Stanoví, co by nařízení upravovalo: vytvoření rámce pro poskytování European Business Wallets, přiznání úkonům učiněným prostřednictvím peněženky stejných právních účinků, jaké mají jejich listinné nebo osobně učiněné obdoby, pravidla pro identifikaci vlastníků peněženek, zřízení Evropského digitálního adresáře a jedinečného identifikátoru pro každého vlastníka, způsob oznamování poskytovatelů peněženek, povinnosti orgánů veřejného sektoru a otevření rámce třetím zemím.[1]
Nařízení by se vztahovalo na poskytování a přijímání European Business Wallets, na vydávání a přijímání údajů, které identifikují jejich vlastníky, a na používání peněženek hospodářskými subjekty a orgány veřejného sektoru. Nedotklo by se systémů, které právo Unie již stanoví pro výměnu dokumentů a údajů mezi příslušnými orgány.[1]
Definuje 43 pojmů. European Business Wallet by byla digitálním řešením, které vlastníkovi umožňuje uchovávat, spravovat a předkládat identifikační údaje a elektronická potvrzení atributů, používat podpisy, pečetě, doporučené doručování a časová razítka a vytvářet zmocnění a delegovat je na zmocněné zástupce. „Hospodářským subjektem“ by byla jakákoli fyzická nebo právnická osoba jednající v rámci své obchodní nebo profesní činnosti, čímž do oblasti působnosti spadají i živnostníci a osoby samostatně výdělečně činné. Mnohé ze zbývajících pojmů jsou převzaty přímo z nařízení eIDAS.[1][7][8]
Úkon učiněný pomocí některé ze základních funkcí podle čl. 5 odst. 1 by měl stejné právní účinky jako tentýž úkon zákonně učiněný osobně, v listinné podobě nebo jakýmkoli jiným vyhovujícím způsobem. Totéž by platilo, pokud osoba samostatně výdělečně činná nebo živnostník používá kvalifikovanou službu elektronického doporučeného doručování jako samostatnou službu, bez Business Wallet.[1]
Uvádí 14 funkcí, které by každá peněženka musela nabízet. Patří mezi ně vydávání, uchovávání a předkládání elektronických potvrzení atributů se selektivním zpřístupněním; kvalifikované elektronické podpisy, pečetě a časová razítka; odesílání a přijímání dokumentů prostřednictvím kvalifikované služby elektronického doporučeného doručování; možnost, aby jednu peněženku obsluhovalo více uživatelů na základě oprávnění, která může vlastník spravovat a odvolávat; export všech dat ve strojově čitelném formátu; a záznam všech transakcí. Poskytovatelé by mohli přidat další funkce, pokud tyto funkce nenaruší, a museli by uživatelům EU Digital Identity Wallet nabízet službu doporučeného doručování samostatně.[1]
Peněženky by potřebovaly společné protokoly a rozhraní pro vydávání a předkládání identifikačních údajů a potvrzení, pro interakci s jinými peněženkami a s EU Digital Identity Wallet, pro automatizované použití bez ručního zásahu a pro vzdálený onboarding prostřednictvím zmocněného zástupce, jehož elektronická identifikace splňuje úroveň záruky „značná“ nebo „vysoká“. Každý vlastník by získal alespoň jednu jedinečnou digitální adresu. Přiřazení rolí k atributům by musela být auditovatelná a odvolatelná a konfliktní role, nadměrné delegování a prošlá oprávnění by se musely v reálném čase odhalovat a znemožňovat.[1][10]
Peněženky by mohli poskytovat pouze poskytovatelé uvedení na seznamu Komise. Museli by být usazeni v Unii, mít zde hlavní místo podnikání a hlavní činnost a nesměli by podléhat kontrole třetí země nebo subjektu ze třetí země. Museli by rovněž splňovat požadavky na kybernetickou bezpečnost podle směrnice (EU) 2022/2555 (NIS2), jasně informovat vlastníky o podmínkách a přenositelnosti dat, a pokud přestanou peněženky poskytovat nebo budou ze seznamu vyřazeni, informovat vlastníky a převést nebo vymazat jejich data podle pokynů vlastníků.[1]
Údaje identifikující vlastníka peněženky by vydával kvalifikovaný poskytovatel důvěryhodných služeb jako kvalifikované elektronické potvrzení atributů, nebo by šlo o potvrzení vydané orgánem veřejného sektoru odpovědným za autentický zdroj nebo jeho jménem, nebo by je v případě subjektů Unie vydávala Komise. Obsahovaly by alespoň úřední název vlastníka zapsaný v příslušném rejstříku a jeho jedinečný identifikátor podle článku 9. Členské státy by oznamovaly autentické zdroje používané k jejich ověření.[1][8]
Pokud hospodářský subjekt již má evropský jedinečný identifikátor (EUID), tedy identifikátor používaný v právu obchodních společností, byl by to jeho identifikátor. Vlastníci, kteří jej nemají, by obdrželi jedinečný identifikátor vytvořený podle prováděcího aktu, který by rovněž zabránil tomu, aby kterýkoli vlastník obdržel více než jeden.[1][9]
Komise by provozovala Evropský digitální adresář s rozhraním API pro komunikaci mezi systémy a se zabezpečeným webovým portálem, který by sloužil jako důvěryhodný zdroj informací o vlastnících peněženek. Přístup k němu by měli pouze vlastníci peněženek, jejich zmocnění zástupci a poskytovatelé peněženek. Poskytovatelé by museli předat jakoukoli změnu informací do jednoho pracovního dne.[1]
