Rozporządzenie wykonawcze 2025/1568 ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do ustaleń proceduralnych dotyczących wzajemnych ocen systemów identyfikacji elektronicznej i współpracy w zakresie organizacji takich przeglądów w ramach grupy współpracy oraz uchylające decyzję wykonawczą Komisji (UE) 2015/296

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2025/1568

z dnia 29 lipca 2025 r.

ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do ustaleń proceduralnych dotyczących wzajemnych ocen systemów identyfikacji elektronicznej i współpracy w zakresie organizacji takich przeglądów w ramach grupy współpracy oraz uchylające decyzję wykonawczą Komisji (UE) 2015/296

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE ¹ , w szczególności jego art. 12 ust. 6 i art. 46e ust. 7,

a także mając na uwadze, co następuje:

(1) W rozporządzeniu (UE) nr 910/2014 przewidziano mechanizm wzajemnej oceny w odniesieniu do systemów identyfikacji elektronicznej, które mają być notyfikowane i w których państwa członkowskie mogą uczestniczyć na zasadzie dobrowolności. Wzajemne oceny powinny umożliwić państwom członkowskim zrozumienie systemów identyfikacji elektronicznej, które mają być notyfikowane zgodnie z art. 9 ust. 1 lit. a) rozporządzenia (UE) nr 910/2014, oraz skuteczną współpracę w celu zapewnienia interoperacyjności tych systemów oraz budowania zaufania w całej Unii. Wzajemne oceny powinny być organizowane w sposób zapewniający sprawiedliwy podział zadań oraz szeroką reprezentację wszystkich państw członkowskich i nie powinny być postrzegane jako audyty.

(2) W decyzji wykonawczej Komisji (UE) 2015/296 ²  ustanowiono proceduralne warunki współpracy w zakresie systemów identyfikacji elektronicznej w kontekście dawnej sieci współpracy eIDAS, m.in. w odniesieniu do wzajemnych ocen przeprowadzanych przez członków tej sieci. Ponieważ zadania w ramach wzajemnych ocen mają być obecnie organizowane przez Grupę Współpracy na rzecz Europejskiej Tożsamości Cyfrowej ustanowioną na podstawie decyzji Komisji C(2024) 6132 z dnia 5 września 2024 r. ustanawiającej Grupę Współpracy na rzecz Europejskiej Tożsamości Cyfrowej i zmieniającej decyzję wykonawczą (UE) 2015/296 zgodnie z art. 46e ust. 1 rozporządzenia (UE) nr 910/2014 ("grupa współpracy"), należy uchylić decyzję wykonawczą (UE) 2015/296.

(3) Aby wzajemne oceny były łatwo dostępne, każde państwo członkowskie powinno mieć możliwość złożenia wniosku o rozpoczęcie wzajemnej oceny. Wniosek powinien wskazywać powody wystąpienia o wzajemną ocenę i zawierać wystarczające informacje, aby potwierdzić, że wzajemna ocena może wnieść wkład w interoperacyjność lub bezpieczeństwo systemów identyfikacji elektronicznej, które mają zostać zgłoszone. W tym celu konieczne jest stworzenie jednolitych zasad dotyczących minimalnych wymaganych informacji, aby umożliwić skuteczne i terminowe przeprowadzenie wzajemnej oceny. Aby ułatwić terminowe rozpoczęcie i zakończenie wzajemnej oceny, Komisja może organizować posiedzenia grupy współpracy.

(4) W przypadku gdy państwo członkowskie przekazuje pozostałym państwom członkowskim informacje na temat systemu identyfikacji elektronicznej zgodnie z art. 7 lit. g) rozporządzenia (UE) nr 910/2014 ("wstępna notyfikacja"), działanie to należy formalnie uznać za wniosek notyfikującego państwa członkowskiego o przeprowadzenie wzajemnej oceny jego systemu identyfikacji elektronicznej.

(5) Aby zapewnić skuteczne przygotowanie i realizację wzajemnej oceny, należy określić standardowe funkcje i obowiązki w ramach wzajemnej oceny. Państwa członkowskie powinny mieć możliwość wyznaczania przedstawicieli do wypełniania tych funkcji i obowiązków. Ponieważ kluczowe znaczenie ma zapewnienie bezproblemowego przebiegu wzajemnych ocen i ich przeprowadzenie w efektywny i szybki sposób, praktyczne aspekty każdej wzajemnej oceny, np. jej szczegółowy zakres i harmonogram, powinny zostać uzgodnione przez uczestniczące państwa członkowskie.

(6) Aby wszystkie państwa członkowskie włączyły się we wdrażanie mechanizmu wzajemnej oceny i mogły korzystać z wzajemnego uczenia się, przy wszystkich wzajemnych ocenach, które mają zostać przeprowadzone przedstawiciele każdego państwa członkowskiego powinni dbać o sprawiedliwy podział zadań między państwa członkowskie.

(7) Aby wspierać wysoki poziom zaufania do systemów identyfikacji elektronicznej poddawanych wzajemnej ocenie, państwa członkowskie powinny przekazywać minimum wymaganych informacji, przy jednoczesnym zapewnieniu poufności informacji potencjalnie szczególnie chronionych. W ramach wzajemnych ocen informacje te powinny być oceniane przez trzy grupy robocze, z których każda powinna dysponować mandatem odpowiadającym głównym tematom oceny systemu identyfikacji elektronicznej określonym w rozporządzeniu wykonawczym Komisji (UE) 2015/1501 ³  i rozporządzeniu wykonawczym Komisji (UE) 2015/1502 ⁴ .

