欧盟数字身份与信任服务条例（eIDAS 2）

关于建立欧洲数字身份框架的第（EU）No 910/2014号条例的修订

欧洲议会和欧洲联盟理事会，

鉴于《欧洲联盟运作条约》，特别是其中的第114条，

鉴于欧洲委员会的提案，

在将立法草案送交各成员国议会之后，

鉴于欧洲经济和社会委员会的意见（1），

鉴于区域委员会的意见（2），

根据普通立法程序行事（3），

鉴于：

（1）

欧洲委员会于2020年2月19日发布的题为“塑造欧洲的数字未来”的通报宣布，拟对欧洲议会和欧洲理事会颁布的第910/2014号条例（欧盟）进行修订（4），以提高其有效性，将其益处扩展至私营部门，并促进全体欧洲人享有可信的数字身份。

(2) 在2020年10月1日至2日举行的欧洲理事会结论中，呼吁欧洲委员会提出制定一项覆盖全欧盟的安全公共电子身份识别框架，其中包括可互操作的数字签名，以便使个人能够掌控其在线身份与数据，并实现对公共、私人及跨境数字服务的访问。

(3) 由欧洲议会和欧洲理事会通过的第2022/2481号决定确立的《2030年数字十年政策纲要》（5），设定了一个欧盟框架的目标与数字指标，旨在到2030年实现广泛部署一种受信任、自愿且由用户自主控制的数字身份，该身份在整个欧盟范围内得到认可，并使每位用户能够在在线互动中掌控其数据。

(4) 欧洲议会、欧洲理事会和欧洲委员会共同发布的《关于数字权利与数字十年原则的欧洲宣言》（6）（以下简称“宣言”）强调，人人有权获得安全、可靠且在设计上即注重保护隐私的数字技术、产品和服务。这包括确保居住在欧盟境内的所有人均能享有便捷、安全且可信的数字身份，从而能够访问广泛的线上与线下服务，并免受网络安全风险及网络犯罪的侵害，包括数据泄露以及身份盗窃或身份操纵。宣言还指出，人人享有对其个人数据的保护权，该权利涵盖对其数据使用方式及其共享对象的控制。

(5) 欧盟公民及在欧盟境内的居民应当享有由其单独掌控的数字身份权，该数字身份使他们能够在数字环境中行使自身权利并参与数字经济。为实现这一目标，应建立一项欧洲数字身份框架，使欧盟公民及在欧盟境内的居民得以在整个欧盟范围内访问公共与私营的线上及线下服务。

(6) 一项协调一致的数字身份框架应当通过减少成员国之间的数字壁垒、赋予欧盟公民及在欧盟境内的居民享受数字化带来的益处的能力，同时提高透明度并强化对其权利的保护，从而促进一个更加数字化一体化的欧盟的形成。

(7) 对电子身份识别采取更为协调统一的方法，应当能够降低当前因采用各不相同的国家解决方案或在部分成员国缺乏此类电子身份识别方案而造成的风险与成本。此种方法还应通过允许欧盟公民、根据各国法律界定的在欧盟境内居住者以及企业以安全、可信、用户友好、便捷、可及且协调一致的方式，在全欧盟范围内进行线上与线下的身份识别与身份认证，从而强化内部市场。欧洲数字身份钱包应当为全欧盟范围内的自然人与法人提供一种协调一致的电子身份识别手段，使其能够进行身份认证并共享与其身份相关联的数据。每个人都应当能够依托更为完善的信任服务生态系统以及经验证的身份证明和诸如学历（包括大学学位）或其他教育或职业资格等属性的电子证明，安全地获取公共与私人服务。欧洲数字身份框架旨在推动从仅依赖各国数字身份解决方案向提供在整个欧盟范围内有效且依法认可的属性电子证明的转变。属性电子证明的提供方应当受益于一套清晰且统一的规则，而公共行政部门则应当能够信赖特定格式的电子文件。

(8) 若干成员国已实施并使用被欧盟境内服务提供商所接受的电子身份识别手段。此外，基于《条例（EU）No 910/2014》，已在国家及跨境层面投入了相关建设，包括依据该条例实现经通报的电子身份识别方案之间的互操作性。为确保现有经通报的电子身份识别手段的用户能够便捷地采用欧洲数字身份钱包，并将对现有服务提供商的影响降至最低，预期欧洲数字身份钱包将在借鉴现有电子身份识别手段的经验以及依托于欧盟和国家层面已部署的经通报电子身份识别方案基础设施的基础上得以发展。

(9) 欧洲议会和理事会颁布的《条例（EU）2016/679》（7）以及在适用情况下，欧洲议会和理事会颁布的《指令2002/58/EC》（8），适用于本《条例（EU）No 910/2014》项下的一切个人数据处理活动。本条例所规定的互操作性框架下的各项解决方案亦符合上述法规的要求。欧盟数据保护法确立了数据保护原则，如数据最小化与目的限制原则，以及诸如“设计时即考虑数据保护”和“默认情况下即遵守数据保护”的义务。

(10) 为支持欧盟企业的竞争力，线上及线下的服务提供者均应能够依赖在整个欧盟范围内得到认可的数字身份解决方案，而不论这些解决方案由哪个成员国提供，从而受益于欧盟在信任、安全与互操作性方面的一致性方法。无论是用户还是服务提供者，都应当能够享有全欧盟范围内对电子属性证明所赋予的同等法律效力。一个协调一致的数字身份框架旨在通过提升商品与服务的可获得性，并显著降低与电子身份识别及认证程序相关的运营成本——例如在新客户入驻过程中——创造经济价值；同时，通过减少身份盗窃、数据窃取及网络欺诈等网络犯罪的可能性，促进效率提升，并推动欧盟微型、小型和中型企业（SMEs）的安全数字化转型。

(11) 欧洲数字身份钱包应当有助于落实“一次提交，多次使用”原则，从而减轻行政负担，支持欧盟公民及居民在欧盟境内的跨境流动，以及促进全欧盟范围内可互操作的电子政务服务的发展。

(12) 欧盟第2016/679号条例、欧洲议会和理事会第2018/1725号条例（9）以及第2002/58/EC号指令适用于本条例实施过程中的个人数据处理。因此，本条例应当规定具体的保障措施，以防止电子身份识别手段及电子属性证明的提供者将因提供其他服务而获取的个人数据与为提供本条例适用范围内的服务而处理的个人数据相混合。与提供欧洲数字身份钱包相关的个人数据应当在逻辑上与该欧洲数字身份钱包提供者所持有的任何其他数据予以分离。本条例不应妨碍欧洲数字身份钱包的提供者采取有助于保护个人数据的额外技术措施，例如将与提供欧洲数字身份钱包相关的个人数据与该提供者所持有的任何其他数据进行物理隔离。在不影响欧盟第2016/679号条例的前提下，本条例进一步明确了目的限制、数据最小化以及设计和默认情况下保护数据等原则的适用。

(13) 欧洲数字身份钱包应当具备嵌入式通用仪表板功能，以确保用户对其个人数据享有更高程度的透明度、隐私权及控制权。该功能应提供一个简便、友好的界面，概览用户向其共享数据的所有依赖方，包括所共享的属性以及与每个依赖方共享的数据类型。它还应使用户能够追踪通过欧洲数字身份钱包执行的所有交易，至少记录以下信息：交易的时间和日期、相对方的身份标识、所请求的个人数据以及所共享的数据。上述信息即使在交易未完成的情况下也应予保存。交易记录中所载信息的真实性不得被否认。该功能应当默认启用，并允许用户通过欧洲数字身份钱包便捷地依据欧盟第2016/679号条例第17条要求相关依赖方立即删除个人数据，或在收到据称违法或可疑的个人数据请求时，直接通过欧洲数字身份钱包向主管的国家数据保护机构进行举报。

(14) 成员国应当将多种隐私保护技术，如零知识证明，整合至欧洲数字身份钱包中。这些密码学方法应使依赖方能够在不泄露任何用于生成该声明的数据的前提下，验证基于个人身份数据及属性证明的某一陈述是否真实，从而保护用户的隐私。

(15) 本条例规定了成员国提供欧洲数字身份钱包框架的统一条件。所有欧盟公民以及根据国家法律界定的欧盟居民，均应有权以用户友好且便捷的方式，在完全由用户掌控的前提下，安全地请求、选择、组合、存储、删除、共享并出示与其身份相关的数据，并请求删除其个人数据，同时允许对个人数据进行选择性披露。本条例体现了共同的欧洲价值观，尊重基本权利、法律保障及责任制度，从而保护民主社会、欧盟公民及欧盟居民。为实现上述目标所采用的技术应当致力于达到最高水平的安全性、隐私性、用户便利性、可访问性、广泛适用性以及无缝互操作性。成员国应当确保所有公民和居民享有平等的电子身份获取权。成员国不得直接或间接限制未选择使用欧洲数字身份钱包的自然人或法人获得公共或私人服务的权利，并应当提供适当的替代方案。

(16) 成员国应当依托本条例所提供的可能性，在其职责范围内为居住在其领土内的自然人和法人提供欧洲数字身份钱包。为赋予成员国灵活性并充分利用最先进技术，本条例应当允许成员国直接提供欧洲数字身份钱包，或在成员国授权下提供，亦或独立于成员国但经该成员国认可后提供。

（17）

为登记之目的，依赖方应当提供必要的信息，以便其向欧洲数字身份钱包进行电子识别与身份验证。在声明其拟使用欧洲数字身份钱包时，依赖方应当说明其为提供服务而可能请求的数据及其请求理由。依赖方的登记有助于成员国依据欧盟法律核查依赖方活动的合法性。本条例规定的登记义务不应影响其他欧盟或国家法律所规定的义务，例如根据《欧盟》2016/679号条例向数据主体提供的相关信息。依赖方应当遵守该条例第35条和第36条所规定的保障措施，特别是在数据保护影响评估表明处理活动将带来高风险的情况下，在开展数据处理前应当咨询主管的数据保护机构。此类保障措施旨在支持依赖方合法处理个人数据，尤其是涉及健康数据等特殊类别数据的情形。依赖方的登记旨在提高使用欧洲数字身份钱包的透明度与信任度。登记应当具有成本效益，并与相关风险相称，以确保服务提供者的广泛采用。在此背景下，登记应当允许采用自动化程序，包括依托并利用成员国现有的登记系统，且不应设置事前审批程序。

登记程序应当能够适应多种应用场景，这些场景在运作模式（线上或线下）以及是否需要对设备进行身份验证以对接欧洲数字身份钱包等方面可能存在差异。登记仅适用于通过数字化交互方式提供服务的依赖方。

（18）

保护欧盟公民和居民免受未经授权或欺诈性使用欧洲数字身份钱包的行为，对于确保公众对欧洲数字身份钱包的信任并促进其广泛普及具有重要意义。应当为用户提供有效保护，防止此类滥用行为的发生。特别是，当某一国家司法机关在其他程序的背景下认定存在构成欺诈或其他非法使用欧洲数字身份钱包的事实时，负责管理欧洲数字身份钱包发行机构的监督机构应在收到通知后采取必要措施，确保撤销或暂停依赖方的注册以及该依赖方在认证机制中的纳入，直至通知机关确认所发现的违规情形已得到纠正。

（19）

所有欧洲数字身份钱包均应使用户能够在跨境场景下以电子方式完成身份识别，并在在线和离线模式下进行身份认证，从而访问广泛的公共与私人服务。在不影响成员国对其公民及居民身份识别相关职权的前提下，欧洲数字身份钱包亦可满足公共行政部门、国际组织以及欧盟各机构、机关、办事处和代理机构的制度性需求。离线模式下的身份认证在诸多领域尤为重要，尤其是在医疗卫生领域，该领域服务往往通过面对面互动提供；同时，电子处方也应能够依托二维码或类似技术来验证其真实性。鉴于电子身份识别方案所要求的高保障等级，欧洲数字身份钱包应当充分利用防篡改解决方案（如安全元件）所提供的潜力，以符合本条例项下的安全要求。此外，欧洲数字身份钱包还应允许用户创建并使用在整个欧盟范围内均被认可的合格电子签名与电子印章。自然人一旦加入某一欧洲数字身份钱包，即应能够默认且免费地使用该钱包以合格电子签名进行签署，而无需履行任何额外的行政手续。用户还应能够对其自行声明的主张或属性进行签名或加盖印章。

为实现全欧盟范围内个人与企业的简化流程与成本节约效益，包括赋予代表权与电子授权功能，各成员国应提供基于通用标准与技术规范的欧洲数字身份钱包，以确保无缝互操作性，同时有效提升信息技术安全性，增强抵御网络攻击的能力，从而显著降低数字化进程对欧盟公民、欧盟境内居民及各类企业所带来的潜在风险。唯有成员国主管当局方能就个人身份的确立提供高度可信度，进而确保声称或主张特定身份者确为其所自称之人。因此，欧洲数字身份钱包的提供必须以欧盟公民、欧盟境内居民或法人的法定身份为基础。依赖法律身份不应妨碍欧洲数字身份钱包用户在无需法律身份认证的情况下以化名访问服务，前提是法律并未对身份验证作出强制性规定。若签发方和管理方被要求根据《欧盟》2016/679号条例，采取适当的技术和组织措施，确保与自然人权利和自由所面临风险相称的最高安全水平，则欧洲数字身份钱包的信任度将得以提升。

（20）

为非专业目的使用合格电子签名应当对所有自然人免费。成员国可以规定措施，以防止自然人出于专业目的免费使用合格电子签名，同时确保此类措施与已识别的风险相称并具有正当理由。

（21）

通过将欧洲数字身份钱包与国家、地方或区域层面已实施的公共和私营数字服务生态系统无缝整合，有助于促进其普及与使用。为实现这一目标，成员国应能够制定法律和组织措施，以增强欧洲数字身份钱包提供者的灵活性，并允许其具备本条例所规定的功能之外的附加功能，包括与现有国家电子身份认证手段的更高程度互操作性。此类附加功能绝不得损害本条例所规定的欧洲数字身份钱包的核心功能，亦不得优先推广现有国家解决方案而忽视欧洲数字身份钱包。由于这些附加功能超出了本条例的范围，因此不适用本条例中有关跨境依赖欧洲数字身份钱包的规定。

（22）

欧洲数字身份钱包应当包含一项功能，用于生成由用户自主选择并管理的假名，以便在访问在线服务时进行身份验证。

（23）

为实现高水平的安全性和可信度，本条例确立了欧洲数字身份钱包的相关要求。欧洲数字身份钱包是否符合这些要求，应当由成员国指定的经认可的合格评定机构予以认证。

（24）

为避免做法不一并统一实施本条例所规定的要求，委员会应为认证欧洲数字身份钱包之目的，通过制定实施性法案，确立参考标准清单，并在必要时制定相关规范与程序，以明确这些要求的详细技术规格。鉴于欧洲数字身份钱包是否符合相关网络安全要求的认证尚未涵盖于本条例所提及的现有网络安全认证体系之中，且就与欧洲数字身份钱包相关的非网络安全要求而言，各成员国应依据本条例所规定并采纳的协调一致要求，建立本国认证体系。各成员国应将其拟议的本国认证体系草案提交至欧洲数字身份合作小组，该小组有权发表意见并提出建议。

（25）

对于符合本条例所规定的网络安全要求的认证，在条件允许的情况下，应当依托根据欧洲议会和理事会第（EU）2019/881号条例（10）设立的相关欧洲网络安全认证体系；该条例建立了针对信息通信技术产品、流程和服务的自愿性欧洲网络安全认证框架。

（26）

为持续评估并降低与安全相关的风险，经认证的欧洲数字身份钱包应当定期接受漏洞评估，旨在发现其认证的产品相关组件、流程相关组件以及服务相关组件中的任何漏洞。

（27）

通过保护用户和企业免受网络安全风险，本条例所规定的必要网络安全要求亦有助于加强对个人数据及个人隐私的保护。在标准化与认证方面，应在委员会、欧洲标准化组织、欧盟网络与信息安全局（ENISA）、根据第（EU）2016/679号条例设立的欧洲数据保护委员会以及各国数据保护监管机构之间的合作中，充分考虑协同效应。

（28）

应当依托高保证等级签发的电子身份识别手段，便利欧盟公民及在欧盟居住者接入欧洲数字身份钱包。仅当采用低保证等级签发的电子身份识别手段，并结合补充性身份验证措施，能够满足本条例关于高保证等级的相关要求时，方可使用低保证等级的电子身份识别手段。此类补充性措施应当可靠且易于使用，可基于远程接入程序、由合格电子签名支持的合格证书、合格电子属性证明，或上述方式的组合加以实现。为确保欧洲数字身份钱包得到充分普及，应通过实施性法律文件制定统一的技术规范与用户接入程序，以适用于包括低保证等级在内的各类电子身份识别手段。