Subjekt, který chce poskytovat peněženky, by to oznámil svému vnitrostátnímu dozorovému orgánu, popsal by, jak jeho peněženky zajišťují základní funkce, a prohlásil by shodu. Dozorový orgán by měl 30 dní na přezkum oznámení; pokud v této lhůtě věcně neodpoví, oznámení by se považovalo za úplné. Kvalifikovaní poskytovatelé důvěryhodných služeb by přezkum nepodstupovali a mohli by nabízet peněženky okamžitě. Zamítnutí by bylo možné napadnout u soudu.[1]
Dozorové orgány by předávaly Komisi registrace poskytovatelů, změny a vyřazení, přičemž změny by hlásily do 24 hodin. Komise by výsledný seznam poskytovatelů peněženek zveřejňovala na svých internetových stránkách ve strojově čitelném formátu.[1]
Dozorové orgány, které členské státy již určují podle nařízení eIDAS, by dohlížely i na poskytovatele peněženek usazené na jejich území, a to formou, kterou návrh nazývá dohledem ex post. K jejich úkolům by patřilo šetření stížností, kontrola plánů ukončení činnosti a vyřazování poskytovatelů, kteří požadavky nesplňují, ze seznamu. Členské státy by stanovily sankce, včetně správních pokut až do výše 2 % celkového celosvětového ročního obratu poskytovatele. Pokud vnitrostátní orgán nejedná a vnitřní trh je ohrožen, mohla by zasáhnout Komise a mimo jiné dočasně pozastavit zařazení poskytovatele na seznamu.[1][8]
Skupina pro spolupráci členských států a Komise, již zřízená podle nařízení eIDAS, by se zabývala i European Business Wallets, sdílela osvědčené postupy a koordinovala provádění.[1][8]
Pokud peněženky poskytuje orgán, instituce, úřad nebo agentura EU, dohlížela by na něj místo vnitrostátního orgánu Komise, která by vykonávala příslušné úkoly dohledu podle článku 13 a podávala zprávy o své činnosti.[1]
Orgány veřejného sektoru by musely hospodářským subjektům umožnit používat peněženku k identifikaci a autentizaci, podepisování nebo pečetění, podávání dokumentů a odesílání či přijímání oznámení ve správních řízeních a při plnění oznamovacích povinností. Návrh pro to stanoví lhůtu 24 měsíců od vstupu nařízení v platnost. Pro dokumenty a oznámení by orgány veřejného sektoru potřebovaly vlastní peněženku s kvalifikovanou službou elektronického doporučeného doručování. Po dobu až 36 měsíců od vstupu v platnost by si místo toho mohly ponechat stávající alternativu, pokud splňuje požadavky nařízení eIDAS na kvalifikované elektronické doporučené doručování a nabízí vstupní bod do peněženek. Povinnosti podle tohoto článku dopadají na orgány veřejného sektoru, nikoli na podniky.[1]
Komise by mohla uznat podnikatelské peněženky nebo celé rámce ze třetích zemí za poskytující rovnocenné záruky, pokud jsou interoperabilní s rámcem důvěry eIDAS a podporují alespoň identifikaci, autentizaci a výměnu potvrzení. Nejprve by posoudila rovnocennost, později by mohla uznání odejmout a zveřejnila by seznam uznaných systémů.[1][8]
Podniky usazené mimo Unii by mohly získat European Business Wallet, jakmile jim budou vydány identifikační údaje a jedinečný identifikátor. Poskytovatel peněženky by o identifikační údaje požádal jménem podniku, totožnost by byla ověřena metodami podle nařízení eIDAS a členské státy by spolupracovaly tak, aby žádný podnik neobdržel více než jednu sadu.[1][8]
Prováděcí akty, které nařízení předpokládá, by se přijímaly za pomoci výboru již zřízeného podle nařízení eIDAS.[1][7]
Změnil by článek 5a nařízení eIDAS, tedy ustanovení o EU Digital Identity Wallet, tak, aby odkazoval na fyzické osoby, včetně fyzické osoby zastupující právnickou osobu. Rovněž by znovu stanovil, že používání EU Digital Identity Wallet je pro fyzické osoby dobrovolné a že její nepoužívání nesmí omezit jejich přístup ke službám, na trh práce ani svobodu podnikání.[1][7][8]
Tři roky po vstupu v platnost by Komise předložila Parlamentu a Radě zprávu o tom, jak nařízení funguje. Zpráva by se zabývala základními funkcemi, dodržováním požadavků poskytovateli, sankcemi a službou doporučeného doručování a posoudila by, zda by se měla změnit oblast působnosti, včetně toho, zda zavést povinnost peněženky používat.[1]
Nařízení by vstoupilo v platnost dvacátým dnem po vyhlášení v Úředním věstníku a použitelné by bylo jeden rok poté. Dosud nebylo přijato, a proto není známo ani jedno z těchto dat.[1]
Příloha doplňuje technické podrobnosti k článkům 5 a 6. Uživatelé by se k peněžence přihlašovali prostřednictvím elektronické identifikace s úrovní záruky „značná“ nebo vyšší; každá jednotka peněženky by nesla podepsané potvrzení o své integritě; kryptografické klíče by byly chráněny bezpečným kryptografickým zařízením; transakce, včetně neúspěšných, by se zaznamenávaly; peněženky by fungovaly s místními, externími nebo vzdálenými kvalifikovanými prostředky pro vytváření podpisů a pečetí; a vlastníci by mohli exportovat svá data v otevřeném formátu a přejít k jiné peněžence.[1][10]