(8) Ponieważ w decyzji wykonawczej (UE) 2015/296 ustanowiono już język angielski jako język współpracy, o ile nie uzgodniono inaczej, obowiązującą praktyką dla państw członkowskich jest stosowanie tego języka w procedurze wzajemnej oceny. W związku z tym państwa członkowskie powinny przekazywać istotne informacje na potrzeby wzajemnej oceny przynajmniej w języku angielskim. Tłumaczenie nie powinno jednak powodować nieuzasadnionych obciążeń administracyjnych lub finansowych. W tym względzie państwa członkowskie mają swobodę korzystania z narzędzi tłumaczenia maszynowego, np. narzędzi udostępnianych przez Komisję.

(9) Biorąc pod uwagę znaczenie wzajemnych ocen jako narzędzia zapewniającego wiarygodność notyfikowanych systemów identyfikacji elektronicznej, należy ustanowić usprawniony proces przyjmowania jasnego i kompleksowego końcowego sprawozdania z wzajemnej oceny. W trakcie tego procesu grupa współpracy i państwa członkowskie uczestniczące we wzajemnej ocenie powinny mieć możliwość zadawania dodatkowych pytań państwu członkowskiemu, którego system identyfikacji elektronicznej jest poddawany wzajemnej ocenie, natomiast dane państwo członkowskie powinno mieć możliwość przedstawiania dodatkowych uwag. Aby zapewnić przejrzystość, proces ten powinien zostać zakończony publikacją opinii grupy współpracy podsumowującej wzajemną ocenę.

(10) Ponieważ systemy identyfikacji elektronicznej mogą podlegać zmianom po zakończeniu wzajemnej oceny, konieczne jest również ustanowienie procesu inicjowania aktualizacji wcześniejszych wzajemnych ocen, jeżeli takie zmiany mogą mieć wpływ na interoperacyjność, bezpieczeństwo lub wiarygodność notyfikowanego systemu identyfikacji elektronicznej. Umożliwi to zachowanie aktualności wzajemnych ocen w miarę rozwoju systemów identyfikacji elektronicznej.

(11) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 ⁵ , a w stosownych przypadkach, rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 ⁶  oraz dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady ⁷  mają zastosowanie do czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(12) Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 28 maja 2025 r.

(13) Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł  1

Ogólne zasady wzajemnej oceny

1. W przypadku gdy państwo członkowskie dokonuje wstępnej notyfikacji systemu identyfikacji elektronicznej Komisji i pozostałym państwom członkowskim, wzajemną ocenę rozpoczyna się zgodnie z art. 2.

2. Państwo członkowskie, które dokonuje wstępnej notyfikacji systemu identyfikacji elektronicznej, może w dowolnym momencie wycofać swoją wstępną notyfikację. W przypadku gdy państwo członkowskie wycofuje wstępną notyfikację systemu identyfikacji elektronicznej, wzajemną ocenę uznaje się za zakończoną.

3. Każde państwo członkowskie może podjąć decyzję o udziale we wzajemnej ocenie systemu identyfikacji elektronicznej innego państwa członkowskiego.

4. Każde państwo członkowskie uczestniczące we wzajemnej ocenie pokrywa koszty, które ponosi w ramach procedury.

5. Przedstawiciele państw członkowskich, które przeprowadzają wzajemną ocenę, wykorzystują informacje uzyskane w ramach wzajemnej oceny wyłącznie do celów tej oceny i nie ujawniają osobom trzecim żadnych informacji szczególnie chronionych ani poufnych uzyskanych podczas wzajemnej oceny.

6. Państwo członkowskie, które zdecyduje się uczestniczyć we wzajemnej ocenie systemu identyfikacji elektronicznej innego państwa członkowskiego, ujawnia wszelkie konflikty interesów w odniesieniu do przedstawicieli wyznaczonych przez to państwo członkowskie. W przypadku konfliktu interesów państwo członkowskie, którego system identyfikacji elektronicznej jest poddawany wzajemnej ocenie, może odmówić udziału odpowiedniego przedstawiciela w ocenie swojego systemu identyfikacji elektronicznej.

7. Wszelkie spory powstałe podczas wzajemnej oceny w związku z działaniami w zakresie wzajemnej oceny określonymi w art. 4 ust. 4 niniejszego rozporządzenia rozstrzyga się zgodnie z regulaminem wewnętrznym grupy współpracy.

8. System identyfikacji elektronicznej nie podlega dalszej wzajemnej ocenie w terminie dwóch lat od zakończenia wzajemnej oceny, z wyjątkiem przypadków, gdy do systemu identyfikacji elektronicznej poddanego wzajemnej ocenie wprowadzono istotne zmiany określone w art. 6 ust. 1.

Artykuł  2

Rozpoczęcie wzajemnej oceny

1. Wstępna notyfikacja musi zawierać przynajmniej:

a) porównanie systemu identyfikacji elektronicznej będącego przedmiotem wstępnej notyfikacji z wymogami określonymi w rozporządzeniu wykonawczym (UE) 2015/1502 w formie dokumentu przyporządkowującego poziomy bezpieczeństwa na potrzeby wzajemnej oceny zgodnie z załącznikiem I do niniejszego rozporządzenia;

b) ogólny opis systemu identyfikacji elektronicznej, jego ekosystemu i identyfikacji elektronicznej w państwie członkowskim, które dokonało wstępnej notyfikacji, w formie białej księgi zgodnie z załącznikiem II do niniejszego rozporządzenia;

c) informacje dotyczące interoperacyjności systemu identyfikacji elektronicznej i wymogów określonych w rozporządzeniu wykonawczym (UE) 2015/1501, w formie dokumentu odniesienia do ram interoperacyjności zgodnie z wzorem określonym w załączniku III do niniejszego rozporządzenia.

2. Komisja przekazuje grupie współpracy informacje dotyczące wstępnej notyfikacji.

3. Informacje wymagane na podstawie ust. 1 lit. c) przekazuje się co najmniej w języku angielskim. Państwa członkowskie nie mają obowiązku tłumaczenia żadnych dokumentów, jeśli powodowałoby to nieuzasadnione obciążenie administracyjne lub finansowe.

