Tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller validering av kvalificerade elektroniska underskrifter och kvalificerade elektroniska stämplar och validering av avancerade elektroniska underskrifter baserade på kvalificerade certifikat och av avancerade elektroniska stämplar baserade på kvalificerade certifikat
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG, särskilt artiklarna 32.3, 32a.3, 40 och 40a, och
(1) Kvalificerade elektroniska underskrifter, kvalificerade elektroniska stämplar, avancerade elektroniska underskrifter baserade på kvalificerade certifikat för elektroniska underskrifter och avancerade elektroniska stämplar baserade på kvalificerade certifikat för elektroniska stämplar försäkrar, förutsatt att deras giltighet kan bekräftas, förlitande parter om de undertecknade eller stämplade uppgifternas integritet och äkthet och stärker säkerheten avseende undertecknarens eller stämpelskaparens identitet. Dessa elektroniska underskrifter och stämplar spelar en avgörande roll i den digitala affärsmiljön genom att främja övergången från traditionella pappersbaserade processer till motsvarande elektroniska processer.
(2) Den presumtion om överensstämmelse som fastställs i artiklarna 32.1, 40, 32a.3 och 40a i förordning (EU) nr 910/2014 bör tillämpas när processerna för validering av kvalificerade elektroniska underskrifter, kvalificerade elektroniska stämplar, avancerade elektroniska underskrifter baserade på kvalificerade certifikat för elektroniska underskrifter och avancerade elektroniska stämplar baserade på kvalificerade certifikat för elektroniska stämplar uppfyller de tekniska standarder som fastställs i den här förordningen. Dessa standarder bör återspegla etablerad praxis och vara allmänt erkända inom de relevanta sektorerna. De bör anpassas så att de omfattar ytterligare kontroller som säkerställer att den tekniska giltigheten för dessa underskrifter och stämplar samt, i tillämpliga fall, deras status som kvalificerade kan kontrolleras.
(3) Kommissionen utvärderar regelbundet ny teknik samt nya metoder, standarder eller tekniska specifikationer. I enlighet med skäl 75 i Europaparlamentets och rådets förordning (EU) 2024/1183 bör kommissionen vid behov se över och uppdatera denna förordning för att hålla den i linje med den globala utvecklingen, ny teknik samt nya standarder eller tekniska specifikationer och för att följa bästa praxis på den inre marknaden.
(4) Europaparlamentets och rådets förordning (EU) 2016/679 och, i förekommande fall, Europaparlamentets och rådets direktiv 2002/58/EG är tillämpliga på all behandling av personuppgifter i enlighet med denna förordning.
(5) Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 och avgav ett yttrande den 6 juni 2025.
(6) De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 48 i förordning (EU) nr 910/2014.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel1¶Referensstandarder och specifikationer
1. De referensstandarder och specifikationer som avses i artiklarna 32.3 och 40 i förordning (EU) nr 910/2014 anges i bilaga I till den här förordningen.
2. De referensstandarder och specifikationer som avses i artiklarna 32a.3 och 40a i förordning (EU) nr 910/2014 anges i bilaga II till den här förordningen.
Artikel2¶Ikraftträdande
Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
1 EUT L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
2 Europaparlamentets och rådets förordning (EU) 2024/1183 av den 11 april 2024 om ändring av förordning (EU) nr 910/2014 vad gäller inrättandet av ett europeiskt ramverk för digital identitet ( EUT L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).
3 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter, om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
4 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
5 Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
BILAGA I
Standarderna Etsi TS 119172-4 V1.1.1 (2021-05) (Etsi TS 119172-4) och Etsi TS 119102-2 V1.4.1 (2023-06) (Etsi TS 119102-2) gäller med följande anpassningar:
1) För Etsi TS 119172-4
1) 2.1 Normativa hänvisningar:
[1] Etsi EN 319102-1 V1.4.1 (2024-06) Electronic Signatures and Trust Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation.
Alla hänvisningar till ”Etsi TS 119102-1 [1]” ska förstås som hänvisningar till ”Etsi EN 319102-1 [1]”.
[2] Etsi TS 119612 V2.3.1 (2024-11) Electronic Signatures and Infrastructures (ESI); Trusted Lists.
[13] Etsi TS 119101 V1.1.1 (2016-03) Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation
2) 4.2 Valideringsbegränsningar och valideringsförfaranden, krav REQ-4.2-03, avsnitt X.509 validation constraints, punkt c):
i) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationCheckingConstraints inte användas.
ii) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska eitherCheck anges för RevocationCheckingConstraints i enlighet med vad som anges i Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.1.
iii) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.2 inte användas.
iv) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad (m)2.2 användas, med ett maximalt värde på 24 timmar för underskriftscertifikatet. Inget värde ska anges för ReclocationFreshnessConstraints för andra certifikat än underskriftscertifikatet, inklusive certifikat som stöder tidsstämpling.
3) 4.3 Krav på metoder för validering av underskrifter och kontroll av regler för tillämplighet
REQ-4.3-02 Tillämpningar för validering av underskrifter ska överensstämma med Etsi TS 119101 [13].
