Rozporządzenie wykonawcze 2025/1567 ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość jako kwalifikowanymi usługami zaufania

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2025/1567
z dnia 29 lipca 2025 r.
ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość jako kwalifikowanymi usługami zaufania

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE 1 , w szczególności jego art. 29a ust. 2 i art. 39a,

a także mając na uwadze, co następuje:

(1) Kwalifikowane usługi zaufania na potrzeby zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość oraz zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość odgrywają kluczową rolę w cyfrowym otoczeniu biznesu poprzez promowanie przejścia od tradycyjnych procesów opartych na dokumentacji papierowej do ich elektronicznych odpowiedników. Te kwalifikowane usługi zaufania przyczyniają się do bezpiecznego i wiarygodnego zarządzania tymi urządzeniami działającymi na odległość w imieniu podpisujących i składających pieczęcie w sposób gwarantujący spełnienie warunków dotyczących kwalifikowanych podpisów elektronicznych i kwalifikowanych pieczęci elektronicznych.

(2) Aby zwiększyć pewność prawa i wiarygodność kwalifikowanych usług zaufania na potrzeby zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi usługami zaufania na potrzeby zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość, kwalifikowani dostawcy usług zaufania świadczący te kwalifikowane usługi powinni spełniać normy określone w niniejszym rozporządzeniu.

(3) Przedmiotowe normy powinny odzwierciedlać utrwalone praktyki i być powszechnie uznawane w odpowiednich sektorach. Należy je dostosować w taki sposób, aby obejmowały odpowiednio mechanizmy kontrolne zapewniające bezpieczeństwo i wiarygodność kwalifikowanych usług zaufania, a także zapewniające podpisującym wyłączną kontrolę, nad wykorzystaniem ich danych służących do składania podpisu elektronicznego z wysokim poziomem zaufania oraz kontrolę nad wykorzystaniem danych służących do wystawiania pieczęci elektronicznej przez podmioty składające pieczęć.

(4) Aby zapewnić adekwatne ramy czasowe na potrzeby audytu dostawców usług zaufania w odniesieniu do spełnienia nowych wymogów, niniejsze rozporządzenie powinno mieć zastosowanie po upływie 24 miesięcy od jego wejścia w życie.

(5) Komisja regularnie przeprowadza ocenę nowych technologii, praktyk, norm lub specyfikacji technicznych. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 2  Komisja powinna poddawać przeglądowi i w razie potrzeby aktualizować niniejsze rozporządzenie, aby zachować jego aktualność względem globalnych zmian, nowych technologii, norm lub specyfikacji technicznych oraz nadążać za najlepszymi praktykami na rynku wewnętrznym.

(6) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 3  oraz - w stosownych przypadkach - dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady 4  mają zastosowanie do wszystkich czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(7) Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 5  skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 6 czerwca 2025 r.

(8) Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł  1

Normy i specyfikacje referencyjne

Normy i specyfikacje referencyjne dotyczące zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość jako kwalifikowanymi usługami zaufania, o których mowa w art. 29a ust. 2 i art. 39a rozporządzenia (UE) nr 910/2014, określono w załączniku do niniejszego rozporządzenia.

Artykuł  2

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 19 sierpnia 2027 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 29 lipca 2025 r.

ZAŁĄCZNIK

Wykaz norm i specyfikacji referencyjnych dotyczących zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość

Norma ETSI TS 119 431-1 V1.3.1 (2024-12) ("ETSI TS 119 431-1") ma zastosowanie do celów oceny zgodności z unijną polityką dotyczącą usług aplikacji serwerów obsługujących podpisy v2 zgodnie z załącznikiem A do tej normy, z następującymi dostosowaniami:

1) 2.1. Odniesienia normatywne

– [1] ETSI EN 319 401 V3.1.1 (2024-06): "Podpisy elektroniczne i infrastruktura zaufania (ESI); Ogólne wymagania polityki dla dostawców usług zaufania".

– [7] Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa, podgrupa ds. kryptografii: "Uzgodnione mechanizmy kryptograficzne" opublikowane przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa ("ENISA") 6 .

2) 6.1. Obowiązki związane z publikacją i repozytorium

– OVR-6.1-04: Informacje określone w pkt OVR-6.1-01 powyżej muszą być dostępne publicznie i z różnych państw.

3) 6.4.4. Mechanizmy kontrolne dotyczące personelu

– OVR-6.4.4-02: Dostawcy usług aplikacji serwerów obsługujących podpisy (SSASP) zatrudniają personel pełniący zaufane funkcje oraz, w stosownych przypadkach, podwykonawców pełniących zaufane funkcje, którzy posiadają niezbędną wiedzę ekspercką, doświadczenie i kwalifikacje zdobyte w ramach formalnego szkolenia i dokumenty uwierzytelniające lub doświadczenie, lub oba te elementy.

– OVR-6.4.4-03: Zgodność z pkt OVR-6.4.4-02 obejmuje regularne (co najmniej raz na 12 miesięcy) aktualizacje dotyczące nowych zagrożeń i bieżących praktyk w zakresie bezpieczeństwa.

4) 6.4.9. Zakończenie działalności SSASP

– OVR-6.4.9-02: Plan zakończenia działalności SSASP musi być zgodny z aktami wykonawczymi przyjętymi na podstawie art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 [i.1].

5) 6.5.5. Kontrole zabezpieczeń sieci

– OVR-6.5.5-02: Wymagany w pkt REQ-7.8-13 normy ETSI EN 319 401 [1] skan podatności przeprowadza się co najmniej raz na kwartał.