Artykuł  3

Przygotowanie wzajemnej oceny

1. Po potwierdzeniu otrzymania kompletnej wstępnej notyfikacji Komisja informuje grupę współpracy o rozpoczęciu wzajemnej oceny i zwołuje posiedzenie, do porządku obrad którego wpisuje wstępnie notyfikowany system identyfikacji elektronicznej w celu przedstawienia go grupie współpracy przez państwo członkowskie, które dokonało wstępnej notyfikacji.

2. Przewodniczący grupy współpracy zapewnia, aby zaplanowane posiedzenie, o którym mowa w ust. 1, odbyło się nie później niż dwa miesiące po poinformowaniu grupy współpracy o rozpoczęciu wzajemnej oceny.

3. Datę prezentacji uznaje się za oficjalną datę rozpoczęcia wzajemnej oceny.

4. Po przeprowadzeniu przez państwo członkowskie, które dokonało wstępnej notyfikacji, prezentacji, o której mowa w ust. 3, pozostałe państwa członkowskie mogą wyznaczyć przedstawicieli do udziału we wzajemnej ocenie w ich imieniu. W takim przypadku podają imiona i nazwiska oraz dane kontaktowe swoich przedstawicieli. Wyznaczeni przedstawiciele tworzą grupę ds. wzajemnej oceny.

Członkowie grupy ds. wzajemnej oceny uzgadniają przydział następujących funkcji:

a) jednego koordynatora odpowiedzialnego za organizację wzajemnej oceny i zarządzanie komunikacją z państwami członkowskimi, grupą współpracy i Komisją;

b) maksymalnie trzech sprawozdawców w zależności od zakresu wzajemnej oceny, przy czym każdy z nich kieruje grupą roboczą, o której mowa w art. 4 ust. 2;

c) co najmniej jednego aktywnego członka w każdej grupie roboczej, który pomaga w formułowaniu pytań i przekazywaniu sprawozdawcom informacji zwrotnych oraz wnosi wkład w sporządzanie końcowego sprawozdania z wzajemnej oceny.

5. Koordynator, o którym mowa w ust. 4 lit. a) nadzoruje właściwą realizację wzajemnej oceny i monitoruje zgodność z wymogami proceduralnymi ustanowionymi w niniejszym rozporządzeniu. W tym celu koordynator terminowo wykonuje następujące zadania:

a) organizacja sesji pytań i odpowiedzi;

b) finalizacja sprawozdania z wzajemnej oceny;

c) sporządzenie opinii dotyczącej systemu identyfikacji elektronicznej poddanego wzajemnej ocenie.

6. Sprawozdawcy, o których mowa w ust. 4 lit. b), określają pytania skierowane do państwa członkowskiego, które dokonało wstępnej notyfikacji, i sporządzają projekty elementów sprawozdania z wzajemnej oceny, które odnoszą się do obszaru odpowiedzialności ich odpowiednich grup roboczych.

7. Uwzględniając wytyczne przedstawione przez grupę współpracy, państwo członkowskie, które dokonało wstępnej notyfikacji, oraz państwa członkowskie uczestniczące we wzajemnej ocenie uzgadniają wszelkie ustalenia organizacyjne dotyczące wzajemnej oceny, które nie zostały wyraźnie przewidziane w niniejszym rozporządzeniu, w tym zasady i wytyczne dotyczące poufności i konfliktów interesów.

8. Czas trwania wzajemnej oceny nie może przekraczać trzech miesięcy od oficjalnej daty jej rozpoczęcia, o której mowa w ust. 3, i może zostać przedłużony o maksymalnie dwa miesiące, jeżeli wszystkie państwa członkowskie zaangażowane we wzajemną ocenę wyrażą na to zgodę.

Artykuł  4

Organizacja wzajemnej oceny

1. Grupa ds. wzajemnej oceny przeprowadza wzajemną ocenę na podstawie informacji przekazanych zgodnie z art. 2 ust. 1 przez państwo członkowskie, które dokonało wstępnej notyfikacji.

2. Wzajemna ocena jest organizowana w trzech grupach roboczych lub z zastosowaniem jakiegokolwiek innego procesu uzgodnionego w ramach grupy współpracy zgodnie z jej regulaminem wewnętrznym. W przypadku korzystania z grup roboczych w skład każdej grupy roboczej musi wchodzić jeden sprawozdawca i co najmniej jeden aktywny członek.

3. Grupy robocze, o których mowa w ust. 2, to:

a) grupa robocza ds. wprowadzania do systemu, dokonująca wzajemnej oceny dostosowania wstępnie notyfikowanego systemu identyfikacji elektronicznej do wymogów dotyczących wprowadzenia do systemu określonych w pkt 2.1 załącznika do rozporządzenia wykonawczego (UE) 2015/1502;

b) grupa robocza ds. zarządzania środkami identyfikacji elektronicznej i uwierzytelniania, dokonująca wzajemnej oceny dostosowania wstępnie zgłoszonego systemu identyfikacji elektronicznej do wymogów dotyczących zarządzania środkami identyfikacji elektronicznej i uwierzytelniania określonych w pkt 2.2 i 2.3 załącznika do rozporządzenia wykonawczego (UE) 2015/1502;

c) grupa robocza ds. zarządzania i organizacji, dokonująca wzajemnej oceny dostosowania wstępnie notyfikowanego systemu identyfikacji elektronicznej do wymogów dotyczących zarządzania i organizacji określonych w pkt 2.4 rozporządzenia wykonawczego (UE) 2015/1502.