4) 4.4 Process för kontroll av (regler för) teknisk tillämplighet
REQ-4.4.2-03 Om någon av de kontroller som anges i REQ-4.4.2-01 ger negativt resultat gäller följande:
a) Processen stoppas.
b) Underskriften har på teknisk väg fastställts vara obestämd, dvs. den utgör varken en EU-kvalificerad elektronisk underskrift eller en EU-kvalificerad elektronisk stämpel.
c) Resultaten ovan och resultaten av samtliga mellanliggande processer ska avspeglas i rapporten om kontrollen av reglerna för underskriftens tillämplighet.
1 Etsi TS 119172-4 – Electronic Signatures and Infrastructures (ESI); Signature Policies; Part 4: Signature applicability rules (validation policy) for European qualified electronic signatures/seals using trusted lists, V1.1.1 (2021-05).
2 Etsi TS 119102-2 – Electronic Signatures and Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 2: Signature Validation Report, V1.4.1 (2023-06).
BILAGA II
Standarderna Etsi TS 119172-4 V1.1.1 (2021-05) (Etsi TS 119172-4) och Etsi TS 119102-2 V1.4.1 (2023-06) (Etsi TS 119102-2) gäller med följande anpassningar:
1) För Etsi TS 119172-4
1) 2.1 Normativa hänvisningar:
[1] Etsi EN 319102-1 V1.4.1 (2024-06) Electronic Signatures and Trust Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation.
Alla hänvisningar till ”Etsi TS 119102-1 [1]” ska förstås som hänvisningar till ”Etsi EN 319102-1 [1]”.
[2] Etsi TS 119612 V2.3.1 (2024-11) Electronic Signatures and Infrastructures (ESI); Trusted Lists.
[13] Etsi TS 119101 V1.1.1 (2016-03) Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation.
2) 4.2 Valideringsbegränsningar och valideringsförfaranden, krav REQ-4.2-03, avsnitt X.509 validation constraints, punkt c):
i) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationCheckingConstraints inte användas.
ii) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska eitherCheck anges för RevocationCheckingConstraints i enlighet med vad som anges i Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.1.
iii) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.2 inte användas.
iv) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119172-1 [3], klausul A.4.2.1, tabell A.2 rad (m)2.2 användas, med ett maximalt värde på 24 timmar för underskriftscertifikatet. Inget värde ska anges för ReclocationFreshnessConstraints för andra certifikat än underskriftscertifikatet, inklusive certifikat som stöder tidsstämpling.
3) 4.3 Krav på metoder för validering av underskrifter och kontroll av regler för tillämplighet
REQ-4.3-02 Tillämpningar för validering av underskrifter ska överensstämma med Etsi TS 119101 [13].
4) 4.4 Process för kontroll av (regler för) teknisk tillämplighet
REQ-4.4.2-03 Om någon av de kontroller som anges i REQ-4.4.2-01 ger negativt resultat gäller följande:
a) Processen stoppas.
b) Underskriften har på teknisk väg fastställts vara obestämd, dvs. den utgör varken en avancerad elektronisk underskrift baserad på ett EU-kvalificerat certifikat eller en avancerad elektronisk stämpel baserad på ett EU-kvalificerat certifikat.
c) Resultaten ovan och resultaten av samtliga mellanliggande processer ska avspeglas i rapporten om kontrollen av reglerna för underskriftens tillämplighet.
REQ-4.4.2-04 ogiltig.
REQ-4.4.2-05 ogiltig.
REQ-4.4.2-06 Vid denna punkt i processen för kontroll av (regler för) teknisk tillämplighet ska, om villkoren den digitala underskriften fastställas vara tekniskt lämplig för genomförande av en avancerad elektronisk underskrift baserad på ett kvalificerat certifikat (respektive en avancerad elektronisk stämpel baserad på ett kvalificerat certifikat) som uppfyller EU:s krav; i annat fall ska underskriften inte på teknisk väg fastställas vara en avancerad elektronisk underskrift baserad på ett kvalificerat certifikat som uppfyller EU:s krav eller en avancerad elektronisk stämpel baserad på ett kvalificerat certifikat som uppfyller EU:s krav.
a) att underskriftscertifikatet vid bästa tidpunkt för underskrift har fastställts vara ett EU-kvalificerat certifikat för elektroniska underskrifter (respektive för elektroniska stämplar) i enlighet med REQ-4.4.2-02 a och
b) att resultatet av den process som utförts i enlighet med klausul 4.2 i det här dokumentet är TOTAL-PASSED,
1 Etsi TS 119172-4 – Electronic Signatures and Infrastructures (ESI); Signature Policies; Part 4: Signature applicability rules (validation policy) for European qualified electronic signatures/seals using trusted lists, V1.1.1 (2021-05).
2 Etsi TS 119102-2 – Electronic Signatures and Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 2: Signature Validation Report, V1.4.1 (2023-06).