Prováděcí nařízení Komise (EU) 2025/2530 ze dne 16. prosince 2025, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ESÚř. věst. L 257, 28.8.2014, s. 73 , ELI: http://data.europa.eu/eli/reg/2014/910/oj. , a zejména na čl. 24 odst. 5 uvedeného nařízení,

V oznámeních uvedených v čl. 24 odst. 2 písm. a) nařízení (EU) č. 910/2014 uvedou kvalifikovaní poskytovatelé služeb vytvářejících důvěru přinejmenším významné změny všech těchto prvků:

a) popisů služeb, politik, prohlášení o postupech nebo souvisejících podmínek;

b) technických architektur kvalifikovaných služeb vytvářejících důvěru nebo jakýchkoli důvěryhodných systémů nebo produktů uvedených v čl. 24 odst. 2 písm. e) a f) nařízení (EU) č. 910/2014;

c) hostingu jakýchkoli technických součástí, které jsou zapotřebí pro poskytování kvalifikovaných služeb vytvářejících důvěru, nebo technických služeb týkajících se těchto technických součástí;

d) používání kryptografických technik nebo kryptografických materiálů při poskytování kvalifikovaných služeb vytvářejících důvěru;

e) postupů registrace a identifikace;

f) organizační struktury nebo správy a řízení poskytovatele služeb vytvářejících důvěru;

g) plánu ukončení činnosti;

h) finančních prostředků a pojištění odpovědnosti uvedených v čl. 24 odst. 2 písm. c) nařízení (EU) č. 910/2014;

i) prvků s dopadem na obsah příslušného vnitrostátního důvěryhodného seznamu;

j) třetích stran zapojených do poskytování kvalifikovaných služeb vytvářejících důvěru, včetně subdodavatelů nebo poskytovatelů služeb, nebo smluvních ujednání s těmito třetími stranami.

Oznámení podle odstavce 1 obsahují:

a) popis změny;

b) plánované datum a čas změny;

c) důvody změny a v příslušných případech doložení těchto důvodů důkazy;

d) v příslušných případech aktualizované dokumenty.

Úř. věst. L 257, 28.8.2014, s. 73 , ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(1) Kvalifikovaní poskytovatelé služeb vytvářejících důvěru hrají klíčovou úlohu při zajišťování bezpečných a spolehlivých digitálních interakcí tím, že poskytují kvalifikované služby vytvářející důvěru v souladu s nařízením (EU) č. 910/2014.

(2) Předpoklad shody stanovený v čl. 24 odst. 5 nařízení (EU) č. 910/2014 by se měl uplatnit pouze v případě, že kvalifikované služby vytvářející důvěru jsou v souladu s požadavky, referenčními normami a specifikacemi stanovenými v tomto nařízení. Tyto požadavky, referenční normy a specifikace by měly odrážet zavedené postupy a měly by být široce uznávány v příslušných odvětvích. Referenční normy by měly být upraveny tak, aby zahrnovaly další opatření zajišťující bezpečnost a důvěryhodnost kvalifikované služby vytvářející důvěru a kvalifikovaných poskytovatelů služeb vytvářejících důvěru, kteří tuto službu poskytují.

(3) Pokud poskytovatel služeb vytvářejících důvěru splňuje požadavky, referenční normy a specifikace stanovené v tomto nařízení, měly by orgány dohledu předpokládat shodu s příslušnými požadavky nařízení (EU) č. 910/2014 a tento předpoklad řádně zohlednit při udělování nebo potvrzování kvalifikovaného statusu dané služby vytvářející důvěru. Kvalifikovaný poskytovatel služeb vytvářejících důvěru však může při prokazování shody s požadavky nařízení (EU) č. 910/2014 nadále využívat i jiných postupů.

(4) Komise pravidelně posuzuje nové technologie, postupy, normy nebo technické specifikace. V souladu se 75. bodem odůvodnění nařízení Evropského parlamentu a Rady (EU) 2024/1183Nařízení Evropského parlamentu a Rady (EU) 2024/1183 ze dne 11. dubna 2024 , kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení evropského rámce pro digitální identitu (Úř. věst. L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj). by Komise měla toto prováděcí nařízení přezkoumávat a v případě potřeby ho aktualizovat, aby bylo v souladu s globálním vývojem, novými technologiemi, postupy, normami či technickými specifikacemi a aby byly dodržovány osvědčené postupy na vnitřním trhu.