4. Wzajemna ocena musi obejmować co najmniej jedno z następujących działań, lecz nie ogranicza się do nich:

a) ocena odpowiedniej dokumentacji dostarczonej przez państwo członkowskie, które dokonało wstępnej notyfikacji;

b) badanie procesów opisanych w tej dokumentacji;

c) seminaria techniczne;

d) uwzględnienie niezależnych ocen przeprowadzonych przez osoby trzecie, w przypadku gdy dostępne są odpowiednie oceny tego rodzaju;

e) sporządzenie sprawozdania z wzajemnej oceny, podsumowującego ustalenia i wyniki wzajemnej oceny.

5. Grupy robocze mogą składać należycie uzasadnione wnioski o dodatkowe informacje, oparte na dodatkowej dokumentacji, do państwa członkowskiego, które dokonało wstępnej notyfikacji, w przypadku gdy informacje przekazane zgodnie z art. 2 ust. 1 nie są wystarczające do zakończenia wzajemnej oceny.

6. Państwo członkowskie, które dokonało wstępnej notyfikacji, musi spełnić takie żądania, chyba że zastosowanie ma jedna z następujących przesłanek:

a) nie posiada ono informacji lub dokumentacji, a ich uzyskanie powodowałoby nieuzasadnione obciążenie administracyjne;

b) żądane informacje lub dokumentacja dotyczą kwestii bezpieczeństwa publicznego lub narodowego;

c) informacje dotyczą spraw gospodarczych lub kwestii objętych tajemnicą handlową bądź tajemnicą przedsiębiorstwa;

d) poufny charakter informacji uniemożliwia ustanowienie bezpiecznego kanału przekazywania informacji członkom grupy ds. wzajemnej oceny.

7. W takich przypadkach państwo członkowskie, które dokonało wstępnej notyfikacji, informuje koordynatora o powodach odmowy dostarczenia żądanych informacji lub dokumentów oraz przedstawia ogólne streszczenie informacji lub wersję dokumentacji z utajnionymi informacjami.

Artykuł  5

Wynik wzajemnej oceny

1. Bez uszczerbku dla przepisów art. 3 ust. 9 grupa ds. wzajemnej oceny:

a) przedstawia projekt sprawozdania z wzajemnej oceny państwu członkowskiemu, które dokonało wstępnejnotyfikacji, nie później niż trzy miesiące po dacie rozpoczęcia wzajemnej oceny, o której mowa w art. 3 ust. 3, chyba że wzajemna ocena ulega przedłużeniu zgodnie z art. 3 ust. 8, w takim przypadku sprawozdanie ma zostać sporządzone zgodnie z uzgodnionym przedłużeniem terminu;

b) przedstawia Komisji i grupie współpracy projekt końcowego sprawozdania z wzajemnej oceny po uwzględnieniu wszelkich uwag państwa członkowskiego, które dokonało wstępnej notyfikacji, dotyczących treści projektu sprawozdania z wzajemnej oceny, i nie później niż trzy miesiące i dwa tygodnie od oficjalnej daty rozpoczęcia wzajemnej oceny zgodnie z art. 3 ust. 3, chyba że wzajemna ocena ulega przedłużeniu zgodnie z art. 3 ust. 8, w takim przypadku sprawozdanie ma zostać sporządzone zgodnie z uzgodnionym przedłużeniem terminu;

c) przekazuje państwu członkowskiemu, które dokonało wstępnej notyfikacji, projekt opinii w sprawie wstępnie notyfikowanego systemu identyfikacji elektronicznej nie później niż trzy miesiące i dwa tygodnie od oficjalnej daty rozpoczęcia wzajemnej oceny, o której mowa w art. 3 ust. 3, oraz przygotowuje, chyba że wzajemna ocena ulega przedłużeniu zgodnie z art. 3 ust. 8, w takim przypadku opinia ma zostać sporządzona zgodnie z uzgodnionym przedłużeniem terminu, projekt opinii przy użyciu wzoru określonego w załączniku IV;

d) przedstawia Komisji i grupie współpracy projekt końcowej opinii w sprawie wstępnie notyfikowanego systemu identyfikacji elektronicznej, nie później niż trzy miesiące i trzy tygodnie po dacie rozpoczęcia wzajemnej oceny, o której mowa w art. 3 ust. 3, chyba że wzajemna ocena ulega przedłużeniu zgodnie z art. 3 ust. 8, w takim przypadku sprawozdanie ma zostać sporządzone zgodnie z uzgodnionym przedłużeniem terminu;

2. Zanim grupa współpracy przyjmie i opublikuje na przeznaczonej do tego celu stronie internetowej Komisji swoją ostateczną opinię w sprawie zakończenia wzajemnej oceny zgodnie z ust. 9, może zażądać dodatkowych informacji lub wyjaśnień od państwa członkowskiego, które dokonało wstępnej notyfikacji, lub od grupy ds. wzajemnej oceny.

3. Państwo członkowskie, które dokonało wstępnej notyfikacji, przekazuje wymagane dodatkowe informacje, o których mowa w ust. 2, z wyjątkiem przypadków, gdy zastosowanie ma jeden z następujących warunków:

a) państwo członkowskie nie posiada tych informacji, a uzyskanie ich powodowałoby nieuzasadnione obciążenie administracyjne;

b) informacje dotyczą kwestii bezpieczeństwa publicznego lub bezpieczeństwa narodowego;

c) informacje dotyczą kwestii związanych z tajemnicą handlową, zawodową lub tajemnicą przedsiębiorstwa;

d) poufny charakter informacji uniemożliwia ustanowienie bezpiecznego kanału przekazywania informacji grupie współpracy.

4. W końcowym sprawozdaniu z wzajemnej oceny wymienia się informacje, o które zwróciła się grupa ds. wzajemnej oceny lub grupa współpracy, ale które nie mogły zostać przekazane z jednego lub większej liczby powodów określonych w ust. 3, bez wskazania powodów przedstawionych przez państwo członkowskie, które dokonało wstępnej notyfikacji. Wpływ wszelkich przypadków niedostępności informacji może zostać zbadany przez grupę ds. wzajemnej oceny w ostatecznym sprawozdaniu z wzajemnej oceny.