（29）

本条例旨在为用户提供一款完全移动化、安全且便于使用的欧洲数字身份钱包。作为过渡性措施，在具备经认证的防篡改解决方案（如用户设备中的安全元件）之前，欧洲数字身份钱包可以依赖经认证的外部安全元件来保护密码学材料及其他敏感数据，或者使用经通知的高保证等级电子身份识别手段，以证明其符合本条例关于欧洲数字身份钱包保证等级的相关要求。本条例不影响各国在颁发和使用经认证的外部安全元件方面的国家规定，前提是该过渡性措施以之为前提。

（30）

欧洲数字身份钱包应当确保最高级别的数据保护与安全性，用于电子身份识别与认证，以便于访问公共与私人服务，无论相关数据是本地存储还是基于云的解决方案，并充分考虑不同风险等级。

（31）

欧洲数字身份钱包应当采用“设计即安全”的理念，并实施先进的安全功能，以防范身份及其他数据被盗、拒绝服务攻击以及任何其他网络威胁。此类安全保障应包括最先进的加密与存储技术，这些技术仅对用户开放且仅能由用户解密，并依赖于与其他欧洲数字身份钱包及信赖方之间的端到端加密通信。此外，欧洲数字身份钱包还应当要求用户对通过该钱包执行的各项操作进行安全、明确且主动的确认。

（32）

免费使用欧洲数字身份钱包不应导致超出提供欧洲数字身份钱包服务所必需的数据处理。本条例不得允许欧洲数字身份钱包服务提供者出于提供欧洲数字身份钱包服务之外的目的，处理存储于欧洲数字身份钱包中或因使用该钱包而产生的个人数据。为确保隐私，欧洲数字身份钱包服务提供者应当确保不可被观察性，即不收集数据且无法获知欧洲数字身份钱包用户的交易信息。此种不可被观察性意味着服务提供者无法查看用户所进行交易的具体细节。然而，在特定情况下，经用户在每个具体情形下事先明确同意，并完全符合《欧盟》2016/679号条例的规定，欧洲数字身份钱包服务提供者可被授予访问与特定欧洲数字身份钱包相关服务提供所需的信息的权限。

（33）

欧洲数字身份钱包的透明度及其提供者的问责制，是建立社会信任并推动各方接受该框架的关键要素。因此，欧洲数字身份钱包的运行应当保持透明，尤其应当确保个人数据处理过程可被验证。为实现这一目标，各成员国应当公开欧洲数字身份钱包用户端应用软件组件的源代码，包括与个人数据及法人实体数据处理相关的部分。以开源许可证形式公布上述源代码，将使社会公众，包括用户和开发者，能够理解其运作机制，并对代码进行审计与审查。这不仅有助于提升用户对整个生态系统的信任，还能通过鼓励任何人报告代码中的漏洞与错误，进一步增强欧洲数字身份钱包的安全性。总体而言，此举也将激励供应商提供并维护高度安全的产品。然而，在某些情况下，对于那些未托管于用户设备上的库文件、通信通道或其他相关组件的源代码披露，各成员国可在具备充分正当理由的情况下予以限制，尤其是出于公共安全之目的。

（34）

使用欧洲数字身份钱包以及停止使用该钱包，均应完全由用户自主决定并享有专属权利。各成员国应当制定简便且安全的程序，以便用户能够即时申请撤销欧洲数字身份钱包的有效性，包括在钱包遗失或被盗的情形下。此外，当用户死亡或法人主体终止活动时，应当设立相应机制，允许负责处理自然人继承事务或法人资产清算的主管机关，请求立即撤销相关欧洲数字身份钱包的有效性。

（35）

为促进欧洲数字身份钱包的普及以及数字身份的更广泛应用，各成员国不仅应当宣传相关服务的益处，还应与私营部门、科研机构及学术界合作，制定旨在提升本国公民及居民数字技能的培训计划，特别是针对残障人士和老年人等弱势群体。同时，各成员国还应通过各类宣传活动，提高公众对欧洲数字身份钱包所带来益处与潜在风险的认识。

（36）

为确保欧洲数字身份框架对创新、技术发展及未来具有开放性，鼓励各成员国共同设立沙盒环境，在受控且安全的条件下测试创新解决方案，尤其旨在提升这些解决方案的功能性、个人数据保护水平、安全性及互操作性，并为今后技术参考与法律要求的更新提供依据。该环境应促进中小企业、初创企业以及个人创新者和研究人员，还有相关行业利益攸关方的参与。此类举措应当有助于并强化拟向欧盟公民及在欧盟境内居住者提供的欧洲数字身份钱包在监管合规性和技术稳健性方面的表现，从而避免出现不符合欧盟数据保护法律或存在安全漏洞的解决方案。

（37）

欧洲议会和理事会于2019年通过的第2019/1157号条例（11）规定，至2021年8月前，应通过增强的安全特征进一步提高身份证件的安全性。各成员国应当考虑在其电子身份识别方案下进行通报的可行性，以扩大电子身份识别手段的跨境可用性。

(38) 应当简化并加快电子身份识别方案的通报程序，以促进便捷、可信、安全且创新的身份认证与识别解决方案的普及，并在适当情况下，鼓励私营身份提供商向成员国主管机关提交其电子身份识别方案，以便根据第910/2014号条例将其作为国家电子身份识别方案予以通报。

(39) 对现行通报与同行评审程序的精简将避免针对各类已通报电子身份识别方案评估方式的不一致性，并有助于增进成员国之间的互信。新的、简化的机制旨在推动各成员国就其已通报电子身份识别方案的安全性与互操作性开展合作。

(40) 各成员国应当利用新型、灵活的工具，以确保符合本条例及其依据所制定的相关实施法案的要求。本条例还应允许成员国使用由经认可的合格评定机构按照欧盟第2019/881号条例所建立的统一认证体系框架下出具的报告与评估结果，支持其关于相关方案或其部分与第910/2014号条例相一致的主张。

(41) 公共服务提供者应当依据第（EU）910/2014号条例，使用电子身份识别手段所获取的个人身份识别数据，将来自其他成员国用户的电子身份与该用户在执行跨境身份匹配程序的成员国所提供的个人身份识别数据进行比对。然而，在许多情况下，尽管已采用经通报的电子身份识别方案所规定的最低数据集，但当成员国作为信赖方时，为确保准确的身份匹配，仍需额外收集有关用户的信息，并在国家层面实施特定的补充性唯一身份识别程序。为进一步提升电子身份识别手段的可用性、提供更优质的在线公共服务并增强与用户电子身份相关的法律确定性，第（EU）910/2014号条例应当要求各成员国采取具体的在线措施，以确保在用户拟访问跨境在线公共服务时实现明确无误的身份匹配。

(42) 在开发欧洲数字身份钱包时，必须充分考虑用户的需求。应当提供切实可行的应用场景以及依托于欧洲数字身份钱包的在线服务。为便利用户并确保此类服务的跨境可及性，有必要在所有成员国采取行动，推动在线服务的设计、开发与实施采用统一的方法。关于如何设计、开发并实施依托于欧洲数字身份钱包的在线服务的非约束性指南，有望成为实现这一目标的有效工具。此类指南的制定应当充分考虑欧盟的互操作性框架。在采纳这些指南的过程中，各成员国应当发挥主导作用。

(43) 根据欧洲议会和理事会颁布的第（EU）2019/882号指令（12），残疾人应当能够与其他用户平等地使用欧洲数字身份钱包、信任服务以及用于提供上述服务的终端产品。

(44) 为确保本条例得到有效执行，应当针对合格与不合格的信任服务提供者分别设定行政罚款的最低限额与最高限额。各成员国应当规定有效、适当且具有足够威慑力的处罚措施。在确定处罚时，应当充分考虑受影响实体的规模、其商业模式以及违法行为的严重程度。

(45) 成员国应当就违反规定的行为制定处罚规则，此类行为包括直接或间接导致非合格信任服务与合格信任服务之间产生混淆，或者由非合格信任服务提供者滥用欧盟信任标志的情形。在任何直接或间接导致公众误认为该等提供者所提供的非合格信任服务为合格信任服务的情况下，均不得使用欧盟信任标志。

(46) 本条例不应涵盖与合同或其他法律义务的订立及效力有关的方面，除非这些方面存在由欧盟法或成员国法律所规定的特定形式要求。此外，本条例亦不应影响涉及公共登记簿（特别是商业登记簿和土地登记簿）的国家形式要求。

(47) 在跨境交易背景下，尤其是使用合格信任服务时，信任服务的提供与使用及其所带来的便利性和法律确定性益处，对于国际贸易与合作的重要性日益凸显。欧盟的国际合作伙伴正在建立受《欧盟第910/2014号条例》启发的信任框架。为促进对合格信任服务及其提供者的相互承认，委员会可采取实施性措施，明确第三国的信任框架在何种条件下可被视为与本条例中关于合格信任服务及其提供者的信任框架等效。此种做法应补充根据《欧洲联盟运作条约》（TFEU）第218条所确立的、欧盟与第三国之间对信任服务及其提供者相互承认的可能性。在规定第三国信任框架可被视为与《欧盟第910/2014号条例》项下合格信任服务及其提供者信任框架等效的条件时，应当确保符合欧洲议会和理事会《欧盟第2022/2555号指令》（13）以及《欧盟第2016/679号条例》的相关规定，并将可信名单作为构建信任的关键要素加以运用。

(48) 本条例应当促进在成员国境内已认可超过一种欧洲数字身份钱包解决方案的情况下，用户在不同欧洲数字身份钱包之间进行选择和切换的可能性。为避免在此类情形下产生锁定效应，在技术可行的前提下，欧洲数字身份钱包的提供者应当根据欧洲数字身份钱包用户的请求确保数据的有效可移植性，并且不得以合同、经济或技术手段设置障碍，从而阻止或抑制用户在不同欧洲数字身份钱包之间的有效切换。

(49) 为确保欧洲数字身份钱包的正常运行，欧洲数字身份钱包的提供者需要实现有效的互操作性，并为欧洲数字身份钱包访问移动设备的特定硬件与软件功能提供公平、合理且无歧视的条件。这些组件尤其可能包括近场通信天线以及安全元件，如通用集成电路卡、嵌入式安全元件、microSD卡和低功耗蓝牙等。对上述组件的访问可能受移动网络运营商及设备制造商的控制。因此，在为提供欧洲数字身份钱包服务所必需的情况下，移动设备原始设备制造商或电子通信服务提供者不得拒绝提供此类组件的访问权限。此外，根据欧洲议会和理事会第2022/1925号条例（14）由委员会列明的核心平台服务守门人企业，仍应适用该条例的相关具体规定，并以其中第6条第7款为基础。

(50) 为简化对信托服务提供者施加的网络安全义务，并使这些提供者及其相应主管当局能够受益于《欧盟》2022/2555号指令所确立的法律框架，信托服务提供者须根据该指令采取适当的技术和组织措施，例如针对系统故障、人为错误、恶意行为或自然现象的措施，以管理其在提供服务过程中所使用的网络与信息系统面临的安全风险，并按照该指令的要求报告重大事件及网络威胁。关于事件报告，信托服务提供者应当报告任何对其服务提供产生重大影响的事件，包括因设备被盗或丢失、网络电缆损坏，以及在身份识别过程中发生的事件等。《欧盟》2022/2555号指令项下的网络安全风险管理要求及报告义务应被视为与本条例对信托服务提供者所施加的要求相辅相成。在适当情况下，各成员国就实施安全与报告要求以及监督遵守《欧盟》第910/2014号条例相关要求而制定的既定实践或指南，仍应由依据《欧盟》2022/2555号指令指定的主管当局予以适用。本条例不影响依据《欧盟》2016/679号条例通报个人数据泄露事件的义务。

（51）

应当充分考虑，确保根据《欧盟》第910/2014号条例第46b条指定的监督机构与根据《欧盟》2022/2555号指令第8条第1款指定或设立的主管当局之间开展有效合作。如上述监督机构与主管当局不属同一主体，则双方应通过及时交换相关信息密切协作，以确保对信托服务提供者的有效监管，并促使其实现对《欧盟》第910/2014号条例及《欧盟》2022/2555号指令所规定各项要求的合规。特别是，根据《欧盟》第910/2014号条例指定的监督机构有权要求根据《欧盟》2022/2555号指令指定或设立的主管当局提供授予合格地位所需的相关信息，并开展监督行动，以核查信托服务提供者是否符合《欧盟》2022/2555号指令的相关要求，或责令其纠正不符合项。

（52）

有必要建立一套法律框架，以促进现有各国法律体系之间在电子挂号递送服务领域的跨境互认。该框架亦可为欧盟的信任服务提供者开拓新的市场机遇，使其得以提供覆盖全欧盟的新型电子挂号递送服务。为确保使用合格电子挂号递送服务的数据能够准确送达指定收件人，合格电子挂号递送服务应当在收件人身份识别方面达到完全确定性；而在寄件人身份识别方面，只需达到较高程度的可信度即可。成员国应当鼓励合格电子挂号递送服务提供者将其服务与其他合格信任服务提供者所提供的合格电子挂号递送服务实现互操作，以便于在两个或多个合格信任服务提供者之间便捷地传输电子挂号数据，并推动内部市场的公平竞争实践。

(53) 在大多数情况下，欧盟公民及居住在欧盟境内的居民无法在跨境情形下安全且高度保护数据的情况下，交换与其身份相关之数字信息，例如其住址、年龄、职业资格、驾驶执照及其他许可文件以及支付数据等。

(54) 应当能够签发并管理可信的电子属性，从而减轻行政负担，使欧盟公民及居住在欧盟境内的居民能够在私人及公共事务中加以使用。例如，欧盟公民及居住在欧盟境内的居民应当能够证明其持有由某一成员国主管机关签发的有效驾驶执照，该执照可被其他成员国的相关主管机关验证并予以认可；同时，他们还可在跨境情境下依赖自身的社会保障凭证或未来的数字旅行证件。

(55) 任何以电子形式签发经认证的属性（如文凭、许可证、出生证明或代表自然人或法人行事的授权书）的服务提供者，均应被视为电子属性认证的信任服务提供者。不得仅因其以电子形式存在或不符合合格电子属性认证的要求而否定其法律效力。应当制定一般性要求，以确保合格电子属性认证具有与依法签发的纸质认证文件同等的法律效力。然而，这些要求的适用不应影响欧盟或成员国法律中关于具有法律效力的形式所规定的额外行业特定要求，特别是在适当情况下涉及合格电子属性认证的跨境承认方面。

(56) 欧洲数字身份钱包的广泛可用性和易用性应当提升私人个人及私营服务提供者对其的接受度与信任度。因此，提供交通、能源、银行与金融服务、社会保障、医疗、饮用水、邮政服务、数字基础设施、电信或教育等领域服务的私营依赖方，在欧盟或成员国法律或合同义务要求进行在线身份识别时需进行强用户认证的情况下，应当接受使用欧洲数字身份钱包提供服务。依赖方就欧洲数字身份钱包用户索取信息的任何请求，均应为实现特定情形下的预期用途所必需且符合比例原则，同时应遵循数据最小化原则，并确保在共享哪些数据以及用于何种目的方面保持透明。为促进欧洲数字身份钱包的使用与接受度，在其部署过程中应当考虑被广泛采纳的行业标准与规范。

(57) 在符合欧洲议会和理事会第2022/2065号条例（15）第33条第1款所界定的超大型在线平台要求用户为访问在线服务而进行身份认证的情况下，这些平台应当在用户自愿请求时接受使用欧洲数字身份钱包。用户不应被强制要求使用欧洲数字身份钱包以访问私人服务，也不得因其未使用欧洲数字身份钱包而受到访问服务的限制或阻碍。然而，若用户愿意，超大型在线平台应在尊重数据最小化原则及用户自由选择化名权利的前提下，为此目的予以接受。鉴于超大型在线平台因其覆盖范围——尤其是体现在服务接收者数量及经济交易规模方面——的重要性，要求其接受欧洲数字身份钱包对于提升用户免受欺诈的保护并确保高水平的数据保护而言是必要的。

(58) 应当制定欧盟层面的行为准则，以促进本条例适用范围内包括欧洲数字身份钱包在内的电子身份识别手段的广泛可用性和易用性。该等行为准则应有助于那些不属于超大型平台、且依赖第三方电子身份识别服务进行用户身份认证的服务提供者广泛接受包括欧洲数字身份钱包在内的电子身份识别手段。

(59) 选择性披露是一项概念，赋予数据主体仅披露较大数据集中特定部分的权利，以便接收方仅获取为用户提供其所请求之服务所必需的信息。欧洲数字身份钱包应在技术上支持向信赖方进行属性的选择性披露。用户应当能够在技术上实现对属性的有选择性披露，包括从多个不同的电子证明中提取，并将其无缝组合后呈现给信赖方。这一功能应当成为欧洲数字身份钱包的基本设计特征，从而进一步增强便利性并强化个人数据保护，包括数据最小化原则。