(5) Kvalifikovaní poskytovatelé služeb vytvářejících důvěru mají jakékoli změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru předem oznámit orgánům dohledu. Tato oznámení by měla orgánům dohledu dát možnost požadovat, aby kvalifikovaní poskytovatelé služeb vytvářejících důvěru přijali vhodná opatření ke zmírnění potenciálních negativních dopadů oznámených změn, pokud jde o plnění požadavků nařízení (EU) č. 910/2014 a udělení kvalifikovaného statusu. V zájmu zajištění jasnosti a pokynů pro kvalifikované poskytovatele služeb vytvářejících důvěru, pokud jde o změny, které se mají oznamovat orgánům dohledu, by toto nařízení mělo obsahovat demonstrativní seznam takových změn.

(6) Bez ohledu na článek 21 směrnice Evropského parlamentu a Rady (EU) 2022/2555Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (Úř. věst. L 333, 27.12.2022, s. 80 , ELI: http://data.europa.eu/eli/dir/2022/2555/oj). stanoví čl. 24 odst. 2 nařízení (EU) č. 910/2014 další požadavky, pokud jde o postupy řízení rizik týkající se právních, obchodních, provozních a jiných přímých nebo nepřímých rizik pro poskytování kvalifikované služby vytvářející důvěru, kterými se prováděcí nařízení Komise (EU) 2024/2690Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024 , kterým se stanoví pravidla pro uplatňování směrnice (EU) 2022/2555, pokud jde o technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik a bližší upřesnění případů, v nichž se incident považuje za významný, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru (Úř. věst. L, 2024/2690, 18.10.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2690/oj). nezabývá. Aby bylo zajištěno, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru strukturálně a systematicky vyhodnocují a dokumentují tato rizika pro spolehlivost svých kvalifikovaných služeb vytvářejících důvěru, měli by zavést rámec řízení rizik přizpůsobený kvalifikovaným službám vytvářejícím důvěru, které poskytují. Aby byla zajištěna konzistentnost politik řízení rizik zavedených nekvalifikovanými poskytovateli služeb vytvářejících důvěru a kvalifikovanými poskytovateli služeb vytvářejících důvěru, měl by tento rámec splňovat požadavky stanovené v prováděcím nařízení Komise (EU) 2025/2160Prováděcí nařízení Komise (EU) 2025/2160 ze dne 27. října 2025 , kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o referenční normy, specifikace a postupy pro řízení rizik spojených s poskytováním nekvalifikovaných služeb vytvářejících důvěru (Úř. věst. L, 2025/2160, 28.10.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/2160/oj). .

(7) Klíčovým prvkem podporujícím důvěryhodnost kvalifikovaných služeb vytvářejících důvěru je kontinuita kvalifikovaných služeb vytvářejících důvěru nebo vhodné ukončení kvalifikovaných služeb vytvářejících důvěru, pokud jejich kontinuitu zajistit nelze. Důležitým nástrojem zajišťujícím, aby se účastníci a spoléhající se strany mohli spolehnout na výstupy kvalifikovaných služeb vytvářejících důvěru v případě ukončení kvalifikovaných služeb vytvářejících důvěru, jsou dostatečně podrobné plány ukončení činnosti. Plány ukončení činnosti by měly zahrnovat jak očekávané ukončení kvalifikované služby vytvářející důvěru, jako je prodej kvalifikované služby vytvářející důvěru jinému kvalifikovanému poskytovateli služeb vytvářejících důvěru, tak neočekávané ukončení, jako je úpadek nebo jiné případy platební neschopnosti. Plány ukončení činnosti by měly obsahovat vhodná ustanovení, která zajistí, aby účinky ukončení mohly být zvládány bez jakéhokoli negativního dopadu na platnost nebo hodnotu výstupů vygenerovaných kvalifikovanou službou vytvářející důvěru před jejím ukončením. Plány ukončení činnosti by navíc měly zajistit, že z ukončené kvalifikované služby vytvářející důvěru, která již nesplňuje příslušné požadavky na kvalifikované služby vytvářející důvěru nebo kvalifikované poskytovatele služeb vytvářejících důvěru stanovené v nařízení (EU) č. 910/2014, nebude možné získat žádné nové výstupy. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru by měli plány ukončení činnosti udržovat aktuální a před provedením jakýchkoli změn, pokud jde o kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo jím poskytované kvalifikované služby vytvářející důvěru, jako jsou změny názvu, fúze, akvizice, úpadky, nucená správa nebo technické změny, by měli analyzovat dopad těchto změn na plány ukončení činnosti.