5. Grupa ds. wzajemnej oceny przedstawia grupie współpracy ostateczne sprawozdanie z wzajemnej oceny i projekt ostatecznej opinii nie później niż cztery miesiące lub, w przypadku przedłużenia zgodnie z art. 3 ust. 8, nie później niż sześć miesięcy od oficjalnej daty rozpoczęcia wzajemnej oceny zgodnie z art. 3 ust. 3.

6. Ostateczna opinia grupy ds. wzajemnej oceny dotycząca systemu identyfikacji elektronicznej państwa członkowskiego, które dokonało wstępnej notyfikacji, musi zawierać wykaz wszelkich zobowiązań podjętych przez to państwo członkowskie.

7. Po przedstawieniu ostatecznego sprawozdania z wzajemnej oceny i ostatecznej opinii grupy ds. wzajemnej oceny grupa współpracy przyjmuje i publikuje własną opinię na temat zakończenia wzajemnej oceny, opisując, czy i w jaki sposób poddany wzajemnej ocenie system identyfikacji elektronicznej spełnia wymogi określone w rozporządzeniu wykonawczym (UE) 2015/1502 mające zastosowanie do poziomów bezpieczeństwa wskazanych przez państwo członkowskie, które dokonało wstępnej notyfikacji zgodnie z załącznikiem I do niniejszego rozporządzenia. Proces przyjmowania odbywa się zgodnie z regulaminem wewnętrznym grupy współpracy.

8. W opinii grupy współpracy określa się, które państwo członkowskie dokonało wstępnej notyfikacji, a także wstępnie notyfikowany system identyfikacji elektronicznej i jego poziom zaufania. W opinii określa się również, czy wzajemna ocena została pomyślnie zakończona.

9. Informacje przekazane zgodnie z art. 2 ust. 1 są publikowane przez grupę współpracy, z wyjątkiem przypadków, gdy państwo członkowskie, które przekazało informacje, wskazało na piśmie, że tych informacji nie należy podawać do wiadomości publicznej.

Artykuł  6

Istotne zmiany w systemach identyfikacji elektronicznej poddanych wzajemnej ocenie

1. W przypadku gdy zgłoszony system identyfikacji elektronicznej zmienia się w sposób, który może mieć wpływ na jego interoperacyjność, lub wiarygodność, państwo członkowskie, które dokonało notyfikacji, bez zbędnej zwłoki powiadamia grupę współpracy o tych zmianach i aktualizuje przekazane wcześniej informacje.

2. Po otrzymaniu powiadomienia, o którym mowa w ust. 1, i pod warunkiem że notyfikowany system identyfikacji elektronicznej został poddany wzajemnej ocenie, każde państwo członkowskie grupy współpracy może zwrócić się o aktualizację wzajemnej oceny.

3. W przypadku wniosku o aktualizację stosuje się odpowiednio procedury określone w art. 3-5, a grupa ds. wzajemnej oceny ogranicza wzajemną ocenę do elementów, które zostały zmienione po pierwotnej notyfikacji, oraz do skutków tych zmian.

Artykuł  7

Uchylenie

Decyzja wykonawcza (UE) 2015/296 niniejszym traci moc.

Artykuł  8

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 29 lipca 2025 r.

ZAŁĄCZNIK  I

Wykaz minimum informacji, które należy przedstawić w dokumencie przyporządkowującym poziomy bezpieczeństwa na potrzeby wzajemnej oceny, o którym mowa w art. 2 ust. 1 lit. a)

Dokument przyporządkowujący poziomy bezpieczeństwa na potrzeby wzajemnej oceny, o którym mowa w art. 2 ust. 1 lit. a), musi zawierać co najmniej następujące informacje:

1) informacje ogólne, w tym:

a) nazwę zgłaszającego państwa członkowskiego;

b) nazwę systemu identyfikacji elektronicznej (jeżeli jest stosowany);

c) poziom lub poziomy zaufania systemu identyfikacji elektronicznej, wskazany jako niskie, średnie lub wysokie;

2) organ lub organy odpowiedzialne za system identyfikacji elektronicznej, w tym:

a) nazwę lub nazwy organu lub organów odpowiedzialnych za system identyfikacji elektronicznej;

b) adres poczty elektronicznej organu lub organów odpowiedzialnych za system identyfikacji elektronicznej;

3) informacje na temat odpowiednich stron, podmiotów i organów zaangażowanych w system identyfikacji elektronicznej, w tym:

a) nazwę podmiotu lub nazwy podmiotów zarządzających procesem rejestracji niepowtarzalnych danych identyfikujących osobę;

b) nazwę strony lub nazwy stron wydających środki identyfikacji elektronicznej oraz, w stosownych przypadkach, wskazanie, czy o stronie lub stronach mowa w art. 7 lit. a) ppkt (i), (ii) lub (iii) rozporządzenia (UE) nr 910/2014;

c) nazwę strony lub nazwy stron przeprowadzających procedurę uwierzytelnienia ("węzeł eIDAS");

d) nazwę lub nazwy organizacji zarządzających lub organizacji uczestniczących w systemie nadzoru związanym z systemem identyfikacji elektronicznej;

4) opis systemu identyfikacji elektronicznej, z uwzględnieniem:

a) w stosownych przypadkach dokumentu lub dokumentów, które należy załączyć w odniesieniu do każdego z następujących tematów:

– krótki opis systemu identyfikacji elektronicznej, w tym kontekst, w którym działa, jego zakres i dostępność dla prywatnych stron ufających,

– wykaz dodatkowych atrybutów, które można przekazać w odniesieniu do osób fizycznych w ramach systemu identyfikacji elektronicznej na wniosek strony ufającej,

– wykaz dodatkowych atrybutów, które można przekazać w odniesieniu do osób prawnych w ramach systemu identyfikacji elektronicznej na wniosek strony ufającej;

b) mający zastosowanie system nadzoru, system odpowiedzialności i system zarządzania, w tym:

– opis systemu nadzoru nad systemem identyfikacji elektronicznej, w tym proces oceny w odniesieniu do:

– systemu nadzoru mającego zastosowanie do strony lub stron wydających środek identyfikacji elektronicznej;

– systemu nadzoru mającego zastosowanie do strony lub stron eksploatujących węzeł eIDAS.