(60) 除非欧盟或国家法律另有明确规定要求用户进行身份识别，否则不应禁止以化名方式访问服务。

(61) 由合格信任服务提供者作为合格属性证明的一部分所提供的属性，应当通过以下方式与真实来源进行核验：或由该合格信任服务提供者直接核验，或通过依据欧盟或成员国法律在国家层面获得认可的指定中介机构进行核验，以实现身份服务提供者或属性证明服务提供者与依赖方之间安全地交换经证明的属性。各成员国应在国家层面建立适当机制，确保签发合格电子属性证明的合格信任服务提供者能够在征得被证明人同意的前提下，基于真实来源核实相关属性的真实性。此类适当机制可包括根据本国法律使用特定的中介机构或技术解决方案，以获取对真实来源的访问权限。确保存在一种能够对照真实来源核实属性的机制，旨在促进合格电子属性证明的合格信任服务提供者履行其在《欧盟条例》（EU）No 910/2014项下的义务。该条例的新附件应载明各类属性清单，各成员国须确保采取措施，使合格属性证明服务提供者能够应用户请求，通过电子手段将其属性真实性与相应的真实来源予以核验。

(62) 安全的电子身份识别及属性证明服务应为金融服务行业提供额外的灵活性和解决方案，以便于识别客户并交换为满足未来设立反洗钱管理局的法规所规定的客户尽职调查要求、源于投资者保护法的适当性要求，或支持在线身份识别中强客户认证要求（用于账户登录及支付服务领域交易发起）等所需的特定属性。

(63) 电子签名的法律效力不得因其采用电子形式或不符合合格电子签名的要求而受到质疑。然而，电子签名的法律效力应由各国国内法予以确定，但本条例另有规定的情形除外；根据该等规定，合格电子签名的法律效力应被视为与手写签名具有同等效力。在确定电子签名的法律效力时，成员国应当考虑拟签署文件的法律价值与其所要求的电子签名的安全性和成本水平之间的相称性原则。为提高电子签名的可及性和使用率，鼓励成员国在其日常交易中考虑使用高级电子签名，只要此类签名能够提供充分的安全性和可信度。

(64) 为确保全欧盟范围内认证实践的一致性，委员会应当就合格电子签名制作装置和合格电子印章制作装置的认证与再认证事宜发布指导方针，包括其有效期限及其时间限制。本条例并不妨碍已对合格电子签名制作装置进行认证的公共或私人机构，基于先前认证程序的结果，在法定时限内因非违反或安全事件原因而无法完成再认证的情况下，对该等装置予以临时性的短期再认证，但此等再认证不得影响开展漏洞评估的义务，亦不影响适用的认证实践。

(65) 网站身份认证证书的颁发旨在为用户提供高度可信的保障，使其确信网站背后实体的身份，而不论用于展示该身份的平台为何。此类证书应有助于构建在线商务的信任基础，因为用户会对经过身份认证的网站产生信心。网站使用此类证书应当是自愿的。为使网站身份认证成为提升信任、改善用户体验并促进内部市场增长的有效手段，本条例确立了一套信任框架，其中包括针对网站身份认证合格证书提供者所规定的最低安全与责任义务，以及有关该类证书颁发的要求。各国可信名单应当确认网站身份认证服务及其信任服务提供者的合格地位，包括其在颁发网站身份认证合格证书方面对本条例各项要求的全面遵守情况。对网站身份认证合格证书的认可意味着，网络浏览器提供者不得仅以证明网站域名与证书持有人（自然人或法人）之间的关联或确认该持有人身份为目的，而拒绝承认该等合格证书的真实性。网络浏览器提供者应当在其浏览器环境中，以用户友好的方式，通过其自行选择的技术手段，向最终用户展示经认证的身份数据及其他经证明的属性。为此，网络浏览器提供者应当确保对完全符合本条例规定的网站身份认证合格证书的支持与互操作性。

对网站身份认证合格证书的认可、互操作性及支持义务，并不影响网络浏览器提供者依据其认为最为适当的方式与技术，自主保障网络安全、域名认证以及网络流量加密的自由。为促进终端用户的网络安全，网络浏览器提供商在特殊情况下应当能够针对已证实的有关安全漏洞或某一特定证书或一组证书完整性受损的担忧，采取必要且适度的预防性措施。在网络浏览器提供商采取此类预防性措施时，应当毫不拖延地将任何有关该等安全漏洞或完整性受损的担忧以及与该单一证书或一组证书相关的已采取措施，通知欧盟委员会、国家监督机构、该证书所颁发的实体以及颁发该证书或该组证书的合格信任服务提供者。上述措施不应影响网络浏览器提供商根据各国可信名单承认合格网站身份验证证书的义务。为进一步保护欧盟公民及在欧盟居住者，并推动使用合格证书进行网站身份验证，各成员国的公共机关应当考虑在其官方网站中纳入合格网站身份验证证书。本条例所规定的旨在加强各成员国在监督程序方面不同做法与实践之间协调一致性的各项措施，意在增进公众对合格网站身份验证证书的安全性、质量和可用性的信任与信心。

(66) 许多成员国已针对提供安全且可信的电子归档服务的机构制定了本国要求，以实现电子数据和电子文件及其相关信任服务的长期保存。为确保法律确定性、跨成员国的信任与协调一致，应当依据本条例中规定的其他信任服务框架，建立合格电子归档服务的法律框架。该法律框架应为信任服务提供者和用户提供一套高效的工具箱，其中包括电子归档服务的功能性要求，以及在使用合格电子归档服务时所产生的明确法律效力。上述规定应适用于以电子形式生成的电子数据和电子文件，以及经扫描并数字化处理的纸质文件。必要时，这些规定还应允许将所保存的电子数据和电子文件移植至不同的介质或格式，以延长其耐久性和可读性，使其超出技术有效期限，同时尽可能防止丢失或篡改。当提交至电子归档服务的电子数据和电子文件包含一项或多处合格电子签名或合格电子印章时，该服务应当采用能够在其保存期限内延续其可信度的程序和技术，必要时还可借助本条例所确立的其他合格信任服务。为在使用电子签名、电子印章或电子时间戳的情况下形成保存证据，应当使用合格的信任服务。

在本条例未对电子归档服务作出统一规范的情况下，各成员国可根据欧盟法，保留或制定有关此类服务的本国规定，例如针对仅用于本组织内部档案的、集成于组织之中的特定服务的相关规定。本条例不应区分以电子形式生成的电子数据和电子文件与经数字化处理的实体文件。

(67) 国家档案馆及记忆机构作为致力于维护公共利益之文献遗产的组织，其活动通常由国家法律予以规制，且并不必然提供本条例所指的信任服务。在上述机构不提供此类信任服务的情况下，本条例对其运作不构成任何影响。

(68) 电子分类账是由一系列电子数据记录组成的，应当确保其完整性和时间顺序的准确性。电子分类账应当确立数据记录的时间顺序。结合其他技术，电子分类账有助于实现更高效、更具变革性的公共服务，例如电子投票、海关当局的跨境合作、学术机构的跨境合作，以及在去中心化土地登记系统中对不动产所有权的登记。合格的电子分类账应当就分类账中数据记录的独特且准确的连续时间顺序及其完整性确立法律推定。鉴于其特殊性，如数据记录的连续时间顺序，电子分类账应当与其他信任服务（如电子时间戳和电子挂号递送服务）相区分。为确保法律确定性并促进创新，应当建立一个全欧盟范围的法律框架，以规定对用于电子分类账中数据记录的信任服务的跨境承认。这应足以防止同一数字资产被复制并多次出售给不同主体。电子分类账的创建与更新过程取决于所采用的分类账类型，即集中式或分布式。本条例应当确保技术中立性，既不偏袒也不歧视任何用于实施电子分类账这一新型信任服务的技术。此外，在制定明确合格电子分类账要求的实施法案时，委员会应当采用适当的方法学，充分考虑与气候或其他环境相关的不利影响等可持续性指标。

(69) 电子分类账信任服务提供者的职责应当是确认数据按顺序被记录入分类账。本条例不影响电子分类账用户根据欧盟或国家法律所承担的任何法定义务。例如，涉及个人数据处理的使用场景应当遵守《欧盟》2016/679号条例，而与金融服务相关的使用场景则应当遵守相应的欧盟金融服务法律。

(70) 为避免因标准和技术限制的差异而导致内部市场出现碎片化和壁垒，并确保协调一致的进程，以防止对欧洲数字身份框架实施造成影响，有必要建立一个由委员会、成员国、民间社会、学术界及私营部门之间开展密切且有条理合作的机制。为实现这一目标，各成员国与委员会应在欧盟委员会建议（EU）2021/946 (16) 所规定的框架内开展合作，以确定适用于欧洲数字身份框架的共同欧盟工具箱。在此背景下，各成员国应就一套全面的技术架构与参考框架、一套通用标准及技术参考文件（包括公认的现有标准），以及一套涵盖至少所有功能与互操作性的指南和最佳实践说明达成一致，这些内容应涉及本条例所规定的欧洲数字身份钱包及其电子签名功能，以及用于属性电子证明的合格信任服务提供者。同时，在此背景下，各成员国还应就欧洲数字身份钱包的商业模式与收费结构等共同要素达成一致，以便特别是在跨境情境下促进其普及应用，尤其是中小企业。该工具箱的内容应当与欧洲数字身份框架的讨论成果及采纳进程同步演进并予以反映。

(71) 本条例规定了合格信任服务在质量、可信度及安全性方面应达到的统一水平，无论相关业务在何处开展。因此，合格信任服务提供者应当被允许将其与提供合格信任服务相关的业务外包至第三国，前提是该第三国能够提供充分的保障措施，确保监督活动与审计工作能够如同在欧盟境内开展一样得到有效执行。当无法完全保证对本条例的遵守时，监管机构有权采取适当且合理的措施，包括撤销所提供信任服务的合格资格。

(72) 为确保基于合格证书的高级电子签名的有效性具有法律确定性，至关重要的是明确由负责验证该基于合格证书的高级电子签名的依赖方所进行的评估的具体要求。

(73) 信任服务提供者应当采用符合当前最佳实践的密码学方法，并确保这些算法得到可信的实现，以保障其信任服务的安全性和可靠性。

(74) 本条例规定，合格信任服务提供者有义务依据欧盟范围内统一的多种方法，核实向其颁发合格证书或合格电子属性证明之自然人或法人的身份。为确保合格证书及合格电子属性证明仅颁发给其所属之人，并且能够准确、唯一地证明该人身份所对应的数据集合，颁发合格证书或合格电子属性证明的合格信任服务提供者应在颁发上述证书及证明之时，以完全确定的方式核实该人的身份。此外，除对当事人身份进行强制性核查外，在适用情况下以及在颁发合格电子属性证明时，合格信任服务提供者还应以完全确定的方式确保其所颁发的合格证书或合格电子属性证明所载明之当事人的各项属性的正确性和准确性。上述结果导向且要求完全确定性的数据验证义务，应当通过适当手段予以支持，包括使用本条例所规定的单一方法，或者在必要时采用多种方法的组合。这些方法可相互结合，为核实合格证书或合格电子属性证明所颁发对象的身份提供适当依据。此种组合方式可以包括依赖符合较高保证等级要求的电子身份识别手段，并辅以其他身份验证方式。

此类电子身份识别将有助于在附加的统一远程程序中满足本条例关于高保证等级的相关要求，从而实现高度可信的身份识别。上述方法还应包括：经由用户请求，根据欧盟或成员国法律，利用电子手段对拟予证明的属性进行验证的可能性，且该验证须对照真实可靠的信息来源进行核验。

(75) 为使本条例与全球发展保持一致，并遵循内部市场的最佳实践，委员会所通过的授权法案和实施法案应当定期予以审查，并在必要时予以更新。对这些更新之必要性的评估应当考虑新技术、新做法、新标准或新的技术规范。

(76) 鉴于本条例之目标，即在整个欧盟范围内建立欧洲数字身份框架及信任服务框架，无法由各成员国充分实现，而因其规模与影响，更宜在欧盟层面加以实现，因此，根据《欧洲联盟条约》第5条所载的辅助性原则，欧盟可以采取相应措施。同时，依据该条所载的比例性原则，本条例的范围不超出实现上述目标所必需的限度。

(77) 已根据《条例（EU）2018/1725》第42条第1款的规定，征询了欧洲数据保护监督员的意见。

(78) 因此，应相应修改《条例（EU）No 910/2014》，

特此制定本条例：

第一条

对第910/2014号（欧盟）条例的修正案

《欧盟第910/2014号条例》经如下修订：

（1）

第1条由下文取代：

“第1条”

事项范围

本条例旨在确保内部市场的正常运作，并为在整个欧盟范围内使用的电子身份识别手段及信任服务提供充分的安全保障，从而促使自然人和法人能够安全地参与数字社会，并在全欧盟范围内获取在线公共与私人服务。为此目的，本条例：

（a）

规定了成员国应当承认属于其他成员国已通报的电子身份识别方案之下的自然人和法人的电子身份识别手段，并提供和承认欧洲数字身份钱包的条件；

（b）

规定了信任服务的相关规则，特别是针对电子交易的规定；

(c) 建立了关于电子签名、电子印章、电子时间戳、电子文件、电子挂号递送服务、用于网站认证的证书服务、电子归档、电子属性证明、电子签名制作设备、电子印章制作设备以及电子账簿的法律框架。

(2) 第2条修改如下：

（a）

第1款替换为以下内容：

“1. 本条例适用于由成员国通报的电子身份识别方案、由成员国提供的欧洲数字身份钱包，以及在欧盟境内设立的信任服务提供者。”

（b）

第3款由下文取代：

“3. 本条例不影响与合同订立及效力相关的欧盟或成员国法律，也不影响与形式有关的其他法律或程序性义务，以及与形式有关的特定行业要求。

4. 本条例不妨碍欧洲议会和理事会于2016年4月27日通过的（EU）2016/679号条例（*1）。

(*1) 欧洲议会和理事会于2016年4月27日通过的（EU）2016/679号条例，关于个人数据处理中对自然人的保护以及此类数据的自由流动，并废止第95/46/EC号指令（通用数据保护条例）（《欧盟官方公报》L 119，2016年5月4日，第1页）。”

(3) 第3条作如下修订：

（a）

第(1)至(5)项由以下内容取代：

“（1）

“电子身份识别”是指以电子形式使用个人身份识别数据的过程，该数据能够唯一地标识自然人或法人，或者由自然人代表另一自然人或法人；

(2) “电子身份识别手段”是指包含个人身份识别数据的有形和/或无形载体，用于在线服务的认证，或在适当情况下用于离线服务的认证；

(3) “个人身份识别数据”是指根据欧盟或国家法律颁发的一组数据，该数据能够用于确认自然人、法人，或者代表其他自然人或法人的自然人的身份。

(4) “电子身份识别方案”是指一种电子身份识别系统，在该系统下向自然人、法人，或者代表其他自然人或法人的自然人颁发电子身份识别手段；

(5) “身份认证”是指一种电子过程，用于确认自然人或法人的电子身份，或者确认电子形式数据的来源与完整性；’

（b）

插入以下条款：

‘(5a)

“用户”是指使用依据本条例提供的信任服务或电子身份识别手段的自然人、法人，或者代表其他自然人或法人的自然人；’

(c) 第(6)项被替换为如下内容：

‘(6)

“依赖方”是指依赖电子身份识别、欧洲数字身份钱包或其他电子身份识别手段，或者依赖某项信任服务的自然人或法人；’

(d) 第16项替换为如下内容：

‘(16)

“信任服务”是指通常以有偿方式提供的电子服务，其内容包括下列任何一项：

（a）

颁发电子签名证书、电子印章证书、网站认证证书，或提供其他信任服务的证书；

（b）

验证电子签名证书、电子印章证书、网站认证证书，或验证提供其他信任服务的证书；

(c) 创建电子签名或电子印章；

(d) 验证电子签名或电子印章；

(e) 保存电子签名、电子印章、电子签名证书或电子印章证书；

(f) 远程电子签名制作设备或远程电子印章制作设备的管理；

（g）

电子属性证明的签发；

（h）

电子属性证明的验证；

(i) 电子时间戳的生成；

(j) 电子时间戳的验证；

（k）

电子挂号递送服务的提供；

（l）

通过电子挂号递送服务传输的数据及相关证据的验证；

（m）

电子数据及电子文件的电子归档；

（n）

在电子账簿中记录电子数据；’