(8) Komise přijala prováděcí nařízení odkazující na technické normy a specifikace použitelné na kvalifikované služby vytvářející důvěru. Uvedená prováděcí nařízení, jež jsou uvedena v příloze tohoto nařízení, stanoví, jak mají být uplatňovány a vykládány požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru stanovené v čl. 24 odst. 2 nařízení (EU) č. 910/2014 s ohledem na konkrétní aspekty těchto kvalifikovaných služeb vytvářejících důvěru. Aby se na kvalifikovaného poskytovatele služeb vytvářejících důvěru použil předpoklad shody stanovený v čl. 24 odst. 5 nařízení (EU) č. 910/2014, měly by být všechny požadavky uvedené v příloze provedeny tak, jak se vztahují na konkrétní kvalifikovanou službu vytvářející důvěru.

(9) Na činnosti zpracování osobních údajů podle tohoto nařízení se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1 , ELI: http://data.europa.eu/eli/reg/2016/679/oj). a v příslušných případech směrnice Evropského parlamentu a Rady 2002/58/ESSměrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37 , ELI: http://data.europa.eu/eli/dir/2002/58/oj). .

(10) V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39 , ELI: http://data. europa.eu/eli/reg/2018/1725/oj). byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 21. října 2025 Formální připomínky EIOÚ k návrhu prováděcího nařízení, kterým se stanoví prováděcí pravidla k nařízení (EU) č. 910/2014, pokud jde o požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru. .

(11) Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného článkem 48 nařízení (EU) č. 910/2014,

Požadavky stanovené v článcích 2, 3 a 4 prováděcího nařízení Komise 2025/2160 se použijí obdobně na kvalifikované poskytovatele služeb vytvářejících důvěru, pokud jde o požadavek mít rámec pro řízení rizik stanovený v čl. 24 odst. 2 písm. fa) nařízení (EU) č. 910/2014.

Nařízení Evropského parlamentu a Rady (EU) 2024/1183 ze dne 11. dubna 2024 , kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení evropského rámce pro digitální identitu (Úř. věst. L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

Článek 1 Článek 1 Oznámení orgánu dohledu 1.V oznámeních uvedených v čl. 24 odst. 2 písm. a) nařízení (EU) č. 910/2014 uvedou kvalifikovaní poskytovatelé služeb vytvářejících důvěru přinejmenším významné změny všech těchto prvků: a) popisů služeb, politik, prohlášení o postupech nebo souvisejících podmínek;b) technických architektur kvalifikovaných služeb vytvářejících důvěru nebo jakýchkoli důvěryhodných systémů nebo produktů uvedených v čl. 24 odst. 2 písm. e) a f) nařízení (EU) č. 910/2014;c) hostingu jakýchkoli technických součástí, které jsou zapotřebí pro poskytování kvalifikovaných služeb vytvářejících důvěru, nebo technických služeb týkajících se těchto technických součástí;d) používání kryptografických technik nebo kryptografických materiálů při poskytování kvalifikovaných služeb vytvářejících důvěru;e) postupů registrace a identifikace;f) organizační struktury nebo správy a řízení poskytovatele služeb vytvářejících důvěru;g) plánu ukončení činnosti;h) finančních prostředků a pojištění odpovědnosti uvedených v čl. 24 odst. 2 písm. c) nařízení (EU) č. 910/2014;i) prvků s dopadem na obsah příslušného vnitrostátního důvěryhodného seznamu;j) třetích stran zapojených do poskytování kvalifikovaných služeb vytvářejících důvěru, včetně subdodavatelů nebo poskytovatelů služeb, nebo smluvních ujednání s těmito třetími stranami. 2.Oznámení podle odstavce 1 obsahují: a) popis změny;b) plánované datum a čas změny;c) důvody změny a v příslušných případech doložení těchto důvodů důkazy;d) v příslušných případech aktualizované dokumenty.