W stosownych przypadkach opisy te obejmują funkcje, obowiązki i uprawnienia organizacji zarządzających, które uczestniczą w systemie nadzoru, o którym mowa w pkt 3 lit. d), oraz podmiotu, któremu one podlegają. Jeżeli organizacje nie podlegają organowi odpowiedzialnemu za system, należy podać wszystkie szczegółowe informacje dotyczące podmiotu, któremu podlegają;

– opis mającego zastosowanie krajowego systemu odpowiedzialności, w tym:

– opis odpowiedzialności państwa członkowskiego na podstawie art. 11 ust. 1 rozporządzenia (UE) nr 910/2014,

– opis odpowiedzialności strony lub stron wydających środek identyfikacji elektronicznej na podstawie art. 11 ust. 2 rozporządzenia (UE) nr 910/2014,

– opis odpowiedzialności strony lub stron obsługujących węzeł eIDAS na podstawie art. 11 ust. 3 rozporządzenia (UE) nr 910/2014,

– ustalenia dotyczące zarządzania, zawieszania lub uchylenia całego systemu identyfikacji lub konkretnych środków identyfikacji elektronicznej, węzła eIDAS lub jego części, które zostały naruszone;

c) opis elementów systemu identyfikacji elektronicznej, z uwzględnieniem:

– opisu sposobu spełnienia wymogów dotyczących minimalnych specyfikacji technicznych i procedur dotyczących poziomów zaufania środków identyfikacji elektronicznej, określonych w rozporządzeniu wykonawczym (UE) 2015/1502, uzasadniającego poziom zaufania wskazany przy wprowadzeniu do systemu,

– opisu sposobu uwzględnienia następujących procesów w ramach systemu identyfikacji elektronicznej, w tym dokumentacji dotyczącej połączenia wariantów wybranych przez państwo członkowskie w odniesieniu do:

– wniosku i rejestracji,

– sprawdzania i weryfikacji tożsamości osoby fizycznej,

– sprawdzania i weryfikacji tożsamości osoby prawnej,

– powiązania między środkami identyfikacji elektronicznej osób fizycznych i prawnych,

– w odniesieniu do zarządzania środkami identyfikacji elektronicznej - opis sposobu uwzględnienia następujących procesów w ramach środków identyfikacji elektronicznej:

– charakterystyki i projektu środków identyfikacji elektronicznej, w tym, w stosownych przypadkach, informacje na temat certyfikacji bezpieczeństwa,

– wydawania, dostarczania i aktywacji,

– zawieszania, unieważniania i przywracania,

– wznawiania i wymiany,

– w odniesieniu do uwierzytelniania - opis mechanizmu uwierzytelniania, w tym warunki dostępu do uwierzytelniania stron ufających innych niż organy sektora publicznego,

– w odniesieniu do zarządzania i organizacji - opis zarządzania i organizacji następujących aspektów,

– przepisów ogólnych dotyczących zarządzania i organizacji,

– opublikowanych zawiadomień i informacji dla użytkowników,

– zarządzania bezpieczeństwem informacji,

– prowadzenia rejestrów,

– obiektów i personelu,

– kontroli technicznych,

– zgodności i audytu;

d) opis sposobu spełnienia wymogów w zakresie interoperacyjności oraz minimalnych wymogów technicznych i wymogów bezpieczeństwa operacyjnego;

e) wykaz całej przedłożonej dokumentacji uzasadniającej oraz oświadczenie, do którego z powyższych elementów się odnosi, w tym odniesienia do wszelkich przepisów krajowych, które dotyczą zapewniania identyfikacji elektronicznej, istotnych dla powiadomienia i odpowiednich sprawozdań z audytu, oświadczeń dotyczących praktyki certyfikacyjnej i sprawozdań z badań;

f) odpowiednich dokumentów i informacji dotyczących certyfikacji systemu identyfikacji elektronicznej na podstawie art. 12a ust. 1 oraz, w stosownych przypadkach, art. 12a ust. 5 rozporządzenia (UE) nr 910/2014.

ZAŁĄCZNIK  II

Wykaz minimum informacji, które należy przedstawić w białej księdze, o której mowa w art. 2 ust. 1 lit. b)

1. W białej księdze należy opisać ogólny ekosystem wstępnie notyfikowanego systemu identyfikacji elektronicznej, a także historię systemu identyfikacji elektronicznej i identyfikacji elektronicznej w danym państwie członkowskim.

2. Biała księga musi również zawierać opis systemu identyfikacji elektronicznej i środków identyfikacji elektronicznej zapewnianych w ramach tego systemu, w tym krótki opis elementów, które są również objęte dokumentem przyporządkowującym poziomy bezpieczeństwa, o którym mowa w art. 2 ust. 1 lit. a) niniejszego rozporządzenia, dokumentem odniesienia do ram interoperacyjności, o którym mowa w art. 2 ust. 1 lit. c) niniejszego rozporządzenia, oraz innymi dokumentami.

3. W białej księdze należy również opisać rolę systemu identyfikacji elektronicznej w całym ekosystemie oraz jego związek ze stronami ufającymi i innymi usługami świadczonymi w ramach ekosystemu.