(e) 第（18）项由以下内容取代：

‘（18）

“合格评定机构”是指《第765/2008号条例》第2条第13款所定义的合格评定机构，该机构已根据该条例获得认可，具备对合格信任服务提供者及其提供的合格信任服务进行合格评定的资质，或者具备对欧洲数字身份钱包或电子身份识别手段进行认证的资质；’；

(f) 第（21）项替换为如下内容：

‘（21）

“产品”是指旨在用于提供电子身份识别和信任服务的硬件或软件，或者硬件或软件的相关组件；’；

（g）

插入以下各项：

‘（23a）

“远程合格电子签名制作设备”是指由合格信任服务提供者依据第29a条代表签名人管理的合格电子签名制作设备；

（23b）

“远程合格电子印章制作设备”是指由合格信任服务提供者依据第39a条代表印章制作人管理的合格电子印章制作设备；’；

（h）

第（38）项替换为如下内容：

‘（38）

“网站认证证书”是指一种电子证明文件，能够用于验证网站的真实性，并将该网站与证书颁发对象——自然人或法人——相联系；’；

(i) 第（41）项替换为如下内容：

‘（41）

“验证”是指按照本条例的规定，对电子形式的数据的有效性进行核查并予以确认的过程；’；

(j) 增加以下几点：

‘（42）

“欧洲数字身份钱包”是指一种电子身份识别手段，允许用户安全地存储、管理和验证个人身份数据以及属性的电子证明文件，以便向依赖方及其他欧洲数字身份钱包用户提供这些信息，并通过合格电子签名进行签署或通过合格电子印章进行盖章；

(43) “属性”是指自然人、法人或者某一对象所具有的特征、品质、权利或许可；

(44) “属性的电子证明”是指以电子形式出具的、能够对属性进行认证的证明；

(45) “合格属性的电子证明”是指由合格的信任服务提供者签发，并符合附件V所规定要求的属性电子证明；

(46) “由负责真实来源的公共部门机构或代表该机构签发的电子属性证明”是指由负责真实来源的公共部门机构，或者由成员国指定、根据第45f条及附件VII代表负责真实来源的公共部门机构签发此类属性证明的公共部门机构所签发的电子属性证明；

(47) “真实来源”是指由公共部门机构或私人实体负责保管的存储库或系统，其中包含并提供关于自然人、法人或对象的属性信息，并且被视为该信息的主要来源，或者依照欧盟或国家法律（包括行政惯例）被认定为真实；

(48) “电子归档”是指一种服务，确保电子数据和电子文件的接收、存储、检索及删除，以保障其持久性和可读性，并在整个保存期间维护其完整性、保密性以及来源证明；

(49) “合格电子归档服务”是指由合格的信任服务提供商提供的、符合第45j条所规定要求的电子归档服务；

(50) “欧盟数字身份钱包信任标志”是指一种可验证、简洁且易于识别的标识，以清晰的方式表明某欧洲数字身份钱包已按照本条例提供；

（51）

“强用户认证”是指基于使用至少两类不同类别的认证因素的认证方式，这三类分别为：知识（只有用户知道的信息）、持有（只有用户拥有的物品）或固有特征（用户自身具备的特质），且这些因素相互独立，即某一因素的泄露不会影响其他因素的可靠性，并且其设计旨在保护认证数据的保密性；

（52）

“电子账本”是指一系列电子数据记录，确保这些记录的完整性和时间顺序的准确性；

(53) “合格电子账本”是指由合格的信任服务提供商提供的、符合第45l条所规定要求的电子账本；

(54) “个人数据”是指《欧盟》2016/679号条例第4条第(1)款所界定的任何信息；

(55) “身份匹配”是指将个人身份识别数据或电子身份识别手段与属于同一人的现有账户进行比对或关联的过程；

(56) “数据记录”是指连同支持该数据处理的相关元数据一并记录的电子数据；

(57) “离线模式”是指，就欧洲数字身份钱包的使用而言，用户与第三方在某一物理场所通过近距离通信技术进行互动的一种方式，在此过程中，欧洲数字身份钱包无需借助电子通信网络访问远程系统以完成该次互动。

(4) 第五条被以下内容取代：

“第5条”

电子交易中的假名

在不损害欧盟或国家法律中要求用户进行身份识别或关于在国家法律下对化名赋予的法律效力之特别规定的前提下，不得禁止使用由用户自行选择的化名。

(5) 在第二章中，插入如下条款：

欧洲数字身份钱包

“第1条 · 第5a款”

欧洲数字身份钱包

1. 为确保欧盟境内所有自然人和法人在享有对其数据完全控制权的同时，能够安全、可信且无缝地跨境访问公共与私人服务，各成员国应在本条第23款及第5c条第6款所指实施法案生效之日起24个月内至少提供一个欧洲数字身份钱包。

2. 欧洲数字身份钱包应以以下一种或多种方式提供：

（a）

直接由成员国提供；

（b）

根据成员国的授权提供；

(c) 独立于成员国但经该成员国认可的方式提供。

3. 欧洲数字身份钱包的应用软件组件的源代码应当采用开源许可。成员国可以规定，在有充分正当理由的情况下，除安装于用户设备上的组件之外的特定组件的源代码可不予公开。

4. 欧洲数字身份钱包应当使用户能够以友好、透明且可追溯的方式：

（a）

在用户完全掌控下，安全地请求、获取、选择、组合、存储、删除、共享并展示个人身份数据，并在必要时结合电子属性证明，以便在线以及在适当情况下离线向信赖方进行身份认证，从而访问公共与私人服务，同时确保能够实现数据的选择性披露；

（b）

生成假名，并将其加密后本地存储于欧洲数字身份钱包内；

(c) 安全地对另一人的欧洲数字身份钱包进行身份验证，并在两个欧洲数字身份钱包之间以安全方式接收并共享个人身份数据及电子属性证明；

(d) 通过统一的仪表板访问所有经由欧洲数字身份钱包完成的交易记录，使用户能够：

(i) 查看与用户已建立连接的信赖方的最新名单，并在适用情况下查看所有已交换的数据；

(ii) 轻松依据《欧盟》2016/679号条例第17条，请求信赖方删除个人数据；

(iii) 在收到据称违法或可疑的数据请求时，能够便捷地向本国主管数据保护的权威机构报告依赖方；

(e) 通过合格电子签名进行签署，或通过合格电子印章进行盖章；

(f) 在技术可行的范围内，下载用户的个人数据、属性及配置的电子证明文件；

（g）

行使用户的数据可携带权。

5. 欧洲数字身份钱包应当特别：

（a）

支持通用协议和接口：

(i) 用于向欧洲数字身份钱包签发个人身份数据、合格与非合格的属性电子证明或合格与非合格的证书；

(ii) 用于依赖方请求并验证个人身份数据及属性电子证明；

(iii) 用于向依赖方共享并展示个人身份数据、属性电子证明或经选择性披露的相关数据，支持在线模式，并在适当情况下支持离线模式；

(iv) 用于用户通过符合第5a条第24款规定的电子身份手段安全地完成注册；

(v) 用于按照《欧盟》2016/679号条例第17条的规定，安全地为用户办理入网手续；

（vi）

用于两人之间的欧洲数字身份钱包交互，以安全的方式接收、验证并共享个人身份数据及属性电子证明；

（vii）

用于通过实施符合第5b条规定的认证机制对依赖方进行身份认证与识别；

(viii)

用于依赖方核实欧洲数字身份钱包的真实性和有效性；

(ix) 用于要求依赖方根据《欧盟》2016/679号条例第17条删除个人数据；

(x) 用于在收到据称违法或可疑的数据请求时，向主管国家数据保护机构报告该依赖方；

(xi) 用于通过合格电子签名或电子印章生成设备创建合格电子签名或电子印章；

（b）

不得向属性电子证明的信任服务提供者提供任何有关该等电子证明使用情况的信息；

(c) 确保通过实施符合第5b条规定的认证机制，使依赖方能够被认证与识别；

(d) 符合第8条关于高保障等级的规定，特别是适用于身份证明与验证、电子身份识别手段管理及认证的相关要求；

(e) 对于嵌入披露策略的属性电子证明，应当实施适当的机制，以告知用户：请求该属性电子证明的欧洲数字身份钱包的依赖方或用户有权访问该证明；

(f) 确保从提供欧洲数字身份钱包的电子身份识别方案中获取的个人身份数据能够唯一地标识自然人、法人或代表该自然人或法人的自然人，并与该欧洲数字身份钱包相关联；

（g）

默认且免费地向所有自然人提供使用合格电子签名进行签署的能力。

尽管有第一款第（g）项的规定，成员国可以规定适当的措施，以确保自然人免费使用合格电子签名仅限于非专业用途。

6. 成员国应当及时通知用户任何可能全部或部分损害其欧洲数字身份钱包或其内容的安全事件，特别是当其欧洲数字身份钱包根据第5e条被暂停或撤销时。

7. 在不损害第5f条规定的前提下，成员国可以根据本国法律，为欧洲数字身份钱包规定额外的功能，包括与现有国家电子身份识别手段的互操作性。这些附加功能应当符合本条规定。

8. 成员国应当免费提供验证机制，以便：

（a）

确保能够核实欧洲数字身份钱包的真实性和有效性；

（b）

允许用户核实根据第5b条登记的依赖方的身份真实性和有效性。

9. 成员国应当确保在下列情况下可以撤销欧洲数字身份钱包的有效性：

（a）

根据用户的明确请求；

（b）

当欧洲数字身份钱包的安全受到威胁时；

(c) 在用户死亡或法人停止活动时。

10. 欧洲数字身份钱包的提供者应当确保用户能够便捷地请求技术支持，并报告技术问题或其他对欧洲数字身份钱包使用产生不利影响的事件。

11. 欧洲数字身份钱包应当在具有高级别保障的电子身份识别方案下提供。

12. 欧洲数字身份钱包应当确保设计即安全。

13. 欧洲数字身份钱包的签发、使用及撤销对所有自然人均应免费。

14. 用户对其欧洲数字身份钱包的使用及其中的数据享有完全控制权。欧洲数字身份钱包的提供方不得收集与提供欧洲数字身份钱包服务无关的、关于该钱包使用情况的信息，亦不得将用于或与欧洲数字身份钱包使用相关的个人识别数据或其他个人数据，与该提供方提供的其他服务或第三方服务中、且与提供欧洲数字身份钱包服务无关的个人数据相合并，除非用户明确另行要求。与提供欧洲数字身份钱包服务相关的个人数据应当在逻辑上与该提供方持有的任何其他数据予以分离。若欧洲数字身份钱包由私人主体按照本条第2款第(b)项和第(c)项的规定提供，则应参照适用第45h条第3款的规定。

15. 欧洲数字身份钱包的使用应当是自愿的。对于不使用欧洲数字身份钱包的自然人或法人，其获取公共及私人服务、进入劳动力市场以及开展商业活动的权利均不得受到任何形式的限制或不利对待。同时，仍可通过其他现有身份识别与认证方式获取公共及私人服务。

16. 欧洲数字身份钱包的技术框架应当：

（a）

不允许属性证明电子凭证的提供方或其他任何一方，在属性证明签发后，获取能够追踪、关联或比对交易或用户行为的数据，或以其他方式获知交易或用户行为的相关信息，除非经用户明确授权；

（b）

应当支持隐私保护技术，确保在属性证明无需识别用户的情况下实现不可关联性。

17. 成员国或代表成员国负责提供欧洲数字身份钱包作为电子身份识别手段的机构或相关方所进行的任何个人数据处理，均应当依照适当且有效的数据保护措施实施。此类处理应当证明符合《欧盟》2016/679号条例的要求。成员国可以制定本国规定，进一步细化上述措施的具体适用。

18. 成员国应当毫不拖延地向委员会通报以下信息：

（a）

负责根据第5b条第5款建立并维护依赖欧洲数字身份钱包的已注册信赖方名单及其存放地点的机构；

（b）

负责根据第5a条第1款提供欧洲数字身份钱包的机构；

(c) 负责确保个人身份数据与欧洲数字身份钱包相绑定的机构，依据第5a条第5款第（f）项；

(d) 用于验证第5a条第5款第（f）项所指个人身份数据及信赖方身份的机制；

(e) 用于验证欧洲数字身份钱包真实性和有效性的机制。

委员会应当通过安全渠道以适合自动化处理的电子签名或电子印章形式向公众公开根据第一款规定通报的信息。

19. 在不影响本条第22款的前提下，第11条应比照适用于欧洲数字身份钱包。

20. 第24条第2款第（b）项以及第（d）至（h）项应比照适用于欧洲数字身份钱包的提供者。

21. 欧洲数字身份钱包应当按照欧洲议会和理事会颁布的（EU）2019/882号指令（*2），为残疾人提供与其他用户同等的使用便利。

22. 就提供欧洲数字身份钱包而言，欧洲数字身份钱包及其所提供的电子身份识别方案不受第7条、第9条、第10条、第12条及第12a条所规定的各项要求的约束。

23. 委员会应在2024年11月21日前，通过实施性法案制定参考标准清单，并在必要时就本条第4款、第5款、第8款及第18款所述关于欧洲数字身份钱包实施的要求制定相关规范与程序。该等实施性法案应当依照第48条第2款所规定的审查程序予以通过。

24. 委员会应当通过实施性法案，制定参考标准清单，并在必要时制定相关规范和程序，以便利用户接入欧洲数字身份钱包，无论是通过符合高级保证等级的电子身份识别手段，还是通过符合实质性保证等级的电子身份识别手段，并辅以额外的远程接入程序，从而共同满足高级保证等级的要求。上述实施性法案应当依照第48条第2款所述的审查程序予以通过。

“第1条 · 第5b款”

欧洲数字身份钱包依赖方

1. 在依赖方拟通过数字交互方式，借助欧洲数字身份钱包提供公共或私人服务时，该依赖方应当在其设立地的成员国进行登记。

2. 登记程序应当经济高效且与风险相称。依赖方至少应当提供：

（a）

用于向欧洲数字身份钱包进行身份认证所需的信息，其中至少包括：

(i) 依赖方设立所在的成员国；以及

(ii) 依赖方的名称，以及在适用情况下，其在官方记录中载明的注册号码，并附上该官方记录中的身份识别数据；

（b）

依赖方的联系方式；

(c) 欧洲数字身份钱包的预期用途，包括说明依赖方拟向用户请求的数据。

3. 依赖方不得要求用户提供除第2款(c)项所列信息之外的任何其他数据。

4. 第1款和第2款的规定不影响适用于特定服务提供的欧盟法律或国家法律。

5. 成员国应当以电子签名或电子盖章的形式，在线公开第2款所述信息，且该形式应便于自动化处理。

6. 根据本条规定完成登记的依赖方，应当及时将第2款登记中所提供信息的任何变更通知成员国。

7. 成员国应当建立一个通用机制，用于实现第5a条第5款(c)项所指的依赖方的身份识别与身份认证。

8. 当依赖方拟借助欧洲数字身份钱包时，应当向用户表明自身身份。

9. 依赖方应当负责执行对从欧洲数字身份钱包请求的人身识别数据及电子属性证明的认证与验证程序。除非欧盟或国家法律另有规定，依赖方不得拒绝使用化名。

10. 代表依赖方行事的中介机构应当被视为依赖方，且不得存储有关交易内容的数据。

11. 截至2024年11月21日，委员会应通过关于实施第5a条第23款所指的欧洲数字身份钱包的执行性法案，制定本条第2款、第5款以及第6至9款所述要求的技术规范和程序。该等执行性法案应当依照第48条第2款所指的审查程序予以采纳。

“第1条 · 第5c款”

欧洲数字身份钱包的认证

1. 欧洲数字身份钱包及其所提供的电子身份识别方案是否符合第5a条第4款、第5款、第8款规定的要求，以及第5a条第14款规定的逻辑隔离要求，并在适用情况下是否符合第5a条第24款所提及的标准和技术规范，应当由成员国指定的合格评定机构予以认证。

2. 欧洲数字身份钱包与本条第1款所述要求（或其中与网络安全相关部分）的符合性认证，应当依照根据欧洲议会和理事会第(EU) 2019/881号条例(*)3所采纳并载于本条第6款所述实施法案中的欧洲网络安全认证方案进行。

3. 对于本条第1款中不涉及网络安全的要求，以及对于本条第1款中涉及网络安全但第2款所述的网络安全认证方案未能完全或仅部分覆盖的相关要求，成员国应当依据本条第6款所述实施法案中规定的要求，制定本国的认证方案。成员国应将其本国认证方案草案提交至根据第46e条第1款设立的欧洲数字身份合作小组（以下简称“合作小组”）。合作小组可以发表意见和建议。