– OVR-6.5.5-03: Zapory sieciowe należy skonfigurować tak, aby uniemożliwić wszelkie protokoły i dostępy, które nie są wymagane do funkcjonowania dostawcy usług zaufania.

6) 6.8.5. Mechanizmy kontroli kryptograficznej

– OVR-6.8.5-01: Wprowadza się odpowiednie środki kontroli bezpieczeństwa w celu zarządzania wszelkimi technikami kryptograficznymi SSASP w całym ich cyklu życia.

– OVR-6.8.5-02: W odniesieniu do pkt OVR-6.8.5-01 SSASP wybierają i stosują odpowiednie techniki kryptograficzne spełniające wymogi określone w uzgodnionych mechanizmach kryptograficznych zatwierdzonych przez Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa i opublikowanych przez ENISA [7].

7) Załącznik A sekcja A.3 Wymagania ogólne

– OVR-A.3-02 [EUSPv2]: Oświadczenie dotyczące praktyk dostawcy usług zaufania musi zawierać odniesienie do certyfikacji zastosowanego kwalifikowanego urządzenia do składania podpisu zgodnie z wymogami załącznika II do rozporządzenia (UE) nr 910/2014 [i.1].

1 Dz.U. L 257 z 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1183 z dnia 11 kwietnia 2024 r. w sprawie zmiany rozporządzenia (UE) nr 910/2014 w odniesieniu do ustanowienia europejskich ram tożsamości cyfrowej (Dz.U. L, 2024/1183, 30.4.2024, ELI: http://data. europa.eu/eli/reg/2024/1183/oj).
3 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/ 2016/679/oj).
4 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
5 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

Zmiany w prawie

Ważne zmiany w zakresie ZFŚS

W piątek, 19 grudnia 2025 roku, Senat przyjął bez poprawek uchwalone na początku grudnia przez Sejm bardzo istotne zmiany w przepisach dla pracodawców obowiązanych do tworzenia Zakładowego Funduszu Świadczeń Socjalnych. Odnoszą się one do tych podmiotów, w których nie działają organizacje związkowe. Ustawa trafi teraz na biurko prezydenta.

Marek Rotkiewicz 19.12.2025
Wymiar urlopu wypoczynkowego po zmianach w stażu pracy

Nowe okresy wliczane do okresu zatrudnienia mogą wpłynąć na wymiar urlopów wypoczynkowych osób, które jeszcze nie mają prawa do 26 dni urlopu rocznie. Pracownicy nie nabywają jednak prawa do rozliczenia urlopu za okres sprzed dnia objęcia pracodawcy obowiązkiem stosowania art. 302(1) Kodeksu pracy, wprowadzającego zaliczalność m.in. okresów prowadzenia działalności gospodarczej czy wykonywania zleceń do stażu pracy.

Marek Rotkiewicz 19.12.2025
To będzie rewolucja u każdego pracodawcy

Wszyscy pracodawcy, także ci zatrudniający choćby jednego pracownika, będą musieli dokonać wartościowania stanowisk pracy i określić kryteria służące ustaleniu wynagrodzeń pracowników, poziomów wynagrodzeń i wzrostu wynagrodzeń. Jeszcze więcej obowiązków będą mieli średni i duzi pracodawcy, którzy będą musieli raportować lukę płacową. Zdaniem prawników, dla mikro, małych i średnich firm dostosowanie się do wymogów w zakresie wartościowania pracy czy ustalenia kryteriów poziomu i wzrostu wynagrodzeń wymagać będzie zewnętrznego wsparcia.

Grażyna J. Leśniak 18.12.2025
Są rozporządzenia wykonawcze do KSeF

Minister finansów i gospodarki podpisał cztery rozporządzenia wykonawcze dotyczące funkcjonowania KSeF – potwierdził we wtorek resort finansów. Rozporządzenia określają m.in.: zasady korzystania z KSeF, w tym wzór zawiadomienia ZAW-FA, przypadki, w których nie ma obowiązku wystawiania faktur ustrukturyzowanych, a także zasady wystawiania faktur uproszczonych.

Krzysztof Koślicki 16.12.2025
Od stycznia nowe zasady prowadzenia PKPiR

Od 1 stycznia 2026 r. zasadą będzie prowadzenie podatkowej księgi przychodów i rozchodów przy użyciu programu komputerowego. Nie będzie już można dokumentować zakupów, np. środków czystości lub materiałów biurowych, za pomocą paragonów bez NIP nabywcy. Takie zmiany przewiduje nowe rozporządzenie w sprawie PKPiR.

Marcin Szymankiewicz 15.12.2025
Senat poprawia reformę orzecznictwa lekarskiego w ZUS

Senat zgłosił w środę poprawki do reformy orzecznictwa lekarskiego w ZUS. Zaproponował, aby w sprawach szczególnie skomplikowanych możliwe było orzekanie w drugiej instancji przez grupę trzech lekarzy orzeczników. W pozostałych sprawach, zgodnie z ustawą, orzekać będzie jeden. Teraz ustawa wróci do Sejmu.

Grażyna J. Leśniak 10.12.2025
Metryka aktu
Identyfikator:

Dz.U.UE.L.2025.1567

Rodzaj: Rozporządzenie
Tytuł: Rozporządzenie wykonawcze 2025/1567 ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość i kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość jako kwalifikowanymi usługami zaufania
Data aktu: 29/07/2025
Data ogłoszenia: 30/07/2025
Data wejścia w życie: 19/08/2027, 19/08/2025