ZAŁĄCZNIK  III

Wzór dokumentu odniesienia do ram interoperacyjności

Wymogi dotyczące interoperacyjności

Artykuł rozporządzenia wykonawczego Komisji (UE) 2015/1501	Wymóg	Opis
4	Przyporządkowanie krajowych poziomów bezpieczeństwa Przyporządkowanie krajowych poziomów bezpieczeństwa notyfikowanych systemów identyfikacji elektronicznej musi być zgodne z wymogami określonymi w rozporządzeniu wykonawczym (UE) 2015/1502. Wyniki tego przyporządkowania są przekazywane Komisji przy użyciu formularza powiadomienia określonego w decyzji wykonawczej (UE) 2015/1984.	<wypełnia państwo członkowskie>
5	Węzły 1. Węzeł w j ednym państwie członkowskim ma możliwość połączenia się z węzłami w innych państwach członkowskich. 2. Węzły są w stanie za pomocą środków technicznych dokonać rozróżnienia między organami sektora publicznego i innymi stronami ufającymi. 3. Wdrożenie przez państwo członkowskie wymogów technicznych określonych w niniejszym rozporządzeniu nie może obciążać innych państw członkowskich niewspółmiernymi wymogami technicznymi i kosztami koniecznymi do osiągnięcia interoperacyjności z systemem wdrożonym przez to państwo członkowskie.	<wypełnia państwo członkowskie>
6	Ochrona i poufność danych 1. Ochronę prywatności i poufności wymienianych danych oraz utrzymanie integralności danych pomiędzy węzłami należy zapewnić poprzez stosowanie najlepszych dostępnych rozwiązań technicznych i praktyk ochrony. 2. Węzły nie przechowują żadnych danych osobowych, z wyjątkiem przechowywania do celów określonych w art. 9 ust. 3 rozporządzenia wykonawczego (UE) 2015/1501.	<wypełnia państwo członkowskie>
7	Integralność i autentyczność danych na potrzeby przekazywania W łączności między węzłami należy zapewnić integralność i autentyczność danych, tak aby wszystkie zapytania i odpowiedzi były autentyczne i nie ulegały manipulacjom. W tym celu w węzłach stosuje się rozwiązania, które są z powodzeniem wykorzystywane w transgranicznym ruchu operacyjnym.	<wypełnia państwo członkowskie>
8	Format przekazywania wiadomości Węzły wykorzystują składnię powszechnych formatów komunikatów opartych na normach, które zastosowano już więcej niż jeden raz między państwami członkowskimi i które sprawdziły się w środowisku operacyjnym. Składnia ta umożliwia: a) prawidłowe przetwarzanie minimalnego zbioru danych identyfikujących osobę reprezentujących niepowtarzalnie osobę fizyczną lub prawną; b) prawidłowe przetwarzanie poziomu bezpieczeństwa środków identyfikacji elektronicznej; c) rozróżnienie między organami sektora publicznego i innymi stronami ufającymi; d) elastyczność w spełnianiu potrzeb w zakresie dodatkowych atrybutów odnoszących się do identyfikacji.	<wypełnia państwo członkowskie>
9	Zarządzanie bezpieczeństwem informacji i metadane 1. Operator węzła przekazuje metadane związane z zarządzaniem węzłem w znormalizowanej postaci przetwarzalnej maszynowo oraz w sposób bezpieczny i godny zaufania. 2. Przynajmniej parametry dotyczące bezpieczeństwa są pobierane automatycznie. 3. Operator węzła przechowuje dane, które w razie incydentu umożliwią odtworzenie sekwencji wymiany komunikatów w celu określenia miejsca i charakteru incydentu. Dane przechowywane są przez czas określony zgodnie z wymogami krajowymi i obejmują co najmniej: a) dane identyfikujące węzeł; b) dane identyfikujące wiadomość; c) datę i godzinę wiadomości.	<wypełnia państwo członkowskie>
10	Bezpieczeństwo informacji i normy bezpieczeństwa 1. Operatorzy węzłów zapewniających uwierzytelnienie muszą udowodnić - poprzez certyfikację lub równoważne metody oceny, bądź dzięki zgodności z przepisami krajowymi - że w odniesieniu do węzłów uczestniczących w ramach interoperacyjności dany węzeł spełnia wymogi normy ISO/IEC 27001. 2. Operatorzy węzłów niezwłocznie dokonują aktualizacji o krytycznym znaczeniu dla bezpieczeństwa.	<wypełnia państwo członkowskie>
11	Dane identyfikujące osobę 1. Minimalny zbiór danych identyfikujących osobę reprezentujących niepowtarzalnie osobę fizyczną lub prawną musi spełniać wymogi określone w załączniku do rozporządzenia wykonawczego (UE) 2015/1501, kiedy dane te są stosowane w ruchu transgranicznym. 2. Minimalny zestaw danych dotyczących osoby fizycznej reprezentującej osobę prawną musi zawierać połączenie atrybutów wymienionych w załączniku do rozporządzenia wykonawczego (UE) 2015/1501 dotyczących osób fizycznych i osób prawnych, kiedy dane te są stosowane w ruchu transgranicznym. 3. Dane są przekazywane w oryginalnym zapisie, a w stosownych przypadkach także w transliteracji na alfabet łaciński.	<wypełnia państwo członkowskie>

ZAŁĄCZNIK  IV

Wzór opinii w sprawie systemu identyfikacji elektronicznej państwa członkowskiego

Opinia nr XX/202X grupy współpracy w sprawie systemu identyfikacji elektronicznej <państwo członkowskie> o nazwie <nazwa systemu>

Uwzględniając art. 12 ust. 5 rozporządzenia (UE) nr 910/2014 (rozporządzenie w sprawie europejskiej tożsamości cyfrowej),

Uwzględniając rozporządzenie wykonawcze (UE) 2025/1568,

Uwzględniając regulamin wewnętrzny grupy współpracy,

a także mając na uwadze, co następuje:

W art. 12 ust. 5 rozporządzenia w sprawie europejskiej tożsamości cyfrowej zobowiązano państwa członkowskie do przeprowadzania wzajemnych ocen systemów identyfikacji elektronicznej, które mają być notyfikowane na podstawie art. 9 ust. 1 lit. a) rozporządzenia w sprawie europejskiej tożsamości cyfrowej.