4. 根据第1款进行的认证有效期最长为五年，但须每两年开展一次漏洞评估。如发现漏洞且未及时予以修复，则该认证应当被撤销。

5. 与个人数据处理活动相关的本条例第5a条所列要求，可依据第(EU) 2016/679号条例予以认证。

6. 委员会应在2024年11月21日前，通过实施法案，制定参考标准清单，并在必要时就本条第1款、第2款及第3款所述的欧洲数字身份钱包的认证制定相关规范与程序。上述实施法案应当按照第48条第2款所述的审查程序予以通过。

7. 成员国应当向委员会通报第1款所述合格评定机构的名称和地址。委员会应当将该信息提供给所有成员国。

8. 委员会应有权根据第47条采纳授权法案，以确立本条第1款所述指定合格评定机构应当满足的具体标准。

“第1节 · 第5d条”

公布经认证的欧洲数字身份钱包清单

1. 成员国应当在不无故拖延的情况下，将根据第5a条提供并经第5c(1)条所述合格评定机构认证的欧洲数字身份钱包的情况通报委员会以及根据第46e(1)条设立的合作小组。如某项认证被撤销，成员国亦应当在不无故拖延的情况下将该情况通报委员会及合作小组，并说明撤销的理由。

2. 在不影响第5a(18)条规定的前提下，本条第1款所述成员国提供的信息至少应当包括：

（a）

经认证的欧洲数字身份钱包的证书及其认证评估报告；

（b）

关于该欧洲数字身份钱包所依托的电子身份识别方案的描述；

(c) 适用于该欧洲数字身份钱包的监管制度，以及关于提供该钱包之主体的责任制度的相关信息；

(d) 负责该电子身份识别方案的主管机关或主管机关们；

(e) 关于暂停或撤销该电子身份识别方案、认证，或者相关受损部分的安排。

3. 委员会应当依据本条第1款所收到的信息，在欧盟官方公报上公布并以机器可读形式维护一份经认证的欧洲数字身份钱包清单。

4. 成员国可以向委员会提出申请，要求将某一欧洲数字身份钱包及其所依托的电子身份识别方案从第3款所述清单中予以删除。

5. 如本条第1款所述信息发生变更，成员国应当向委员会提供更新后的相关信息。

6. 委员会应当通过在欧盟官方公报上公布相应修订内容的方式，自收到第4款所述申请或第5款所述更新信息之日起一个月内，及时更新第3款所述清单。

7. 委员会应当在2024年11月21日前，通过有关实施欧洲数字身份钱包的执行性法案，确立适用于本条第1款、第4款和第5款目的的格式与程序，该等执行性法案应按照第48(2)条所述的审查程序予以采纳。

“第1节 · 第5e条”

欧洲数字身份钱包的安全漏洞

1. 在根据第5a条提供的欧洲数字身份钱包、第5a条第8款所述的验证机制，或提供欧洲数字身份钱包所依据的电子身份识别方案遭到破坏或部分受损，且该等破坏或受损影响其可靠性或其他欧洲数字身份钱包的可靠性的场合，提供该等欧洲数字身份钱包的成员国应当毫不拖延地暂停提供并停止使用欧洲数字身份钱包。

如因第一款所述的安全漏洞或损害的严重程度而确有必要，成员国应当毫不拖延地撤销欧洲数字身份钱包。

成员国应当相应地通知受影响的用户、根据第46c条第1款指定的单一联络点、信赖方以及委员会。

2. 若本条第一款第一项所述的安全漏洞或损害在暂停后的三个月内仍未得到纠正，提供欧洲数字身份钱包的成员国应当撤销该等钱包并取消其有效性。成员国应当相应地通知受影响的用户、根据第46c条第1款指定的单一联络点、信赖方以及委员会。

3. 当本条第一款第一项所述的安全漏洞或损害得到纠正时，提供该等钱包的成员国应当重新恢复欧洲数字身份钱包的提供与使用，并毫不拖延地通知受影响的用户和信赖方、根据第46c条第1款指定的单一联络点以及委员会。

4. 委员会应当毫不拖延地在《欧盟官方公报》上公布对第5d条所述清单的相应修订。

5. 委员会应当于2024年11月21日前，通过实施性法案制定参考标准清单，并在必要时为本条第一款、第二款及第三款所述措施制定相关规范与程序。上述实施性法案应当依照第48条第2款所述的审查程序予以通过。

“第1节 · 第5f条”

跨境对欧洲数字身份钱包的依赖

1. 在成员国要求使用电子身份识别与认证以访问由公共部门机构提供的在线服务的情况下，成员国还应当接受依照本条例提供的欧洲数字身份钱包。

2. 对于提供服务的私人信赖方，除欧盟委员会建议2003/361/EC附件第2条所界定的微型企业及小型企业（*4）外，若根据欧盟或国家法律要求其在在线身份识别中使用强用户认证，或者因合同义务而需在包括交通、能源、银行、金融服务、社会保障、卫生、饮用水、邮政服务、数字基础设施、教育或电信等领域中使用强用户认证，则该等私人信赖方应当自第5a条第23款及第5c条第6款所述实施法案生效之日起不超过36个月内，且仅在用户自愿请求的情况下，亦应接受依照本条例提供的欧洲数字身份钱包。

3. 对于《欧洲议会和理事会关于2022/2065号条例》第33条所指的超大型在线平台提供商，若其要求用户在访问在线服务时进行身份验证，则该等平台提供商应当在用户自愿请求且仅针对所申请的具体在线服务所需最低限度数据的前提下，接受并便利使用依照本条例提供的欧洲数字身份钱包进行身份验证。

4. 委员会应当与各成员国合作，与包括民间社会在内的所有相关利益攸关方密切协作，推动制定行为准则，以促进本条例适用范围内欧洲数字身份钱包的广泛可获得性和可用性，并鼓励服务提供商完成行为准则的制定工作。

5. 在欧洲数字身份钱包部署后的24个月内，委员会应当评估欧洲数字身份钱包的需求情况及其可获得性和可用性，并综合考虑诸如用户采用率、服务提供商的跨境存在、技术发展、使用模式演变以及消费者需求等标准。

(*2) 欧洲议会和理事会于2019年4月17日通过的关于产品和服务无障碍要求的指令（EU）2019/882（《欧盟官方公报》L 151，2019年6月7日，第70页）。

(*3) 欧洲议会和欧洲理事会于2019年4月17日颁布的关于ENISA（欧盟网络安全局）以及信息与通信技术网络安全认证并废止第526/2013号条例（《网络安全法》）的（欧盟）2019/881号条例（《欧盟官方公报》L 151，2019年6月7日，第15页）。

(*4) 欧盟委员会于2003年5月6日发布的关于微型、小型和中型企业定义的2003/361/EC号建议（《欧盟官方公报》L 124，2003年5月20日，第36页）。

(*5) 欧洲议会和欧洲理事会于2022年10月19日颁布的关于数字服务单一市场的并修订第2000/31/EC号指令（《数字服务法》）的（欧盟）2022/2065号条例（《欧盟官方公报》L 277，2022年10月27日，第1页）。

(6) 在第6条之前插入以下标题：

电子识别方案的；

(7) 在第7条中，第(g)项被替换为如下内容：

‘(g)

至少在根据第9条第1款进行通知前六个月，通知成员国应按照第12条第6款所通过的实施法案确立的程序安排，向其他成员国提供该方案的说明；

(8) 在第8条第3款中，第一款被替换为如下内容：

‘3 截至2015年9月18日，考虑到相关国际标准，并在遵守第2款的前提下，委员会应通过实施法案，制定最低技术规格、标准和程序，据此对电子身份识别手段规定低、中、高三种保证等级。’；

(9) 在第9条中，第2款和第3款被替换为如下内容：

‘2. 委员会应在不无故拖延的情况下，于欧盟官方公报上公布根据第1款提交通知的电子身份识别方案清单及其基本相关信息。

3. 委员会在收到该通知之日起一个月内，应在欧盟官方公报上公布对第2款所述清单的修订内容。’；

(10) 在第10条中，标题被替换为如下内容：

‘电子身份识别方案的安全漏洞’；

(11) 插入如下条款：

“第2节 · 第11a条”

跨境身份匹配

1. 当成员国作为跨境服务的依赖方时，应当确保使用已通报的电子身份识别手段或欧洲数字身份钱包的自然人实现明确的身份匹配。

2. 成员国应当采取技术和组织措施，以确保用于身份匹配的个人数据得到高水平保护，并防止对用户进行画像分析。

3. 委员会应当于2024年11月21日前制定参考标准清单，并在必要时通过实施法案就本条第1款所述要求制定相关规范和程序。该等实施法案应当依照第48条第2款所指的审查程序予以通过。

(12) 第十二条修改如下：

（a）

标题替换为以下内容：

“互操作性”；

（b）

第3款修改如下：

(i) 第(c)点替换为如下内容：

‘(c)

有助于落实“隐私与安全设计”原则；”

(ii) (d)项删除；

(c) 在第4款中，(d)项替换为以下内容：

“（d）

指的是从电子身份识别方案中可获取的、用于唯一标识自然人或法人，或者代表其他自然人或法人的自然人的最低限度身份识别数据集；”

(d) 第5款和第6款替换为以下内容：

“5. 成员国应当对属于本条例适用范围并根据第9条第1款(a)项应当予以通报的电子身份识别方案开展同行评审。

6. 委员会应当于2025年3月18日前通过实施法案，为本条第5款所述的同行评审制定必要的程序安排，以促进与风险程度相适应的高水平信任与安全。该等实施法案应当依照第48条第2款所指的审查程序予以通过。”

(e) 第7款予以删除；

(f) 第8款替换为如下内容：

“8. 截至2025年9月18日，为制定本条第1款所规定要求的统一实施条件，委员会应在符合本条第3款所列标准并考虑到成员国之间合作成果的基础上，就本条第4款所述互操作性框架通过实施法案。该等实施法案应按照第48条第2款所述的审查程序予以通过。”

(13) 在第二章中插入以下条款：

“第2节 · 第12a条”

电子身份识别方案的认证

1. 电子身份识别方案与本条例所规定的网络安全要求的一致性，包括与第8条第2款关于电子身份识别方案保障等级的网络安全相关要求的一致性，应当由成员国指定的合格评定机构予以认证。

2. 根据本条第1款进行的认证，应当依据《欧盟》2019/881号条例或其部分条款所规定的相关网络安全认证制度实施，前提是该网络安全证书或其部分涵盖上述网络安全要求。

3. 根据本条第1款进行的认证有效期最长为五年，但须每两年开展一次漏洞评估。如发现漏洞且在发现后三个月内未予修复，则该认证应予撤销。

4. 尽管有第2款的规定，成员国仍可根据该款规定，向作出通知的成员国请求提供有关已认证的电子身份识别方案或其部分的补充信息。

5. 第12条第5款所述的电子身份识别方案同行评审，不适用于根据本条第1款认证的电子身份识别方案或其部分。成员国可以使用依据相关认证制度或其部分颁发的证书或符合性声明，该证书或声明应符合第8条第2款关于电子身份识别方案保障等级的非网络安全相关要求。

6. 成员国应当将本条第1款所述的合格评定机构的名称和地址通报委员会。委员会应当将该信息提供给所有成员国。

“第2节·第12b条”

对硬件和软件功能的访问权限

在欧洲数字身份钱包提供者以及以商业或专业身份行事并使用《欧洲议会和理事会条例》（EU）2022/1925第2条第（2）款所定义的核心平台服务的已通知电子身份识别手段签发机构，为向最终用户提供欧洲数字身份钱包服务及电子身份识别手段之目的或在提供该等服务的过程中，均属该条例第2条第（21）款所定义的商业用户。对此，守门人应当特别允许其与相同操作系统、硬件或软件功能实现有效互操作，并为实现互操作之目的而予以访问。上述有效互操作与访问应当免费提供，且不论该硬件或软件功能是否属于该守门人在提供此类服务时所使用的操作系统的一部分、可供其使用或由其使用，均适用《欧洲议会和理事会条例》（EU）2022/1925第6条第（7）款之规定。本条不影响本条例第5a条第（14）款的规定。

(*6) 《欧洲议会和理事会于2022年9月14日颁布的关于数字领域可竞争且公平市场的条例》（EU）2022/1925，该条例同时修订了指令（EU）2019/1937和指令（EU）2020/1828（《数字市场法》）（OJ L 265, 2022年10月12日，第1页）。’;

(14) 第13条第1款被以下内容取代：

‘1. 尽管有本条第2款之规定，且在不损害《欧盟条例》（EU）2016/679的前提下，信任服务提供者因未履行本条例项下的义务而故意或过失地对任何自然人或法人造成损害的，应承担赔偿责任。任何因信任服务提供者违反本条例而遭受物质或非物质损害的自然人或法人，均有权依据欧盟及成员国法律请求赔偿。

关于非合格信任服务提供者的故意或过失之举证责任，由主张第一款所述损害的自然人或法人承担。

合格信任服务提供者的故意或过失推定成立，除非该合格信任服务提供者能够证明第一款所述损害系在其无故意或过失的情况下发生。’;

(15) 第14条、第15条及第16条被以下内容取代：

“第2节 · 第14条”

国际方面

1. 由第三国境内设立的信托服务提供者或国际组织提供的信托服务，应当被认定为与由欧盟境内设立的合格信托服务提供者提供的合格信托服务具有法律等效性，前提是源自该第三国或该国际组织的信托服务已通过实施法案或根据《欧盟运作条约》第218条由欧盟与该第三国或该国际组织缔结的协议予以认可。

第一款所述的实施法案应当依照第48条第2款所指的审查程序予以通过。

2. 第一款所述的实施法案及协议应当确保，第三国境内的信托服务提供者及其所提供的信托服务，以及该国际组织及其所提供的信托服务，均符合适用于欧盟境内设立的合格信托服务提供者及其所提供合格信托服务的相关要求。第三国和国际组织尤其应当建立、维护并公布一份经认可的信托服务提供者可信名单。

3. 第一款所述的协议应当确保，由欧盟境内设立的合格信托服务提供者所提供的合格信托服务，被认定为与该协议所缔结的第三国或国际组织之信托服务提供者所提供的信托服务具有法律等效性。

‘第2节 · 第15条

残疾人及有特殊需求者的无障碍通行

提供电子身份识别手段、信任服务以及用于提供上述服务的终端用户产品时，应当按照《联合国残疾人权利公约》及《欧盟》2019/882号指令中的无障碍要求，以通俗易懂的语言予以提供，从而亦使存在功能限制的人群，如老年人以及难以获取数字技术的人群，能够从中受益。

“第2节 · 第16条”

罚则

1. 在不损害欧洲议会和理事会第（EU）2022/2555号指令（*7）第31条的前提下，成员国应当制定适用于违反本条例行为的处罚规则。该等处罚应当有效、适当且具有威慑力。

2. 成员国应当确保由合格及非合格信任服务提供者实施的违反本条例的行为，受到最高不少于以下金额的行政罚款：

（a）

当信任服务提供者为自然人时，为5,000,000欧元；或

（b）

当信任服务提供者为法人时，为5,000,000欧元，或者为该信任服务提供者所属企业在发生违规行为之年度前一财务年度的全球年总营业额的1%，以较高者为准。

3. 根据各成员国的法律制度，有关行政罚款的规定可以采取如下方式予以适用：由主管监督机构启动罚款程序，并由有管辖权的国家法院作出处罚决定。在这些成员国中适用上述规定时，应当确保相关法律救济措施有效，并与由监督机构直接施加的行政罚款具有同等效力。

(*7) 欧洲议会和理事会于2022年12月14日通过的第（EU）2022/2555号指令，关于在全欧盟范围内采取措施以实现高水平的网络安全，修订了第（EU）No 910/2014号条例和第（EU）2018/1972号指令，并废除了第（EU）2016/1148号指令（NIS 2指令）（《欧盟官方公报》L 333，2022年12月27日，第80页）。’;

(16) 在第三章第二节中，标题被替换为如下内容：

“非合格信任服务”；

（17）

第17条和第18条被删除；

（18）

在第三章第二节中插入如下条款：

“第2节 · 第19a条”

非合格信任服务提供者的相关要求

1. 提供非合格信任服务的非合格信任服务提供者应当：

（a）

制定适当的政策并采取相应措施，以管理提供该非合格信任服务过程中面临的法律、业务、运营及其他直接或间接风险；上述措施应当， notwithstanding Article 21 of Directive (EU) 2022/2555，至少包括与以下方面相关的措施：

(i) 信任服务的注册及入网程序；

(ii) 提供信任服务所需的程序性或行政性核查；

(iii) 信任服务的管理和实施；

（b）

在发现任何安全漏洞或服务提供过程中的中断，或者在执行(a)(i)、(ii)或(iii)项所述措施时出现重大影响的情况下，应当毫不拖延地、且无论如何不得迟于知悉相关安全漏洞或中断后24小时内，将上述情况通知监管机构、可识别的受影响个人、公众（如属公共利益）以及在适用情形下其他相关主管当局。

