med förordning (EU) 2023/956.

b) Behandlingen av personuppgifter i syfte att fatta beslut om sanktioner i enlighet med artikel 26 i förordning (EU) 2023/956.

c) Behandling av personuppgifter för åtkomsthantering för godkända CBAM-deklaranter, sökande, personer vars status som godkänd CBAM-deklarant har återkallats och personer som bemyndigats att agera för och i dessa personers namn, och som är etablerade i dess medlemsstat i enlighet med artiklarna 8, 11 och 13 i denna förordning.

d) Behandlingen av personuppgifter för ackrediterade kontrollörer.

3. Den behöriga myndigheten och kommissionen ska vara gemensamt personuppgiftsansvariga för följande:

a) Hantering av CBAM-registret.

b) Behandlingen av personuppgifter för hantering av CBAM-deklarationer i enlighet med förordning (EU) 2023/956.

c) Behandlingen av personuppgifter för hantering av CBAM-certifikat i enlighet med förordning (EU) 2023/956.

d) Behandlingen av personuppgifter för övervakning av det enda viktbaserade tröskelvärdet i enlighet med artikel 2a i förordning (EU) 2023/956.

Artikel20¶De personuppgiftsansvarigas ansvar gentemot de registrerade

Om en personuppgiftsansvarig tar emot en förfrågan från en registrerad som inte sorterar under dess ansvar i enlighet med artikel 19, ska den skyndsamt och senast inom tre arbetsdagar efter mottagandet av förfrågan vidarebefordra denna förfrågan till den personuppgiftsansvariga som är ansvarig.

Artikel21¶Begränsning av åtkomst till uppgifter, behandling av uppgifter och konfidentialitet

Ändrad genom förordning (EU) 2025/2550.

1. All information i CBAM-registret ska betraktas som konfidentiell.

Godkända CBAM-deklaranter, sökande, personer vars status som godkänd CBAM-deklarant har återkallats och personer som bemyndigats att agera för och i dessa personers namn får ha åtkomst till sina personuppgifter som är registrerade i CBAM-registret efter det att de har registrerats i registret.

2. Verksamhetsutövare, kontrollörer och oberoende personer får ha åtkomst till sina personuppgifter som är registrerade i CBAM-registret efter det att de har registrerats i CBAM-registret. I enlighet med artiklarna 9, 10 och 10a i förordning (EU) 2023/956 får godkända CBAM-deklaranter ha åtkomst till personuppgifter som registrerats av verksamhetsutövare, kontrollörer och oberoende personer i CBAM-registret eller på annat sätt behandla dessa uppgifter, om tillstånd för detta beviljats av verksamhetsutövarna i enlighet med artikel 10.7.

3. Kommissionen och de behöriga myndigheterna får ha åtkomst till och får behandla personuppgifter och andra uppgifter från tulldeklarationer för import av varor som inte förtecknas i bilaga I till förordning (EU) 2023/956, i enlighet med artiklarna 15, 19 och 27 i förordning (EU) 2023/956.

Kommissionen och de behöriga myndigheterna får ha åtkomst till och får behandla uppgifterna från Eori-systemet, i enlighet med artiklarna 15, 19 och 27 i förordning (EU) 2023/956.

Artikel22¶Systemsäkerhet

1. Kommissionen ska vidta lämpliga tekniska och organisatoriska åtgärder för systemsäkerheten efter samråd med behöriga myndigheter.

2. De behöriga myndigheterna ska vidta lämpliga organisatoriska åtgärder för systemsäkerheten.

3. De tekniska och organisatoriska åtgärder som avses i punkterna 1 och 2 i denna artikel ska utformas för att

a) säkerställa säkerhet, integritet, konfidentialitet, tillgänglighet och kontinuitet för de personuppgifter som behandlas,

b) skydda mot obehörig eller olaglig behandling, ändring, förlust, användning eller utlämning av eller åtkomst till personuppgifter som de innehar,

c) begränsa utlämning eller åtkomst till personuppgifter för andra än de avsedda mottagarna i enlighet med denna förordning och förordning (EU) 2023/956.

4. Kommissionen och de behöriga myndigheterna ska underrätta varandra och tillhandahålla stöd vid kritiska säkerhetsincidenter och aktivera kontinuitetsplanen för CBAM när sådana incidenter innebär en personuppgiftsincident i den mening som avses i artikel 4.12 i förordning (EU) 2016/679 och artikel 3.16 i förordning (EU) 2018/1725.

5. Kommissionen ska utföra regelbundna bedömningar av komponenterna i CBAM-registret och ska analysera dessa komponenters säkerhet och integritet och konfidentialiteten för de uppgifter som behandlas inom dessa komponenter.

Artikel23¶Lagringsperiod för uppgifter

Ändrad genom förordning (EU) 2025/2550.

1. Vid behandling av personuppgifter för de ändamål som förtecknas i artikel 18 ska de behöriga myndigheterna och kommissionen lagra uppgifterna endast under den tid som krävs för att uppnå ändamålet och under högst sju år efter registreringen av personuppgifterna i CBAM-registret.

Det datum för registrering av personuppgifter som avses i första stycket ska vara det tidigaste av följande datum:

a) Den behöriga myndigheten vägrar att bevilja status som godkänd CBAM-deklarant.

b) Status som godkänd CBAM-deklarant återkallas.

c) En verksamhetsutövare, kontrollör, oberoende person eller den person som bemyndigats att agera för och i dessa personers namn avregistreras från CBAM-registret.

2. Trots vad som sägs i punkt 1 ska, om ett överklagande har ingetts eller om ett domstolsförfarande har inletts avseende uppgifter som lagras i CBAM-registret, dessa uppgifter sparas till dess att överklagandeförfarandet eller domstolsförfarandet har avslutats och ska enbart användas för överklagandeförfarandet eller domstolsförfarandet.

Kapitel IV Slutbestämmelser

Artikel24¶Ikraftträdande och tillämpning

Denna förordning träder i kraft dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Den ska tillämpas från och med den 31 december 2024.

BILAGA

1 Kommissionens genomförandeförordning (EU) 2025/512 av den 13 mars 2025 om tekniska arrangemang för utveckling, underhåll och användning av elektroniska system för utbyte och lagring av information enligt Europaparlamentets och rådets förordning (EU) nr 952/2013 ( EUT L, 2025/512, 20.3.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/512/oj).