Art. 5 ust. 10 rozporządzenia wykonawczego (UE) 2025/1568 w sprawie współpracy upoważnia grupę współpracy do przyjmowania opinii na temat tego, w jaki sposób system identyfikacji elektronicznej, który ma zostać notyfikowany, spełnia wymogi rozporządzenia w sprawie europejskiej tożsamości cyfrowej.

Władze <państwa członkowskiego> w celu notyfikowania swojego systemu identyfikacji elektronicznej o nazwie <nazwa systemu> zgodnie z art. 9 ust. 1 rozporządzenia w sprawie europejskiej tożsamości cyfrowej przekazały państwom członkowskim następujące informacje w dniu <data> r. (dalej zwane: "wstępną notyfikacją") zgodnie z art. 7 lit. g) rozporządzenia w sprawie europejskiej tożsamości cyfrowej:

– formularz notyfikacji,

– dokumenty potwierdzające.

W dniu <data posiedzenia grupy współpracy> r., grupa współpracy:

– uzgodniła zorganizowanie wzajemnej oceny systemu identyfikacji elektronicznej <państwo członkowskie> o nazwie <nazwa systemu> zgodnie z art. 46e ust. 5 lit. d) rozporządzenia w sprawie europejskiej tożsamości cyfrowej i rozporządzeniem wykonawczym Komisji (UE) [UP ma uzupełnić sygnaturę];

– utworzyła "grupę ds. wzajemnej oceny", oraz

– uzgodniła, jakie tematy obejmie proces wzajemnej oceny i w jaki sposób będzie on zorganizowany zgodnie z przepisami rozporządzenia wykonawczego (UE) 2025/1568.

W dniu <data> r. grupa ds. wzajemnej oceny przedłożyła grupie współpracy sprawozdanie zgodnie z art. 5 rozporządzenia wykonawczego (UE) 2025/1568. Grupa współpracy przeanalizowała i omówiła sprawozdanie z wzajemnej oceny.

Uwzględniając wyniki wzajemnej oceny, sprawozdanie z wzajemnej oceny oraz dodatkowe informacje przekazane przez władze <państwa członkowskiego>, dotyczące: -

oraz fakt, że władze <państwa członkowskiego> zobowiązują się do: -

Grupa współpracy przyjęła następującą opinię:

Opinia

Na podstawie analizy dokumentów wstępnej notyfikacji przekazanych przez władze <państwa członkowskiego> oraz ustaleń zawartych w sprawozdaniu z wzajemnej oceny grupa współpracy jest zdania, że dokumenty wstępnej notyfikacji i dodatkowe informacje przedstawione przez władze <państwa członkowskiego> wykazują w zadowalający sposób, jak system identyfikacji elektronicznej <państwo członkowskie> o nazwie <nazwa systemu>, który ma zostać notyfikowany, spełnia wymogi:

– dla poziomu zaufania "wysoki",

– dla poziomu zaufania "średni",

– dla poziomu zaufania "niski",

zgodnie z wymogami określonymi w art. 7, art. 8 ust. 1-2, art. 12 ust. 1, art. 12a ust. 1 i art. 12a ust. 5 rozporządzenia w sprawie europejskiej tożsamości cyfrowej oraz z wymogami rozporządzenia wykonawczego Komisji (UE) 2015/1502.

Zgodnie z art. <numer> regulaminu wewnętrznego grupa współpracy wyraża zgodę na publikację niniejszej opinii.

<państwo członkowskie>, <data> r.

1 Dz.U. L 257 z 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/ojhttp://data.europa.eu/eli/reg/2014/910/2024-10-18.

2 Decyzja wykonawcza Komisji (UE) 2015/296 z dnia 24 lutego 2015 r. ustanawiająca proceduralne warunki współpracy między państwami członkowskimi w zakresie identyfikacji elektronicznej na podstawie art. 12 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz.U. L 53 z 25.2.2015, s. 14, ELI: http://data.europa.eu/eli/dec_impl/2015/296/oj).

3 Rozporządzenie wykonawcze Komisji (UE) 2015/1501 z dnia 8 września 2015 r. w sprawie ram interoperacyjności na podstawie art. 12 ust. 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz.U. L 235 z 9.9.2015, s. 1, ELI: http://data.europa. eu/eli/reg_impl/2015/1501/oj).

4 Rozporządzenie wykonawcze Komisji (UE) 2015/1502 z dnia 8 września 2015 r. w sprawie ustanowienia minimalnych specyfikacji technicznych i procedur dotyczących poziomów bezpieczeństwa w zakresie środków identyfikacji elektronicznej na podstawie art. 8 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz.U. L 235 z 9.9.2015, s. 7, ELI: http://data.europa.eu/eli/ reg_impl/2015/1502/oj).

5 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/ 2016/679/oj).

6 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

7 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej), Dz.U. L 201 z 31.7.2002, s. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

• Identyfikator: Dz.U.UE.L.2025.1568
• Rodzaj: Rozporządzenie
• Tytuł: Rozporządzenie wykonawcze 2025/1568 ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do ustaleń proceduralnych dotyczących wzajemnych ocen systemów identyfikacji elektronicznej i współpracy w zakresie organizacji takich przeglądów w ramach grupy współpracy oraz uchylające decyzję wykonawczą Komisji (UE) 2015/296
• Data aktu: 29/07/2025
• Data ogłoszenia: 30/07/2025
• Data wejścia w życie: 19/08/2025