2. 委员会应于2025年5月21日前，通过实施性法案，制定参考标准清单，并在必要时为本条第1款(a)项规定的内容制定具体规范和程序。当符合这些标准、规范和程序时，视为已满足本条所规定的各项要求。上述实施性法案应当按照第48条第2款所述的审查程序予以通过。

（19）

第20条修改如下：

（a）

第1款替换为以下内容：

“1. 合格信任服务提供者应当自费每24个月至少接受一次由合格评定机构进行的审计。该审计应当确认合格信任服务提供者及其提供的合格信任服务符合本条例以及欧盟指令（EU）2022/2555第21条所规定的要求。合格信任服务提供者应当在收到审计报告后的三个工作日内将其提交给监管机构。”

（b）

插入以下两款：

“1a. 合格的信任服务提供者应当在任何计划进行的审计开始前至少提前一个月通知监管机构，并应根据要求允许监管机构以观察员身份参与。

1b. 成员国应当毫不拖延地向委员会通报第1款所述合格评定机构的名称、地址及认可详情，以及其后的任何变更。委员会应当将上述信息提供给所有成员国。”

(c) 第2、3和4款替换为如下内容：

“2. 在不影响第1款的前提下，监管机构可以随时对合格信任服务提供者进行审计，或要求合格性评估机构对其开展合格性评估，相关费用由该等信任服务提供者承担，以确认其自身及其提供的合格信任服务符合本条例规定的各项要求。如发现个人数据保护规则遭到违反，监管机构应当毫不拖延地将有关情况通报根据《欧盟》2016/679号条例第51条设立的主管监督机构。”

“3. 如合格信任服务提供者未能满足本条例规定的任何一项要求，监管机构应当在必要时责令其在规定期限内采取补救措施。”

“如该提供者未采取补救措施，且在监管机构设定的期限内仍未履行义务，监管机构经认定该不履行行为的严重程度、持续时间及后果等因素确有正当理由时，应当撤销该提供者或其所提供之相关服务的合格地位。”

“3a. 如根据《欧盟》2022/2555号指令第8条第1款指定或设立的主管当局向监管机构通报，合格信任服务提供者未能满足该指令第21条规定的任何一项要求，监管机构经认定该不履行行为的严重程度、持续时间及后果等因素确有正当理由时，应当撤销该提供者或其所提供之相关服务的合格地位。”

“3b. 如根据《欧盟》2016/679号条例第51条设立的主管监督机构向监管机构通报，合格信任服务提供者未能满足该条例规定的任何一项要求，监管机构经认定该不履行行为的严重程度、持续时间及后果等因素确有正当理由时，应当撤销该提供者或其所提供之相关服务的合格地位。”

“3c. 监管机构应当将撤销该合格信任服务提供者或相关服务之合格地位的情况通知该提供者。同时，监管机构还应当将上述决定通知根据本条例第22条第3款被通知的机构，以便更新该条第1款所指的信任列表，以及根据《欧盟》2022/2555号指令第8条第1款指定或设立的主管当局。”

“4. 欧盟委员会应当于2025年5月21日前，通过实施性法案制定一份参考标准清单，并在必要时就下列事项制定相应的技术规范与程序：”

（a）

对第1款所述合格评定机构的认证以及合格评定报告；

（b）

合格评定机构为实施其对第1款所述合格信任服务提供者的合格评定（包括综合评定）所应满足的审核要求；

(c) 合格评定机构对合格信任服务提供者实施合格评定并出具第1款所述报告所适用的合格评定方案。

该等实施性法案应当依照第48条第2款所述的审查程序予以通过。’；

（20）

第21条修改如下：

（a）

第1款和第2款替换为如下内容：

‘1. 当信任服务提供者拟开始提供合格信任服务时，应当将其意向连同由合格评定机构出具的、确认其已符合本条例及《欧盟》2022/2555号指令第21条所规定各项要求的合格评定报告一并通知监管机构。

2. 监管机构应当核查该信任服务提供者及其所提供的信任服务是否符合本条例所规定的各项要求，尤其是关于合格信任服务提供者及其所提供合格信任服务的相关要求。

为核实该信任服务提供者是否符合《欧盟》2022/2555号指令第21条所规定的各项要求，监管机构应当请求根据该指令第8条第1款指定或设立的主管当局就此开展监督行动，并在收到请求后毫不拖延地、且无论如何不迟于两个月内提供相关结果信息。如核查未能在通知之日起两个月内完成，上述主管当局应当向监管机构说明延迟原因及预计完成核查的期限。

如监管机构认定该信任服务提供者及其所提供的信任服务符合本条例所规定的各项要求，监管机构应当授予该信任服务提供者及其所提供信任服务合格地位，并最迟于依据本条第1款发出通知后三个月内，将有关情况通报第22条第3款所述机构，以便更新第22条第1款所提及的信任名单。

在通知发出后三个月内未能完成核查的，监管机构应当告知该信托服务提供者，并说明延迟的原因以及核查应当完成的期限。’；

（b）

第4款替换为如下内容：

‘4. 欧盟委员会应当于2025年5月21日前，通过实施性法案，为本条第1款和第2款之目的，制定通知与核查的格式及程序。该等实施性法案应当依照第48条第2款所述的审查程序予以通过。’；

（21）

第24条修订如下：

（a）

第1款替换为以下内容：

‘1. 在签发合格证书或合格电子属性证明时，合格信托服务提供者应当核实拟获发该合格证书或合格电子属性证明的自然人或法人的身份，并在适用情况下核实其特定属性。

1a. 第1款所指的身份核实应当由合格信托服务提供者以适当方式直接进行，或者通过第三方进行，依据下列方法之一，或在必要时根据第1c款所述的实施性法案采用上述方法的组合：

（a）

通过欧洲数字身份钱包，或者符合第8条关于高保证等级要求的已通报电子身份识别手段；

（b）

通过符合(a)、(c)或(d)项规定的合格电子签名或合格电子印章证书；

(c) 使用其他能够确保以高度可信度识别个人的身份识别方法，其一致性应当经合格评定机构确认；

(d) 通过自然人本人或法人授权代表的亲自到场，并依据国家法律采取适当的证据与程序；

1b. 第1款所指的属性核实应当由合格信托服务提供者以适当方式直接进行，或者通过第三方进行，依据下列方法之一，或在必要时根据第1c款所述的实施性法案采用上述方法的组合：

（a）

通过欧洲数字身份钱包，或者符合第8条关于高保证等级要求的已通报电子身份识别手段；

（b）

通过依据第1a款(a)、(c)或(d)项签发的合格电子签名证书或合格电子印章；

(c) 通过合格电子属性证明；

(d) 通过其他能够以高度可信度验证相关属性的方法，其符合性应由合格评定机构予以确认；

(e) 通过自然人或法人授权代表的亲自到场，并按照国家法律规定的适当证据和程序进行。

1c. 欧盟委员会应在2025年5月21日前，通过实施法案，制定参考标准清单，并在必要时根据本条第1款、第1a款和第1b款的规定，制定身份与属性验证的规格及程序。该等实施法案应依照第48条第2款所述的审查程序予以通过。

（b）

第2款修改如下：

(i) 将(a)项替换为以下内容：

“(a)

应至少在实施任何对其合格信任服务提供方式的变更前一个月，或者在拟终止相关活动的情况下至少提前三个月，通知监管机构；

(ii) (d)和(e)项替换为如下内容：

“（d）

在订立合同关系之前，应以清晰、全面且易于获取的方式，在公众可访问的场所，单独向拟使用合格信任服务的任何人告知有关该服务使用的具体条款与条件，包括对其使用的任何限制；

(e) 应使用受保护、防止被篡改的可信系统和产品，确保其所支持流程的技术安全性和可靠性，包括采用适当的密码学技术；

(iii) 插入以下各项：

‘(fa)

尽管有欧盟指令（EU）2022/2555第21条的规定，仍应制定适当的政策并采取相应措施，以管理提供合格信任服务所面临的法律、商业、运营及其他直接或间接风险，至少包括与下列事项相关的措施：

(i) 服务的注册与入职程序；

(ii) 程序性或行政性审查；

(iii) 服务的管理和实施；

(fb) 通知监管机构、可识别的受影响个人、其他相关主管机构（如适用），以及在监管机构要求且符合公共利益的情况下，通知公众，关于任何对所提供服务或第（fa）款第（i）、（ii）或（iii）项所述措施之实施造成重大影响的安全漏洞或服务提供中断事件；上述通知应在不无故拖延的情况下进行，且无论如何均应在事件发生后24小时内完成；’；

(iv) 第（g）、（h）和（i）项替换为如下内容：

‘(g)

采取适当措施，防止数据被伪造、盗窃或挪用，或者未经授权删除、更改或使数据无法访问；

（h）

在合格信任服务提供者的相关活动终止后，应记录并保存所有与该提供者签发及接收的数据有关的必要信息，以备在法律程序中作为证据使用，并确保服务的连续性。此类记录可以以电子方式进行；

(i) 制定最新的终止计划，以根据经监管机构依据第46b条第4款第（i）项核实的规定，确保服务的连续性；’；

(v) 删除第（j）项；

（vi）

增加以下款：

‘监管机构除要求按照第一款第（a）项所通知的信息或符合性评估结果外，还可要求提供其他相关信息，并可将批准实施拟议的合格信任服务变更的决定予以附条件。如自通知之日起三个月内未能完成核查，监管机构应当告知信任服务提供者，并说明延迟原因及核查应当完成的期限。’；

(c) 第5款替换为如下内容：

‘4a. 第3款和第4款同样适用于撤销合格电子属性证明。

4b. 欧盟委员会有权根据第47条制定授权法案，以确立本条第2款第（fa）项所述的其他补充措施。’

5. 截至2025年5月21日，委员会应通过实施性法案，制定一份参考标准清单，并在必要时就本条第2款所述的要求制定相关规范与程序。当符合这些标准、规范与程序时，即推定已满足本款所规定的要求。上述实施性法案应当依照第48条第2款所述的审查程序予以通过。

（22）

在第三章第三节中插入如下条款：

“第2节 · 第24a条”

合格信任服务的认可

1. 基于在某一成员国签发的合格证书的合格电子签名以及基于在某一成员国签发的合格证书的合格电子印章，应当分别在所有其他成员国被承认为合格电子签名和合格电子印章。

2. 在某一成员国获得认证的合格电子签名制作装置和合格电子印章制作装置，应当分别在所有其他成员国被承认为合格电子签名制作装置和合格电子印章制作装置。

3. 在某一成员国提供的用于电子签名的合格证书、用于电子印章的合格证书、用于远程管理合格电子签名制作装置的合格信任服务以及用于远程管理合格电子印章制作装置的合格信任服务，应当分别在所有其他成员国被承认为用于电子签名的合格证书、用于电子印章的合格证书、用于远程管理合格电子签名制作装置的合格信任服务以及用于远程管理合格电子印章制作装置的合格信任服务。

4. 在某一成员国提供的用于合格电子签名的合格验证服务以及用于合格电子印章的合格验证服务，应当分别在所有其他成员国被承认为用于合格电子签名的合格验证服务和用于合格电子印章的合格验证服务。

5. 在某一成员国提供的用于合格电子签名的合格保存服务以及用于合格电子印章的合格保存服务，应当分别在所有其他成员国被承认为用于合格电子签名的合格保存服务和用于合格电子印章的合格保存服务。

6. 在某一成员国提供的合格电子时间戳，应当在所有其他成员国被承认为合格电子时间戳。

7. 在某一成员国颁发的用于网站身份认证的合格证书，应当在所有其他成员国被承认为用于网站身份认证的合格证书。

8. 在某一成员国提供的合格电子挂号递送服务，应当在所有其他成员国被承认为合格电子挂号递送服务。

9. 在某一成员国签发的合格电子属性证明，应在所有其他成员国被承认为合格电子属性证明。

10. 在某一成员国提供的合格电子归档服务，应当在所有其他成员国被承认为合格电子归档服务。

11. 在某一成员国提供的合格电子账本，应当在所有其他成员国被承认为合格电子账本。

（23）

第25条第3款予以删除；

（24）

第26条修改如下：

（a）

该单一段落成为第1段；

（b）

增加如下一款：

“2. 至迟于2026年5月21日，委员会应当评估是否有必要通过实施法案，以制定参考标准清单，并在必要时为高级电子签名制定相关规范与程序。根据该评估结果，委员会可以采取此类实施法案。凡符合上述标准、规范与程序的高级电子签名，应推定其符合高级电子签名的相关要求。此类实施法案应当依照第48条第2款所述的审查程序予以通过。”

（25）

第27条第4款予以删除；

（26）

第28条第6款替换为如下内容：

“6. 至迟于2025年5月21日，委员会应当通过实施法案，制定参考标准清单，并在必要时为电子签名的合格证书制定相关规范与程序。凡符合附件I所规定要求的电子签名合格证书，应推定其符合上述标准、规范与程序。此类实施法案应当依照第48条第2款所述的审查程序予以通过。”

（27）

第29条新增以下一款：

“1a. 生成或管理电子签名制作数据，或者为备份目的复制该等签名制作数据，仅得在签署人的委托下、应签署人之请求，由提供远程合格电子签名制作设备管理服务的合格信任服务提供者实施。”

（28）

插入如下条款：

“第2节 · 第29a条”

远程合格电子签名制作设备管理的合格服务要求

1. 远程合格电子签名生成设备作为一项合格服务的管理，仅由符合以下条件的合格信任服务提供者实施：

（a）

代表签名人生成或管理电子签名生成数据；

（b）

尽管附件II第1(d)点另有规定，仅为备份目的复制电子签名生成数据，但须满足下列要求：

(i) 复制的数据集的安全性必须与原始数据集处于同一水平；

(ii) 复制的数据集数量不得超过确保服务连续性所需的最低限度；

(c) 遵守根据第30条颁发的特定远程合格电子签名生成设备认证报告中所列的各项要求。

2. 欧盟委员会应于2025年5月21日前，通过实施法案，制定本条第1款所适用的参考标准清单，并在必要时制定相关规范和程序。该等实施法案应按照第48条第2款所述的审查程序予以通过。

（29）

在第30条中，插入如下一款：

“3a. 第1款所述认证的有效期不得超过五年，但须每两年进行一次漏洞评估。如发现漏洞且未予修复，则该认证应予撤销。”

（30）

在第31条中，第3款替换为如下内容：

“3. 欧盟委员会应于2025年5月21日前，通过实施法案，制定适用于本条第1款的格式与程序。该等实施法案应按照第48条第2款所述的审查程序予以通过。”

（31）

第32条修改如下：

（a）

在第1款中，增加如下子款：

“当合格电子签名的验证符合第3款所述的标准、规范及程序时，视为已符合本款第1子款所规定的各项要求。”

（b）

第3款由下文取代：

“3. 委员会应于2025年5月21日前，通过实施性法案制定参考标准清单，并在必要时制定合格电子签名验证的规格与程序。该等实施性法案应按照第48条第2款所述的审查程序予以通过。”

（32）

插入如下条款：

“第2节 · 第32a条”

基于合格证书的高级电子签名验证要求

1. 基于合格证书的高级电子签名的验证程序应当确认基于合格证书的高级电子签名的有效性，前提是：

（a）

支持该签名的证书在签署时为符合附件一规定的电子签名合格证书；

（b）

该合格证书由合格的信任服务提供者签发，并且在签署时处于有效状态；

(c) 签名验证数据与提供给依赖方的数据相一致；

(d) 证书中代表签名人的一组唯一数据已正确提供给依赖方；

(e) 如果在签署时使用了假名，则应向依赖方明确说明所使用的假名；

(f) 已签署数据的完整性未受到损害；

（g）

在签署时已满足第26条所规定的要求。

2. 用于验证基于合格证书的高级电子签名的系统应当向依赖方提供正确的验证结果，并允许依赖方发现任何与安全相关的问题。

3. 欧盟委员会应在2025年5月21日前，通过实施法案制定参考标准清单，并在必要时为基于合格证书的高级电子签名的验证制定规范和程序。当基于合格证书的高级电子签名的验证符合这些标准、规范和程序时，应推定其符合本条第1款的规定。上述实施法案应当按照第48条第2款所述的审查程序予以通过。

（33）

在第33条中，第2款被替换为以下内容：

“2. 欧盟委员会应在2025年5月21日前，通过实施法案制定参考标准清单，并在必要时为本条第1款所述的合格验证服务制定规范和程序。当合格电子签名的合格验证服务符合这些标准、规范和程序时，应推定其符合本条第1款的规定。上述实施法案应当按照第48条第2款所述的审查程序予以通过。”