Článek 2 Článek 2 Rámec pro řízení rizik

Článek 3 Článek 3 Plán ukončení činnosti 1.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru vypracují pro každou jimi poskytovanou kvalifikovanou službu vytvářející důvěru plán ukončení činnosti, který stanoví nezbytná opatření pro účinné a správné provedení ukončení služby nebo jejích částí za účelem zajištění kontinuity služby a poskytování důkazů v soudních řízeních, včetně způsobu, jakým jsou informace zpřístupňovány v souladu s čl. 24 odst. 2 písm. h) nařízení (EU) č. 910/2014. 2.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zavedou opatření a postupy, které pro interní použití zajistí dostupnost zdokumentovaných politik, praxe, postupů, ujednání s třetími stranami a jakýchkoli dalších dokumentů potřebných k zajištění účinnosti plánu ukončení činnosti. 3.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zavedou opatření a postupy, které zajistí aktuálnost jejich plánu ukončení činnosti a veškerých souvisejících dokumentů. 4.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru přezkoumají plán ukončení činnosti a veškeré související dokumenty alespoň jednou za dva roky, jakož i při provádění jakýchkoli změn týkajících se kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo jím poskytované kvalifikované služby vytvářející důvěru, a odpovídajícím způsobem plán ukončení činnosti aktualizují. 5.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru řídí rizika, která jsou specifická pro ukončení poskytování jejich kvalifikovaných služeb vytvářejících důvěru, jako součást rámce pro řízení rizik uvedeného v článku 2. 6.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí udržování dostatečných finančních prostředků nebo uzavření vhodného pojištění na pokrytí nákladů potřebných k účinnému provedení plánu ukončení činnosti, a to i v případě neočekávaného ukončení. 7.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí, aby plán ukončení činnosti stanovil vhodné postupy a opatření alespoň pro: a) ukončení kvalifikovaných služeb vytvářejících důvěru, v příslušných případech i v souvislosti s vyřazením jakýchkoli technických součástí nebo služeb používaných k poskytování dotčené kvalifikované služby vytvářející důvěru z provozu;b) včasnou aktualizaci souvisejících záznamů o službách uvedených v příslušném vnitrostátním důvěryhodném seznamu;c) zneplatnění všech existujících a nezneplatněných kvalifikovaných certifikátů, které vydali před završením ukončení kvalifikované služby vytvářející důvěru pro vydávání kvalifikovaných certifikátů, ledaže jsou všechny relevantní povinnosti ukončených kvalifikovaných služeb vytvářejících důvěru převedeny na jiného kvalifikovaného poskytovatele služeb vytvářejících důvěru způsobem, který zajišťuje, že kvalifikované certifikáty a všechny související služby nadále a bez přerušení splňují požadavky nařízení (EU) č. 910/2014;d) zajištění, aby po ukončení poskytování kvalifikovaných služeb vytvářejících důvěru nebylo možné vytvořit ani zpřístupnit žádný další výstup kvalifikovaných služeb vytvářejících důvěru s použitím dat pro vytváření podpisů nebo pečetí dotčeného kvalifikovaného poskytovatele služeb vytvářejících důvěru;e) zajištění přístupnosti a použitelnosti všech relevantních záznamů vedených kvalifikovaným poskytovatelem služeb vytvářejících důvěru;f) řešení scénářů očekávaného, nepředvídaného, částečného a úplného ukončení;g) zajištění toho, že po ukončení budou chráněny zájmy účastníků ukončených kvalifikovaných služeb vytvářejících důvěru, včetně dalšího uchovávání informací potřebných k tomu, aby účastníci mohli ověřit právní platnost výstupů kvalifikovaných služeb vytvářejících důvěru;h) upřesnění, v příslušných případech, veškerých opatření učiněných s cílem umožnit poskytování alternativních kvalifikovaných služeb vytvářejících důvěru jinými kvalifikovanými poskytovateli služeb vytvářejících důvěru za účelem minimalizace narušení pro účastníky;i) informování stran známých kvalifikovanému poskytovateli služeb vytvářejících důvěru, které budou ukončením přímo či nepřímo dotčeny. 8.Postupy a opatření uvedené v odst. 7 písm. e) zajistí přístupnost a použitelnost záznamů nezbytných pro: a) předkládání důkazů týkajících se souladu kvalifikovaných služeb vytvářejících důvěru s nařízením (EU) č. 910/2014 a nařízením (EU) 2016/679;b) zajištění kontinuity kvalifikovaných služeb vytvářejících důvěru, pokud jde o data kvalifikovaného poskytovatele služeb vytvářejících důvěru, která slouží k ověřování platnosti podpisů nebo pečetí, a o umožnění dalšího uchovávání informací potřebných k ověření správnosti dříve vytvořených výstupů služeb vytvářejících důvěru. 9.Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí, aby plán ukončení činnosti a s ním spojené záznamy zahrnovaly alespoň tuto dokumentaci: a) postupy pro ukončení kvalifikovaných služeb vytvářejících důvěru;b) postupy pro pravidelný přezkum plánu ukončení činnosti podle odstavce 4 a záznamy o tomto přezkumu;c) zprávy o auditu týkající se plánu ukončení činnosti;d) ujednání o ukončení s třetími stranami zapojenými do poskytování kvalifikovaných služeb vytvářejících důvěru, které mají být ukončeny;e) podmínky, dokumenty s postupy a dokumenty s politikami týkající se kvalifikovaných služeb vytvářejících důvěru.

Článek 4 Článek 4 Referenční normy a specifikace pro kvalifikované služby vytvářející důvěru 1.Kromě požadavků stanovených v článcích 1, 2 a 3 jsou referenční normy a specifikace uvedené v čl. 24 odst. 5 nařízení (EU) č. 910/2014 stanoveny v příloze tohoto nařízení. 2.V případě rozdílů mezi referenčními normami a specifikacemi, které jsou stanoveny prováděcími nařízeními a v příloze tohoto nařízení, a požadavky stanovenými v článcích 1, 2 a 3 tohoto nařízení mají přednost požadavky stanovené v článcích 1, 2 a 3 tohoto nařízení.

Článek 5 Článek 5 Vstup v platnost

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru vypracují pro každou jimi poskytovanou kvalifikovanou službu vytvářející důvěru plán ukončení činnosti, který stanoví nezbytná opatření pro účinné a správné provedení ukončení služby nebo jejích částí za účelem zajištění kontinuity služby a poskytování důkazů v soudních řízeních, včetně způsobu, jakým jsou informace zpřístupňovány v souladu s čl. 24 odst. 2 písm. h) nařízení (EU) č. 910/2014.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zavedou opatření a postupy, které pro interní použití zajistí dostupnost zdokumentovaných politik, praxe, postupů, ujednání s třetími stranami a jakýchkoli dalších dokumentů potřebných k zajištění účinnosti plánu ukončení činnosti.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zavedou opatření a postupy, které zajistí aktuálnost jejich plánu ukončení činnosti a veškerých souvisejících dokumentů.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru přezkoumají plán ukončení činnosti a veškeré související dokumenty alespoň jednou za dva roky, jakož i při provádění jakýchkoli změn týkajících se kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo jím poskytované kvalifikované služby vytvářející důvěru, a odpovídajícím způsobem plán ukončení činnosti aktualizují.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru řídí rizika, která jsou specifická pro ukončení poskytování jejich kvalifikovaných služeb vytvářejících důvěru, jako součást rámce pro řízení rizik uvedeného v článku 2.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí udržování dostatečných finančních prostředků nebo uzavření vhodného pojištění na pokrytí nákladů potřebných k účinnému provedení plánu ukončení činnosti, a to i v případě neočekávaného ukončení.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí, aby plán ukončení činnosti stanovil vhodné postupy a opatření alespoň pro:

a) ukončení kvalifikovaných služeb vytvářejících důvěru, v příslušných případech i v souvislosti s vyřazením jakýchkoli technických součástí nebo služeb používaných k poskytování dotčené kvalifikované služby vytvářející důvěru z provozu;

b) včasnou aktualizaci souvisejících záznamů o službách uvedených v příslušném vnitrostátním důvěryhodném seznamu;

c) zneplatnění všech existujících a nezneplatněných kvalifikovaných certifikátů, které vydali před završením ukončení kvalifikované služby vytvářející důvěru pro vydávání kvalifikovaných certifikátů, ledaže jsou všechny relevantní povinnosti ukončených kvalifikovaných služeb vytvářejících důvěru převedeny na jiného kvalifikovaného poskytovatele služeb vytvářejících důvěru způsobem, který zajišťuje, že kvalifikované certifikáty a všechny související služby nadále a bez přerušení splňují požadavky nařízení (EU) č. 910/2014;