（34）

第三十四条修改如下：

（a）

插入以下款：

1a. 如果合格电子签名所适用的合格保存服务的安排符合第2款所指的标准、规范和程序，则推定其符合第1款规定的要求。

（b）

第2款被以下内容取代：

2. 至迟于2025年5月21日，委员会应通过实施法案建立参考标准清单，并在必要时为合格电子签名的合格保存服务制定规格和程序。该等实施法案应按照第48条第2款所述的审查程序予以通过。

（35）

第三十五条第三款被删除；

（36）

第三十六条修改如下：

（a）

该单一段落成为第1段；

（b）

增加如下一款：

2. 委员会应于2026年5月21日前评估是否有必要通过实施法案来建立参考标准清单，并在必要时为高级电子签名制定规格和程序。基于该评估结果，委员会可采纳此类实施法案。若高级电子签名符合上述标准、规格和程序，则推定其满足高级电子签名的要求。此类实施法案应依照第48条第2款所述的审查程序予以通过。

（37）

删除第三十七条第四款；

(38) 第三十八条第六款被替换为以下内容：

6. 至迟于2025年5月21日，委员会应通过实施法案建立参考标准清单，并在必要时为电子印章合格证书制定规格和程序。若电子印章合格证书符合这些标准、规格和程序，则推定其符合附件三所规定的要求。该等实施法案应按照第48条第2款所述的审查程序予以通过。

(39) 插入如下条款：

“第2节 · 第39a条”

远程合格电子印章制作设备管理的合格服务要求

第29a条应比照适用于远程合格电子印章制作设备管理的合格服务。

(40) 在第三章第五节中插入如下条款：

“第2节 · 第40a条”

基于合格证书的高级电子印章验证要求

第32a条应比照适用于基于合格证书的高级电子印章的验证。

(41) 在第41条中，删除第3款；

(42) 第42条修改如下：

（a）

插入以下款：

“1a. 当数据与日期时间的绑定以及时间源的准确性符合第2款所述的标准、规范和程序时，应当推定其符合第1款规定的要求。”

（b）

将第2款替换为如下内容：

“2. 欧盟委员会应在2025年5月21日前，通过实施性法案制定参考标准清单，并在必要时就数据与日期时间的绑定以及时间源准确性的确定制定相关规范和程序。上述实施性法案应按照第48条第2款所规定的审查程序予以通过。”

(43) 第44条修改如下：

（a）

插入以下款：

“1a. 当数据发送与接收过程符合第2款所述的标准、规范和程序时，应当推定其符合第1款规定的要求。”

（b）

第2款被以下内容取代：

“2. 欧盟委员会应在2025年5月21日前，通过实施性法案制定参考标准清单，并在必要时就数据发送与接收过程的相关规范和程序予以制定。上述实施性法案应按照第48条第2款所规定的审查程序予以通过。”

(c) 插入以下两款：

“2a. 合格电子注册递送服务提供者可以就其所提供的合格电子注册递送服务之间的互操作性达成协议。该互操作性框架应当符合第1款规定的要求，且其合规性应当由合格评定机构予以确认。

2b. 欧盟委员会可以通过实施性法案制定参考标准清单，并在必要时就本条第2a款所述的互操作性框架制定相关规范和程序。技术规范及标准内容应当具有成本效益并保持适当的比例。上述实施性法案应按照第48条第2款所规定的审查程序予以通过。”

(44) 第四十五条被下列内容取代：

“第2节 · 第45条”

网站认证合格证书的要求

1. 网站认证的合格证书应当符合附件四所规定的要求。对该等要求的符合性评估应当依照本条第2款所述的标准、规范和程序进行。

1a. 按照本条第1款签发的网站认证合格证书应当得到网络浏览器提供者的认可。网络浏览器提供者应当确保在证书中证明的身份数据及附加证明的属性以用户友好的方式予以展示。网络浏览器提供者应当确保对本条第1款所述的网站认证合格证书的支持与互操作性，但根据《2003/361/EC号建议》附件第2条所定义的微型企业或小型企业，在其作为网络浏览服务提供者运营的前五年内除外。

1b. 网站认证的合格证书除本条第1款所规定的要求外，不得受任何其他强制性要求的约束。

2. 委员会应当于2025年5月21日前，通过实施法案制定一份参考标准清单，并在必要时为本条第1款所述的网站认证合格证书制定相关规范和程序。该等实施法案应当按照第48条第2款所述的审查程序予以通过。

(45) 插入如下条款：

“第2节 · 第45a条”

网络安全预防措施

1. 网络浏览器提供者不得采取任何违反第45条所规定义务的措施，尤其是不得拒绝承认用于网站身份认证的合格证书，亦不得拒绝以用户友好的方式展示所提供的身份数据。

2. 作为对第1款的例外规定，仅在存在与安全漏洞或已识别证书或一组证书完整性受损相关的充分理由时，网络浏览器提供者方可针对该证书或该组证书采取预防性措施。

3. 当网络浏览器提供者根据第2款采取预防性措施时，应当在不无故拖延的情况下，以书面形式将其关切事项连同为缓解这些关切而采取的措施说明一并通知欧盟委员会、主管监督机构、该证书的颁发机构以及颁发该证书或该组证书的合格信任服务提供者。收到上述通知后，主管监督机构应当向相关网络浏览器提供者出具收讫确认。

4. 主管监督机构应当依据第46b条第4款第(k)项的规定，对通知中提出的事项进行调查。若该项调查的结果并未导致该证书的合格地位被撤销，监督机构应当相应地告知该网络浏览器提供者，并要求其终止本条第2款所述的预防性措施。

(46) 第三章新增以下条款：

属性电子证明

“第9节·第45b条”

电子属性证明的法律效力

1. 电子属性证明不得仅因其为电子形式或不符合合格电子属性证明的要求而被否定其法律效力或在诉讼程序中的证据资格。

2. 由负责真实来源的公共部门机构签发或代表该机构签发的合格电子属性证明及属性证明，与依法以纸质形式签发的证明具有同等法律效力。

3. 在某一成员国由负责真实来源的公共部门机构签发或代表该机构签发的属性证明，应在所有成员国被承认为由负责真实来源的公共部门机构签发或代表该机构签发的属性证明。

“第9节·第45c条”

公共服务中的属性电子证明

在根据国家法律，为访问由公共部门机构提供的在线服务而需要使用电子身份识别手段并进行身份认证的情况下，电子属性证明中的个人身份数据不得替代使用电子身份识别手段并进行身份认证的电子身份识别，除非该成员国另有明确规定。在此情形下，来自其他成员国的合格电子属性证明亦应予以接受。

“第9节 · 第45d条”

属性合格电子证明的要求

1. 合格电子属性证明应当符合附件V所规定的要求。

2. 对是否符合附件V所规定要求的评估，应当依照本条第5款所述的标准、规范和程序进行。

3. 合格电子属性证明除附件V所规定的要求外，不得附加任何强制性要求。

4. 若合格电子属性证明在首次签发后被撤销，则自撤销之时起即丧失效力，且其状态在任何情况下均不得恢复。

5. 委员会应于2024年11月21日前，通过实施法案制定参考标准清单，并在必要时为合格电子属性证明制定相关规范和程序。该等实施法案应当与关于欧洲数字身份钱包实施的第5a条第23款所述的实施法案保持一致，并按照第48条第2款所述的审查程序予以通过。

“第9节·第45e条”

核对属性与真实来源

1. 成员国应当确保，在第5a条第23款和第5c条第6款所指的实施法案生效之日起二十四个月内，至少就附件VI中列明的各项属性而言，凡该等属性依赖于公共部门内的真实可靠来源时，均应采取措施，允许电子属性证明的合格信任服务提供者根据欧盟或成员国法律的规定，应用户请求以电子方式对该等属性进行验证。

2. 委员会应当在2024年11月21日前，考虑到相关国际标准，通过实施法案制定参考标准清单，并在必要时为属性目录、属性证明方案以及合格电子属性证明的验证程序制定相应规范与程序，以用于本条第1款之目的。上述实施法案应当与第5a条第23款关于欧洲数字身份钱包实施的实施法案保持一致，并按照第48条第2款所述的审查程序予以通过。

“第9节 · 第45f条”

由负责真实来源的公共部门机构或代表其签发的属性电子证明的要求

1. 由负责真实来源的公共部门机构或代表其签发的电子属性证明应当符合下列要求：

（a）

附件七所列的各项要求；

（b）

支持附件七中第(b)点所述、被认定为签发方的公共部门机构之合格电子签名或合格电子印章的合格证书，该证书应包含一组以适合自动处理的形式呈现的特定认证属性，并且：

(i) 明示签发机构系依据欧盟法律或国家法律设立，作为签发该电子属性证明所依据的真实来源的责任主体，或被指定代表该真实来源行事的机构；

(ii) 提供一组能够明确表征第(i)点所述真实来源的数据；以及

(iii) 明确指出第(i)点所指的欧盟法律或国家法律。

2. 第三条第(46)项所述公共部门机构所在成员国应当确保签发电子属性证明的公共部门机构达到与第二十四条规定的合格信任服务提供者相当的可靠性和可信度水平。

3. 成员国应当将第三条第(46)项所述的公共部门机构通报欧盟委员会。该通报应当附有由合格评定机构出具的符合性评估报告，确认已满足本条第1款、第2款及第6款所规定的要求。欧盟委员会应当通过安全渠道以适合自动处理的电子签名或电子印章形式向公众公布第三条第(46)项所述公共部门机构名单。

4. 若由负责真实来源的公共部门机构或代表其签发的电子属性证明在初次签发后被撤销，则自撤销之时起即丧失效力，且其状态不得恢复。

5. 由负责真实来源的公共部门机构或代表其签发的电子属性证明，如符合第6款所提及的标准、规范和程序，则视为符合第1款所规定的要求。

6. 截至2024年11月21日，委员会应通过实施性法案，制定参考标准清单，并在必要时就由负责真实来源的公共部门机构签发或代表该机构签发的属性电子证明，制定相关规范与程序。上述实施性法案应当与第5a条第23款所提及的关于实施欧洲数字身份钱包的实施性法案保持一致，并应按照第48条第2款所述的审查程序予以通过。

7. 截至2024年11月21日，委员会应通过实施性法案，制定参考标准清单，并在必要时为本条第3款之目的制定相关规范与程序。上述实施性法案应当与第5a条第23款所提及的关于实施欧洲数字身份钱包的实施性法案保持一致，并应按照第48条第2款所述的审查程序予以通过。

8. 第3条第46项所指的公共部门机构，在签发属性电子证明时，应当提供与根据第5a条提供的欧洲数字身份钱包相兼容的接口。

“第9节 · 第45g条”

向欧洲数字身份钱包签发电子属性证明

1. 提供电子属性证明的机构应当为欧洲数字身份钱包用户提供请求、获取、存储和管理电子属性证明的可能性，且不受提供欧洲数字身份钱包的成员国的限制。

2. 提供合格电子属性证明的机构应当提供与根据第5a条提供的欧洲数字身份钱包相兼容的接口。

“第9节 · 第45h条”

电子属性证明服务提供之附加规则

1. 提供合格与非合格电子属性证明服务的主体，不得将其提供上述服务所涉及的个人数据与其自身或其商业合作伙伴提供的其他任何服务所涉及的个人数据相混合。

2. 与电子属性证明服务相关的个人数据应当在逻辑上与其他由电子属性证明服务提供者持有的数据予以分离。

3. 提供合格电子属性证明服务的主体应当以功能上独立于其提供的其他服务的方式实施该等合格信任服务。

电子归档服务

第十节 · 第45i条

电子归档服务的法律效力

1. 使用电子归档服务保存的电子数据和电子文件，不得仅因其为电子形式或未使用合格电子归档服务而被否定其法律效力或在诉讼程序中的证据资格。

2. 使用合格电子归档服务保存的电子数据和电子文件，在该合格信任服务提供者所规定的保存期限内，享有其完整性和来源的推定。

第十节 · 第45j条

合格电子归档服务的要求

1. 合格电子档案服务应当符合下列要求：

（a）

其由合格的信任服务提供者提供；

（b）

其采用的程序和技术能够确保电子数据和电子文件在技术有效期限之外，至少在整个法定或合同约定的保存期限内保持持久性和可读性，并维持其完整性和来源的准确性；

(c) 其确保上述电子数据和电子文件以能够防止丢失和篡改的方式予以保存，但涉及其载体或电子格式的变更除外；

(d) 其应当允许经授权的依赖方以自动化方式收到一份报告，该报告确认从合格电子档案中检索出的电子数据和电子文件自保存期开始至检索之时均享有数据完整性的推定。

第一款第(d)项所述的报告应当以可靠且高效的方式提供，并加盖合格电子档案服务提供者的合格电子签名或合格电子印章。

2. 欧盟委员会应当于2025年5月21日前，通过实施法案制定参考标准清单，并在必要时为合格电子档案服务制定相关规范和程序。当某一合格电子档案服务符合这些标准、规范和程序时，应推定其符合合格电子档案服务的要求。上述实施法案应当依照第48条第2款所指的审查程序予以通过。

电子账簿

第11节 · 第45k条

电子账簿的法律效力

1. 电子账簿仅因其为电子形式或不符合合格电子账簿的要求，不得被否定其法律效力或在诉讼程序中的证据资格。

2. 合格电子账簿中所载的数据记录，应当推定其具有唯一且准确的顺序排列，并且保持完整无损。

第11节 · 第45l条

合格电子账簿的要求

1. 合格电子账本应当符合下列要求：

（a）

其由一个或多个合格的信任服务提供者创建并管理；

（b）

其能够确定账本中数据记录的来源；

(c) 其确保账本中数据记录具有唯一且连续的时间顺序；

(d) 其以能够立即识别任何后续数据变更的方式记录数据，从而确保其随时间推移的完整性。

2. 当电子账本符合第1款所规定的要求时，应推定其已满足该等要求。

3. 欧盟委员会应在2025年5月21日前，通过实施性法案，制定参考标准清单，并在必要时为本条第1款所规定的要求制定相关规范与程序。上述实施性法案应当依照第48条第2款所述的审查程序予以通过。

(47) 插入如下章节：

治理框架

“第四章a · 第46a条”

欧洲数字身份钱包框架的监督

1. 成员国应当在其境内指定一个或多个监督机构。

根据第一款指定的监督机构应当被赋予必要的权力和充足的资源，以便以有效、高效且独立的方式履行其职责。

2. 成员国应当将其根据第1款指定的监督机构的名称和地址以及任何后续变更通知委员会。委员会应当公布已通知的监督机构名单。

3. 根据第1款指定的监督机构的职责如下：

（a）

监督在指定成员国境内设立的欧洲数字身份钱包服务提供者，并通过事前及事后监督活动确保这些服务提供者及其提供的欧洲数字身份钱包符合本条例所规定的要求；

（b）

在获悉其提供的服务提供者或欧洲数字身份钱包违反本条例时，必要情况下通过事后监督活动对位于指定成员国境内的欧洲数字身份钱包服务提供者采取相应措施。

4. 根据第1款指定的监督机构的职责尤其包括以下内容：

（a）

根据第46c条和第46e条的规定，与其他监督机构合作并向其提供协助；

（b）

请求为监测本条例遵守情况所必需的信息；

(c) 将其在履行职责过程中知悉的任何重大安全漏洞或完整性丧失情况通报给相关成员国依据《欧盟》2022/2555号指令第8条第1款指定或设立的主管当局；如该重大安全漏洞或完整性丧失涉及其他成员国，则还应当通报给相关成员国依据《欧盟》2022/2555号指令第8条第3款指定或设立的单一联络点，以及在其他相关成员国依据本条例第46c条第1款指定的单一联络点，并在监督机构认定披露该安全漏洞或完整性丧失符合公共利益的情况下，向公众通报或要求欧洲数字身份钱包服务提供者予以披露。

(d) 实施现场检查和非现场监管；

(e) 要求欧洲数字身份钱包服务提供者纠正任何未能满足本条例所规定要求的情形；

(f) 在欧洲数字身份钱包被非法或欺诈性使用的情况下，暂停或取消第5b条第7款所述机制中依赖方的注册与纳入；

（g）

与根据《欧盟》2016/679号条例第51条设立的主管监督机构合作，特别是在个人数据保护规则似乎遭到违反以及安全漏洞似乎构成个人数据泄露时，及时向其通报。

5. 如根据第1款指定的监督机构要求欧洲数字身份钱包服务提供者纠正其未遵守本条例第4款第(e)项规定的情形，而该服务提供者未予遵从，且在适用情况下未在该监督机构设定的期限内采取相应措施，则根据第1款指定的监督机构可考虑该不履行行为的范围、持续时间及其后果，责令该服务提供者暂停或停止提供欧洲数字身份钱包服务。该监督机构应当毫不拖延地将要求暂停或停止提供欧洲数字身份钱包服务的决定通知其他成员国的监督机构、委员会、以及欧洲数字身份钱包的依赖方和用户。

6. 每年3月31日前，根据本条第1款指定的各监督机构应当向委员会提交关于上一日历年度主要活动的报告。委员会应当将这些年度报告提供给欧洲议会和理事会。

7. 委员会应当于2025年5月21日前，通过实施法案确定本条第6款所述报告的格式与程序。该等实施法案应当按照第48条第2款所规定的审查程序予以通过。

“第四章a · 第46b条”

信托服务的监管

1. 成员国应当指定在其境内设立的监督机构，或者经与另一成员国相互协商后，指定在该另一成员国境内设立的监督机构。该监督机构应当负责在其指定成员国境内就信托服务履行监督职责。

根据第一款指定的监督机构应当被赋予履行其职责所必需的权力和充足的资源。

2. 成员国应当将其根据第1款指定的监督机构的名称和地址以及任何后续变更情况通知委员会。委员会应当公布已通知的监督机构名单。

3. 根据第1款指定的监督机构的职责如下：

（a）

监督在指定成员国境内设立的合格信托服务提供者，并通过事前及事后监督活动确保这些合格信托服务提供者及其提供的合格信托服务符合本条例规定的各项要求；

（b）

在获悉非合格信托服务提供者或其提供的信托服务可能不符合本条例规定的要求时，必要情况下通过事后监督活动对位于指定成员国境内的此类非合格信托服务提供者采取相应措施。

4. 根据第1款指定的监督机构的职责尤其包括以下内容：

（a）

就其在履行职责过程中知悉的任何重大安全漏洞或完整性丧失事件，及时通知相关成员国依据《欧盟》2022/2555号指令第8条第1款指定或设立的主管当局；如该重大安全漏洞或完整性丧失涉及其他成员国，则还应当通知该成员国依据《欧盟》2022/2555号指令第8条第3款指定或设立的单一联络点，以及在其他相关成员国中依据本条例第46c条第1款指定的各单一联络点；此外，当监督机构认定披露该安全漏洞或完整性丧失事件符合公共利益时，应当向公众通报，或要求该信托服务提供者予以公开。

（b）

根据第46c条和第46e条的规定，与其他监督机构合作并向其提供协助；

(c) 对第20条第1款和第21条第1款所述的合格评定报告进行分析；

(d) 向委员会报告其根据本条第6款开展的主要活动；

(e) 开展审计，或要求合格信任服务提供者依据第20条第2款的规定，委托合格的合格性评估机构对其实施合格性评估；

(f) 与根据《欧盟》2016/679号条例第51条设立的主管监督机构合作，特别是在发现个人数据保护规则可能遭到违反以及出现构成个人数据泄露的安全事件时，及时向其通报，不得无故拖延；

（g）

根据第20条和第21条的规定，授予信任服务提供者及其所提供服务以合格地位，并撤销该地位；

（h）

将其授予或撤销合格地位的决定通知第22条第3款所指的国家可信名单负责机构，除非该机构同时也是根据本条第1款指定的监督机构；

(i) 核实当合格信任服务提供者停止业务活动时，是否存在终止计划的相关规定并确保其得到正确执行，包括按照第24条第2款第（h）项的要求，如何保持相关信息的可访问性；

(j) 要求信任服务提供者纠正任何未能满足本条例所规定要求的情形；

（k）

对网络浏览器提供商依据第45a条提出的主张进行调查，并在必要时采取相应措施。

5. 成员国可以要求根据本条第1款指定的监督机构依照本国法律建立、维护并更新信任基础设施。

6. 每年3月31日前，根据本条第1款指定的各监督机构应当向委员会提交关于上一日历年度主要活动的报告。委员会应当将这些年度报告提供给欧洲议会和理事会。

7. 委员会应当于2025年5月21日前，就根据本条第1款指定的监督机构行使本条第4款所述职责制定相关指南，并通过实施法案确定本条第6款所述报告的格式与程序。上述实施法案应当按照第48条第2款所述的审查程序予以通过。

“第四章a · 第46c条”

单一联络点

1. 每个成员国应当指定一个负责信任服务、欧洲数字身份钱包以及已通知的电子身份识别方案的单一联络点。

2. 每个单一联络点应当履行联络职能，以促进信任服务提供者监管机构之间以及欧洲数字身份钱包提供者监管机构之间的跨境合作，并在适当情况下与委员会、欧洲网络与信息安全局（ENISA）及其成员国境内的其他主管机关开展协作。

3. 每个成员国应当及时公布并毫不拖延地向委员会通报根据第1款指定的单一联络点的名称和地址，以及此后任何变更情况。

4. 委员会应当公布根据第3款通报的单一联络点名单。

“第四章a · 第46d条”

相互协助

1. 为便于对本条例项下义务的监督与执行，根据第46a条第1款和第46b条第1款指定的监督机构，可在欧洲数字身份钱包服务提供者或信任服务提供者设立地、其网络与信息系统所在地或其服务提供地所在之另一成员国的监督机构处寻求相互协助，包括通过根据第46e条第1款设立的合作小组进行。

2. 相互协助至少应包括以下内容：

（a）

在某一成员国实施监督与执行措施的监督机构，应当通知并咨询相关另一成员国的监督机构；

（b）

某一监督机构可以请求相关另一成员国的监督机构采取监督或执行措施，例如，要求就第20条和第21条所述的信任服务提供情况开展与符合性评估报告相关的检查；

(c) 在适当情况下，监督机构可以与其他成员国的监督机构联合开展调查。

根据第一款所规定的联合行动之安排与程序，应由相关成员国依照本国法律予以商定并确立。

3. 收到协助请求的监督机构，可基于下列任一理由拒绝该请求：

（a）

所请求的协助与该监督机构依据第46a条和第46b条开展的监督活动不相称；

（b）

该监督机构无权提供所请求的协助；

(c) 提供所请求的协助将与本条例不符。

4. 至迟于2025年5月21日及此后每两年一次，根据第46e条第1款设立的合作小组应当就本条第1款和第2款所述相互协助的组织事项及程序发布指导意见。

“第四章a · 第46e条”

欧洲数字身份合作小组

1. 为支持并促进成员国在跨境合作及信任服务、欧洲数字身份钱包和已通知的电子身份识别方案方面的信息交流，委员会应当设立一个欧洲数字身份合作小组（以下简称“合作小组”）。

2. 合作小组由各成员国任命的代表以及委员会的代表组成。合作小组由委员会担任主席。委员会负责提供合作小组的秘书处。

3. 相关利益攸关方的代表可被临时邀请出席合作小组会议，并以观察员身份参与其工作。

4. 当合作小组就相关网络安全方面的问题进行意见交换、最佳实践分享及信息交流时，例如安全漏洞通报等议题，以及涉及网络安全证书或标准的使用时，ENISA应被邀请以观察员身份参与合作小组的相关工作。

5. 合作小组承担以下任务：

（a）

就数字身份钱包、电子身份识别手段及信任服务领域的新兴政策倡议，与委员会开展咨询与合作；

（b）

在适当情况下，就根据本条例拟议采纳的实施性法案及授权法案草案的早期准备工作向委员会提供建议；

(c) 为支持监管机构落实本条例的各项规定：

(i) 就本条例各项规定的实施情况交换最佳实践与相关信息；

(ii) 评估数字身份钱包、电子身份识别及信任服务领域内的相关发展动态；

(iii) 组织与全欧盟范围内相关利益攸关方的联合会议，讨论合作小组所开展的各项活动，并就新兴的政策挑战收集意见；

(iv) 在ENISA的支持下，就涉及欧洲数字身份钱包、电子身份识别方案及信任服务的相关网络安全议题，交换意见、最佳实践与信息；

(v) 就安全漏洞通报相关政策的制定与实施，以及第5e条和第10条所述的共同措施，交换最佳实践；

（vi）

与根据《（欧盟）2022/2555号指令》第14条第1款设立的NIS合作小组共同组织会议，就与信托服务及电子身份识别相关的网络威胁、事件、漏洞、意识提升举措、培训、演练以及技能、能力建设、标准和技术规范等方面的信息进行交流；

（vii）

应监督机构的请求，讨论第46d条所述的具体互助请求；

(viii)

通过就第46d条所述互助的组织方面及程序提供指导，促进各监督机构之间的信息交流；

(d) 组织对根据本条例须通报的电子身份识别方案进行同行评审。

6. 成员国应当确保其在合作小组中的指定代表开展有效且高效的协作。

7. 委员会应于2025年5月21日前，通过实施性法案，制定必要的程序安排，以促进本条第5款第(d)项所指的成员国间合作。该等实施性法案应当依照第48条第2款所述的审查程序予以通过。

(48) 第47条修改如下：

（a）

第2款和第3款替换为以下内容：

“2. 第5c条第7款、第24条第4b款及第30条第4款所提及的采纳授权法案之权力，自2014年9月17日起，被授予委员会，期限为无限期。

3. 第5c条第7款、第24条第4b款及第30条第4款所提及的权力委托，可由欧洲议会或理事会随时撤销。撤销决定一经作出，即终止该决定中所规定的权力委托；其效力自该决定在《欧盟官方公报》公布之次日起生效，或依该决定所载明之更晚日期生效。该决定不影响任何已生效之授权法案的效力。”

（b）

第5款替换为如下内容：

“5. 根据第5c条第7款、第24条第4b款或第30条第4款所采纳的授权法案，仅在下列情形下方能生效：一是在该法案通知欧洲议会和理事会之日起两个月内，欧洲议会或理事会均未提出异议；二是在该期限届满前，欧洲议会和理事会均已书面告知委员会其不持异议。上述期限得由欧洲议会或理事会主动延长两个月。”

(49) 下列条文被插入第六章：

“第四章a · 第48a条”

报告要求

1. 成员国应当确保收集与欧洲数字身份钱包的运行及其在其境内提供的合格信任服务相关的统计数据。

2. 根据第1款收集的统计数据应当包括以下内容：

（a）

拥有有效欧洲数字身份钱包的自然人和法人的数量；

（b）

接受使用欧洲数字身份钱包的服务的类型及数量；

(c) 与依赖方及合格信任服务相关的用户投诉以及消费者保护或数据保护事件的数量；

(d) 包括有关妨碍使用欧洲数字身份钱包之事件数据的汇总报告；

(e) 关于重大安全事件、数据泄露以及受影响的欧洲数字身份钱包或合格信任服务用户的汇总信息。

3. 第2款所述的统计数据应当以开放且通用的机器可读格式向公众提供。

4. 每年3月31日前，成员国应当向委员会提交一份关于根据第2款收集的统计数据的报告。

(50) 第49条被以下内容取代：

“第四章a · 第49条”

审查

1. 欧盟委员会应当审查本条例的实施情况，并于2026年5月21日前向欧洲议会和理事会提交一份报告。在该报告中，欧盟委员会尤其应当评估是否有必要对本条例的适用范围或其具体条款作出修改，包括但不限于第5c条第5款所载的规定；上述评估应当充分考虑本条例实施过程中积累的经验以及技术、市场和法律方面的发展变化。必要时，该报告应当附带一项修订本条例的提案。

2. 第1款所述的报告应当包含对属于本条例适用范围的通知电子身份识别手段及欧洲数字身份钱包的可获得性、安全性与可用性的评估，并就所有依赖第三方电子身份识别服务进行用户身份认证的在线私营服务提供者是否应当被要求接受使用通知电子身份识别手段及欧洲数字身份钱包作出评价。

3. 欧盟委员会应当于2030年5月21日前以及此后每四年一次，向欧洲议会和理事会提交一份关于实现本条例各项目标进展情况的报告。

（51）

第51条由以下内容取代：

“第四章a · 第51条”

过渡性措施

1. 根据《1999/93/EC号指令》第3条第4款规定已确定符合性的安全签名制作设备，在本条例生效之日2027年5月21日前，仍被视为合格电子签名制作设备。

2. 根据《1999/93/EC号指令》向自然人颁发的合格证书，在本条例生效之日2026年5月21日前，仍被视为电子签名的合格证书。

3. 除根据第29a条和第39a条规定为远程合格电子签名及印章制作设备管理提供合格信任服务的合格信任服务提供者外，其他合格信任服务提供者对远程合格电子签名及印章制作设备的管理，可在2026年5月21日前无需取得提供此类管理服务的合格身份。

4. 在2024年5月20日前已根据本条例获得合格身份的合格信任服务提供者，应尽快且最迟于2026年5月21日前向监管机构提交一份符合性评估报告，以证明其符合第24条第1款、第1a款和第1b款的规定。

（52）

附件一至附件四分别按照本条例附件一至附件四的规定予以修订；

(53) 新增附件五、附件六和附件七，具体规定见本条例附件五、附件六和附件七。

“第四章a · 第2条”

生效日期

本条例自其在欧盟官方公报公布之日起第二十天起生效。

本条例具有完全的约束力，并在所有成员国直接适用。

于2024年4月11日在布鲁塞尔签署。

欧洲议会

主席

R. METSOLA

理事会

主席

H. LAHBIB

(1) 《欧盟官方公报》C系列第105号，2022年3月4日，第81页。

(2) 《欧盟官方公报》C系列第61号，2022年2月4日，第42页。

(3) 欧洲议会于2024年2月29日通过的立场（尚未在官方公报上公布）以及理事会于2024年3月26日作出的决定。

(4) 欧洲议会和理事会于2014年7月23日通过的第910/2014号条例，关于内部市场中电子交易的电子身份识别与信任服务，并废止第1999/93/EC号指令（《欧盟官方公报》L系列第257号，2014年8月28日，第73页）。

(5) 欧洲议会和理事会于2022年12月14日通过的第2022/2481号决定，设立2030年数字十年政策纲要（《欧盟官方公报》L系列第323号，2022年12月19日，第4页）。

(6) 《欧盟官方公报》C系列第23号，2023年1月23日，第1页。

(7) 欧洲议会和理事会于2016年4月27日通过的第2016/679号条例，关于自然人在个人数据处理方面的保护及此类数据的自由流动，并废止第95/46/EC号指令（通用数据保护条例）（《欧盟官方公报》L系列第119号，2016年5月4日，第1页）。

(8) 欧洲议会和理事会于2002年7月12日通过的第2002/58/EC号指令，涉及电子通信领域个人数据处理及隐私保护（隐私与电子通信指令）（《欧盟官方公报》L系列第201号，2002年7月31日，第37页）。

(9) 欧洲议会和理事会于2018年10月23日通过的第2018/1725号条例，关于自然人在欧盟各机构、组织、办公室及机构处理个人数据时的保护以及此类数据的自由流动，并废止第45/2001号条例及第1247/2002/EC号决定（《欧盟官方公报》L系列第295号，2018年11月21日，第39页）。

(10) 欧洲议会和理事会于2019年4月17日通过的第2019/881号条例，关于ENISA（欧洲联盟网络安全局）以及信息与通信技术领域的网络安全认证，并废止第526/2013号条例（网络安全法案）（《欧盟官方公报》L系列第151号，2019年6月7日，第15页）。

（11）欧洲议会和理事会于2019年6月20日颁布的关于加强欧盟公民身份证件以及向行使自由流动权利的欧盟公民及其家庭成员签发的居留文件安全性的第2019/1157号条例（《欧盟官方公报》L 188，2019年7月12日，第67页）。

(12) 欧洲议会和理事会于2019年4月17日颁布的关于产品和服务可访问性要求的（欧盟）2019/882号指令（《欧盟官方公报》L 151，2019年6月7日，第70页）。

(13) 欧洲议会和理事会于2022年12月14日颁布的关于在全欧盟范围内实现高水平网络安全措施的（欧盟）2022/2555号指令，该指令修订了（欧盟）第910/2014号条例及（欧盟）2018/1972号指令，并废止了（欧盟）2016/1148号指令（NIS 2指令）（《欧盟官方公报》L 333，2022年12月27日，第80页）。

(14) 欧洲议会和理事会于2022年9月14日颁布的关于数字领域可竞争且公平市场的（欧盟）2022/1925号条例，该条例同时修订了（欧盟）2019/1937号指令及（欧盟）2020/1828号指令（《数字市场法》）（《欧盟官方公报》L 265，2022年10月12日，第1页）。

(15) 欧洲议会和理事会于2022年10月19日颁布的关于数字服务单一市场的（欧盟）2022/2065号条例，该条例同时修订了2000/31/EC号指令（《数字服务法》）（《欧盟官方公报》L 277，2022年10月27日，第1页）。

(16) 欧盟委员会于2021年6月3日发布的（欧盟）2021/946号建议，内容为关于建立统一的欧盟工具箱，以采取协调一致的方法构建欧洲数字身份框架（《欧盟官方公报》L 210，2021年6月14日，第51页）。