d) zajištění, aby po ukončení poskytování kvalifikovaných služeb vytvářejících důvěru nebylo možné vytvořit ani zpřístupnit žádný další výstup kvalifikovaných služeb vytvářejících důvěru s použitím dat pro vytváření podpisů nebo pečetí dotčeného kvalifikovaného poskytovatele služeb vytvářejících důvěru;

e) zajištění přístupnosti a použitelnosti všech relevantních záznamů vedených kvalifikovaným poskytovatelem služeb vytvářejících důvěru;

f) řešení scénářů očekávaného, nepředvídaného, částečného a úplného ukončení;

g) zajištění toho, že po ukončení budou chráněny zájmy účastníků ukončených kvalifikovaných služeb vytvářejících důvěru, včetně dalšího uchovávání informací potřebných k tomu, aby účastníci mohli ověřit právní platnost výstupů kvalifikovaných služeb vytvářejících důvěru;

h) upřesnění, v příslušných případech, veškerých opatření učiněných s cílem umožnit poskytování alternativních kvalifikovaných služeb vytvářejících důvěru jinými kvalifikovanými poskytovateli služeb vytvářejících důvěru za účelem minimalizace narušení pro účastníky;

i) informování stran známých kvalifikovanému poskytovateli služeb vytvářejících důvěru, které budou ukončením přímo či nepřímo dotčeny.

Postupy a opatření uvedené v odst. 7 písm. e) zajistí přístupnost a použitelnost záznamů nezbytných pro:

a) předkládání důkazů týkajících se souladu kvalifikovaných služeb vytvářejících důvěru s nařízením (EU) č. 910/2014 a nařízením (EU) 2016/679;

b) zajištění kontinuity kvalifikovaných služeb vytvářejících důvěru, pokud jde o data kvalifikovaného poskytovatele služeb vytvářejících důvěru, která slouží k ověřování platnosti podpisů nebo pečetí, a o umožnění dalšího uchovávání informací potřebných k ověření správnosti dříve vytvořených výstupů služeb vytvářejících důvěru.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru zajistí, aby plán ukončení činnosti a s ním spojené záznamy zahrnovaly alespoň tuto dokumentaci:

a) postupy pro ukončení kvalifikovaných služeb vytvářejících důvěru;

b) postupy pro pravidelný přezkum plánu ukončení činnosti podle odstavce 4 a záznamy o tomto přezkumu;

c) zprávy o auditu týkající se plánu ukončení činnosti;

d) ujednání o ukončení s třetími stranami zapojenými do poskytování kvalifikovaných služeb vytvářejících důvěru, které mají být ukončeny;

e) podmínky, dokumenty s postupy a dokumenty s politikami týkající se kvalifikovaných služeb vytvářejících důvěru.

Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (Úř. věst. L 333, 27.12.2022, s. 80 , ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

Kromě požadavků stanovených v článcích 1, 2 a 3 jsou referenční normy a specifikace uvedené v čl. 24 odst. 5 nařízení (EU) č. 910/2014 stanoveny v příloze tohoto nařízení.

V případě rozdílů mezi referenčními normami a specifikacemi, které jsou stanoveny prováděcími nařízeními a v příloze tohoto nařízení, a požadavky stanovenými v článcích 1, 2 a 3 tohoto nařízení mají přednost požadavky stanovené v článcích 1, 2 a 3 tohoto nařízení.

Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024 , kterým se stanoví pravidla pro uplatňování směrnice (EU) 2022/2555, pokud jde o technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik a bližší upřesnění případů, v nichž se incident považuje za významný, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru (Úř. věst. L, 2024/2690, 18.10.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2690/oj).

Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie .

Prováděcí nařízení Komise (EU) 2025/2160 ze dne 27. října 2025 , kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o referenční normy, specifikace a postupy pro řízení rizik spojených s poskytováním nekvalifikovaných služeb vytvářejících důvěru (Úř. věst. L, 2025/2160, 28.10.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/2160/oj).

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1 , ELI: http://data.europa.eu/eli/reg/2016/679/oj).

Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37 , ELI: http://data.europa.eu/eli/dir/2002/58/oj).

Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39 , ELI: http://data. europa.eu/eli/reg/2018/1725/oj).

Formální připomínky EIOÚ k návrhu prováděcího nařízení, kterým se stanoví prováděcí pravidla k nařízení (EU) č. 910/2014, pokud jde o požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru.

PŘIJALA TOTO NAŘÍZENÍ: